Vysoce rizikové systémy umělé inteligence jsou ústředním bodem evropského nařízení o umělé inteligenci ( nařízení (EU) 2024/1689 ), běžně označovaného jako zákon o umělé inteligenci, které zavádí rámec pro vývoj, dodávky a používání systémů umělé inteligence (AI) založený na riziku. Čím vyšší je riziko pro zdraví, bezpečnost a základní práva, tím přísnější jsou povinnosti.
Pro organizace proto dodržování předpisů nezačíná vypracováním technické dokumentace, ale správnou klasifikací. Nejprve je třeba zjistit, které systémy umělé inteligence jsou v organizaci vyvíjeny, zakoupeny nebo používány. Poté je třeba posoudit, zda je systém zakázaný , vysoce rizikový, zda podléhá povinnostem transparentnosti nebo zda nesplňuje žádné specifické povinnosti.
Tento článek stanoví, kdy může být systém umělé inteligence kvalifikován jako vysoce rizikový, jaké povinnosti se vztahují na poskytovatele a provozovatele a jaké kroky mohou organizace podniknout nyní. Zahrnuje také aktuální časový harmonogram, včetně změn v rámci procesu Digital Omnibus. Referenčním datem pro tento článek je 25. červenec 2026.
Kdy je systém umělé inteligence vysoce rizikový?
Posouzení vysoce rizikových systémů umělé inteligence se provádí především podle článku 6 a příloh I a III zákona o umělé inteligenci. Existují dva způsoby.
První cesta se týká systémů umělé inteligence, které jsou součástí výrobků, na které se vztahují evropské právní předpisy o výrobcích uvedené v příloze I a které vyžadují posouzení shody třetí stranou. Vezměte si například některé zdravotnické prostředky, stroje, výtahy a hračky. U těchto systémů zákon o umělé inteligenci staví na stávajícím postupu posuzování shody.
Druhá cesta se týká systémů umělé inteligence používaných v oblastech uvedených v příloze III: biometrie, kritická infrastruktura, vzdělávání a odborná příprava, zaměstnanost a řízení pracovní síly, přístup k základním soukromým a veřejným službám, vymáhání práva, migrace, azyl a ochrana hranic a správa spravedlnosti a demokratické procesy. Ne každé použití v takové oblasti automaticky vede ke klasifikaci mezi vysoce rizikovými systémy umělé inteligence: je třeba posoudit také specifickou funkci systému a podmínky článku 6.
Výjimka v čl. 6 odst. 3
Systém spadající do oblasti přílohy III není automaticky zařazen mezi vysoce rizikové systémy umělé inteligence: tato klasifikace je vyloučena, pokud nepředstavuje žádné významné riziko pro zdraví, bezpečnost nebo základní práva osob a podstatně neovlivňuje výsledek rozhodování. To může nastat v případě, kdy systém provádí pouze úzký procedurální úkol, pouze vylepšuje činnost již provedenou člověkem, pouze signalizuje odchylky od dřívějšího lidského rozhodování, aniž by toto posouzení nahradil, nebo provádí pouze přípravný úkol.
Odvolání se na tuto výjimku musí být pečlivě odůvodněno a zdokumentováno. Organizace zaznamenává nejen závěr, ale také fakta a posouzení, na kterém tento závěr spočívá. Poskytovatel, který se domnívá, že systém podle přílohy III nepatří mezi vysoce rizikové systémy umělé inteligence, musí toto posouzení zdokumentovat před uvedením systému na trh nebo do provozu a dále podléhá registrační povinnosti podle článku 49(2).
V jednom bodě je nařízení absolutní. Článek 6(3) stanoví, že systém umělé inteligence uvedený v příloze III je vždy počítán mezi vysoce rizikové systémy umělé inteligence, pokud provádí profilování fyzických osob. V takovém případě nelze uplatnit výjimku.
Jakou roli hraje vaše organizace?
Zákon o umělé inteligenci rozlišuje v tomto řetězci několik rolí. Pro většinu organizací jsou důležité dvě z nich. Strana, která vyvíjí systém umělé inteligence nebo jej uvádí na trh pod svým vlastním jménem či ochrannou známkou, se kvalifikuje jako poskytovatel. Strana, která používá systém umělé inteligence v rámci své vlastní obchodní činnosti, aniž by jej vyvinula, se obecně kvalifikuje jako nasazení.
