Predstavljajmo si običajen delovni dan. Zaposleni ne morejo odpreti poslovnega programa, do dokumentov v oblaku ni dostopa, naročniki pa čakajo na odgovore. Drugje zaposleni v orodje umetne inteligence vnese pogodbo, da bi hitreje pripravil povzetek. Proizvajalec povezane naprave medtem izve za varnostno pomanjkljivost svojega izdelka. Vsi trije primeri zadevajo digitalna tveganja, vendar se pravne obveznosti razlikujejo.

Za podjetje je najprej pomembno ugotoviti, katera pravila veljajo zanj. Odgovor je odvisen od dejavnosti, velikosti, uporabljenih sistemov in tega, ali podjetje digitalne proizvode tudi razvija oziroma dobavlja na trg.

Tri predpise najlažje ločimo po tem, kaj urejajo:

• ZInfV-1 – varnost informacij in odzivanje na kibernetske nevarnosti pri zakonsko določenih organizacijah.
• Akt o umetni inteligenci – razvoj, trženje in uporabo sistemov umetne inteligence.
• Akt o kibernetski odpornosti – varnost digitalnih proizvodov ter naloge proizvajalcev, uvoznikov in distributerjev.

Isto podjetje lahko spada pod več teh ureditev. Proizvajalec povezane naprave mora denimo preveriti pravila za svoj proizvod, posebej svoj položaj po ZInfV-1 in še obveznosti glede umetne inteligence, če jo vključuje v napravo.

ZInfV-1 velja od 19. junija 2025. Datum 19. december 2026 pomeni iztek splošnega prehodnega roka za sprejetje ukrepov iz 21. in 22. člena za bistvene in pomembne subjekte, za katere velja prvi odstavek 62. člena, ne začetka veljavnosti zakona. Registracija in priglasitev pomembnih incidentov imata samostojne roke.