Η πράξη για την τεχνητή νοημοσύνη στο Δημόσιο: τι ετοιμάζετε έως τον Δεκέμβριο του 2027

01Η εικόνα το φθινόπωρο του 2026

Η πράξη για την τεχνητή νοημοσύνη, επίσημα ο Κανονισμός για την τεχνητή νοημοσύνη (AI Act), είναι ο Κανονισμός (ΕΕ) 2024/1689 (ανοίγει εξωτερικό ιστότοπο). Ισχύει από την 1η Αυγούστου 2024, όμως οι πρόνοιές του ενεργοποιούνται σε δόσεις. Τον Ιούλιο του 2026 ήρθε μια σημαντική αλλαγή: το Digital Omnibus για την ΤΝ, ο Κανονισμός (ΕΕ) 2026/1744 (ανοίγει εξωτερικό ιστότοπο), μετέφερε αργότερα τις απαιτήσεις για τα συστήματα υψηλού κινδύνου και τροποποίησε και άλλα σημεία. Τέθηκε σε ισχύ στις 27 Ιουλίου 2026, ελάχιστες μέρες πριν από την αρχική προθεσμία.

Στην Κυπριακή Δημοκρατία ο εθνικός ορισμός των αρχών για τον Κανονισμό δεν είχε οριστικοποιηθεί το φθινόπωρο του 2026. Ο κατάλογος της Ευρωπαϊκής Επιτροπής, με τελευταία ενημέρωση στις 7 Σεπτεμβρίου 2026, αναφέρει για την Κύπρο μόνο ενιαίο σημείο επαφής, τον Επίτροπο Επικοινωνιών, με τον εθνικό ορισμό σε εκκρεμότητα. Οι υποχρεώσεις των δημόσιων φορέων προκύπτουν πάντως απευθείας από τον Κανονισμό, και το χρονοδιάγραμμα τρέχει ήδη:

Με το Omnibus άλλαξε και η διατύπωση του άρθρου 4. Αντί να εξασφαλίζουν επαρκές επίπεδο γραμματισμού στον τομέα της ΤΝ, πάροχοι και φορείς εφαρμογής οφείλουν τώρα να παίρνουν μέτρα που τον στηρίζουν. Το καθήκον παραμένει, απλώς αποδεικνύεται αλλιώς. Η πρακτική απάντηση δεν αλλάζει: εκπαίδευση ανά ρόλο, και αρχείο με όσους την παρακολούθησαν.

02Πάροχος ή φορέας εφαρμογής;

Ένα Τμήμα ή ένας Δήμος είναι σχεδόν πάντα φορέας εφαρμογής: αξιοποιεί σύστημα ΤΝ με δική του ευθύνη. Ρόλο παρόχου αποκτά όταν αναπτύσσει ο ίδιος ένα σύστημα, ή το παραγγέλνει, και το θέτει σε λειτουργία με το δικό του όνομα. Αυτό ισχύει και για εφαρμογές που έφτιαξε η εσωτερική ομάδα πληροφορικής ή ένας ανάδοχος πάνω στις προδιαγραφές του φορέα.

Ο ρόλος μπορεί και να αλλάξει. Κατά το άρθρο 25, όποιος φορέας εφαρμογής τροποποιεί ουσιωδώς ένα σύστημα υψηλού κινδύνου, ή αλλάζει τον σκοπό του ώστε να γίνει υψηλού κινδύνου, αναλαμβάνει υποχρεώσεις παρόχου. Γράψτε τους ρόλους στα έγγραφα του διαγωνισμού που ανεβαίνουν στο e-PPS και στη σύμβαση, για να μην τους ανακαλύψει κανείς στη διάρκεια ελέγχου.

