Kratak odgovor
MiCA, DORA, Akt o AI-u i NIS2 zasebno imaju smisla. Zajedno su fiksni trošak: banka ga plati jednom i nastavi dalje, a tvrtka s deset zaposlenika plaća ga iz cijelog svojeg proračuna. Rezultat je manje novih tvrtki u EU-u i više osnivača koji se registriraju drugdje, a nijedna država članica ne može sama promijeniti regulativu EU-a.
Živim od regulative EU-a. Klijenti nam dolaze jer su MiCA, pravila za sprječavanje pranja novca i ostatak europskog pravilnika previše složeni za samostalno rješavanje, a mi to rješavamo za njih. Stoga ovo nije pritužba nekoga tko gubi kada Bruxelles donese novi zakon. Ako išta, ja dobivam.
Ipak, gledajući što se posljednjih nekoliko godina sručilo na mala i srednja poduzeća (SMEs), mislim da Europa čini pogrešku. Nije riječ o jednom loše napisanom aktu. Riječ je o zbroju svih njih, brzini kojom se EU ispravlja i činjenici da račun dolazi tvrtkama koje ga najmanje mogu platiti. Naše stajalište o regulaciji AI-a posebno je izneseno u zasebnom tekstu; ovaj govori o obrascu kroz cijeli pravilnik.
Jedan sloj povrh drugoga
Evo što regulativa EU-a sada traži od europske tvrtke, ovisno o tome čime se bavi.
- GDPR za svakoga tko posjeduje osobne podatke.
- Akt o digitalnim uslugama i Akt o digitalnim tržištima za internetske platforme i tržišta.
- Akt o podacima za povezane uređaje i ugovore o oblaku.
- NIS2 i Akt o kibernetičkoj otpornosti za kibernetičku sigurnost i proizvode koji sadržavaju softver.
- MiCA za usluge povezane s kriptoimovinom.
- DORA za banke, platne i kriptotvrtke te IT dobavljače koji ih opslužuju.
- Akt o AI-u za svakoga tko razvija sustave AI-a ili ih koristi u svojem poslovanju.
- Nova AML uredba s nadzornikom na razini EU-a, AMLA.
- eIDAS 2.0 sa svojim novčanicima za digitalni identitet.
- Obveze izvješćivanja o prijenosima kriptoimovine (travel rule), poreznim podacima o kriptoimovini (DAC8), održivosti (CSRD) i lancima opskrbe (CSDDD).
Nijedno od toga nije neznatno. Svako ima vlastite definicije, obrasce, nadzorno tijelo i kazne. Fintech s dvanaest zaposlenika može istodobno potpadati pod pet ili šest njih.
Svaki je zakon opravdan. Gomila nije
Promatran zasebno, svaki od tih zakona odgovara na stvarno pitanje. Novac klijenata ne bi trebao nestati kada propadne kriptomjenjačnica, banka ne bi trebala prestati raditi zato što je njezin pružatelj usluga u oblaku imao lošu noć, a nitko ne želi da softver odlučuje tko dobiva kredit bez čovjeka koji može provjeriti rezultat. Raspravljajte protiv bilo kojeg od tih zakona zasebno i izgubit ćete, kako i treba.
Problem je zbroj, a problem je i sat. Komisija je predložila Akt o AI-u u travnju 2021., a EU ga je donio 2024. Njegova glavna pravila za visokorizični AI, poput sustava koji se koriste pri zapošljavanju, kreditnom bodovanju ili obrazovanju, trebala su se primjenjivati od 2. kolovoza 2026. U srpnju 2026., nekoliko tjedana prije tog datuma, EU je donio ispravak nazvan Digital Omnibus on AI. Pomaknuo je pravila na prosinac 2027., a na kolovoz 2028. za AI ugrađen u regulirane proizvode. Službeni razlog bio je taj što tehnički standardi i nacionalni nadzornici nisu bili spremni. Pet godina nakon prijedloga, mehanizam koji je trebao provoditi zakon nije postojao. Tvrtke koje su dvije godine provele pripremajući se za kolovoz pripremale su se za datum koji je pomaknut.
