Kako odabrati agenciju za razvoj softvera i AI u Hrvatskoj: 12 pitanja

Agenciju za razvoj softvera ili AI odaberite po tome koliko konkretne pisane odgovore daje na pitanja o vlasništvu nad kodom i računima, podacima, opsegu, cijeni, primopredaji i održavanju, a ne po prezentaciji ili najnižoj ponudi. Dobar izvođač na svako od dvanaest pitanja u nastavku odgovara tako da se odgovor može upisati u ugovor i provjeriti kod njegovih klijenata.

Ovo je praktični vodič, a ne pravni savjet: ugovor prije potpisa neka pregleda pravnik.

Samostalni programer, studio, veća agencija ili vlastiti tim?

Nijedan oblik izvođača nije bolji sam po sebi; razlikuju se po tome koliko rizika ostaje na vama.

Dvanaest pitanja za agenciju i kako izgleda dobar odgovor

1. Tko je vlasnik izvornog koda, podataka i računa?

Zašto je važno: Prema Zakonu o autorskom pravu i srodnim pravima sva isključiva prava iskorištavanja računalnog programa koji je zaposlenik napisao izvršavajući obveze iz ugovora o radu ima poslodavac, osim ako je ugovorom o radu drukčije određeno (članak 100. stavak 6.). Kod agencije je to agencija, pa koja prava stječete vi, ovisi o ugovoru. Slično je s računima: Apple u App Storeu kao prodavatelja prikazuje naziv organizacije čiji je račun.

Dobar odgovor: ugovor izričito kaže da stječete isključiva prava iskorištavanja i prerade softvera izrađenog za vas, bez sadržajnog, vremenskog i prostornog ograničenja, a za agencijine dijelove koji se koriste i u drugim projektima trajnu licenciju. Kod je u repozitoriju (spremištu koda) kojem imate pristup, komponente otvorenog koda navedene su s licencijama, a podatke možete izvesti u svakom trenutku. Domena, račun u oblaku, repozitorij i računi u trgovinama aplikacija glase na vašu tvrtku, a agencija dobiva korisnički pristup. Kod .hr domene vaša je tvrtka korisnik domene, a agencija najviše tehnička osoba. Apple i Google Play za račun organizacije traže D-U-N-S broj.

2. Gdje će sustav raditi i tko obrađuje podatke?

Zašto je važno: Izvršitelj obrade je onaj tko osobne podatke obrađuje u vaše ime, primjerice agencija koja održava aplikaciju s podacima kupaca. Opća uredba o zaštiti podataka (GDPR) tada traži pisani ugovor koji ga, među ostalim, obvezuje da radi samo prema vašim zabilježenim uputama i da drugog izvršitelja angažira samo uz vaše prethodno pisano odobrenje (članak 28.). Prijenos osobnih podataka izvan Europskog gospodarskog prostora (EGP) traži osnovu iz poglavlja V., primjerice odluku Europske komisije o primjerenosti (članak 45.) ili standardne klauzule o zaštiti podataka (članak 46.).

Dobar odgovor: popis poslužitelja i pružatelja usluga, primjerice za oblak, e-poštu i AI model, s državom obrade, nacrt ugovora o obradi podataka uz ponudu i pravna osnova za svaki prijenos izvan EGP-a.

3. Koje reference možemo nazvati?

Zašto je važno: Prezentacija pokazuje ono što agencija želi da vidite, a bivši klijent zna kako se ponašala kad je zapelo.

Dobar odgovor: dvije ili tri osobe sa sličnih projekata s kojima smijete razgovarati bez agencije i sustav koji i danas radi. Pitajte jesu li rok i proračun poštovani, kako su rješavane izmjene i bi li ponovno radili s istim ljudima. Mlada tvrtka ne mora imati mnogo referenci; tada pogledajte njezine proizvode u radu ili počnite manjom plaćenom fazom. Osnovne podatke o tvrtki, pa i je li u stečaju ili likvidaciji, provjerite u sudskom registru.

4. Tko točno radi na projektu?

Zašto je važno: Ugovor potpisujete s tvrtkom, a posao rade ljudi. Za ugovor o djelu, kojim se izvođač obvezuje obaviti određeni posao, a naručitelj platiti naknadu, Zakon o obveznim odnosima (ZOO) kaže da izvođač nije dužan posao obaviti osobno ako iz ugovora ili naravi posla ne proizlazi drukčije, ali za njega i dalje odgovara (članci 590. i 600.).

Dobar odgovor: imena i uloge ljudi koji će raditi, stalna osoba za kontakt, popis podizvođača i pravilo za slučaj odlaska ključnih ljudi. Podizvođača koji dolazi do osobnih podataka agencija smije angažirati samo uz vaše prethodno pisano odobrenje (članak 28. stavak 2. GDPR-a).

