Akt EÚ o umelej inteligencii: klasifikujte prípady použitia a naplánujte dôkazy

Riadenie AI sa začína poznaním toho, ktoré systémy organizácia poskytuje, nasadzuje alebo inak sprístupňuje. Zoznam názvov modelov nestačí: povinnosti, ktoré treba preveriť, určuje zamýšľaný účel, prostredie nasadenia a vaša rola.

Pre vedenie je klasifikácia rozhodnutím o alokácii zdrojov, ako aj právnym posúdením. Určuje, ktoré projekty potrebujú odborné preverenie, čo musia dodávatelia preukázať a aké dôkazy musia existovať pred vydaním. Nástroj na nábor zamestnancov a interný asistent na písanie môžu používať rovnaký model, a predsa vyžadovať veľmi odlišné posúdenia.

Užitočným výstupom je preskúmaný register prípadov použitia prepojený s vlastníkmi, požiadavkami, dôkazmi a rozhodnutiami o zmenách – nie celofiremné označenie „AI s nízkym rizikom“.

Pred priradením rizika stanovte rozsah a zodpovednosť

Akt EÚ o umelej inteligencii (AI Act) je nariadenie s povinnosťami, ktoré závisia od činnosti, systému a prevádzkovateľa. Jeho územná pôsobnosť zahŕňa poskytovateľov, ktorí systémy uvádzajú na trh EÚ alebo do prevádzky, nasadzujúce subjekty usadené alebo nachádzajúce sa v EÚ a niektorých poskytovateľov a nasadzujúce subjekty z tretích krajín, ak sa výstupy systému používajú v EÚ. Štátne občianstvo samo osebe nie je kritériom.

Nechajte právnych a technických posudzovateľov určiť, či aplikácia spĺňa vymedzenie systému AI podľa aktu a či sa uplatňuje niektorá z relevantných výnimiek z rozsahu pôsobnosti. Nepredpokladajte, že každý automatizačný skript je AI, ani že externe hostovaná služba je mimo vašich zodpovedností.

Potom zaznamenajte svoju rolu:

• Poskytovateľ: vyvíja systém alebo si ho nechá vyvinúť a uvádza ho na trh alebo do prevádzky pod vlastným menom alebo ochrannou známkou.
• Nasadzujúci subjekt: používa systém v rámci svojej právomoci v profesionálnom kontexte.
• Dovozca alebo distribútor: uvádza relevantné systémy na trh EÚ alebo ich sprístupňuje prostredníctvom dodávateľského reťazca, so súvisiacimi povinnosťami overovania.
• Výrobca výrobku alebo splnomocnený zástupca: má zodpovednosti vyplývajúce z konkrétneho usporiadania výrobku alebo písomného splnomocnenia.

Organizácia môže v rámci svojho portfólia zastávať rôzne roly. Kúpa API nerozhoduje o role hotovej aplikácie. Zmena značky, podstatná úprava alebo zmena zamýšľaného účelu môžu za príslušných podmienok spustiť zodpovednosti poskytovateľa. Doladenie (fine-tuning) je preto spúšťačom revízie, nie automatickým právnym záverom.

Rozlišujte model AI na všeobecné účely od systému, ktorý je okolo neho postavený. Povinnosti poskytovateľa modelu a povinnosti týkajúce sa nadväzujúcich systémov spolu súvisia, nie sú však zameniteľné.

Vytvorte inventár prípadov použitia, ktorý podporuje rozhodnutia

Inventarizujte obchodné funkcie, nielen dodávateľov. Urobte rozhovory s nákupom, HR, produktom, prevádzkou a IT: AI môže prísť ako nová funkcia existujúceho dodávateľa, nie ako samostatný nákup.

Pre každý prípad použitia zachyťte:

Popri zamýšľanom účele zaznamenajte aj skutočné pracovné postupy. Nástroj opísaný ako „pomoc pre náborového pracovníka“ môže v skutočnosti vylučovať uchádzačov, ak zamestnanci kontrolujú iba jeho užší výber. Písomná politika vyžadujúca ľudskú kontrolu nepreukazuje, že ku kontrole dochádza.

Výstupom je verzovaný záznam pre každý prípad použitia. Nevyriešené klasifikácie by mali zostať viditeľne nevyriešené, s vlastníkom a termínom rozhodnutia, namiesto automatického zaradenia do najmenej náročnej kategórie.

Zakázané praktiky, cesty k vysokému riziku a transparentnosť posudzujte oddelene

Známy štvorstupňový opis – zakázané, vysokorizikové, súvisiace s transparentnosťou a s nižším rizikom – je užitočným úvodom. Nie je to však úplný rozhodovací strom. Povinnosti transparentnosti sa môžu prekrývať s povinnosťami pre vysokorizikové systémy a povinnosti v oblasti gramotnosti v oblasti AI sa neobmedzujú na vysokorizikové systémy.

