Ο Κανονισμός ΤΝ για δημόσιους φορείς: τι πρέπει να ετοιμάσετε έως τον Δεκέμβριο του 2027

01Πού βρισκόμαστε το φθινόπωρο του 2026

Ο Κανονισμός για την τεχνητή νοημοσύνη (ανοίγει εξωτερικό ιστότοπο), Κανονισμός (ΕΕ) 2024/1689, τέθηκε σε ισχύ την 1η Αυγούστου 2024 και εφαρμόζεται σταδιακά. Τον Ιούλιο του 2026 η ΕΕ εξέδωσε το Digital Omnibus για την τεχνητή νοημοσύνη, τον Κανονισμό (ΕΕ) 2026/1744 (ανοίγει εξωτερικό ιστότοπο), που μετέθεσε τους κανόνες υψηλού κινδύνου και άλλαξε αρκετές ακόμη διατάξεις. Τέθηκε σε ισχύ στις 27 Ιουλίου 2026, λίγες ημέρες πριν από την αρχική ημερομηνία για τα συστήματα υψηλού κινδύνου.

Την ίδια περίοδο η Ελλάδα θέσπισε το εθνικό πλαίσιο εφαρμογής. Ο ν. 5321/2026 ορίζει την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) ως αρχή εποπτείας της αγοράς για τις απαγορευμένες πρακτικές, τα συστήματα υψηλού κινδύνου του Παραρτήματος III και τις υποχρεώσεις διαφάνειας του άρθρου 50, καθώς και ως ενιαίο σημείο επαφής. Κοινοποιούσα αρχή είναι η Εθνική Επιτροπή Τηλεπικοινωνιών και Ταχυδρομείων (ΕΕΤΤ), όπου λειτουργεί και το ρυθμιστικό δοκιμαστήριο ΤΝ που διαχειρίζονται από κοινού η ΕΕΤΤ και η ΑΠΔΠΧ.

Για κάθε υπουργείο, Περιφέρεια, δήμο και ΝΠΔΔ, η πιο άμεση αλλαγή βρίσκεται στο άρθρο 21 του νόμου. Κάθε δημόσιος φορέας που σκοπεύει να χρησιμοποιήσει σύστημα τεχνητής νοημοσύνης υποβάλλει δήλωση στο μητρώο συστημάτων ΤΝ της Ειδικής Γραμματείας Τεχνητής Νοημοσύνης και Διακυβέρνησης Δεδομένων του Υπουργείου Ψηφιακής Διακυβέρνησης, πριν από τη θέση του σε λειτουργία.

Το αποτέλεσμα είναι ένα χρονοδιάγραμμα στο οποίο ορισμένες υποχρεώσεις ισχύουν ήδη, ορισμένες έρχονται στο τέλος του έτους και οι βαρύτερες για τους δημόσιους φορείς εφαρμογής ακολουθούν τον Δεκέμβριο του 2027.

Το Omnibus ξανάγραψε και το άρθρο 4 για τον γραμματισμό στον τομέα της ΤΝ. Οι πάροχοι και οι φορείς εφαρμογής πρέπει πλέον να λαμβάνουν μέτρα που υποστηρίζουν τον γραμματισμό του προσωπικού τους, αντί να εξασφαλίζουν επαρκές επίπεδο γραμματισμού. Η υποχρέωση παραμένει. Αλλάζει αυτό που πρέπει να αποδείξετε. Εκπαίδευση προσαρμοσμένη σε κάθε ρόλο, με αρχείο για το ποιος εκπαιδεύτηκε, παραμένει η λογική απάντηση.

02Πάροχος ή φορέας εφαρμογής;

Οι περισσότεροι δημόσιοι φορείς είναι φορείς εφαρμογής: χρησιμοποιούν ένα σύστημα ΤΝ υπό την εξουσία τους. Είστε πάροχος όταν αναπτύσσετε ένα σύστημα ΤΝ, ή αναθέτετε την ανάπτυξή του, και το θέτετε σε λειτουργία με το δικό σας όνομα. Αυτό περιλαμβάνει συστήματα που αναπτύσσονται εσωτερικά ή από ανάδοχο σύμφωνα με τις δικές σας τεχνικές προδιαγραφές.