5. Kako se određuju opseg, izmjene i procjene?

Zašto je važno: Naručitelj i izvođač lako različito razumiju što je ugovoreno, a svaka izmjena mijenja rok i trošak. Prema ZOO-u izvođač ne odgovara za zakašnjenje nastalo zato što je naručitelj tražio izmjene (članak 597. stavak 3.).

Dobar odgovor: pisani opseg s popisom onoga što nije uključeno, procjena s navedenim pretpostavkama, plan po fazama i postupak izmjena: svaki zahtjev dobiva procjenu utjecaja na rok i trošak, a radi se tek nakon vašeg pisanog odobrenja.

6. Fiksna cijena ili plaćanje po utrošenom vremenu?

Zašto je važno: Kod fiksne cijene iznos za dogovoreni opseg poznat je unaprijed, a kod plaćanja po utrošenom vremenu plaćate stvarno utrošene sate. Fiksna cijena odgovara jasnom i stabilnom opsegu, ali uključuje rezervu za rizik, a svaka izmjena postaje nova ponuda. Plaćanje po vremenu bolje podnosi promjene, ali konačni trošak nije unaprijed poznat.

ZOO razlikuje proračun s izričitim jamstvom izvođača za njegovu točnost, uz koji izvođač ne može tražiti povećanje naknade ni kad je uložio više rada, i proračun bez jamstva, uz koji vas mora bez odgađanja obavijestiti čim prekoračenje postane neizbježno, inače gubi pravo na povećane troškove (članak 614.).

Dobar odgovor: model i razlog za njega, je li procjena s jamstvom i kako se javlja prekoračenje, a kod plaćanja po vremenu i gornja granica po fazi. Moguća je i kombinacija: fiksna cijena za prvu fazu, zatim rad po vremenu s ograničenjem.

7. Kako ćemo pratiti napredak?

Zašto je važno: Ako napredak vidite tek na kraju, pogrešno shvaćen zahtjev otkrijete kad ga je najskuplje ispraviti. ZOO naručitelju daje pravo nadzora nad obavljanjem posla i davanja uputa kad to odgovara naravi posla, a izvođač mu to mora omogućiti (članak 593.).

Dobar odgovor: redoviti prikazi radne verzije, koju i sami isprobavate u testnom okruženju, a ne samo slike zaslona, te pristup popisu zadataka i repozitoriju. Kod nas, primjerice, klijenti napredak prate u klijentskom portalu, a prva radna verzija obično je gotova za 4–8 tjedana.

8. Kako izgledaju testiranje i primopredaja?

Zašto je važno: Prema ZOO-u izvršeno djelo trebate pregledati čim je to moguće i o nedostacima bez odgađanja obavijestiti izvođača. Ako se bez opravdanog razloga ne odazovete na poziv da pregledate i primite rad, smatra se da je primljen, a nakon primanja izvođač više ne odgovara za nedostatke vidljive uobičajenim pregledom, osim ako je za njih znao, a nije vam ih pokazao (članak 604.).

Dobar odgovor: kriteriji prihvaćanja zapisani prije razvoja, automatski testovi i pregled koda unutar tima, testno okruženje s podacima nalik stvarnima, rok za vaše testiranje i jamstveni rok u kojem se pogreške otklanjaju bez naplate.

9. Koje sigurnosne mjere ugrađujete?

Zašto je važno: GDPR od vas i izvršitelja obrade traži odgovarajuće mjere, prema potrebi i enkripciju, sposobnost pravodobne ponovne uspostave dostupnosti podataka nakon incidenta i redovito testiranje učinkovitosti mjera (članak 32.). Izvršitelj vas o povredi osobnih podataka mora obavijestiti bez nepotrebnog odgađanja, a vi povredu koja može ugroziti prava pojedinaca prijavljujete Agenciji za zaštitu osobnih podataka (AZOP), kad je izvedivo, najkasnije 72 sata nakon saznanja (članak 33.).

Dobar odgovor: dvofaktorska prijava za administratore, prava pristupa po ulogama, enkripcija u prijenosu i pohrani, sigurnosne kopije s provjerenim vraćanjem, redovita ažuriranja, odvojeno testno i radno okruženje, zapis važnih radnji i provjera prema OWASP-ovu popisu najkritičnijih sigurnosnih rizika za web aplikacije.

10. Kako izgledaju održavanje i vrijeme odziva nakon puštanja u rad?

Zašto je važno: Softver nakon puštanja u rad traži ažuriranja, sigurnosne zakrpe i prilagodbe kad se promijene sustavi na koje je spojen. Bez dogovorenih rokova svaki kvar postaje pregovor.