Tako sporost izgleda u praksi. Zakoni stižu. Ispravci stižu dvije ili tri godine nakon što svi mogu vidjeti problem, u obliku još jedne uredbe.
Zašto ista pravila više koštaju malo poduzeće
To je dio koji mi najviše smeta. Trošak usklađenosti jedva da ovisi o veličini tvrtke. Priručnik politika, registar IT dobavljača, postupak prijave incidenata, vanjska revizija, zahtjev za licencu: sve to košta približno jednako, bez obzira opslužujete li 50 klijenata ili 5 milijuna.
DORA je najjasniji primjer. U Deloitteovu istraživanju financijskih institucija iz 28 europskih zemalja, objavljenom u ožujku 2025., oko dvije trećine ispitanika očekivalo je potrošiti između 2 milijuna € i 5 milijuna € na usklađenost, a samo jedan od deset očekivao je ostati ispod 2 milijuna €. Velika banka to apsorbira. Platna institucija s dvadeset zaposlenika ne može, a za najmanje tvrtke račun za usklađenost može premašiti vrijednost tržišta EU-a za njih.
MiCA govori istu priču brojkama. Prije MiCA-e, prema industrijskim procjenama, više od tisuću tvrtki imalo je nacionalne registracije za kriptoimovinu u cijelom EU-u. Prijelazno razdoblje završilo je 1. srpnja 2026., a do listopada 2026. registar ESMA-e navodio je oko 370 ovlaštenih pružatelja. Neke od nestalih tvrtki zaslužile su otići. Mnoge druge bile su male, lokalne i zakonite, a otišle su jer MiCA licenca (CASP odobrenje) stoji šesteroznamenkasti iznos za savjetnike, kapital i vrijeme uprave koje burza s dva osnivača nema. Zasebno sam razmotrio što je MiCA učinila europskim kriptostart-upovima; ovdje je to jedan primjer šireg obrasca.
Veliki igrači rijetko se žale. Za dobro financiranog postojećeg igrača svaki novi akt predstavlja jarak: tim za usklađenost već postoji, odvjetnici su angažirani, a svako novo pravilo podiže cijenu ulaska za svakoga tko želi konkurirati. Regulativa napisana radi zaštite potrošača na kraju štiti tržišni udio.
Kamo odlaze osnivači
Start-upovi su mobilni na način na koji banke nisu. Osnivač s idejom i prijenosnim računalom uspoređuje zemlje kao što mi ostali uspoređujemo letove. Kada su Apple i Meta 2024. odlučili uskratiti nove funkcije AI-a korisnicima iz EU-a, pozivajući se na Akt o digitalnim tržištima i „nepredvidivo” regulatorno okruženje, naslovi su bili o dva diva. Tiši učinak pogodio je svakog europskog programera koji je želio graditi na tim modelima i sada je morao čekati ili se preseliti.
U mojem radu obrazac je manje dramatičan, ali jednako postojan. Pitanje koje osnivači postavljaju promijenilo se od „možemo li dobiti licencu u Estoniji” u „isplati li se europska licenca uopće u usporedbi s Dubaijem, Singapurom ili saveznom državom SAD-a”. Prije nekoliko godina to je drugo pitanje bilo rijetko. Danas je uobičajeno i ne mogu ih uvijek odgovoriti od toga.
Brojke govore isto. Studija Europske investicijske banke objavljena u siječnju 2026. utvrdila je da je između 2008. i 2021. gotovo 30% europskih jednoroga, start-upova procijenjenih na više od $1 milijarde, premjestilo svoja sjedišta izvan EU-a. Većina ih je otišla u Sjedinjene Američke Države, a predvodili su digitalna tehnologija, AI i biotehnologija. Mario Draghi rekao je ostalo u svom izvješću o europskoj konkurentnosti iz rujna 2024.: regulatorno opterećenje postavlja previše ograničenja inovacijama i otežava rast start-upova. Dvije godine poslije, prema podacima Draghi Observatoryja pri European Policy Innovation Councilu, potpuno je provedeno samo 16% mjera koje prati. Dijagnoza je prihvaćena. Liječenje je sporo.
Zašto Tallinn ne može popraviti ono što je Bruxelles napisao
Estonija je dobro mjesto za promatranje ovoga. Mala je, digitalna i općenito razumna prema poslovanju. U ovom je pitanju također gotovo nemoćna.
