Subdodavatelé AI: jak sestavit mapu odpovědných kontaktů

Co do mapy odpovědných kontaktů patří

Mapu veďte jako provozní přehled toho, kdo v řetězci co fakticky dodává, upravuje a provozuje. Rozdělte řešení alespoň na čtyři vrstvy: podkladový model, konkrétní aplikaci, integraci do procesů firmy a běžný provoz s podporou. Podle potřeby evidujte také data a úložiště jako samostatnou vrstvu. U každé části uveďte obchodní označení dodavatele, jméno a funkci odpovědného kontaktu, jeho pravomoc a způsob dosažitelnosti.

Zaznamenejte, zda kontakt může potvrdit změnu, zastavit provoz, poskytnout záznam nebo zajistit nápravu. Pokud některou pravomoc nemá, napište, kdo ji má nebo jak se věc eskaluje. Obecný kontaktní e-mail bez uvedené role sám o sobě neukazuje, kdo může jednat.

Mapa není právní kvalifikací jednotlivých subjektů. Označení použité dodavatelem u jedné vrstvy automaticky nepřenášejte na navazující část řetězce. Základní orientaci poskytuje přehled co je AI Act; mapa řeší pracovní evidenci a nenahrazuje odborné posouzení konkrétního systému. Udržujte ji jako živý dokument s datem poslední kontroly, jménem správce a odkazy na související podklady.

Určete osobu ve firmě, která mapu kontroluje a schvaluje pro zamýšlené použití. Zapište rozsah schválení i případná omezení, aby bylo zřejmé, pro kterou verzi systému a které provozní části se vztahuje. Tento pracovní artefakt je návrh CIAD, nikoli závazný úřední formulář.

Postup sestavení mapy v pěti krocích

1. Sepište vstupy. Zahrňte prvky od modelu přes aplikaci až po napojení na CRM, telefonii, úložiště a monitoring, pokud jsou součástí řešení. U každého prvku zaznamenejte dodavatele a dostupné označení verze. Pokud verzi neznáte, uveďte, že údaj chybí, místo odhadu.
2. Popište faktickou činnost. Uveďte, co dodavatel nebo interní tým skutečně dělá: dodává základ, upravuje chování, napojuje data, spravuje přístupy, zajišťuje dohled nebo podporuje uživatele. Oddělte činnost od obchodního názvu služby.
3. Určete kontakt a pravomoc. Zapište jméno, funkci a dostupné kontaktní údaje. Popište, o čem může daná osoba rozhodnout a co musí předat dál. Pokud je jediným uvedeným kontaktem obecná adresa, označte konkrétní odpovědnost za doplnění.
4. Zachyťte předávání a hranice péče. Popište, co daná vrstva přebírá, co předává a co podle dostupných podkladů nezajišťuje. Zahrňte relevantní informace o datech, logování, testování po změně a hlášení chyb. Přehled povinností firmy, která AI používá může posloužit jako související orientace, nenahrazuje však posouzení konkrétního případu.
5. Připojte podklady a zaznamenejte kontrolu. U každé vrstvy uveďte dostupnou smluvní přílohu, technický popis, záznam o testu nebo jiný relevantní dokument. Připište datum kontroly a osobu, která ji provedla. Aktualizaci zvažte při změně modelu, aplikace, integrace, přístupů nebo podpory a při pravidelné provozní revizi.

Pracovní podklad slouží k přípravě odborného posouzení; sám neurčuje povinnosti bez posouzení konkrétního systému. Informace Evropské komise o AI Act zde slouží pouze jako orientační zdroj k přípravě podkladů.

Tabulka záznamu pro řetězec subdodavatelů

Použijte jeden řádek pro každou vrstvu. Pokud údaj není známý nebo se na vrstvu nevztahuje, uveďte to výslovně a případně popište, kdo jej ověří. Rozlišujte doložené informace od předpokladů.

Všechny vyplněné údaje v následující tabulce jsou syntetické ukázky pro nácvik, nikoli doložené údaje skutečné organizace.

Pokud některá vrstva není zajištěna nebo kontakt není určen, označte tento stav a doplňte náhradní postup či úkol k ověření. Nenechávejte prázdné pole bez vysvětlení. Informace o gramotnosti v AI mohou souviset s přípravou obsluhy; samy o sobě nejsou důkazem o rozsahu činností dodavatele ani o úplnosti mapy.

Modelový syntetický příklad s rozborem

Modelový syntetický příklad: Všechna jména, označení firem, verze, data a další údaje v této ukázce jsou fiktivní a slouží pouze k nácviku vyplnění mapy.

Fiktivní firma Prodejna CZ používá přepis hovorů s návrhem odpovědi pro obsluhu. Vrstvu modelu dodává firma M, aplikaci s filtry firma A, napojení na CRM firma I a provoz zajišťuje interní tým P. Při interní kontrole správce mapy zjistí, že podle dostupných podkladů firma A změnila filtr, ale změna není zanesena v evidenci. Současně mapa neukazuje, zda firma I zaznamenává identifikátory volání do logu.

Rozbor: U aplikace chybí podklad k ověření změny filtru. Správce mapy proto požádá kontakt P. Horáka o seznam změn a dostupný výsledek kontroly. U integrace není doloženo, jak lze propojit návrh odpovědi s konkrétním voláním. Kontakt L. Malá má upřesnit, jaké záznamy se vedou a jaké informace v nich jsou. Do vyjasnění označí správce obě položky jako neověřené a zaznamená, že návrhy kontroluje obsluha. Jde o pracovní postup v rámci tohoto fiktivního příkladu, nikoli o automatické rozhodnutí o právní odpovědnosti. Mapa pouze ukazuje, kde chybí podklad k dalšímu posouzení; neurčuje, kdo odpovídá za chybu AI.

Rozhodovací kritéria pro vrácení mapy k doplnění

Mapu vraťte k dopracování, pokud se vyskytne některý z následujících nedostatků. Zapište konkrétní chybějící údaj, osobu pověřenou jeho ověřením a termín interní kontroly.

• Chybí odpovědný kontakt s popsanou pravomocí jednat, případně je uveden pouze obecný e-mail bez vysvětlení, kdo na zprávy navazuje.
• U některé vrstvy není popsáno, co přebírá a předává, takže nelze z mapy sledovat návaznost modelu, aplikace, integrace a provozu.
• Rozsah péče vychází pouze z obchodního označení a není propojen s konkrétním dostupným podkladem, například verzí, protokolem nebo záznamem o testu.
• Označení použitá dodavatelem byla bez ověření přenesena na jinou vrstvu, přestože její faktická činnost nemusí být stejná.
• Mapa neodpovídá poslední známé změně systému nebo není jasné, zda se změna promítla do provozních záznamů.
• Není uvedeno, kdo mapu ve firmě kontroloval, jaký rozsah kontrola zahrnovala nebo ke kterému stavu systému se vztahovala.

Po doplnění údajů zaznamenejte, kdo změny zkontroloval a jaké podklady měl k dispozici. Stav mapy označte přesně podle provedené kontroly, například jako pracovní verzi čekající na odborné posouzení. Samotné vyplnění tabulky ani interní schválení nepotvrzuje právní kvalifikaci dodavatelů nebo splnění konkrétních povinností.