Vzťahuje sa akt EÚ o AI na vašu firmu? Povinnosti jednoducho

Väčšina príručiek k aktu EÚ o AI je napísaná pre spoločnosti, ktoré AI vytvárajú. Táto je aj pre všetkých ostatných: internetový obchod s chatbotom, agentúru pripravujúcu texty s ChatGPT, softvérovú spoločnosť pridávajúcu funkciu AI či podnik mimo EÚ predávajúci európskym zákazníkom. Hlavný dátum uplatňovania nariadenia už uplynul a po neskorej zmene sa situácia ustálila. Tu je, čo akt o umelej inteligencii skutočne vyžaduje od bežného podniku.

Čo je akt o umelej inteligencii a prečo je dôležitý

Akt o AI, formálne nariadenie (EÚ) 2024/1689, je prvým komplexným právnym predpisom o AI na svete (jeho aktuálne konsolidované znenie je na EUR-Lex). Ako nariadenie EÚ sa uplatňuje priamo v každom členskom štáte bez potreby vnútroštátnej transpozície. Nariadenie o AI je založené na rizikovom prístupe: čím väčší môže byť vplyv systému AI na bezpečnosť alebo základné práva ľudí, tým prísnejšie sú povinnosti tých, ktorí ho vyvíjajú a používajú.

Digitálny omnibus o AI (nariadenie (EÚ) 2026/1744) zmenil akt krátko pred jeho hlavným dátumom uplatňovania. Odložil lehoty pre vysokorizikové systémy, pridal dva nové zakázané postupy, zúžil časť definície vysokého rizika a znížil administratívnu záťaž menších spoločností. Štruktúra, štyri úrovne rizika a povinnosti podľa úlohy sa nezmenili.

Na koho sa vzťahuje akt EÚ o AI? Kontrola v štyroch otázkach

1. Je nástroj „systémom AI“? Algoritmus založený na pravidlách s pevnými krokmi definovanými človekom nie je. Rozhodujúcim znakom je inferencia: systém z dát vytvára predpovede, odporúčania, rozhodnutia alebo obsah spôsobmi, ktoré nie sú výslovne naprogramované. Chatboty, generatívne nástroje, hodnotiace a odporúčacie systémy sem patria; vzorec v tabuľkovom procesore nie.

2. Používa sa profesionálne? Súkromné neprofesionálne používanie je mimo rozsahu pôsobnosti. Len čo zamestnanec použije nástroj v mene spoločnosti, spoločnosť patrí do rozsahu pôsobnosti.

3. Týka sa EÚ? Akt sa uplatňuje, ak je systém AI uvedený na trh EÚ, používaný v EÚ alebo sa jeho výstupy používajú v EÚ. Spoločnosť mimo Únie, ktorá obsluhuje zákazníkov v EÚ, je zahrnutá. Pre malé podniky ani startupy neexistuje výnimka; povinnosti podľa aktu o AI sa odvíjajú od rizika, nie od počtu zamestnancov.

4. Vytvorili ste ho alebo ho používate? To určuje vašu úlohu a vaša úloha určuje vaše povinnosti.

Väčšina podnikov je podľa aktu o AI nasadzovateľom. Používanie ChatGPT, Copilotu alebo chatbota dodávateľa z vás nerobí poskytovateľa, ale nasadzovateľa s nižšie uvedenými povinnosťami áno. Poskytovateľom sa môžete stať aj bez úmyslu: ak systém podstatne upravíte, integrujete ho do vlastného produktu alebo ho uvádzate na trh pod vlastnou značkou.

Pre spoločnosti mimo EÚ platí ešte jedno pravidlo: poskytovateľ mimo EÚ musí pred sprístupnením vysokorizikového systému AI alebo univerzálneho modelu AI v Únii vymenovať splnomocneného zástupcu usadeného v Únii (modely s otvoreným zdrojovým kódom bez systémového rizika sú vyňaté).

Kategórie rizika podľa aktu o AI: štyri úrovne

Európska komisia pri príprave právneho predpisu odhadla, že približne 85 % systémov AI patrí do kategórie minimálneho rizika. Pre väčšinu spoločností v službách, softvéri a elektronickom obchode sú v praxi dôležité len prvý a tretí riadok.