Οι ρόλοι μπορεί και να αλλάξουν. Σύμφωνα με το άρθρο 25, ένας φορέας εφαρμογής που τροποποιεί ουσιωδώς ένα σύστημα υψηλού κινδύνου, ή αλλάζει τον επιδιωκόμενο σκοπό του έτσι ώστε να γίνει υψηλού κινδύνου, αναλαμβάνει τις υποχρεώσεις του παρόχου. Γράψτε τους ρόλους στη διακήρυξη και στη σύμβαση που συνάπτετε κατά τον ν. 4412/2016, ώστε να μην τους ανακαλύψει κανείς στη διάρκεια ενός ελέγχου.

03Ποια σενάρια χρήσης σας είναι υψηλού κινδύνου;

Το Παράρτημα III απαριθμεί τους τομείς στους οποίους τα συστήματα ΤΝ θεωρούνται υψηλού κινδύνου. Για τους δημόσιους φορείς οι πιο σχετικοί είναι:

• Πρόσβαση σε βασικές δημόσιες υπηρεσίες και παροχές: αξιολόγηση της επιλεξιμότητας, καθώς και χορήγηση, μείωση, ανάκληση ή αναζήτηση παροχών και υπηρεσιών.
• Μετανάστευση, άσυλο και διαχείριση των συνόρων, επιβολή του νόμου και απονομή της δικαιοσύνης.
• Εκπαίδευση και επαγγελματική κατάρτιση: εισαγωγή, αξιολόγηση μαθησιακών αποτελεσμάτων, επιτήρηση κατά τις εξετάσεις.
• Απασχόληση: προσλήψεις, προαγωγές, κατανομή καθηκόντων και παρακολούθηση του προσωπικού. Οι δημόσιοι φορείς είναι και εργοδότες.
• Κρίσιμες υποδομές: κατασκευαστικά στοιχεία ασφάλειας στη διαχείριση ψηφιακών υποδομών, οδικής κυκλοφορίας και υπηρεσιών κοινής ωφέλειας.

Η ένταξη σε τομέα του Παραρτήματος III δεν κλείνει την ανάλυση. Σύμφωνα με το άρθρο 6 παράγραφος 3, ένα σύστημα σε τέτοιο τομέα δεν είναι υψηλού κινδύνου όταν δεν ενέχει σημαντικό κίνδυνο βλάβης, για παράδειγμα επειδή εκτελεί περιορισμένη διαδικαστική εργασία, βελτιώνει το αποτέλεσμα μιας ανθρώπινης δραστηριότητας που έχει ήδη ολοκληρωθεί, εντοπίζει μοτίβα χωρίς να αντικαθιστά την ανθρώπινη αξιολόγηση ή εκτελεί προπαρασκευαστική εργασία. Ένα σύστημα που καταρτίζει προφίλ φυσικών προσώπων είναι πάντα υψηλού κινδύνου. Αν βασιστείτε σε αυτή την εξαίρεση, τεκμηριώστε το σκεπτικό σας.

Πολλά χρήσιμα εργαλεία δεν είναι καθόλου υψηλού κινδύνου: υποστήριξη στη σύνταξη εγγράφων, αναζήτηση σε εγκυκλίους και εσωτερικές οδηγίες, μετάφραση, σύνοψη. Για αυτά ισχύουν οι υποχρεώσεις διαφάνειας και ο Γενικός Κανονισμός για την Προστασία Δεδομένων (ΓΚΠΔ), όχι όμως το καθεστώς υψηλού κινδύνου. Ο ν. 5321/2026 ζητά δήλωση στο εθνικό μητρώο για κάθε σύστημα τεχνητής νοημοσύνης που σκοπεύει να χρησιμοποιήσει ένας δημόσιος φορέας, οπότε η απογραφή σας πρέπει να περιλαμβάνει και αυτά.

