Vysoce riziková AI podle EU AI Act: Co musí poskytovatelé připravit před roky 2027 a 2028

Klíčová je časová osa: plné povinnosti pro vysoce rizikové systémy AI v EU ještě nezačaly platit. Nejde ale o zrušení pravidel, nýbrž o jejich odklad. Samostatné systémy zařazené do přílohy III budou podléhat požadavkům od 2. prosince 2027. Pro vysoce rizikovou AI, která je součástí některých již regulovaných výrobků, platí pozdější datum 2. srpna 2028. 18

Pro firmy, které chtějí takové systémy uvádět na trh EU, z toho plyne praktický závěr: proces souladu s pravidly je třeba budovat už při vývoji produktu. Nestačí jej skládat narychlo až ve chvíli, kdy si dokumentaci vyžádá dozorový orgán.

Které systémy se považují za vysoce rizikové?

Kategorie zahrnuje dvě hlavní skupiny:

• systémy AI používané jako bezpečnostní součást výrobků upravených konkrétními předpisy EU, pokud daný výrobek vyžaduje posouzení shody třetí stranou;
• systémy AI využívané v určitých oblastech uvedených v příloze III, s výhradou podmínek a výjimek stanovených aktem. 15

Zařazení je zásadní: status vysoce rizikového systému spouští výrazně přísnější povinnosti v celém životním cyklu než u běžných nástrojů AI.

Co budou muset poskytovatelé zajistit

Řízení rizik a správa dat

Poskytovatelé musí zavést opatření pro vyhodnocování a zmírňování rizik. Zároveň mají používat data dostatečné kvality, aby omezili riziko diskriminačních výsledků. Rámec pro vysoce rizikovou AI zdůrazňuje relevantní, reprezentativní a odpovídajícím způsobem spravovaná trénovací, validační a testovací data. 115

Dokumentace a dohledatelnost

Systémy musí vytvářet záznamy umožňující dohledat, jak k výsledkům dospěly. Nezbytná bude i podrobná technická dokumentace popisující systém a jeho zamýšlené použití. Právě na jejím základě mohou úřady posoudit, zda je systém v souladu s pravidly. 1

Lidský dohled, přesnost a odolnost

EU požaduje přiměřená opatření pro lidský dohled a vysokou úroveň přesnosti, robustnosti a kybernetické bezpečnosti. Poskytovatel má provozovateli systému dodat jasné a dostatečné informace, aby jej mohl používat k určenému účelu a rozuměl jeho omezením. 1

Posouzení shody, registrace a sledování po uvedení na trh

Před uvedením vysoce rizikového systému na trh bude nutné absolvovat příslušné posouzení shody. Pokud to pravidla vyžadují, musí poskytovatel systém zaregistrovat, po nasazení sledovat jeho fungování a hlásit závažné incidenty. Soulad s AI Actem tedy není jednorázové schválení produktu, ale průběžná provozní povinnost. 115

Kontrolní seznam pro přípravu

Organizace, které se připravují na termíny v letech 2027 a 2028, by měly umět odpovědět zejména na tyto otázky:

1. Je systém skutečně vysoce rizikový? Porovnejte zamýšlené použití s kategoriemi v přílohách I a III.
2. Kdo nese odpovědnost? Určete vlastníky odpovědné za bezpečnost produktu, právní soulad, dokumentaci a reakci na incidenty.
3. Lze rizika prokázat a zmírnit? Udržujte opakovatelný proces řízení rizik včetně testů a záznamů o rozhodnutích.
4. Jsou kontroly dat obhajitelné? Dokumentujte relevanci a reprezentativnost dat, kontroly kvality i známá omezení.
5. Je systém auditovatelný? Uchovávejte záznamy, technické podklady a pokyny pro uživatele vysvětlující určené použití a hranice systému.
6. Funguje lidský dohled v praxi? Stanovte, kdy může člověk zasáhnout, výstup přehlasovat nebo používání systému zastavit.
7. Je připraveno sledování po uvedení na trh? Nastavte monitoring výkonu, nápravná opatření a hlášení incidentů.

Jaké hrozí pokuty

Sankční režim AI Actu kombinuje pevné částky v eurech a podíl z celosvětového ročního obratu. Nejpřísnější sazba za zakázané praktiky AI může dosáhnout 35 milionů eur nebo 7 % celosvětového ročního obratu. Za jiná porušení pravidel může hrozit pokuta až 15 milionů eur nebo 3 % celosvětového ročního obratu. 3

Takto vysoké stropy znamenají, že program souladu nelze nechat pouze na právním oddělení. Důkazy o skutečném fungování ochranných opatření musí společně zajistit produktové, bezpečnostní, datové, nákupní, compliance i provozní týmy.

Odklad je čas na přípravu, ne výjimka

Nové termíny poskytují firmám více prostoru, samotné požadavky však zůstávají rozsáhlé. Kdo začne až koncem roku 2027, může stále potřebovat vybudovat systém dokumentace, upravit vývojové postupy, zavést logování, otestovat lidský dohled a vytvořit procesy pro sledování systému a hlášení incidentů po jeho uvedení na trh.

Nejužitečnější je proto přistupovat k EU AI Actu jako ke standardu řízení produktu: včas identifikovat vysoce rizikové případy použití, shromažďovat podklady už během vývoje a zahrnout bezpečnost, dohledatelnost i lidskou kontrolu do procesu uvedení systému na trh. 115