Harmonogram aktu EÚ o AI: čo platí teraz a čo bolo odložené

Požiadavky aktu EÚ o AI, ktorým dnes čelí väčšina podnikov

1. Nepoužívajte zakázané postupy AI

Overte si, že žiadny nástroj vo vašej spoločnosti nepatrí do zakázanej kategórie. Najreálnejšou pascou pre bežný podnik je rozpoznávanie emócií zamestnancov alebo zákazníkov či biometrická kategorizácia, ktorá vyvodzuje citlivé vlastnosti, napríklad etnický pôvod alebo politické názory. Komisia zverejnila usmernenia k zakázaným postupom pre hraničné prípady.

2. Podporujte gramotnosť v oblasti AI a áno, vytvorte politiku AI

Poskytovatelia a nasadzovatelia musia prijať opatrenia podporujúce gramotnosť v oblasti AI u ľudí, ktorí AI prevádzkujú alebo používajú v ich mene. Omnibus zjemnil znenie: už nemusíte garantovať konkrétnu úroveň kompetencie každej osoby, stále však musíte konať. Akt doslovne nehovorí „prijmite politiku AI“, no krátka interná politika používania AI, zdokumentované školenie a záznam o tom, kto ho absolvoval, sú najjednoduchším spôsobom preukázania súladu. Keďže povinnosť platí aj pre interné používanie, zasiahne aj spoločnosti, ktorých AI nikdy neprichádza do kontaktu so zákazníkom.

3. Informovanie pri chatbotoch: povedzte ľuďom, že hovoria so strojom

Podľa povinností transparentnosti musí systém AI, ktorý priamo komunikuje s ľuďmi, napríklad chatbot alebo hlasový asistent, jasne uviesť, že používateľ komunikuje s AI, pokiaľ to nie je z kontextu zrejmé. Povinnosť má poskytovateľ, ktorý systém vytvoril. Ak na svojej webovej stránke používate chatbot dodávateľa, dodávateľ musí oznámenie zabudovať, no vy komunikujete so zákazníkmi: pred prvou interakciou alebo pri nej overte, že je oznámenie viditeľné. Stačí veta ako „Chatujete s naším asistentom AI“.

Musíte označovať obsah vytvorený AI?

Ide o otázku zverejňovania obsahu AI, ktorú podniky kladú najčastejšie a na ktorú sa najčastejšie odpovedá nesprávne. Pravidlá rozlišujú medzi neviditeľným, strojovo čitateľným označením, ktoré musí vložiť poskytovateľ generatívneho nástroja, a viditeľným zverejnením, ktoré musí pridať nasadzovateľ, teda podnik obsah zverejňujúci, len v konkrétnych prípadoch.

Zapamätajte si dve veci. Po prvé, úmysel nerozhoduje: realistický obrázok musí byť označený, aj keď nikoho nemal oklamať. Po druhé, vodoznak vložený nástrojom AI nesplní vašu vlastnú povinnosť označenia; zverejnenie musí byť vnímateľné človekom bez technického nástroja.

Súlad s aktom o AI v praxi: päť bežných scenárov

Vysokorizikové systémy AI: odložené, nie zrušené

Ak vaša spoločnosť poskytuje alebo nasadzuje AI v jednej z oblastí prílohy III, od odložených dátumov platí oveľa prísnejší súbor požiadaviek pre vysokorizikovú AI. Poskytovatelia musia prevádzkovať systém riadenia rizík, viesť technickú dokumentáciu a záznamy, navrhnúť systém na ľudský dohľad a pred uvedením systému na trh absolvovať posúdenie zhody. Nasadzovatelia musia systém používať podľa pokynov, určiť vyškolené osoby na dohľad a uchovávať záznamy.

Menšie spoločnosti získavajú skutočnú úľavu: zjednodušenú technickú dokumentáciu pre MSP, startupy a novú kategóriu „malých spoločností so strednou trhovou kapitalizáciou“; zjednodušené riadenie kvality pre všetky MSP; a stropy pokút vo výške nižšej z pevnej sumy alebo percenta obratu. Existuje aj výnimka: systém v oblasti prílohy III nie je vysokorizikový, ak vykonáva len úzku procesnú alebo prípravnú úlohu a podstatne neovplyvňuje rozhodnutia. Platia dve výhrady. Každý systém, ktorý profiluje fyzické osoby, je vždy vysokorizikový a poskytovateľ, ktorý sa spolieha na výnimku, musí svoje posúdenie zdokumentovať a systém aj tak zaregistrovať v databáze EÚ.