04Τι πρέπει να κάνουν οι φορείς εφαρμογής συστημάτων υψηλού κινδύνου

Από 2 Δεκεμβρίου 2027, ένας δημόσιος φορέας που χρησιμοποιεί σύστημα υψηλού κινδύνου του Παραρτήματος III έχει υποχρεώσεις σύμφωνα με το άρθρο 26 (ανοίγει εξωτερικό ιστότοπο). Οι κυριότερες:

• Χρησιμοποιείτε το σύστημα σύμφωνα με τις οδηγίες χρήσης του παρόχου, με κατάλληλα τεχνικά και οργανωτικά μέτρα.
• Αναθέτετε την ανθρώπινη εποπτεία σε πρόσωπα με την αναγκαία ικανότητα, κατάρτιση και εξουσία, και τους παρέχετε υποστήριξη.
• Εξασφαλίζετε ότι τα δεδομένα εισόδου που βρίσκονται υπό τον έλεγχό σας είναι συναφή και επαρκώς αντιπροσωπευτικά για τον επιδιωκόμενο σκοπό.
• Παρακολουθείτε τη λειτουργία και ενημερώνετε χωρίς αδικαιολόγητη καθυστέρηση τον πάροχο και τις αρχές για κινδύνους και σοβαρά περιστατικά. Στην Ελλάδα, αρχή εποπτείας της αγοράς για τα συστήματα του Παραρτήματος III είναι η ΑΠΔΠΧ.
• Τηρείτε τα αρχεία καταγραφής που δημιουργούνται αυτόματα για τουλάχιστον έξι μήνες, εκτός αν άλλο ενωσιακό ή εθνικό δίκαιο ορίζει διαφορετικά.
• Ενημερώνετε τους εκπροσώπους των εργαζομένων και το προσωπικό που επηρεάζεται πριν χρησιμοποιήσετε σύστημα υψηλού κινδύνου στον χώρο εργασίας.
• Ως δημόσια αρχή, καταχωρίζετε τη χρήση του συστήματος στη βάση δεδομένων της ΕΕ πριν το θέσετε σε χρήση (άρθρο 26 παράγραφος 8 και άρθρο 49). Σύστημα που δεν έχει καταχωριστεί δεν επιτρέπεται να χρησιμοποιηθεί. Η δήλωση στο εθνικό μητρώο του ν. 5321/2026 είναι διαφορετική διαδικασία: προγραμματίστε και τις δύο.
• Ενημερώνετε τα πρόσωπα όταν ένα σύστημα υψηλού κινδύνου χρησιμοποιείται για να λάβει ή να υποστηρίξει αποφάσεις που τα αφορούν (άρθρο 26 παράγραφος 11). Τα πρόσωπα έχουν επίσης δικαίωμα επεξήγησης της ατομικής απόφασης (άρθρο 86).

Η εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα

Σύμφωνα με το άρθρο 27 (ανοίγει εξωτερικό ιστότοπο), οι φορείς εφαρμογής που είναι οργανισμοί δημόσιου δικαίου, καθώς και οι ιδιωτικοί φορείς που παρέχουν δημόσιες υπηρεσίες, διενεργούν εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα πριν χρησιμοποιήσουν για πρώτη φορά τα περισσότερα συστήματα του Παραρτήματος III. Εξαιρούνται τα συστήματα για κρίσιμες υποδομές. Η εκτίμηση περιγράφει:

1. 01τις διαδικασίες στις οποίες θα χρησιμοποιείται το σύστημα, σύμφωνα με τον επιδιωκόμενο σκοπό του·
2. 02το χρονικό διάστημα και τη συχνότητα της χρήσης·
3. 03τις κατηγορίες προσώπων και ομάδων που είναι πιθανό να επηρεαστούν·
4. 04τους συγκεκριμένους κινδύνους βλάβης για αυτά τα πρόσωπα·
5. 05τον τρόπο με τον οποίο εφαρμόζεται η ανθρώπινη εποπτεία·
6. 06τι γίνεται αν οι κίνδυνοι επέλθουν, μαζί με την εσωτερική διακυβέρνηση και τους μηχανισμούς υποβολής καταγγελιών.

