EU AI Act jako rámec odpovědného nasazování AI
Umělá inteligence má přinášet hodnotu, ne nejasnost. EU AI Act vytváří společný evropský rámec, který pomáhá rozlišovat úroveň rizika, určit odpovědnost a nastavit kontrolní mechanismy tak, aby byly AI systémy bezpečné, transparentní a dohledatelné.
Nařízení Evropského parlamentu a Rady (EU) 2024/1689 nestaví všechny AI systémy na stejnou úroveň. Rozsah povinností se odvíjí od role organizace, účelu použití, možného dopadu na zdraví, bezpečnost a základní práva i od toho, zda jde o samostatný systém, součást regulovaného produktu nebo model pro obecné použití. [1]
Právní klasifikace nevychází pouze z použité technologie. Rozhodující je také zamýšlený účel, způsob uvedení na trh, prostředí nasazení a reálné použití systému.
Důvěryhodná AI není vlastnost samotného modelu. Vzniká propojením kvalitních dat, jasného účelu, odpovědnosti, lidského dohledu, technických kontrol a schopnosti zpětně vysvětlit klíčová rozhodnutí.
AI Act proto nelze řešit pouze právním dokumentem nebo jednorázovým testem před spuštěním. Povinnosti se promítají do vývoje, nákupu, integrace, provozu, monitoringu, řízení změn i ukončení používání konkrétního systému.
Co přesně EU AI Act upravuje
Nařízení stanovuje harmonizovaná pravidla pro uvádění AI systémů a modelů na evropský trh, jejich uvádění do provozu a používání v Evropské unii.
Pravidla se mohou vztahovat také na organizace usazené mimo EU, pokud jejich AI systém nebo jeho výstup dopadá na evropský trh nebo je používán v Evropské unii. Rozhodující proto není pouze sídlo dodavatele, ale také distribuční a provozní model.
Nařízení rozlišuje například poskytovatele systému, organizaci, která jej nasazuje, dovozce, distributora, výrobce produktu a poskytovatele modelu pro obecné použití. Každá role má jiný rozsah povinností a jinou možnost ovlivnit návrh nebo provoz. [1]
Organizace může současně zastávat více rolí. Zákazník, který významně změní účel systému nebo jej uvede na trh pod vlastním jménem, se může dostat do postavení poskytovatele.
Rizikový model určuje rozsah povinností
Evropský rámec vychází z více úrovní rizika. Nejvyšší omezení dopadají na zakázané praktiky a vysoce rizikové systémy.
Zakázané praktiky představují použití AI, která jsou vzhledem ke svému dopadu považována za nepřijatelná. Patří sem vymezené formy škodlivé manipulace, zneužívání zranitelnosti, sociálního hodnocení, některého biometrického zpracování a další praktiky uvedené v článku 5 nařízení.
Vysoce rizikové systémy mohou být spojeny s regulovanými produkty nebo s citlivými oblastmi, jako jsou biometrika, kritická infrastruktura, vzdělávání, zaměstnání, přístup k základním službám, vymáhání práva, migrace nebo justice. Přesná klasifikace závisí na podmínkách stanovených nařízením.
Transparentnostní povinnosti se týkají například přímé interakce člověka s AI, syntetického obsahu, deepfake materiálů, biometrické kategorizace nebo rozpoznávání emocí v případech, které stanovuje článek 50. [1] [4]
Minimální riziko neznamená nulovou odpovědnost. I systém mimo vysoce rizikovou kategorii musí respektovat další právní předpisy, smluvní pravidla, bezpečnostní požadavky a interní governance organizace.
Zakázané praktiky
Zakázanou praktiku nelze napravit tím, že k ní organizace pouze doplní informaci pro uživatele nebo interní schvalovací dokument.
Posouzení musí začít ještě před nákupem, vývojem nebo nasazením. Organizace potřebuje znát zamýšlený účel, použitou funkcionalitu, cílové skupiny, dostupné vstupy a možné způsoby obcházení původně deklarovaných hranic.
Evropská komise vydala k zakázaným praktikám podrobné pokyny s příklady. Tyto pokyny vysvětlují přístup Komise, závazný výklad práva však náleží soudům. [3]
Role poskytovatele a nasazující organizace
Stejný AI systém může vytvářet odlišné povinnosti pro jeho poskytovatele a pro organizaci, která jej používá v praxi.