Sankcie, presadzovanie a súbeh s GDPR

Presadzovanie je rozdelené. Európsky úrad pre AI dohliada na poskytovateľov univerzálnych modelov AI; každý členský štát určuje orgán dohľadu nad trhom pre systémy AI; orgány na ochranu údajov naďalej dohliadajú na osobné údaje používané AI. Kontaktné miesto Komisie pre akt o AI odpovedá na otázky podnikov v angličtine.

Sankcie za nesúlad sú odstupňované: až do výšky €35 miliónov alebo 7 % celosvetového ročného obratu za zakázané postupy; až do výšky €15 miliónov alebo 3 % za väčšinu ostatných povinností vrátane transparentnosti; a až do výšky €7,5 milióna alebo 1 % za poskytnutie nesprávnych informácií orgánom. Pre veľké spoločnosti je stropom vyššia z týchto dvoch hodnôt; pre MSP a startupy nižšia.

Akt o AI funguje popri GDPR, nie namiesto neho. Akt o AI upravuje systém a jeho používanie; GDPR upravuje osobné údaje, ktoré ním prechádzajú. Nástroj môže byť plne v súlade s jedným predpisom a napriek tomu porušovať druhý. Ak akt o AI vyžaduje posúdenie vplyvu na základné práva, môže vychádzať z existujúceho posúdenia vplyvu na ochranu údajov namiesto jeho duplicitného vykonania.

Praktický kontrolný zoznam súladu s AI pre podniky

Dobrá správa AI nevyžaduje právne oddelenie. Pre väčšinu spoločností týchto deväť krokov pokrýva aktuálne požiadavky aktu o AI a pripraví pôdu pre neskoršie pravidlá vysokého rizika:

• Inventár: uveďte každý používaný nástroj AI vrátane funkcií integrovaných do produktov SaaS a univerzálnych modelov používaných zamestnancami.
• Úloha: pri každom nástroji určite, či ste poskytovateľ, nasadzovateľ alebo oboje.
• Klasifikácia: overte každý nástroj podľa zoznamu zákazov a oblastí prílohy III; výsledok si zapíšte.
• Chatboty: potvrďte, že sa každý asistent AI určený zákazníkom identifikuje.
• Obsah: na zverejňovaný obsah uplatnite vyššie uvedenú tabuľku označovania.
• Gramotnosť: prijmite politiku používania AI a uchovávajte záznamy o školeniach.
• Ochrana údajov: zosúlaďte používanie AI s existujúcou dokumentáciou GDPR.
• Prítomnosť v EÚ: ak ste mimo EÚ a poskytujete vysokorizikový systém alebo univerzálny model, vymenujte splnomocneného zástupcu.
• Plán: ak je niečo vysokorizikové, plánujte podľa odložených dátumov, nečakajte na ne.

Súlad s aktom o AI a založenie spoločnosti v EÚ s Eesti Firma

Akt o umelej inteligencii odmeňuje podniky, ktoré zabudujú súlad do svojich procesov od začiatku, a pre spoločnosti mimo Únie robí prítomnosť v EÚ praktickou nevyhnutnosťou. Eesti Firma podporuje podniky riadené AI na oboch koncoch: pri založení subjektu v EÚ prostredníctvom plne digitálneho založenia spoločnosti v Estónsku, vrátane založenia prostredníctvom e-Residency pre zakladateľov, ktorí Estónsko nemusia nikdy navštíviť, a pri plnení povinností spoločnosti po jej začatí činnosti na trhu EÚ.

Naši právnici pripravujú právne stanoviská k tomu, či konkrétny systém AI patrí do rozsahu pôsobnosti a akú úlohu a úroveň rizika vyvoláva. Tím našich právnych služieb vypracuje politiky používania AI a oznámenia, ktoré spoločnosť potrebuje na preukázanie gramotnosti v oblasti AI, transparentnosti a súladu s ochranou údajov.

Získajte právne stanovisko k systému AI

Často kladené otázky