Τα αποτελέσματα κοινοποιούνται στην αρχή εποπτείας της αγοράς, που στην Ελλάδα είναι η ΑΠΔΠΧ. Η εκτίμηση συμπληρώνει, και μπορεί να αξιοποιήσει, την εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων του άρθρου 35 του ΓΚΠΔ, οπότε κάντε τις δύο μαζί. Το άρθρο 27 παράγραφος 5 ζητά από την Υπηρεσία ΤΝ της Επιτροπής να διαθέσει υπόδειγμα ερωτηματολογίου. Ελέγξτε σε ποιο στάδιο βρίσκεται πριν σχεδιάσετε το δικό σας. Επειδή στην Ελλάδα η ίδια αρχή εποπτεύει την προστασία των δεδομένων και την αγορά των συστημάτων ΤΝ, μια ενιαία και καλά τεκμηριωμένη εκτίμηση εξυπηρετεί και τις δύο συζητήσεις.

05Υποχρεώσεις διαφάνειας που ισχύουν ήδη

Από 2 Αυγούστου 2026 εφαρμόζεται το άρθρο 50. Οι πάροχοι πρέπει να σχεδιάζουν τα συστήματα που αλληλεπιδρούν με ανθρώπους έτσι ώστε αυτοί να ενημερώνονται ότι έχουν να κάνουν με σύστημα ΤΝ, εκτός αν αυτό είναι προφανές, και να επισημαίνουν το συνθετικό περιεχόμενο σε μηχαναγνώσιμο μορφότυπο. Οι φορείς εφαρμογής πρέπει να γνωστοποιούν τα προϊόντα βαθυπαραποίησης (deep fakes), καθώς και το κείμενο που παράγεται ή αλλοιώνεται με ΤΝ και δημοσιεύεται για να ενημερώσει το κοινό για θέματα δημόσιου ενδιαφέροντος, εκτός αν το έχει ελέγξει άνθρωπος και κάποιος φέρει τη συντακτική ευθύνη. Στην Ελλάδα, την τήρηση του άρθρου 50 την εποπτεύει η ΑΠΔΠΧ.

Για έναν δημόσιο φορέα, η συνηθέστερη περίπτωση είναι ένας βοηθός συνομιλίας στον ιστότοπο ενός δήμου ή μιας Περιφέρειας ή σε ένα κανάλι εξυπηρέτησης πολιτών που οδηγεί σε υπηρεσίες του gov.gr. Πείτε καθαρά ότι πρόκειται για σύστημα ΤΝ, εξηγήστε σε τι μπορεί και σε τι δεν μπορεί να βοηθήσει, και προσφέρετε διαδρομή προς έναν άνθρωπο.

06Σχέδιο προετοιμασίας για το 2026 και το 2027

1. 01Απογραφή, τώρα. Καταγράψτε κάθε σύστημα ΤΝ που χρησιμοποιείται ή βρίσκεται σε διαδικασία προμήθειας, μαζί με τις λειτουργίες ΤΝ μέσα σε πλατφόρμες για τις οποίες ήδη έχετε άδειες χρήσης. Σημειώστε υπεύθυνο, σκοπό, πάροχο, δεδομένα και τα πρόσωπα που επηρεάζονται. Η ίδια λίστα τροφοδοτεί τις δηλώσεις στο μητρώο του ν. 5321/2026.
2. 02Ταξινόμηση, έως τις αρχές του 2027. Απαγορευμένο, υψηλού κινδύνου (με τεκμηριωμένο σκεπτικό κατά το άρθρο 6 παράγραφος 3), μόνο με υποχρεώσεις διαφάνειας ή ελάχιστου κινδύνου. Σημειώστε για καθένα αν είστε πάροχος ή φορέας εφαρμογής.
3. 03Συμβάσεις, μέσα στο 2027. Ζητήστε από τους παρόχους οδηγίες χρήσης, τεκμηρίωση συμμόρφωσης και πρόσβαση στα αρχεία καταγραφής. Κάντε την υποστήριξη της εκτίμησης επιπτώσεων και της αναφοράς περιστατικών όρο της σύμβασης, ήδη από τη διακήρυξη.
4. 04Σχεδιασμός εποπτείας. Ορίστε τους ρόλους, εκπαιδεύστε τους, δώστε τους εξουσία παράκαμψης και διαδρομή κλιμάκωσης. Σχεδιάστε απέναντι στη μεροληψία αυτοματισμού. Το άρθρο μας πού χρειάζονται ανθρώπινη έγκριση οι πράκτορες ΤΝ δείχνει πώς.
5. 05Καταγραφή και παρακολούθηση. Κρατήστε τα αρχεία καταγραφής για τουλάχιστον έξι μήνες και ορίστε τι θεωρείται σοβαρό περιστατικό και ποιος το αναφέρει.
6. 06Πριν από την πρώτη χρήση. Διενεργήστε την εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα μαζί με την εκτίμηση αντικτύπου για την προστασία δεδομένων, καταχωρίστε το σύστημα στη βάση δεδομένων της ΕΕ, υποβάλετε τη δήλωση στο εθνικό μητρώο και ενημερώστε το προσωπικό και τα πρόσωπα που επηρεάζονται.
7. 07Συνεχής γραμματισμός. Εκπαίδευση ανά ρόλο για χρήστες, ελεγκτές και όσους αποφασίζουν, που ανανεώνεται όταν αλλάζουν τα συστήματα, με αρχείο για το ποιος εκπαιδεύτηκε.