Poskytovatel zpravidla odpovídá za návrh systému, klasifikaci, technickou dokumentaci, posouzení shody, řízení kvality, registraci a informace potřebné pro bezpečné nasazení.
Nasazující organizace musí systém používat podle návodu, zajistit odpovídající dohled, řídit vstupní data, sledovat provoz a reagovat na zjištěná rizika. V některých případech se přidává povinnost informovat dotčené osoby nebo provést posouzení dopadu na základní práva.
Smlouva mezi dodavatelem a zákazníkem nenahrazuje právní odpovědnost. Musí však jasně řešit přístup k dokumentaci, logům, změnám modelu, incidentům, subdodavatelům a ukončení služby.
Požadavky na vysoce rizikové AI systémy
Vysoce rizikový systém musí být řízen jako dlouhodobý provozní celek, nikoliv pouze jako model otestovaný před prvním nasazením.
Nařízení vyžaduje systém řízení rizik, správu dat a datovou governance, technickou dokumentaci, automatické zaznamenávání událostí, informace pro nasazující organizaci, lidský dohled a odpovídající úroveň přesnosti, robustnosti a kybernetické bezpečnosti. [1]
Jednotlivé požadavky spolu souvisejí. Nedostatečná dokumentace komplikuje lidský dohled. Chybějící logy omezují vyšetření incidentu. Nejasný účel znemožňuje posoudit, zda jsou data relevantní a zda systém funguje v zamýšlených hranicích.
Soulad nevzniká součtem izolovaných dokumentů. Vzniká konzistentním řetězcem od požadavku přes data a model až po provozní rozhodnutí.
Řízení rizik a datová governance
Rizika se mají identifikovat a vyhodnocovat v průběhu celého životního cyklu systému. Organizace musí pracovat s předvídatelným nesprávným použitím, provozními změnami, závislostmi na externích modelech a situacemi, kdy systém opustí původní kontext.
Datová governance zahrnuje původ dat, jejich relevanci, reprezentativnost, kvalitu, způsob přípravy, možné mezery a zkreslení. Nestačí pouze uvést název datové sady. Musí být dohledatelné, jak data vstoupila do procesu a jaké úpravy nebo filtrace byly provedeny.
Data vhodná pro jeden účel nemusí být vhodná pro jinou populaci, odlišné prostředí nebo rozhodnutí s vyšším dopadem.
Změna zdroje, schématu, distribuce nebo kvality dat musí být zachycena jako řízená změna, protože může ovlivnit výkon, spravedlivost i bezpečnost systému.
Technická dokumentace a automatické záznamy
Dokumentace má umožnit pochopit účel systému, jeho architekturu, omezení, metriky, datové zdroje, testování, způsob integrace a opatření použitá pro splnění požadavků.
Logování má zachytit události potřebné pro sledování provozu, identifikaci rizik a vyšetření incidentu. Rozsah záznamů musí odpovídat povaze systému, chránit osobní a důvěrné údaje a současně zachovat použitelnou auditní stopu.
Lidský dohled
Lidský dohled není pouze přítomnost pracovníka u obrazovky. Musí mít reálnou možnost systému porozumět, zpochybnit výstup a v případě potřeby bezpečně zasáhnout.
Odpovědná osoba potřebuje přístup ke kontextu, omezením systému, relevantním vstupům a upozorněním. Musí vědět, kdy se na výstup nelze spolehnout a jak systém zastavit, ignorovat nebo předat k dalšímu přezkoumání.
Dohled musí počítat s automatizačním zkreslením. Člověk může výstupu důvěřovat jen proto, že jej vytvořil sofistikovaný systém. Proces proto musí podporovat skutečné ověření, nikoliv pouze formální potvrzení doporučení.
Odpovědnost nelze přenést na model. Organizace musí určit, kdo rozhoduje, kdo kontroluje a kdo nese odpovědnost za následek.
Přesnost, robustnost a kybernetická bezpečnost
Systém musí dosahovat přiměřené úrovně přesnosti a zachovat bezpečné chování při chybách, nečekaných vstupech nebo změně provozních podmínek. Deklarované metriky musí odpovídat zamýšlenému účelu a skupinám, které systém ovlivňuje.