MiCA, DORA i Akt o AI-u uredbe su, a ne direktive. Direktiva postavlja cilj i dopušta svakoj zemlji da napiše vlastiti zakon; uredba se primjenjuje riječ po riječ u svakoj državi članici i nijedan parlament u Tallinnu, Vilniusu ili Lisabonu ne može ublažiti ni jedan članak. Nacionalni prostor djelovanja ide samo u jednom smjeru: zemlja uvijek može biti stroža od Bruxellesa, ali ne može biti blaža.
Stoga, kada mi osnivač kaže da bi Estonija trebala „jednostavno to popraviti”, moram objasniti da je rješenje u rukama 27 vlada, Komisije, Parlamenta i zakonodavnog ciklusa koji se mjeri godinama. Od početka 2025. Komisija je predstavila dvanaest paketa „omnibus”, od kojih svaki istodobno mijenja nekoliko zakona, i obećala smanjiti administrativno opterećenje za najmanje 25%, odnosno za 35% za SMEs, prije kraja svojeg mandata. Poslovna udruženja kažu da rezultat zasad nije ni blizu tim brojkama. Vjerujem im, jer čitam tekstove.
Europa smanjuje vlastiti rizik
Svatko tko je posljednjih nekoliko godina poslovao s bankom zna riječ de-risking. Klijent djeluje pomalo neuobičajeno, trošak njegova praćenja premašuje naknade koje plaća i račun se zatvara. Nema prijevare, nema kršenja, samo je riječ o jeftinijoj odluci banke. Klijent ide pronaći drugu banku, često u drugoj zemlji, a izvješće banke o riziku izgleda bolje nego prije.
Sve više mislim da Europska unija čini isto s cijelim sektorima. Kriptoimovina je izgledala rizično, pa je Europa izgradila MiCA-u i promatrala kako većina nacionalno registriranih tvrtki otpada. AI izgleda rizično, pa je Europa napisala prvi sveobuhvatni zakon o AI-u na svijetu prije nego što je imala industriju AI-a dovoljno veliku da uzvrati argumentima. Svaki put rizik se smanjuje, a svaki put aktivnost koja je nosila rizik smanjuje se zajedno s njime. U bilanci koja računa samo izbjegnute rizike, to je uspjeh. U onoj koja računa osnovane tvrtke i stvorena radna mjesta, nije.
Ispod toga postoji tiši mehanizam. Institucija čiji se rezultat mjeri uredbama proizvodit će uredbe. Svaki akt treba smjernice, tehničke standarde i Q&As, zatim nadzorno tijelo koje ih primjenjuje, a potom omnibus koji popravlja ono što su smjernice pokvarile. Svaki korak dodaje osoblje koje će biti potrebno za sljedeći akt. Nitko u tom lancu ne djeluje u lošoj vjeri. Proces jednostavno nema ugrađen razlog da stane, a nitko unutar njega ne plaća za start-up koji nikada nije osnovan.
Tri scenarija za europske start-upove
Da to konkretiziram, evo kamo smatram da ide start-up dio europskoga gospodarstva. Polazište dolazi od Dealrooma: u EU-u se svake godine osnuje približno 14.800 start-upova, njih oko 4.400 prikupi vanjsko financiranje, a EU je dom za oko 450 jednoroga. Europa u cjelini, uključujući UK, ostvarila je rekordnih 19% globalnog venture kapitala 2023. i 16% 2024., dok su Sjedinjene Američke Države ostvarile 57%.