07Κυρώσεις και επιβολή

Τους κανόνες για τις κυρώσεις τους θεσπίζουν τα κράτη μέλη. Το άρθρο 99 παράγραφος 8 αφήνει σε κάθε κράτος μέλος να αποφασίσει αν, και σε ποιον βαθμό, επιβάλλονται διοικητικά πρόστιμα σε δημόσιες αρχές και φορείς που είναι εγκατεστημένοι σε αυτό. Ελέγξτε τι προβλέπει το ελληνικό πλαίσιο για τον φορέα σας. Ό,τι κι αν προβλέπει, δεν είναι λόγος αναμονής. Οι αρχές εποπτείας της αγοράς μπορούν να ζητήσουν διορθωτικά μέτρα, και η νομιμοποίηση μιας δημόσιας απόφασης εξαρτάται από το αν μπορεί να εξηγηθεί και να αμφισβητηθεί.

Ο ν. 5321/2026 προβλέπει επίσης ενιαίο σύστημα καταγγελιών στην ΑΠΔΠΧ. Για την προστασία των θεμελιωδών δικαιωμάτων, η Ελλάδα έχει ορίσει κατά το άρθρο 77 του Κανονισμού την ΑΠΔΠΧ, την Αρχή Διασφάλισης του Απορρήτου των Επικοινωνιών (ΑΔΑΕ), την Εθνική Επιτροπή για τα Δικαιώματα του Ανθρώπου (ΕΕΔΑ) και τον Συνήγορο του Πολίτη.

08Τι να παρακολουθείτε τους επόμενους μήνες

• Τις κατευθυντήριες γραμμές της Επιτροπής για την ταξινόμηση των συστημάτων υψηλού κινδύνου (άρθρο 6 παράγραφος 5), καθώς και τις ήδη δημοσιευμένες κατευθυντήριες γραμμές για τις απαγορευμένες πρακτικές (ανοίγει εξωτερικό ιστότοπο).
• Τα εναρμονισμένα πρότυπα για τις απαιτήσεις υψηλού κινδύνου, με τα οποία οι πάροχοι θα αποδεικνύουν τη συμμόρφωση.
• Τις πρώτες οδηγίες της ΑΠΔΠΧ για τους δημόσιους φορείς εφαρμογής και την πρακτική λειτουργία του μητρώου της Ειδικής Γραμματείας Τεχνητής Νοημοσύνης και Διακυβέρνησης Δεδομένων.
• Το υπόδειγμα της Υπηρεσίας ΤΝ για την εκτίμηση επιπτώσεων στα θεμελιώδη δικαιώματα.

Το AI Act Service Desk (ανοίγει εξωτερικό ιστότοπο) της Ευρωπαϊκής Επιτροπής διατηρεί ενημερωμένο το επίσημο χρονοδιάγραμμα και επεξηγήσεις ανά άρθρο, και ο ιστότοπος ai.gov.gr της Ειδικής Γραμματείας συγκεντρώνει την εθνική πολιτική για την τεχνητή νοημοσύνη. Κρατήστε και τους δύο στους σελιδοδείκτες σας και βάζετε ημερομηνία σε κάθε εσωτερικό σημείωμα που γράφετε για τον Κανονισμό: είναι ένα κείμενο που ακόμη αλλάζει.