AI Compliance Pack: buďte ve firmě AI ready 🤖

AI Act je nové nařízení EU, které nastavuje pravidla pro používání a vývoj umělé inteligence. Dopadne jak na firmy, které AI vyvíjejí, tak na firmy, které ji „jen" používají v každodenním provozu – od HR, přes marketing až po interní nástroje.

Pokud používáte nástroje typu ChatGPT, Copilot, AI nástroje v CRM, HR systémech, zdravotnických aplikacích nebo analyzujete data pomocí AI, s velkou pravděpodobností se vás AI Act nějakým způsobem týká.

Ne. AI Act dopadá na:

• vývojáře / poskytovatele AI systémů – typicky softwarové firmy, které AI řešení vytvářejí a uvádějí na trh;
• uživatele / deployery – firmy, které AI nasazují ve vlastním provozu (např. používají AI k hodnocení lidí, doporučování produktů, analýze rizik apod.);
• distributory a dovozce AI řešení.

Velikost firmy není rozhodující – důležité je, k čemu AI používáte. Malý startup může spadat do přísnějšího režimu než velká korporace, pokud jeho AI řešení patří do „vyššího" rizika (např. zdravotnictví, finanční scoring, HR).

AI Act pracuje s několika kategoriemi:

• zakázané praktiky – např. manipulativní AI, některé formy sociálního scoringu apod.;
• vysoce rizikové AI systémy – např. AI ve zdravotnictví, kritické infrastruktuře, HR náborech, vzdělávání, finančním sektoru;
• určité systémy s povinnostmi transparentnosti – typicky generativní AI, chatboti, systémy, které vytvářejí nebo upravují obsah;
• ostatní systémy – kde sice nejsou tvrdé povinnosti, ale očekává se „dobrá praxe" (governance, dokumentace, řízení rizik).

Z praktického pohledu: nejdřív si musíme zmapovat, kde všude ve firmě AI běží a do jaké kategorie co spadá. Až podle toho se dá říct, jaké konkrétní povinnosti máte.

Pravděpodobně ano, i když ne nutně v tom nejpřísnějším režimu.

Jako firma jste v roli uživatele (deployera). AI Act u vás řeší hlavně:

• jak AI nástroje nasazujete (např. na jaké rozhodování je používáte),
• jak chráníte osobní údaje a citlivé informace,
• jak informujete zaměstnance / zákazníky, že jejich data prochází AI,
• jak máte interně nastavená pravidla (AI Policy).

Dobrá zpráva: ve většině případů se to dá vyřešit kombinací AI policy, úpravou smluv, interního školení a případně doplněním dokumentace.

Zjednodušeně:

• GDPR – řeší osobní údaje. Když AI pracuje s daty o lidech, musíte splnit GDPR (právní titul, informování subjektů, DPIA, bezpečnost).
• Data Act – řeší hlavně přístup k datům, sdílení dat, vztah mezi poskytovatelem řešení a uživatelem. U AI je to důležité pro přístup k tréninkovým datům a datům z provozu.
• DSA (Digital Services Act) – řeší regulaci online platforem, moderaci obsahu a transparentnost. Pokud vaše AI řešení funguje jako platforma, která pracuje s uživatelským obsahem, DSA může hrát roli.

AI Act k tomu přidává „nadstavbu" – konkrétní pravidla pro samotné AI systémy. V praxi tyto předpisy nefungují odděleně – při nastavování AI ve firmě musíme myslet na všechny současně.

Typicky půjde o:

• posouzení rizik – kde všude AI používáte a jaký to má dopad na lidi (např. zaměstnance, klienty);
• dokumentaci rozhodování – u některých AI systémů bude třeba prokázat, na základě čeho rozhodovaly;
• informování lidí – například, že komunikují s chatbotem, nebo že bylo rozhodnutí podpořeno AI;
• kontrolní mechanismy – lidský dohled, možnost rozhodnutí přezkoumat;
• soulad s GDPR – např. DPIA, zásady zpracování, nastavení rolí (správce/zpracovatel).

Na začátku to může vypadat složitě, ale ve většině firem se to „vejde" do dobře nastavené AI policy, revize procesů a pár právních dokumentů.

AI Act nabývá účinnosti postupně. Některá ustanovení (např. zakázané praktiky) začnou platit dříve, ostatní v několika vlnách.

Z pohledu firmy je rozumné:

• už teď si zmapovat, kde AI používáte,
• dohodnout si časový plán – co musíme stihnout v horizontu 6–18 měsíců,
• průběžně sledovat prováděcí předpisy a metodiky (což je něco, s čím vám umíme pomoci).

Stejně jako u GDPR počítá AI Act s poměrně vysokými sankcemi (v řádu milionů EUR nebo procent obratu). Vedle toho hrozí:

• reputační riziko – „AI fail" se velmi rychle šíří mezi klienty i zaměstnanci;
• smluvní rizika – velcí zákazníci už dnes požadují doložení souladu s regulací (a to bude dál sílit);
• compliance tlak – banky, investoři a korporátní partneři se budou ptát, jak máte AI řízené.

Dobrá implementace AI pravidel není jen „obrana proti pokutám", ale i konkurenční výhoda.

Jako poskytovatel AI systému budete mít:

• povinnost risk managementu,
• technickou dokumentaci a protokolování,
• požadavky na kvalitu dat, testování a bezpečnost,
• případně certifikace a posouzení shody u vysoce rizikových systémů,
• povinnosti vůči zákazníkům (návody, informace o omezeních, update governance).

Tady už se bez kombinace právníků + technického týmu neobejdeme. Ideálně začínáme řešit compliance paralelně s vývojem, ne až „před launchem".

Ano. Typický postup:

1. Mapování AI ve firmě – kde AI používáte, jaké typy dat tečou systémem, jaké rozhodnutí AI ovlivňuje.
2. Klasifikace systémů podle AI Actu (rizikovost, role firmy).
3. Gap analýza – co už splňujete (GDPR, bezpečnost, smlouvy) a co chybí.
4. Návrh priorit – co má smysl dělat hned, co může počkat, co je nice-to-have.
5. Nastavení AI policy, smluv a procesů.