Toto rozdělení rolí není statické. Organizace, která podstatně upraví zakoupený systém, dodá jej dále pod svým vlastním jménem nebo ochrannou známkou nebo změní jeho zamýšlený účel, může být stále považována za poskytovatele, a proto se na ni mohou vztahovat přísnější povinnosti. Pro každý systém stanovte, jakou roli plníte, a toto hodnocení zaznamenejte.
Hlavní povinnosti
Poskytovatelé vysoce rizikových systémů umělé inteligence podléhají povinnostem, včetně těch, které jsou uvedeny v článcích 8 až 17, 43 a 47 až 49:
- systém řízení rizik pokrývající celý životní cyklus
- správa dat, včetně odhalování a opravy zkreslení v použitých datech, a to i v oblasti školení, validace a testování dat
- technická dokumentace v souladu s přílohou IV a protokolování událostí
- jasné pokyny k použití pro implementátory
- návrh umožňující efektivní lidský dohled
- požadavky na přesnost, robustnost a kybernetickou bezpečnost
- systém řízení jakosti, posouzení shody, prohlášení EU o shodě, označení CE a registrace v databázi EU
Pro vysoce rizikové systémy umělé inteligence používané pro dálkovou biometrickou identifikaci, jak je uvedeno v příloze III bodě 1 písm. a), ukládá článek 14 odst. 5 dodatečný požadavek na lidský dohled: na základě identifikace nesmí být přijata žádná opatření ani rozhodnutí, pokud nebyla samostatně ověřena a potvrzena alespoň dvěma fyzickými osobami s potřebnou kompetencí, školením a pravomocí. Toto je známé jako princip čtyř očí.
Nasazení podléhají lehčím, ale neméně důležitým povinnostem podle článků 26 a 27: používání v souladu s návodem k použití, kompetentní lidský dohled, sledování provozu systému, hlášení rizik a závažných incidentů a uchovávání protokolů po dobu nejméně šesti měsíců. Zaměstnanci, kteří budou se systémem pracovat, a osoby, na které se vztahuje, musí být předem informováni.
Někteří provozovatelé musí rovněž provést posouzení dopadu na základní práva, a to posouzení dopadu na základní práva podle článku 27. To se v každém případě vztahuje na veřejnoprávní subjekty, soukromé poskytovatele veřejných služeb a provozovatele využívající systémy pro bodování úvěrů nebo pro posuzování pojistných rizik v životním a zdravotním pojištění.
Časová osa a aktuální stav
Zákon o umělé inteligenci vstoupil v platnost 1. srpna 2024 a jeho použitelnost se stává postupnou. V praxi je důležité rozlišovat mezi povinnostmi, které již platí, povinnostmi s budoucím datem použitelnosti a oznámenými změnami, jejichž formální vstup v platnost dosud nebyl dokončen.
Zakázané praktiky (článek 5): Platné od 2. února 2025
Gramotnost v oblasti umělé inteligence (článek 4): Platí od 2. února 2025
Modely umělé inteligence pro všeobecné použití: Platí od 2. srpna 2025
Povinnosti transparentnosti (článek 50): Platí od 2. srpna 2026; neodkládá se
Vysoké riziko prostřednictvím přílohy III: Formálně stále 2. srpna 2026; po vstupu Omnibusu v platnost nejpozději 2. prosince 2027
Vysoké riziko prostřednictvím přílohy I: Formálně stále 2. srpna 2027; po vstupu Omnibusu v platnost nejpozději 2. srpna 2028
Dne 19. listopadu 2025 zveřejnila Evropská komise balíček Digital Omnibus, v němž navrhla odložit uplatňování povinností pro vysoce rizikové systémy umělé inteligence. Předběžné politické dohody bylo dosaženo 7. května 2026. Evropský parlament balíček schválil dne 16. června 2026 a Rada jej konečně schválila dne 29. června 2026.
K datu vypracování tohoto článku však zveřejnění v Úředním věstníku Evropské unie dosud nebylo dokončeno. Novela vstupuje v platnost třetí den po tomto zveřejnění. Do té doby zůstává použitelným právem původní časový harmonogram zákona o umělé inteligenci, přičemž 2. srpen 2026 je datem uplatnění povinností týkajících se vysokého rizika podle přílohy III. Zveřejnění před tímto datem se všeobecně očekává, ale zatím to nebylo potvrzeno.
