AI Act pro firmy: co musíte splnit
Evropský zákon o umělé inteligenci se týká každé firmy, která AI používá, nejen těch, které ji vyvíjejí. Projdeme s vámi harmonogram, úrovně rizika a povinnosti a pomůžeme vám je splnit.
Ve zkratceAI Act (nařízení EU 2024/1689) je evropský zákon o umělé inteligenci. Týká se každé firmy, která AI používá. Většina firem používá AI s minimálním rizikem, například na texty, překlady nebo analýzy, a musí hlavně proškolit lidi (AI gramotnost), mít přehled o používaných nástrojích a směrnici k AI a chránit osobní údaje podle GDPR. Přísnější pravidla platí pro AI v náboru, při hodnocení zaměstnanců nebo v úvěrovém hodnocení. Povinnosti nabíhají postupně od 2. 2. 2025 do 2. 8. 2028.
Harmonogram AI Actu
AI Act platí od 1. 8. 2024, povinnosti ale nabíhají postupně. Termíny pro vysoce rizikové systémy posunula novela Digital Omnibus.
| Od kdy | Co platí |
|---|---|
| 2. 2. 2025 | Zákazy nepřijatelných praktik a povinnost podporovat AI gramotnost lidí (článek 4). |
| 2. 8. 2025 | Pravidla pro poskytovatele obecných modelů AI, jako jsou modely za ChatGPT, Claude nebo Gemini. |
| 2. 8. 2026 | Většina pravidel včetně transparentnosti (článek 50). Úřady mohou dohlížet a ukládat pokuty. |
| 2. 12. 2027 | Vysoce rizikové systémy, například AI v náboru, při hodnocení zaměstnanců nebo v úvěrovém hodnocení. |
| 2. 8. 2028 | AI jako součást výrobků, na které se vztahují předpisy EU o bezpečnosti výrobků. |
Čtyři úrovně rizika
Povinnosti se neřídí nástrojem, ale tím, k čemu ho používáte. Stejný chatbot může být minimální riziko při psaní e-mailů a vysoké riziko při výběru kandidátů.
Nepřijatelné riziko: zakázáno
Manipulace lidí, sociální skóring, rozpoznávání emocí na pracovišti a ve školách nebo plošné stahování fotek obličejů do databází.
PříkladSoftware, který z kamer nebo hovorů vyhodnocuje náladu zaměstnanců. Zakázáno od 2. 2. 2025.
Vysoké riziko: přísná pravidla
AI v náboru, při rozhodování o povýšení nebo propuštění, hodnocení výkonu, úvěrovém hodnocení nebo přístupu ke vzdělání.
PříkladNástroj, který třídí životopisy. Firma musí zajistit lidský dohled, uchovávat záznamy a informovat dotčené lidi.
Omezené riziko: transparentnost
Chatboty, deepfaky a obsah vytvořený AI. Lidé musí poznat, že mluví s AI nebo že obsah vytvořila AI.
PříkladChatbot na webu na začátku řekne, že je AI. Video s umělým hlasem skutečného člověka je označené.
Minimální riziko: základní povinnosti
Běžná práce s AI: texty, překlady, shrnutí, analýzy nebo filtry spamu. Platí AI gramotnost a GDPR.
PříkladObchodník píše s Copilotem e-maily. Stačí proškolení, schválený nástroj a směrnice.
Provozovatel, nebo poskytovatel?
AI Act rozlišuje, jestli AI používáte, nebo ji vyvíjíte a dodáváte. Většina firem je provozovatel.
Provozovatel
Firma, která AI systém používá při své činnosti, například ChatGPT, Copilot nebo AI v účetním systému.
PříkladPovinnosti: AI gramotnost, používání podle návodu, transparentnost a u vysoce rizikového použití lidský dohled a záznamy.
Poskytovatel
Firma, která AI systém vyvíjí a uvádí na trh nebo do provozu pod svým jménem.
PříkladPozor: provozovatel se stane poskytovatelem, když vysoce rizikový systém podstatně upraví nebo ho vydává pod svou značkou.
Co musí splnit každá firma, která používá AI
Platí i tehdy, když AI oficiálně nezavádíte a lidé ji používají sami. V praxi potřebujete:
- Proškolené lidi. Firma musí podporovat, aby lidé, kteří s AI pracují, věděli, jak ji používat a jaká má rizika, podle své role. Platí od 2. 2. 2025 (článek 4 AI Actu). Školení mějte doložené.
- Přehled, jakou AI používáte. Seznam nástrojů a k čemu slouží, včetně shadow AI. Podle účelu se určuje riziko: AI v náboru nebo při hodnocení zaměstnanců má přísnější pravidla.
- Směrnici k používání AI. Které nástroje jsou schválené, co se do AI nesmí vkládat a kdo za co odpovídá. Bez ní nemáte jak doložit, že rizika řídíte.
- Ochranu osobních údajů. Za data vložená do AI odpovídá firma podle GDPR, i když je tam vložil zaměstnanec přes soukromý účet. Potřebujete nástroje se smlouvou o zpracování dat, které na vašich datech netrénují.
- Transparentnost. Když zákazník mluví s AI nebo vidí obsah, který AI vytvořila nebo upravila, musí to v případech daných AI Actem poznat. Zakázané je například rozpoznávání emocí zaměstnanců.
Zajistíme to za vásInventuru AI nástrojů, směrnici k používání AI, školení s evidencí, schválené nástroje i nastavení dat a přístupů. Dostanete dokumentaci, kterou doložíte při kontrole.
Kontrolní seznam: jste připraveni?
Pokud na některou otázku odpovíte ne, máte co dohánět.
- Víme, jaké AI nástroje lidé ve firmě používají, včetně soukromých účtů.
- Máme schválené nástroje se smlouvou o zpracování dat, které na našich datech netrénují.
- Máme směrnici k používání AI a lidé ji znají.
- Lidé, kteří s AI pracují, jsou proškolení a máme o tom evidenci.
- Víme, jestli AI nepoužíváme v náboru, při hodnocení lidí nebo v jiném vysoce rizikovém použití.
- Zákazníci poznají, když mluví s chatbotem nebo vidí obsah vytvořený AI.
- Ve firmě je jasné, kdo za AI odpovídá a schvaluje nové nástroje.
- Víme, co dělat, když do AI uniknou citlivá data nebo AI udělá chybu.
Chcete mít AI Act splněný?
Uděláme inventuru AI, připravíme směrnici, proškolíme lidi a dostanete dokumentaci pro kontrolu.
Chci splnit AI Act