AI Act — nová regulační realita
Evropská unie jako první na světě vytvořila komplexní regulaci umělé inteligence. Nařízení AI Act (Regulation (EU) 2024/1689) vstoupilo v platnost 1. srpna 2024 a je uplatňováno postupně: první povinnosti platí od 2. února 2025, transparentnost chatbotů (Art. 50) od 2. srpna 2026, a povinnosti pro systémy vysokého rizika — po novelizaci „Digital Omnibus on AI“ z roku 2026 — od prosince 2027 (úplný harmonogram níže). Každý podnik, který nasazuje systémy AI do provozní činnosti v EU, se s nimi musí seznámit.
AI Act umělou inteligenci nezakazuje — reguluje ji na základě přístupu založeného na riziku. Čím vyšší riziko, tím přísnější požadavky. Většina obchodních aplikací AI spadá do kategorií nízkého nebo omezeného rizika, což znamená poměrně mírné povinnosti. Jsou však oblasti, kde jsou požadavky velmi přísné.
Harmonogram účinnosti (Art. 113)
- 1. srpna 2024 — vstup nařízení v platnost
- 2. února 2025 — uplatňují se zákazy nebezpečných praktik (Kapitola II, Art. 5) a povinnost AI literacy (Art. 4)
- 2. srpna 2025 — povinnosti pro poskytovatele obecných modelů AI (general-purpose, Kapitola V) a ustanovení o dozorových orgánech a sankcích
- 2. srpna 2026 — transparentnost chatbotů a deepfaků (Art. 50) a regulační sandboxy (termín nezměněný Digital Omnibusem)
- 2. prosince 2026 — konec 4měsíčního přechodného období pro označování generativního obsahu (Art. 50(2)) u systémů přítomných na trhu před 2. srpnem 2026
- 2. prosince 2027 — povinnosti pro samostatné systémy vysokého rizika (Kapitola III, Příloha III) — odloženo z 2. srpna 2026 Digital Omnibusem
- 2. srpna 2028 — povinnosti pro systémy vysokého rizika vestavěné do produktů podléhajících již existujícím harmonizačním předpisům EU (Příloha I) — odloženo z 2. srpna 2027
Aktualizace — Digital Omnibus on AI (2026): 7. května 2026 Rada EU, Evropský parlament a Komise dosáhly prozatímní dohody odkládající povinnosti pro systémy vysokého rizika: Přílohu III z 2. srpna 2026 na 2. prosince 2027 a Přílohu I z 2. srpna 2027 na 2. srpna 2028. Povinnosti transparentnosti (Art. 50) zůstávají beze změny — od 2. srpna 2026. Novelizace vstoupí v platnost po formálním přijetí a zveřejnění v Úředním věstníku EU.
Klasifikace rizika systémů AI
AI Act dělí systémy AI do čtyř rizikových kategorií:
- Nepřijatelné riziko (zakázané, Art. 5) — systémy manipulující lidské chování pod prahem vědomí, social scoring prováděný orgány veřejné moci, biometrický dohled v reálném čase (s výjimkami), rozpoznávání emocí na pracovišti a ve vzdělávání, prediktivní kriminální profilování. Tyto systémy jsou zakázány.
- Vysoké riziko (Kapitola III, Art. 6-27) — AI používaná v náboru, poskytování úvěrů, zdravotní péči, vzdělávání, soudnictví, kritické infrastruktuře. Nejpřísnější požadavky: dokumentace, testování, transparentnost, lidský dohled, registrace v databázi EU.
- Omezené riziko (Art. 50) — chatboti, deepfaky, systémy generující obsah. Povinnost transparentnosti: uživatel musí vědět, že komunikuje s AI, a obsah generovaný AI musí být označen strojově čitelným způsobem.
- Minimální riziko — většina obchodních aplikací AI: spamové filtry, doporučení produktů, automatizace interních procesů. Minimální nebo žádné povinnosti.
Kdo je poskytovatel a kdo uživatel systému AI?
AI Act rozlišuje dvě klíčové role. Poskytovatel (provider) je subjekt, který vytváří a uvádí na trh systém AI. Zavádějící subjekt (deployer) je subjekt, který používá systém AI v hospodářské činnosti. Povinnosti se pro každou roli liší — poskytovatelé mají přísnější požadavky týkající se technické dokumentace a certifikace.
Firma, která koupí hotové řešení AI od poskytovatele a používá jej pro vlastní procesy, je zavádějícím subjektem. Firma, která model přizpůsobuje nebo fine-tunuje pro vlastní použití, se může stát poskytovatelem se všemi důsledky.
Povinnosti zavádějících subjektů u systémů vysokého rizika (Art. 26)
Pokud vaše firma používá systém AI vysokého rizika (např. scoringový systém v úvěrovém procesu, nástroj pro předvýběr životopisů, systém pro podporu lékařské diagnostiky), musíte:
- Zajistit lidský dohled nad rozhodnutími systému AI
- Vést provozní logy po dobu minimálně 6 měsíců
- Provést posouzení dopadů na základní práva (FRIA, Art. 27)
- Informovat zaměstnance o systémech AI, které se jich týkají
- Hlásit závažné incidenty a závady příslušnému dozorovému orgánu
Regulační sandboxy (Art. 57-63)
AI Act počítá s regulačními sandboxy — mechanismem, který umožňuje firmám testovat inovativní systémy AI pod dohledem dozorového orgánu v kontrolovaném prostředí. Každý členský stát má povinnost spustit nejméně jeden sandbox do 2. srpna 2026. Pro firmy vyvíjející řešení AI v oblastech vysokého rizika je to praktická cesta k získání zpětné vazby od regulátorů ještě před plnou certifikací.
Sankce (Art. 99)
Pokuty za porušení AI Actu jsou odstupňovány podle typu porušení:
- až 35 mil. EUR nebo 7 % globálního ročního obratu (vyšší částka) za používání zakázaných praktik (Art. 5)
- až 15 mil. EUR nebo 3 % globálního ročního obratu za porušení ostatních povinností nařízení
- až 7,5 mil. EUR nebo 1 % globálního ročního obratu za poskytování nepravdivých, neúplných nebo zavádějících informací dozorovým orgánům
Pro MSP a start-upy se uplatní nižší z obou částek, aby se předešlo nepřiměřené zátěži.
Jak ESKOM.AI podporuje soulad s AI Act
ESKOM.AI pomáhá organizacím připravit se na požadavky AI Act. Nabízíme audit stávajících systémů AI z hlediska klasifikace rizika, zpracování technické dokumentace, zavedení mechanismů lidského dohledu a logování, stejně jako školení pro týmy odpovědné za compliance. Každé nové nasazení AI v našem provedení je navrhováno s ohledem na soulad s AI Act od prvního dne.