Kybernetická bezpečnost zahrnuje ochranu modelu, dat, rozhraní, infrastruktury a dodavatelského řetězce. Rizikem může být manipulace vstupů, otrávení dat, zneužití modelu, únik citlivých informací nebo kompromitace integračního rozhraní.
Bezpečnostní opatření se musí aktualizovat spolu se systémem. Nová verze modelu nebo změna externí služby může vytvořit nové riziko, i když se uživatelské rozhraní nezměnilo.
Transparentnost a označování AI obsahu
U vybraných systémů musí lidé vědět, že komunikují s AI nebo že byl obsah uměle vytvořen či významně upraven.
Poskytovatelé interaktivních systémů mají navrhnout řešení tak, aby byl člověk o interakci s AI informován, pokud to není zřejmé z okolností. U syntetického obsahu se uplatňují požadavky na strojově čitelné označení a detekovatelnost.
Nasazující organizace mohou mít informační povinnosti u deepfake obsahu, některého textu ve veřejném zájmu, rozpoznávání emocí nebo biometrické kategorizace. Komise zveřejnila v červenci 2026 pokyny k praktickému uplatňování článku 50. [4]
Transparentnost nemá být skrytá v dlouhých podmínkách. Informace musí být dostupná ve chvíli a formě, kdy může ovlivnit rozhodnutí uživatele.
Modely pro obecné použití
Model pro obecné použití může být základem mnoha různých aplikací. Povinnosti proto dopadají také na úroveň modelu, nikoliv pouze na konkrétní koncovou aplikaci.
Poskytovatelé GPAI modelů řeší technickou dokumentaci, informace pro navazující poskytovatele, politiku respektující autorské právo a zveřejnění dostatečně podrobného souhrnu obsahu použitého pro trénování.
U modelů se systémovým rizikem se přidávají požadavky na hodnocení, zmírňování systémových rizik, hlášení závažných incidentů a odpovídající kybernetickou bezpečnost. Dobrovolný GPAI Code of Practice nabízí jeden ze způsobů, jak relevantní povinnosti prokazovat. [5]
AI gramotnost
Poskytovatelé a nasazující organizace mají přijmout opatření, aby pracovníci a další osoby používající AI jejich jménem měli přiměřenou úroveň AI gramotnosti.
Rozsah vzdělávání se odvíjí od znalostí pracovníků, kontextu použití a rizik systému. Obecné školení nestačí tam, kde člověk rozhoduje o citlivém nasazení, kontroluje výstupy nebo reaguje na incidenty. Povinnost se uplatňuje od 2. února 2025. [6]
Dopad na základní práva a veřejný sektor
U některých nasazení vysoce rizikové AI musí být před použitím vyhodnocen dopad na základní práva dotčených osob.
Posouzení má zohlednit účel, dotčené skupiny, možné újmy, mechanismy dohledu, stížnosti a opatření pro omezení rizik. Ve veřejné správě je důležitá také rovnost zacházení, přezkoumatelnost rozhodnutí a schopnost vysvětlit, jakou roli AI systém v procesu skutečně zastával.
Výstup posouzení nemá být izolovaný dokument. Zjištěná opatření musí být promítnuta do konfigurace systému, školení pracovníků, přístupových práv, monitoringu a provozních postupů.
Monitoring, incidenty a řízení změn
Po uvedení systému do provozu je nutné sledovat jeho skutečné fungování. Provozní data mohou odhalit pokles výkonu, nové formy nesprávného použití, rozdílné dopady na skupiny uživatelů nebo změny prostředí, se kterými původní testování nepočítalo.
Významné incidenty a selhání musí mít definovaný postup identifikace, eskalace, omezení dopadu, dokumentace a nápravy. Organizace potřebuje vědět, kdo může systém pozastavit, kdo komunikuje s dodavatelem a kdy vzniká oznamovací povinnost.
Model, data, instrukce, bezpečnostní filtry i integrační logika se mění. Každá významná změna musí mít vlastníka, důvod, testování a dohledatelný výsledek.