03Ποιες χρήσεις σας είναι υψηλού κινδύνου;

Το Παράρτημα III απαριθμεί τους τομείς όπου ένα σύστημα ΤΝ θεωρείται υψηλού κινδύνου. Για το Δημόσιο ξεχωρίζουν οι εξής:

• Πρόσβαση σε βασικές δημόσιες υπηρεσίες και παροχές: έλεγχος επιλεξιμότητας, χορήγηση, μείωση, ανάκληση ή ανάκτηση επιδομάτων και υπηρεσιών, όπως τα σχέδια επιχορηγήσεων που διαχειρίζεται ένα Τμήμα.
• Μετανάστευση, άσυλο και έλεγχος συνόρων, επιβολή του νόμου και απονομή δικαιοσύνης.
• Εκπαίδευση και επαγγελματική κατάρτιση: εισαγωγή, αξιολόγηση μαθησιακών αποτελεσμάτων, επιτήρηση κατά τις εξετάσεις.
• Απασχόληση: πρόσληψη, προαγωγή, κατανομή καθηκόντων και παρακολούθηση προσωπικού. Και η Δημόσια Υπηρεσία είναι εργοδότης.
• Κρίσιμες υποδομές: στοιχεία ασφάλειας στη διαχείριση κρίσιμων ψηφιακών υποδομών, της οδικής κυκλοφορίας και των δικτύων κοινής ωφέλειας.

Δεν αρκεί όμως ο τομέας. Το άρθρο 6 παράγραφος 3 βγάζει από την κατηγορία υψηλού κινδύνου όσα συστήματα δεν ενέχουν σημαντικό κίνδυνο βλάβης: όσα κάνουν μια στενή διαδικαστική δουλειά, βελτιώνουν εργασία που ολοκλήρωσε ήδη ένας λειτουργός, εντοπίζουν μοτίβα χωρίς να παίρνουν τη θέση της ανθρώπινης αξιολόγησης, ή κάνουν προπαρασκευαστικό έργο. Η κατάρτιση προφίλ προσώπων όμως κρατά πάντα ένα σύστημα στην κατηγορία υψηλού κινδύνου. Όποιος επικαλείται την εξαίρεση, καταγράφει το σκεπτικό του.

Μεγάλο μέρος της καθημερινής χρήσης μένει έξω από το καθεστώς υψηλού κινδύνου: ένας βοηθός που συντάσσει σχέδια επιστολών, η αναζήτηση στις εγκυκλίους, η μετάφραση, η σύνοψη. Γι’ αυτά μετρούν η διαφάνεια, ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) και ο Ν. 125(Ι)/2018.

04Οι υποχρεώσεις του δημόσιου φορέα εφαρμογής

Η 2α Δεκεμβρίου 2027 είναι η ημερομηνία από την οποία το άρθρο 26 (ανοίγει εξωτερικό ιστότοπο) δεσμεύει κάθε δημόσιο φορέα που αξιοποιεί σύστημα υψηλού κινδύνου του Παραρτήματος III. Στη γλώσσα ενός Τμήματος ή ενός Δήμου, οι υποχρεώσεις μεταφράζονται έτσι:

• Το σύστημα δουλεύει όπως ορίζουν οι οδηγίες χρήσης του παρόχου, με τα κατάλληλα τεχνικά και οργανωτικά μέτρα γύρω του.
• Την εποπτεία την ασκούν λειτουργοί που έχουν τις γνώσεις, την εκπαίδευση και την εξουσία, και ο φορέας τούς στηρίζει.
• Όπου ο φορέας ελέγχει τα δεδομένα εισόδου, αυτά είναι συναφή με τον σκοπό και αρκετά αντιπροσωπευτικά.
• Η λειτουργία παρακολουθείται· κίνδυνοι και σοβαρά περιστατικά αναφέρονται χωρίς καθυστέρηση στον πάροχο και στις αρχές.
• Τα αυτόματα αρχεία καταγραφής φυλάσσονται έξι μήνες κατ’ ελάχιστο, εκτός αν άλλη ενωσιακή ή εθνική νομοθεσία ορίζει κάτι άλλο.
• Οι εκπρόσωποι του προσωπικού και οι εργαζόμενοι που αφορά ενημερώνονται πριν το σύστημα μπει στον χώρο εργασίας.
• Ως δημόσια αρχή, ο φορέας καταχωρίζει τη χρήση στη βάση δεδομένων της ΕΕ πριν από την έναρξη (άρθρο 26 παράγραφος 8, άρθρο 49)· χωρίς καταχώριση, το σύστημα δεν χρησιμοποιείται.
• Όποιος υπόκειται σε απόφαση που έλαβε ή υποβοήθησε σύστημα υψηλού κινδύνου το μαθαίνει (άρθρο 26 παράγραφος 11) και μπορεί να ζητήσει επεξήγηση της απόφασης που τον αφορά (άρθρο 86). Αν η απάντηση φτάνει στον αιτητή μέσω CY Login, εκεί πρέπει να βρίσκει και τον τρόπο να ζητήσει εξήγηση.

Εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα

Πριν από την πρώτη χρήση των περισσότερων συστημάτων του Παραρτήματος III, εκτός από όσα αφορούν κρίσιμες υποδομές, το άρθρο 27 (ανοίγει εξωτερικό ιστότοπο) ζητά εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα. Την κάνουν οι οργανισμοί δημοσίου δικαίου, άρα κάθε Υπουργείο, Δήμος ή ημικρατικός οργανισμός, αλλά και ιδιώτες που παρέχουν δημόσιες υπηρεσίες. Το έγγραφο απαντά σε έξι ερωτήματα:

1. 01Σε ποιες διαδικασίες θα μπει το σύστημα, και ταιριάζουν αυτές με τον σκοπό για τον οποίο προορίζεται;
2. 02Πόσο καιρό και με ποια συχνότητα θα δουλεύει;
3. 03Ποιοι άνθρωποι και ποιες ομάδες θα επηρεαστούν;
4. 04Ποιοι κίνδυνοι βλάβης υπάρχουν ειδικά γι’ αυτούς;
5. 05Ποιος εποπτεύει, και με ποιον τρόπο;
6. 06Τι κάνει ο φορέας αν ο κίνδυνος γίνει πραγματικότητα: διακυβέρνηση, χειρισμός παραπόνων;

Το αποτέλεσμα στέλνεται στην αρχή εποπτείας της αγοράς· στην Κύπρο η αρχή αυτή δεν είχε οριστεί ως το φθινόπωρο του 2026. Επειδή η εκτίμηση πατά σε μεγάλο βαθμό στην εκτίμηση αντικτύπου για την προστασία δεδομένων (άρθρο 35 του GDPR), συμφέρει να γίνονται μαζί, με τον Υπεύθυνο Προστασίας Δεδομένων του φορέα στο τραπέζι. Η Υπηρεσία ΤΝ της Επιτροπής θα δώσει υπόδειγμα ερωτηματολογίου (άρθρο 27 παράγραφος 5)· ελέγξτε αν κυκλοφόρησε πριν σχεδιάσετε δικό σας. Ως έμπνευση υπάρχουν μέθοδοι άλλων κρατών μελών, όπως η ολλανδική IAMA (Impact Assessment Mensenrechten en Algoritmes).

05Διαφάνεια: ισχύει ήδη

Από τις 2 Αυγούστου 2026 ισχύει το άρθρο 50, με υποχρεώσεις και για τις δύο πλευρές. Ο πάροχος φροντίζει ώστε όποιος συνομιλεί με σύστημα ΤΝ να το γνωρίζει, εκτός αν είναι αυτονόητο, και σημαίνει μηχαναγνώσιμα ό,τι συνθετικό παράγει. Ο φορέας εφαρμογής αποκαλύπτει τα προϊόντα βαθυπαραποίησης (deepfakes), και επίσης τα κείμενα ΤΝ που δημοσιεύει για να πληροφορήσει το κοινό σε θέματα δημόσιου ενδιαφέροντος, εκτός αν τα έλεγξε άνθρωπος που φέρει τη συντακτική ευθύνη.

Για έναν δημόσιο φορέα, η πιο συνηθισμένη περίπτωση είναι ένας βοηθός συνομιλίας σε ιστότοπο ή σε μια ηλεκτρονική υπηρεσία όπου ο πολίτης μπαίνει με CY Login ή με την Ηλεκτρονική Ταυτότητα (eID). Πείτε καθαρά ότι πρόκειται για σύστημα ΤΝ, εξηγήστε σε τι βοηθά και σε τι όχι, και δώστε έναν τρόπο να μιλήσει κανείς με λειτουργό.