Napomena o brojkama
Tri scenarija u nastavku moje su vlastite skice, a ne model predviđanja. Prikazuju smjer kretanja i približan red veličine tijekom razdoblja od pet godina, a svaku brojku treba čitati kao raspon, a ne kao predviđanje.
| Scenarij | Što se događa s pravilima | Financirani start-upovi godišnje u EU-u | Udio Europe u globalnom rizičnom kapitalu | Jednorozi koji sele svoje sjedište iz EU-a |
|---|---|---|---|---|
| Vjerojatno: pravilnik ostaje | Paketi omnibus smanjuju papirologiju, ali ne i opseg. Pravila Akta o AI-u za visok rizik primjenjuju se na nove datume, AML uredba dodaje sloj, a nijedan akt ne dobiva stvarni prag za male tvrtke. | Pada na oko 3.500–3.800 (pad od 15–20%) | Klizi prema 12–13% | Raste prema 35–40%, pri čemu se fintech, AI i kriptoosnivači registriraju izvan EU-a od prvoga dana |
| Nije najgore: Bruxelles isporučuje | Omnibus paketi malim tvrtkama daju stvarne pragove, EU Inc. je donesen i funkcionira, a standardi se objavljuju prije datuma primjene, a ne nakon njih. | Ostaje na oko 4.200–4.600 | Održava se na 15–16% | Ostaje blizu 30% |
| Da su akti od početka bili naklonjeni SMEs | Blaže obveze ispod praga broja zaposlenika ili prihoda, testna okruženja prije provedbe, jedno nadzorno tijelo po sektoru, datum isteka u svakom aktu. | Raste na oko 5.200–5.800 (porast od 20–30%) | Vraća se na 19–20%, prethodni vrhunac | Ispod 25% |
Zašto pad, a ne kolaps u prvom scenariju? Zato što pravilnik pogađa osnivače u trenutku odluke, a ne postojeće tvrtke. Banka u Frankfurtu ne odlazi zbog DORA-e. Start-up s tri osobe za AI u Tartuu jednostavno se umjesto toga registrira u Delawareu i zadržava programere kod kuće. EU gubi sjedište, poreznu osnovicu i izlaz, a neko vrijeme zadržava plaće.
A zašto treći scenarij nije fantazija? Zato što su njegove brojke blizu onima na kojima je Europa već bila u svojem najboljem razdoblju: udio od 19–20% globalnog rizičnog kapitala razina je dosegnuta prije nekoliko godina, prije nego što se počeo primjenjivati sadašnji sloj pravila. Pisanje regulative EU-a imajući na umu mala poduzeća ne bi Europu stajalo zaštite potrošača. Stajalo bi je nekoliko odlomaka u izradi propisa.
Argument za drugu stranu
Ne bih zaslužio da me se ozbiljno shvati kada bih se pretvarao da pravilnik nema prednosti, stoga evo ih. Jedna MiCA licenca omogućuje tvrtki da opslužuje klijente u svih 30 zemalja EU-a i EGP-a; prije nje kriptotvrtka je trebala 27 zasebnih razgovora s 27 regulatora. GDPR je postao globalni predložak za pravo privatnosti. Jedna AML uredba trebala bi, u teoriji, okončati situaciju u kojoj se klijent prihvaćen u jednoj državi članici odbija u sljedećoj. Usklađivanje je stvarno dobro i od njega imam koristi svaki dan.
Pošteni kompromis je sljedeći. Usklađivanje na europskoj razini plaća se brzinom i strukturom troškova koja najteže pogađa najmanje. Europa je odlučila, uglavnom po zadanim postavkama, da joj je draže sigurno tržište od brzoga. To je legitiman izbor. Samo mislim da bi ga trebalo donijeti otvoreno, s naznačenom cijenom, umjesto da se ona otkriva jedan omnibus po jedan.
Što bi Europa trebala učiniti umjesto toga
Moje stajalište nije da bi Europa trebala prestati regulirati. Ono je da bi Europa trebala prestati regulirati start-up s tri osobe kao da je banka. Mali tim ne može voditi odjel za usklađenost, a zakon koji to prešutno pretpostavlja nije sigurnosno pravilo, nego prepreka ulasku. Šest promjena uklonilo bi većinu štete, a nijedna nije radikalna: svaka već ima presedan negdje u pravu EU-a.
- Stvarni pragovi veličine, zapisani u aktu. Ispod vlastite definicije EU-a za malo poduzeće (manje od 50 zaposlenika i manje od 10 milijuna € prometa) teške se obveze uopće ne bi trebale primjenjivati ili bi se trebale primjenjivati u kratkom, fiksnom obliku. GDPR to već čini za vođenje evidencije prema članku 30(5), koji izuzima većinu organizacija s manje od 250 zaposlenika, a Komisija je 2025. predložila proširenje tog izuzeća. Ista logika pripada DORA-i, NIS2 i Aktu o AI-u.