Dobar odgovor: pisani ugovor o razini usluge (SLA) s razinama ozbiljnosti kvara te vremenom odziva i otklanjanja za svaku, radnim vremenom podrške, kanalom za prijavu, nadzorom rada aplikacije i popisom onoga što održavanje uključuje, a što je dorada.

11. Što se događa kad suradnja završi?

Zašto je važno: Možda ćete jednom promijeniti izvođača, preuzeti razvoj u svoj tim ili ugasiti sustav, a ako je sve vezano uz agenciju, prelazak je skup i spor.

Dobar odgovor: obveza predaje izvornog koda s poviješću izmjena, dokumentacije (arhitektura, postavljanje, konfiguracija, integracije), svih pristupa i podataka u otvorenim formatima, uz pomoć pri prelasku. Ugovor o obradi mora odrediti da izvršitelj po vašem izboru briše ili vraća sve osobne podatke nakon završetka usluge (članak 28. stavak 3. točka (g) GDPR-a).

12. Za AI projekte: koji model, gdje radi, kako se hvataju pogreške i tko je dobavljač?

Zašto je važno: Jezični modeli mogu dati netočne, nepotpune, zastarjele ili izmišljene informacije, pa AZOP u preporuci za sigurno korištenje velikih jezičnih modela savjetuje kritičku provjeru rezultata te provjeru lokacije obrade, rokova čuvanja i korištenja podataka za treniranje modela.

Akt o umjetnoj inteligenciji obveze dijeli po ulogama koje definira članak 3.: dobavljač razvija AI sustav ili ga daje razviti i stavlja ga na tržište ili u upotrebu pod svojim imenom ili žigom, a subjekt koji uvodi sustav upotrebljava ga u okviru svoje nadležnosti. Ako vam agencija izradi sustav koji koristite pod svojim imenom, dobavljač možete biti vi; kod gotovog proizvoda koji agencija prodaje pod svojim imenom dobavljač je ona. Od 2. kolovoza 2026. dobavljač chatbota ili glasovnog agenta mora osigurati da ljudi najkasnije pri prvoj interakciji budu obaviješteni da razgovaraju s AI sustavom, osim ako je to očito (članci 50. i 113.).

Dobar odgovor: naziv modela i pružatelja, država obrade, pisana potvrda koriste li se vaši podaci za treniranje, skup stvarnih pitanja s točnim odgovorima za provjeru prije puštanja u rad i nakon svake promjene modela, ljudska provjera radnji s posljedicama i pisano podijeljene uloge prema Aktu.

Kako usporediti ponude u četiri koraka

1. Opišite problem, a ne rješenje: što ne radi, tko će sustav koristiti i s čime se mora povezati. Isti opis pošaljite svima.
2. Razgovarajte s dvije ili tri agencije i tražite pisane odgovore na dvanaest pitanja.
3. Usporedite pretpostavke, a ne samo iznose: niža ponuda može značiti uži opseg.
4. Počnite manjom prvom fazom i o nastavku odlučite kad vidite kako izvođač radi.

Kratki popis za ugovor

Prije potpisa provjerite piše li u ugovoru ili prilozima:

• opseg, isključenja, pretpostavke, plan po fazama i postupak izmjena;
• model cijene, jamstvo za procjenu i javljanje prekoračenja;
• prava koja stječete na softver, predaja izvornog koda i popis tuđih komponenti s licencijama;
• domena, oblak, repozitorij i trgovine aplikacija na ime vaše tvrtke;
• ugovor o obradi podataka s popisom drugih izvršitelja obrade i država obrade;
• ključni ljudi i pravila za podizvođače;
• kriteriji prihvaćanja, rok za testiranje i jamstveni rok;
• razine ozbiljnosti kvara te vrijeme odziva i otklanjanja;
• predaja koda, dokumentacije, pristupa i podataka na kraju suradnje;
• za AI projekte: model, država obrade, treniranje na vašim podacima i uloge prema Aktu.

Ako razgovarate i s nama, prvi je razgovor besplatan: prolazimo kroz to što treba riješiti, s kojim se programima softver mora povezati i što napraviti prvo. Nakon njega dobivate pisani opseg, procjenu troška i plan po fazama, a nakon puštanja u rad i održavanje. Na pitanja iz ovog vodiča odgovaramo pisano, kao što to trebate tražiti od svakog izvođača. Kako radimo, opisano je na stranici razvoj softvera po mjeri, a što smo izgradili, na stranici reference i vlastiti proizvodi.