06Σχέδιο προετοιμασίας για το 2026 και το 2027

1. 01Κατάλογος, από τώρα. Κάθε σύστημα ΤΝ σε χρήση ή υπό προμήθεια, μαζί με τις λειτουργίες ΤΝ που κρύβονται σε πλατφόρμες για τις οποίες ήδη πληρώνετε άδειες. Για το καθένα: ιδιοκτήτης, σκοπός, πάροχος, δεδομένα, ποιους αγγίζει.
2. 02Ταξινόμηση, ως τις αρχές του 2027. Απαγορευμένο, υψηλού κινδύνου (με γραπτό το σκεπτικό του άρθρου 6 παράγραφος 3), μόνο διαφάνεια, ή ελάχιστος κίνδυνος. Σημειώστε για κάθε σύστημα αν είστε πάροχος ή φορέας εφαρμογής.
3. 03Συμβάσεις, μέσα στο 2027. Οδηγίες χρήσης, τεκμηρίωση συμμόρφωσης και πρόσβαση στα αρχεία καταγραφής ζητούνται από κάθε πάροχο. Η υποστήριξη για την εκτίμηση του άρθρου 27 και για την αναφορά περιστατικών μπαίνει ως όρος, και οι νέοι διαγωνισμοί του Ν. 73(Ι)/2016 την περιλαμβάνουν από την αρχή.
4. 04Εποπτεία. Ονόματα ρόλων, εκπαίδευση, εξουσία ανατροπής, διαδρομή κλιμάκωσης, και σχεδιασμός που λογαριάζει τη μεροληψία αυτοματισμού· το άρθρο μας Πράκτορες τεχνητής νοημοσύνης και ανθρώπινη έγκριση εξηγεί πώς.
5. 05Καταγραφή και παρακολούθηση. Αρχεία καταγραφής για έξι μήνες τουλάχιστον, ορισμός του τι θεωρείται σοβαρό περιστατικό και ποιος το αναφέρει.
6. 06Πριν από την πρώτη χρήση. Εκτίμηση επιπτώσεων μαζί με την εκτίμηση αντικτύπου για τα δεδομένα, καταχώριση στη βάση δεδομένων της ΕΕ, ενημέρωση προσωπικού και πολιτών.
7. 07Γραμματισμός χωρίς τέλος. Κάθε ρόλος, χρήστης, ελεγκτής ή προϊστάμενος που αποφασίζει, εκπαιδεύεται σε όσα χρειάζεται, ξανά όταν αλλάζει το σύστημα, και η εκπαίδευση καταγράφεται.

07Κυρώσεις και εποπτεία

Πρόστιμα για το Δημόσιο; Το άρθρο 99 παράγραφος 8 αφήνει την απάντηση στο κάθε κράτος: εκείνο κρίνει αν, και πόσο, θα επιβάλλονται διοικητικά πρόστιμα στις δικές του δημόσιες αρχές. Για την Κυπριακή Δημοκρατία, ελέγξτε τι θα προβλέψει γι’ αυτό το εθνικό δίκαιο. Το ερώτημα πάντως δεν δικαιολογεί καθυστέρηση. Οι αρχές εποπτείας της αγοράς μπορούν να επιβάλουν διορθώσεις, και μια διοικητική απόφαση που δεν εξηγείται ούτε ελέγχεται χάνει τη νομιμοποίησή της απέναντι στον αιτητή.

08Τι να παρακολουθείτε τους επόμενους μήνες

• Πώς θα ταξινομούνται τα συστήματα υψηλού κινδύνου: η Επιτροπή οφείλει σχετικές κατευθύνσεις βάσει του άρθρου 6 παράγραφος 5. Για τις απαγορεύσεις υπάρχουν ήδη οδηγίες της Επιτροπής (ανοίγει εξωτερικό ιστότοπο).
• Ποια εναρμονισμένα πρότυπα θα χρησιμοποιούν οι πάροχοι για να δείξουν ότι τα συστήματά τους πληρούν τις απαιτήσεις.
• Τον οριστικό εθνικό ορισμό των αρχών στην Κυπριακή Δημοκρατία, ιδίως των αρχών εποπτείας της αγοράς, και τις πρώτες οδηγίες τους προς τους δημόσιους φορείς.
• Πότε θα δημοσιευθεί το υπόδειγμα ερωτηματολογίου της Υπηρεσίας ΤΝ για το άρθρο 27.

Το επίσημο χρονοδιάγραμμα και εξηγήσεις για κάθε άρθρο θα τα βρείτε στο AI Act Service Desk (ανοίγει εξωτερικό ιστότοπο) της Ευρωπαϊκής Επιτροπής. Αξίζει να το έχετε πρόχειρο. Και κάθε εσωτερικό σημείωμα για τον Κανονισμό χρειάζεται ημερομηνία, γιατί το κείμενο αλλάζει ακόμη.