Najprv preverte zakázané praktiky

Článok 5 zakazuje určené praktiky, s výhradou podrobných podmienok a výnimiek tohto ustanovenia. Relevantné preverovacie otázky zahŕňajú, či systém využíva škodlivú manipuláciu alebo zneužíva zraniteľnosti, vykonáva zakázané sociálne bodovanie, vytvára databázy na rozpoznávanie tváre necieleným získavaním (scrapingom) alebo vykonáva zakázanú biometrickú kategorizáciu.

Rozpoznávanie emócií na základe biometrických údajov pomocou AI na pracoviskách a vo vzdelávacích inštitúciách je tiež zakázané, s výnimkou určených zdravotných alebo bezpečnostných dôvodov. Analýza sentimentu výlučne z textu nespadá pod tento zákaz len preto, že posudzuje emocionálny tón. Niektoré biometrické použitia na účely presadzovania práva majú prísne ohraničené pravidlá; „všetko rozpoznávanie tváre je zakázané“ nie je presnou náhradou za posúdenie.

Možnú zakázanú praktiku eskalujte pred obstaraním alebo nasadením. Dôkazy by mali opisovať funkcionalitu a právnu úvahu, nie iba opakovať vyhlásenie dodávateľa o „etickej AI“.

Otestujte obe cesty k vysokorizikovej klasifikácii

Cesta regulovaných výrobkov, článok 6 ods. 1: preverte, či je AI sama výrobkom alebo bezpečnostným komponentom výrobku, na ktorý sa vzťahujú príslušné právne predpisy uvedené v prílohe I, a či tento výrobok vyžaduje posúdenie zhody treťou stranou. Záleží na oboch podmienkach. Pre konkrétny režim výrobkov použite zmenené znenie právneho predpisu; samotné začlenenie AI nezakladá vysokorizikový status.

Cesta podľa prílohy III, článok 6 ods. 2: preverte, či zamýšľaná funkcia zodpovedá uvedenému prípadu použitia. Osem oblastí sú široké nadpisy, nie pravidlá, ktoré by robili každú aplikáciu v danom odvetví vysokorizikovou.

Prečítajte si podrobné položky a výnimky. Napríklad odhaľovanie finančných podvodov sa odlišuje od uvedeného použitia na posudzovanie úverovej bonity a overovanie cestovných dokladov je vylúčené z príslušnej položky o identifikácii v oblasti migrácie. Administratívna organizácia kampane nie je to isté ako ovplyvňovanie voličov.

Transparentnosť posudzujte aj vtedy, keď sa pravidlá pre vysoké riziko neuplatňujú

Článok 50 sa zaoberá konkrétnymi interakciami a výstupmi. V závislosti od roly a okolností sa povinnosti týkajú informovania ľudí o tom, že komunikujú s AI, strojovo čitateľného označovania syntetických výstupov, zverejňovania pri deepfakeoch a určeného textu vytvoreného AI vo verejnom záujme. Aj pre použitia na rozpoznávanie emócií a biometrickú kategorizáciu platia ustanovenia o informovaní, ak sú povolené.

Nezužujte to na „označte každý dokument vytvorený s pomocou AI“. Určte, ktoré ustanovenie sa uplatňuje, kto musí konať a či je relevantná niektorá výnimka. Znenie oznámení, ich umiestnenie, opatrenia na označovanie výstupov a výsledky testov uchovávajte ako dôkazy.

Výnimku podľa článku 6 ods. 3 chápte ako zdokumentované posúdenie

Niektoré systémy podľa prílohy III môžu podľa článku 6 ods. 3 spadať mimo vysokorizikovej klasifikácie. Nejde o všeobecnú výnimku pre nástroje, pri ktorých je niekde v procese človek.

Posúdenie sa musí zaoberať tým, či systém predstavuje významné riziko poškodenia zdravia, bezpečnosti alebo základných práv, vrátane toho, či podstatne ovplyvňuje výsledky rozhodovania. Ustanovenie uvádza okolnosti týkajúce sa úzkych procedurálnych úloh, zlepšenia výsledku predtým dokončenej ľudskej činnosti, zisťovania vzorcov alebo odchýlok za určených podmienok kontroly a prípravných úloh. Uplatnenie výnimky si vyžaduje splnenie aspoň jednej z týchto podmienok a preukázanie, že systém nepredstavuje určené významné riziko.