Harmonogram použitelnosti pravidel
AI Act vstoupil v platnost 1. srpna 2024 a jednotlivé části se začaly uplatňovat postupně.
Od 2. února 2025 se uplatňují pravidla pro zakázané praktiky a AI gramotnost. Od 2. srpna 2025 se uplatňují pravidla governance a povinnosti pro modely obecného použití. Většina dalších ustanovení se začne uplatňovat 2. srpna 2026. [2]
Po přijetí změn v rámci Digital Omnibus jsou pravidla pro samostatné vysoce rizikové AI systémy odložena na 2. prosince 2027 a pro vysoce rizikové systémy zabudované do regulovaných produktů na 2. srpna 2028. [7]
Harmonogram není náhradou přípravy. Organizace potřebují inventář systémů, rozdělení rolí, dokumentaci a odpovědnosti vytvořit před okamžikem, kdy se konkrétní povinnost začne uplatňovat.
Vztah k GDPR, NIS2 a dalším předpisům
EU AI Act nenahrazuje ochranu osobních údajů podle GDPR. AI systém může být v souladu s jedním nařízením a současně porušovat druhé, například pokud používá osobní údaje bez odpovídajícího právního základu nebo překračuje stanovený účel.
Stejně tak nenahrazuje kybernetické a organizační povinnosti podle NIS2, sektorovou regulaci, spotřebitelské právo, pravidla bezpečnosti výrobků nebo antidiskriminační předpisy. Jednotlivé rámce se musí posuzovat společně podle konkrétního systému a prostředí.
Praktická governance proto potřebuje mapovat nejen AI Act, ale také navazující právní, bezpečnostní a smluvní požadavky.
EU AI Act v prostředí Atodatu
Atodat chápe odpovědné nasazování AI jako řízení souvislostí mezi daty, lidmi, procesy, modely a konkrétními rozhodnutími.
Datová lineage může zachytit původ vstupů, transformace a vztah mezi datovou změnou a navazujícím výstupem. Auditní stopa pomáhá doložit, kdo systém schválil, kdo změnil konfiguraci a jaké kontrolní kroky byly provedeny.
Governance vrstva může propojit AI systém s jeho vlastníkem, účelem, rizikovou klasifikací, dokumentací, požadavky, schváleními a provozními incidenty. Organizace tak nezískává pouze seznam modelů, ale přehled jejich reálného kontextu.
Řízení přístupů a oddělení rolí pomáhá určit, kdo může měnit model, vstupy, instrukce nebo rozhodovací pravidla. Monitoring a verzování následně umožňují porovnat chování systému mezi jednotlivými provozními obdobími.
Cílem není vytvořit další izolovanou vrstvu dokumentace. Cílem je propojit důkazy o souladu s reálným provozem systému.
Co to znamená pro zákazníka Atodatu
Organizace potřebuje znát své AI systémy dříve, než začne rozhodovat o konkrétních právních povinnostech.
Základem je inventář, jasný účel, určení role organizace, riziková klasifikace, vlastník systému a přehled dat, dodavatelů, integrací a dotčených procesů.
Teprve na tento základ lze navázat dokumentaci, lidský dohled, provozní kontroly, vzdělávání, monitoring a reakci na incidenty. Přístup založený pouze na jednorázovém formuláři nedokáže zachytit změny, které vznikají během skutečného provozu.
Důvěra v AI vzniká tehdy, když organizace dokáže nejen popsat, co systém dělá, ale také doložit, proč jej používá, kdo jej kontroluje a jak reaguje na změny.
Chcete projít klasifikaci AI systémů, governance, dohledatelnost dat nebo požadavky konkrétního projektu?
Zdroje a další informace
[1] Evropská unie — Nařízení Evropského parlamentu a Rady (EU) 2024/1689 — Akt o umělé inteligenci
[2] Evropská komise — AI Act — přehled, governance a harmonogram uplatňování
[3] Evropská komise — Pokyny k zakázaným praktikám umělé inteligence
[4] Evropská komise — Pokyny k transparentnostním povinnostem podle článku 50
[5] Evropská komise — General-Purpose AI Code of Practice
[6] Evropská komise — AI Literacy — Questions & Answers
[7] Rada Evropské unie — Harmonogram AI Act a změny přijaté v roce 2026