Co je AI Act: rizikové kategorie a povinnosti firem

Co přesně AI Act reguluje

Evropská unie tímto nařízením poprvé komplexně a závazně právně vymezila, co smí a nesmí umělá inteligence v praxi dělat. Nejde o sektorový předpis pro jedno odvětví · AI Act platí horizontálně napříč všemi oblastmi, kde se AI systémy nasazují: od zdravotnictví přes personalistiku a vzdělávání až po veřejnou správu. Nařízení vstoupilo v platnost v srpnu 2024 a povinnosti se zavádějí postupně podle míry rizika daného systému, přičemž nejpřísnější kategorie dostaly nejkratší lhůty.

Čtyři kategorie rizika: od zákazu po volnost

Celé nařízení stojí na klasifikaci AI systémů do čtyř pásem. Systémy s nepřijatelným rizikem jsou zakázány · patří sem sociální skórování občanů státními orgány nebo manipulativní AI zneužívající podvědomých slabostí uživatelů. Vysokoriziková AI podléhá nejpřísnějším požadavkům; nařízení sem řadí systémy používané při přijímání zaměstnanců, hodnocení žadatelů o úvěr, triáži pacientů nebo rozhodování o vzdělávacích příležitostech. Systémy s omezeným rizikem · třeba chatboty · musejí plnit zejména požadavky na transparentnost: uživatel musí vědět, že komunikuje se strojem, ne s člověkem. Čtvrtá kategorie s minimálním rizikem nemá žádné zvláštní povinnosti · typicky jde o filtry spamu nebo jednoduché doporučovací algoritmy.

Poskytovatel nebo provozovatel · zásadní rozdíl

AI Act rozlišuje dvě hlavní role a jejich záměna může mít reálné právní dopady. Poskytovatel je subjekt, který AI systém vyvíjí nebo ho uvádí na trh EU · nejčastěji softwarová firma, technologická korporace s vlastním vývojem nebo zahraniční vendor nabízející produkt v unii. Provozovatel naproti tomu AI systém nasazuje a provozuje ve vlastní organizaci nebo jej začleňuje do služby poskytované třetím stranám; kód sám nemusí napsat ani řádku. Povinnosti se přitom liší: poskytovatelé řeší technickou dokumentaci, posouzení shody a označení; provozovatelé především interní řízení rizik, kontinuální monitoring a transparentnost vůči koncovým uživatelům.

Koho se to reálně týká v ČR

Dopad je širší, než mnohé organizace čekají. Modelový příklad: středně velká personální agentura nasadí komerční HR software s algoritmem předřazujícím životopisy kandidátů. V tu chvíli se z ní stává provozovatel vysoce rizikového AI systému · bez ohledu na to, kdo software vyvinul a dodal. Musí vést záznamy o použití, provést posouzení dopadu na základní práva a zajistit dohled kompetentní osoby nad výstupy systému. Totéž platí pro banky hodnotící bonitu klientů, nemocnice s automatizovanou triáží nebo školy klasifikující výkon žáků. Veřejnoprávní subjekty i soukromé firmy se mohou ocitnout v plně regulovaném prostoru dříve, než si uvědomí, jaký systém vlastně provozují.

Co to znamená: Každá organizace v ČR, která AI systém nasazuje nebo jej plánuje zavést, by měla začít inventurou: jaké systémy používám, do které kategorie rizika spadají a jakou roli v celém řetězci hraji · poskytovatele, nebo provozovatele? Odpověď na tyto otázky přímo určuje rozsah povinností. Analýzu souladu (gap analysis) mezi aktuálním stavem a požadavky nařízení lze provést interně, nebo s pomocí externího poradce. CIAD ji provádí jako součást komplexních auditů kybernetické bezpečnosti a compliance · včetně kategorizace konkrétních AI nástrojů používaných v organizaci.