Poskytovateľ, ktorý sa na túto výnimku spolieha, musí posúdenie zdokumentovať pred uvedením systému na trh alebo do prevádzky a splniť príslušnú registračnú povinnosť. Rozhodujúce je, že systém podľa prílohy III, ktorý vykonáva profilovanie fyzických osôb, zostáva vysokorizikový; to neznamená, že každý systém profilovania v akomkoľvek kontexte sa automaticky stáva vysokorizikovým.

Dôkazy by mali vysvetľovať, aké informácie systém používa, ako výstupy ovplyvňujú posudzovateľov a či údajne prípravná úloha určuje, kto bude vecne posudzovaný. Zahrňte pozorovania pracovného postupu a reprezentatívne výstupy. Veta „konečné rozhodnutie robí človek“ nestačí, ak zoradenie, filtrovanie alebo odporúčania toto rozhodnutie fakticky určujú.

Plánujte podľa aktuálnych dátumov uplatňovania

Podľa stavu overeného 7. októbra 2026 uvádza aktuálny prehľad a časová os aktu o umelej inteligencii od Európskej komisie tieto míľniky:

Preverte zmenené znenie právneho predpisu a svoje konkrétne prechodné ustanovenia. Existujúce systémy, dátumy uvedenia modelov na trh, zmeny a konkrétne usporiadania prevádzkovateľov si môžu vyžadovať dodatočnú analýzu. Starší sprievodcovia môžu stále uvádzať skoršie dátumy pre vysokorizikové systémy.

Aktualizovaný harmonogram pre vysokorizikové systémy nevykladajte ako odklad celého aktu. Rozpočtujte oddelene povinnosti, ktoré sa už uplatňujú, a prípravu na príslušný režim pre vysoké riziko. Váš register by mal identifikovať uplatniteľný míľnik a zdroj, z ktorého bol určený.

Premeňte klasifikáciu na plán dôkazov

Zodpovednosti poskytovateľa a nasadzujúceho subjektu sú odlišné. Vedenie by malo vyžadovať plán špecifický pre rolu, namiesto prideľovania každej povinnosti každému tímu.

Ak poskytujete vysokorizikový systém

Požiadavky na vysokorizikové systémy a povinnosti poskytovateľa zahŕňajú riadenie rizík, správu údajov, technickú dokumentáciu, vedenie záznamov, informácie pre nasadzujúce subjekty, ľudský dohľad, presnosť, robustnosť, kybernetickú bezpečnosť a riadenie kvality. Plánovanie si vyžadujú aj príslušné posúdenie zhody, vyhlásenie, označenie, registrácia, monitorovanie po uvedení na trh a procesy pre incidenty.

Premeňte ich na výstupy:

• Posúdenie rizík počas životného cyklu so zmierňujúcimi opatreniami, zvyškovými rizikami a rozhodnutiami o schválení.
• Záznamy o pôvode, vhodnosti a kvalite údajov, ak sú pre systém relevantné.
• Technickú dokumentáciu identifikujúcu účel, návrh, závislosti, obmedzenia a metódy hodnotenia.
• Výsledky testov viazané na akceptačné kritériá a kontext nasadenia.
• Pokyny pre dohľad vysvetľujúce zásah, zrušenie výstupu a eskaláciu.
• Špecifikácie logovania, opatrenia na monitorovanie a postupy pre incidenty.
• Pracovný plán zhody identifikujúci uplatniteľnú cestu a požadované záznamy.

Nie každý vysokorizikový systém prechádza rovnakou cestou posúdenia. Nerozpočtujte univerzálny audit treťou stranou a nepovažujte bezpečnostnú certifikáciu za dôkaz zhody s aktom o umelej inteligencii.

Ak nasadzujete vysokorizikový systém

Zamerajte sa na prevádzku systému podľa pokynov, pridelenie kompetentného dohľadu, monitorovanie jeho používania a vedenie požadovaných záznamov. Riešte vhodnosť vstupných údajov tam, kde tieto vstupy kontrolujete, a uplatniteľné požiadavky na informovanie pracovníkov alebo dotknutých osôb.

Požiadajte dodávateľov o relevantné pokyny, obmedzenia, požiadavky na dohľad a informácie o zhode. Identifikujte, čo nedokážu poskytnúť a kto medzeru vyrieši. Vyhlásenie dodávateľa o uistení nepreukazuje, že vaša lokálna konfigurácia je vhodná.

Posúďte, či sa pre vašu kategóriu nasadzujúceho subjektu a prípad použitia vyžaduje posúdenie vplyvu na základné práva. Nie je univerzálne pre všetky nasadenia. Ak ide o osobné údaje, posúďte požiadavky GDPR samostatne; posúdenie vplyvu na ochranu údajov a posúdenie podľa aktu o umelej inteligencii slúžia odlišným právnym účelom, aj keď sa dôkazy prekrývajú.

