Jaké pokuty hrozí za porušení AI Actu?

Kolik může pokuta činit a od čeho se odvíjí

AI Act rozlišuje tři úrovně sankcí podle závažnosti porušení. Čím blíže je prohřešek zakázaným praktikám, tím vyšší je maximální pokuta.

Nejpřísněji se trestá používání nebo uvádění na trh systémů umělé inteligence, které AI Act zcela zakazuje. Patří sem třeba sociální bodování občanů, manipulativní techniky ovlivňující rozhodování lidí bez jejich vědomí nebo nevýběrové sbírání biometrických dat z internetu a kamerových záznamů pro databáze obličejů. Za takové jednání hrozí pokuta až 35 milionů eur nebo 7 % celosvětového ročního obratu firmy za předchozí účetní období, podle toho, která částka je vyšší.

Druhá úroveň se týká porušení ostatních povinností stanovených AI Actem. Typicky jde o nesplnění požadavků na vysoce rizikové systémy, například AI používanou při náboru zaměstnanců, hodnocení úvěruschopnosti nebo ve zdravotnictví, dále o chybějící dokumentaci, nedostatečné řízení rizik nebo absenci lidského dohledu. Zde je strop 15 milionů eur nebo 3 % ročního obratu.

Nejnižší, ale stále citelná sankce hrozí za poskytnutí nesprávných, neúplných nebo zavádějících informací orgánům dozoru či notifikovaným osobám v rámci posuzování shody. Maximum činí 7,5 milionu eur nebo 1 % obratu.

Jak vysoké jsou pokuty AI Act ve srovnání s GDPR

Nejvyšší sazba podle AI Actu, tedy 7 % obratu, je vyšší než maximální sazba podle GDPR, která činí 4 % obratu nebo 20 milionů eur. Regulace umělé inteligence tedy v nejzávažnějších případech trestá přísněji než ochrana osobních údajů.

Struktura obou předpisů je podobná. Kombinují pevnou částku v eurech s procentem z obratu a uplatňuje se ta vyšší hodnota, což u velkých korporací fakticky znamená procentní sazbu. Menší firmy naopak většinou zaplatí pevnou částku, protože procento z jejich obratu by bylo nižší.

Rozdíl spočívá v tom, že AI Act zavádí u malých a středních podniků a startupů výjimku · u nich se použije nižší z obou částek, nikoli vyšší. Pro menší český vývojářský tým to znamená citelně mírnější dopad než pro nadnárodní korporaci se stejným typem porušení.

Modelový příklad: pražská firma vyvíjející AI nástroj pro screening životopisů, tedy vysoce rizikový systém, s obratem 20 milionů korun by v případě chybějící dokumentace o řízení rizik podléhala nižší z hodnot 15 milionů eur nebo 3 % obratu. Reálně by tak zaplatila jen zlomek horní hranice, na rozdíl od velkého technologického koncernu se stejným pochybením.

Kdo pokuty ukládá a co spouští kontrolu

Pokuty ukládají národní orgány dozoru nad trhem. V Česku bude touto rolí pověřen konkrétní úřad podle prováděcí legislativy. Kontrola se obvykle spustí na základě stížnosti, incidentu, například újmy způsobené vadným AI systémem, nebo namátkové kontroly u vysoce rizikových kategorií.

Typickým spouštěčem bývá stížnost dotčené osoby · uchazeče o zaměstnání odmítnutého algoritmem nebo klienta odmítnutého AI hodnocením bonity. Dalším impulzem může být mediální pozornost, nebo zjištění při auditu dodavatelského řetězce, kdy firma odhalí, že dodavatel AI komponenty nedodržuje požadavky, a věc nahlásí.

Jak se pokutám v praxi vyhnout

Nejúčinnější prevencí je klasifikace vlastních AI systémů podle rizikové kategorie AI Actu ještě před nasazením a nastavení odpovídajících procesů dřív, než se stanou předmětem kontroly. V auditech CIAD se ukazuje, že firmy nejčastěji podceňují právě tuto úvodní klasifikaci. Nasadí systém, aniž by vyhodnotily, do jaké kategorie spadá, a povinnosti pak řeší až zpětně pod tlakem.

Praktické kroky zahrnují:

1. Zmapovat všechny AI systémy používané ve firmě a zařadit je do rizikových kategorií, tedy zakázané, vysoce rizikové, s omezeným rizikem a minimální riziko.
2. U vysoce rizikových systémů vést dokumentaci, zajistit lidský dohled a testovat na zkreslení a chyby.
3. Školit zaměstnance, kteří s AI systémy pracují nebo je nasazují, o jejich povinnostech.
4. Sledovat dodavatele AI řešení a smluvně ošetřit, kdo odpovídá za soulad s regulací.
5. Určit interní odpovědnou osobu nebo tým pro AI governance, obdobně jako u GDPR pověřence pro ochranu osobních údajů.

Co to znamená: Výše pokuty se odvíjí od typu porušení, nikoli od velikosti firmy jako takové · zakázané praktiky trestá AI Act nejpřísněji bez ohledu na to, kdo se jich dopustí. Firmám se vyplatí investovat do klasifikace a dokumentace AI systémů předem, protože náklady na prevenci jsou nesrovnatelně nižší než potenciální sankce i reputační škoda.