- Standardi prije primjene zakona. Nijedna obveza ne bi trebala stupiti na snagu dok tehnički standardi ne postoje i barem jedno nadzorno tijelo u svakoj državi članici nije spremno primjenjivati ih. Odgoda Akta o AI-u dokazala je tu tvrdnju na teži način. Pravilo bi trebalo zapisati kako sljedećem aktu ne bi trebao omnibus da ga spasi.
- Najprije testna okruženja, potom provedba. Novi sektor trebao bi dobiti nadzirano razdoblje testiranja u kojem tvrtka može poslovati uz nadzor regulatora prije nego što se zahtijeva potpuno licenciranje. Akt o AI-u obećava takva testna okruženja, ali ona su odgođena do kolovoza 2027., nakon nekih obveza. Redoslijed bi trebao biti obrnut.
- Jedno nadzorno tijelo po tvrtki. Fintech s dvanaest ljudi danas može zasebno odgovarati financijskom nadzorniku, FIU-u, tijelu za zaštitu podataka i uskoro tijelu za AI. GDPR-ov sustav „one-stop-shop”, u kojem jedno vodeće tijelo vodi postupak za tvrtku, pokazuje model. Trebalo bi ga proširiti na cijeli pravilnik.
- Datum isteka u svakom aktu. Ako uredba prestaje važiti osim ako se ponovno ne potvrdi nakon stvarnog pregleda njezinih troškova, ispravak postaje obvezan, a ne politička usluga. Omnibus postaje pravilo, a ne spašavanje.
- Brojite tvrtku koja nikada nije osnovana. Svaka procjena učinka EU-a mjeri trošak za postojeća poduzeća. Nijedna ne mjeri start-upove koji su umjesto toga odabrali Delaware, Dubai ili Singapur. Dok taj broj ne bude na stolu, ljudi koji izrađuju sljedeći akt nastavit će podcjenjivati njegov trošak.
Ništa od ovoga ne znači kopiranje Sjedinjenih Država, koje još nemaju sveobuhvatan savezni zakon o AI-u i imaju samo mozaik državnih pravila, ili UK-a, koji je dosad odlučio ne donijeti jedinstveni akt o AI-u i umjesto toga traži od postojećih regulatora da primjenjuju skup načela. To znači priznati da su to mjesta s kojima europski osnivač sada uspoređuje Europu. Dodajte EU Inc., jedinstveni europski oblik društva predložen u ožujku 2026., s registracijom za manje od 48 sati, za manje od 100 € i bez minimalnog kapitala, kako Komisija obećava, i Europa bi imala ponudu koju mali tim doista može prihvatiti.
Što kažem osnivačima
Moj savjet osnivačima postao je dosadno praktičan. Troškove usklađenosti tretirajte kao stavku u trošku prodane robe, a ne kao jednokratnu pravnu naknadu. Državu EU-a odaberite prema kvaliteti regulatora i brzini njezina registra, jer će sama pravila svugdje biti ista. Prijelazna razdoblja i omnibus odgode koristite kao vrijeme za izgradnju, a ne kao dopuštenje za ignoriranje zakona; pravila Akta o AI-u za visok rizik odgođena su, a ne otkazana. A ako Vaš poslovni model funkcionira samo izvan pravilnika EU-a, priznajte to rano, prije zahtjeva za licencu, a ne nakon njega.
Osnivanje društva u Europi unatoč pravilniku
Europa je i dalje dobro mjesto za vođenje tvrtke i to klijentima govorim svaki tjedan. Svrha ovog teksta nije nikoga odvratiti od Estonije ili EU-a. Njime želim reći da je regulativa EU-a stvaran trošak i da ga treba uračunati od prvoga dana. Pravilna struktura, pravilan put do licence i pravilna zemlja unutar EU-a sada čine veću razliku nego prije pet godina. Ako odvagujete te izbore za novu ili postojeću tvrtku, naš tim u Eesti Firma može Vas provesti kroz to što će pravila stvarno značiti za Vaš slučaj, od osnivanja društva do licenciranja.