Pri každom výstupe určte vlastníka, posudzovateľa, termín, umiestnenie zdroja a akceptačné kritérium. „Politika nahraná“ nie je to isté ako „kontrola preukázaná“.

Praktický príklad: jeden model, dve obchodné rozhodnutia

Ilustračné predpoklady: zamestnávateľ v EÚ používa jazykový model tretej strany pre interného asistenta na písanie a samostatnú náborovú aplikáciu. Náborová aplikácia boduje uchádzačov podľa kritérií pozície a predkladá zoradený užší výber. Zamestnávateľ používa obe interne; jeho presné roly prevádzkovateľa si vyžadujú preverenie.

Pri asistentovi na písanie zaznamenajte povolené úlohy tvorby textu, obmedzenia údajov, kontrolu výstupov a prípadné uplatniteľné požiadavky na transparentnosť. Bežná interná tvorba textov sa nestáva vysokorizikovou len preto, že využíva AI. Rozšírenie na hodnotenie v oblasti zamestnanosti by spustilo nové posúdenie.

Pri nábore je priamo relevantná položka prílohy III týkajúca sa zamestnanosti. Preverte bodovanie a profilovanie uchádzačov, nielen opis rozhrania. Ak náboroví pracovníci posudzujú iba uchádzačov v užšom výbere, systém podstatne formuje prístup k zamestnaniu. Ľudské schválenie konečného prijatia tento vplyv neodstraňuje.

Rozhodnutie vedenia je preto pre každú aplikáciu iné. Asistent na písanie môže po preverení pokračovať s primeranými kontrolami. Náborový projekt potrebuje plán pripravenosti pre vysoké riziko, dôkazy od dodávateľa, vyškolený dohľad, hodnotenie lokálneho použitia a zdokumentované rozhodnutie o vydaní.

Ak tím navrhne zmeniť náborovú funkciu na plánovanie termínov pohovorov, posúďte tento nový účel a pracovný postup odznova. Plánovanie môže byť úzkou procedurálnou úlohou, ponechanie bodovania uchádzačov v pozadí by však podkopalo revidované zdôvodnenie. Rozhodnutie verzujte, namiesto prepísania pôvodného záznamu.

Zviditeľnite zodpovednosť v prevádzkových rozhodnutiach

Určte obchodného vlastníka, ktorý dokáže vysvetliť účel a schváliť zdroje, technického vlastníka, ktorý dokáže doložiť správanie, a právneho alebo compliance posudzovateľa, ktorý dokáže spochybniť klasifikáciu. Schválenie vedením by malo vyriešiť financovanie, obmedzenia vydania a nevyriešené riziká – nie nahradiť odbornú analýzu.

Praktické odporúčanie: revidujte klasifikáciu, keď sa zmení účel, používatelia, údaje, integrácie, autonómia alebo vplyv na dôležité rozhodnutia. Prepojte túto revíziu s obnovovaním zmlúv pri obstarávaní a s vydaniami produktu. Samotná aktualizácia modelu nemusí zmeniť klasifikáciu, môže však znehodnotiť dôkazy z hodnotenia alebo prevádzkové predpoklady.

Medzi časté chyby patrí akceptovanie klasifikácií platných pre celého dodávateľa, predpoklad, že ľudská kontrola automaticky vytvára výnimku, prehliadanie už uplatniteľných povinností v oblasti gramotnosti a transparentnosti a zbieranie dokumentov bez testovania lokálnej prevádzky. Systém manažérstva podľa ISO/IEC 42001 môže riadenie podporiť, certifikácia však automaticky nepreukazuje súlad s aktom o umelej inteligencii.

Secani môže podporiť pracovný postup s dôkazmi tým, že prepája požiadavky, kontroly, zdrojové materiály, vlastníkov, úlohy a preskúmané rozhodnutia. Začnite jedným procesom, pripájajte dôkazy k tomu, čo preukazujú, a pri podstatných záveroch uchovávajte komentáre, schválenia a časové pečiatky. Návrhy s podporou AI považujte za koncepty na ľudskú revíziu, nie za právne rozhodnutia. Náš sprievodca riadením AI agentov poskytuje praktické kontroly pre oprávnenia a revíziu.

Ďalším užitočným krokom je zameraný klasifikačný workshop: vyberte najdôležitejšie prevádzkované prípady použitia, prizvite ich obchodných a technických vlastníkov a vytvorte preskúmané záznamy s otvorenými otázkami a úlohami na dôkazy. Vedenie tak získa obhájiteľný základ na rozhodnutie, čo môže pokračovať, čo potrebuje podmienky a čo si vyžaduje ďalšie posúdenie.