AI incident stigao je do uprave u 80% tvrtki — pravila mijenja tek 40%

U IBM-ovu priopćenju od 15. listopada 2026. navodi se da je među 3.221 rukovoditeljem velikih organizacija u osam država Europe i Bliskog istoka 80% prijavilo AI incident koji je tijekom prethodne godine stigao do uprave ili najvišeg vodstva, dok je 40% tih organizacija kao odgovor promijenilo pravila ili okvir upravljanja AI-jem. Riječ je o odgovorima rukovoditelja u anketi, a ne o registru tehnički potvrđenih kvarova.

Razmak između obavijesti vodstvu i promjene pravila postaje važniji kada AI agent može djelovati bez odobrenja za svaki korak. Za organizaciju koja mu daje takvu ovlast incidentni postupak mora odgovoriti na povezana pitanja: kada zaustaviti daljnje radnje, tko odlučuje o poslovnim posljedicama i što ostaje zapisano nakon odluke. Sama činjenica da je uprava obaviještena ne pokazuje može li se pogreška ograničiti ili naknadno rekonstruirati.

Što je istraživanje obuhvatilo

Među primjerima incidenata bili su kvar agenta, izloženost podataka, pogrešna odluka potaknuta AI-jem i sigurnosni proboj povezan s AI-jem. Anketa je obuhvatila rukovoditelje organizacija s najmanje tisuću zaposlenih u Ujedinjenom Kraljevstvu, Francuskoj, Njemačkoj, Italiji, Španjolskoj, Nizozemskoj, Saudijskoj Arabiji i Ujedinjenim Arapskim Emiratima. Hrvatska nije bila u uzorku, pa se rezultat ne može prenijeti na udio hrvatskih tvrtki koje su imale takav incident.

Istraživanje mjeri je li događaj dospio do najvišeg vodstva, a ne koliko se kvarova dogodilo po agentu ili koliko je štete nastalo. Ni promjena pravila nije jedini mogući odgovor: organizacija može promijeniti plan uvođenja, zatražiti vanjsku pomoć ili poduzeti drugu mjeru. Zbog toga razliku među udjelima treba čitati kao razliku između prijavljene eskalacije i prijavljene promjene upravljanja, a ne kao dokaz da su sve preostale organizacije ostale bez reakcije.

Autonomija agenata otvara pitanje tko odlučuje

Prema izvještaju CDO Magazinea, 75% ispitanika očekuje da će agenti do 2027. imati određenu samostalnost u odlučivanju, dok samo 37% smatra da su njihova pravila upravljanja spremna za širenje takve primjene; IBM-ova potpredsjednica Ana Paula Assis upozorava da se upravljanje „can no longer be treated as a compliance exercise”. Očekivanje samostalnosti nije isto što i potvrda da su svi ti agenti već uvedeni, ali pokazuje kakve ovlasti organizacije namjeravaju nadzirati.

Kada agent može izvršiti radnju prije pojedinačnog ljudskog odobrenja, kasnije utvrđivanje pogreške može doći nakon što je ista radnja ponovljena. Zato je korisno razlikovati vlasnika poslovne odluke od osobe koja može tehnički prekinuti izvršavanje. Prvi procjenjuje učinak na klijenta ili proces i odlučuje o ispravku; druga mora moći ograničiti daljnje radnje bez čekanja da završi rasprava o odgovornosti.

Dodijeliti odgovornost za AI rizik upravi također nije isto što i imenovati donositelja odluke za pojedinačan incident. Postupak mora odrediti tko može potvrditi da je agent djelovao izvan dopuštenih granica, tko odobrava ponovno uključivanje i tko zamjenjuje te osobe kada nisu dostupne. Te uloge mogu pripadati različitim timovima, ali njihova se odluka mora moći povezati s konkretnim radnjama agenta.

Što ostaje nakon obavijesti upravi

U analizi ComplexDiscoveryja od 16. listopada navodi se da je među rukovoditeljima čiji je incident stigao do vodstva 43% opisalo formalno razmatranje, a 37% neformalno priopćavanje; objavljeni rezultati ne pokazuju kakav je zapis nastao nakon jednog ili drugog postupka. Neformalna obavijest može biti dokumentirana, ali iz tih odgovora nije moguće utvrditi kada je vodstvo saznalo za događaj ni koju je odluku donijelo.

Za rekonstrukciju pogreške potreban je povezan slijed: identitet agenta, njegova dopuštenja, podaci i sustavi kojima je pristupio, izvršene radnje, nastali rezultat te vrijeme upozorenja i eskalacije. Uz tehnički trag treba stajati odluka osobe koja je preuzela incident: je li rad zaustavljen, što je učinjeno s već izvršenim radnjama i pod kojim je uvjetima dopušten nastavak. Zapis o raspravi bez odluke i tehnički dnevnik bez imenovanog donositelja odluke ostavljaju različite dijelove iste praznine.

Incidentni postupak prije širenja agenata

Objavljeni rezultati ne propisuju jedinstven obrazac za svaku organizaciju. Za hrvatsku tvrtku koja agentu dopušta samostalne radnje sljedeće kontrole čine provjerljiv postupak vezan uz njegove stvarne ovlasti:

1. Prag eskalacije. Odrediti koje posljedice odmah prekidaju redovan rad i traže ljudsku odluku: primjerice pristup osjetljivim podacima, učinak na klijenta ili ponavljanje pogrešne radnje. Prag se veže uz ono što agent može učiniti, a ne samo uz tehničku oznaku pogreške.
2. Vlasnik odluke. Imenovati osobu koja procjenjuje poslovni učinak, osobu koja može tehnički zaustaviti agenta i njihove zamjene. Postupak treba odrediti tko odlučuje kada incident zahvaća više procesa ili kada se poslovna i tehnička procjena razlikuju.
3. Zapis radnji. Sačuvati ulazne podatke potrebne za rekonstrukciju, dopuštenja, slijed izvršenih radnji, rezultat, upozorenje i odluku o nastavku rada. Obavijest upravi treba biti povezana s tim slijedom kako se vrijeme i sadržaj odluke ne bi naknadno sastavljali iz sjećanja sudionika.
4. Prekid izvršavanja. Odrediti tko pokreće zaustavljanje, koje se radnje time prekidaju i kako se potvrđuje da agent više ne djeluje. Prije ponovnog uključivanja treba pregledati već izvršene radnje, utvrditi uzrok pogreške i zabilježiti tko je odobrio nastavak.
5. Provjera dobavljača. Ako agent radi na vanjskoj platformi, utvrditi tko čuva zapis, može li ga tvrtka pravodobno dobiti i tko stvarno može prekinuti izvršavanje. Ugovorena podjela odgovornosti malo pomaže u trenutku incidenta ako pristup zapisima ili ovlast za zaustavljanje ovise o neodređenoj naknadnoj intervenciji.

Te kontrole daju upravi mogućnost da odluči na temelju slijeda radnji i poznatih ovlasti, dok tim koji upravlja sustavom može odmah ograničiti daljnji učinak. Ako zapis ili mogućnost prekida ostanu isključivo kod dobavljača, brzina odgovora tvrtke ovisit će o tome koliko brzo on može postupiti.

Pročitajte i:

• Hrvatska je zabilježila 1.203 kibernetička incidenta — phishing prednjači
• DocuSign ili Acrobat Sign: broj omotnica mijenja skuplji izbor
• Javna uprava nosi 32% kibernetičkih incidenata koje je analizirao ENISA