Odklad je navíc strukturován podmíněně. Uplatňování povinností pro vysoce rizikové systémy umělé inteligence je vázáno na rozhodnutí Komise, které stanoví, že jsou k dispozici nezbytné harmonizované normy a podpůrné nástroje, po němž bude následovat přechodné období. Data 2. prosince 2027 a 2. srpna 2028 fungují spíše jako záložní data než jako pouhé odložení.
Dva body si zaslouží samostatnou pozornost. Zaprvé, povinnosti týkající se transparentnosti podle článku 50 a povinnosti týkající se gramotnosti v oblasti umělé inteligence podle článku 4 nebyly odloženy: zůstávají v původním časovém rámci. Zadruhé, balíček přidává do článku 5 nový zákaz zaměřený na aplikace umělé inteligence generující intimní snímky bez souhlasu a na materiál zobrazující sexuální zneužívání dětí generovaný umělou inteligencí.
Pro organizace to znamená, že plánování s ohledem na prosinec 2027 je rozumné, ale vedení záznamů by prozatím mělo být uspořádáno tak, jako by byl stále závazný srpen 2026, dokud Úřední věstník nestanoví jinak.
Dohled a sankce
V Nizozemsku k datu vypracování tohoto článku stále chybí prováděcí legislativa k zákonu o umělé inteligenci. Očekává se, že nizozemský Úřad pro digitální infrastrukturu a nizozemský Úřad pro ochranu osobních údajů převezmou ústřední koordinační roli, přičemž odvětvové orgány dohledu zůstanou odpovědné ve svých vlastních oblastech. Přesné rozdělení pravomocí a jeho zákonný základ však musí být stanoveny na základě konečného znění nizozemských prováděcích právních předpisů.
Článek 99 zákona o umělé inteligenci stanoví několik maximálních kategorií trestů. Jejich výše závisí na povaze porušení a případně na celosvětovém ročním obratu podniku. Nejvyšší maximum se vztahuje na porušení zakázaných praktik uvedených v článku 5; nižší maximum se vztahuje na porušení ostatních povinností, včetně povinností poskytovatelů a provozovatelů vysoce rizikových systémů umělé inteligence; a nejnižší maximum se vztahuje na poskytování nesprávných, neúplných nebo zavádějících informací orgánům. Příznivější režim se vztahuje na malé a střední podniky (MSP), včetně začínajících podniků. Skutečná výše trestu se stanoví s ohledem na platná pravidla pro sankce a okolnosti případu.
Praktický plán
- Proveďte inventuru všech systémů umělé inteligence, které vaše organizace vyvíjí, nakupuje nebo používá.
- Pro každý systém stanovte, jakou roli plníte: poskytovatele nebo implementátora.
- Určete kategorii rizika pro každý systém a zdokumentujte toto posouzení, včetně jakéhokoli uplatnění výjimky v článku 6(3).
- Nastavte řízení umělé inteligence a jmenujte odpovědného pracovníka.
- Zajistit gramotnost v oblasti umělé inteligence u zaměstnanců pracujících s těmito systémy; tato povinnost již platí.
- Připravit opatření k zajištění transparentnosti podle článku 50 s výhledem do 2. srpna 2026.
- Včas začněte s technickou dokumentací a v případě potřeby i s posouzením dopadů na základní práva.
- Prověřte smlouvy s dodavateli, pokud jde o rozdělení rolí, poskytování informací a auditorská práva.
- Sledujte zveřejnění souhrnného balíčku v Úředním věstníku a podle toho upravte své plánování.
Závěr
Zákon o umělé inteligenci zásadně ovlivňuje způsob, jakým organizace vyvíjejí, nakupují a používají umělou inteligenci. Oznámené odložení povinností týkajících se vysokého rizika poskytuje dodatečný čas, ale zatím se nejedná o platný právní předpis a povinnosti, které již platí nebo nabývají účinnosti 2. srpna 2026, jím nejsou dotčeny. Obezřetným přístupem je proto plánovat s ohledem na nová data a zároveň zůstat připraven na ta stará. Širší přehled o nařízení naleznete v našem Kompletním průvodci zákonem EU o umělé inteligenci , který doplňuje zaměření tohoto článku na vysoce rizikové systémy umělé inteligence.
Law & More pomáhá organizacím inventarizovat a klasifikovat jejich systémy umělé inteligence, určit jejich roli jako poskytovatele nebo implementátora, kontrolovat a navrhovat smlouvy s dodavateli umělé inteligence a nastavit správu a řízení umělé inteligence. Chcete vědět, jaké povinnosti se na vaši organizaci v současné době vztahují a které kroky by měly být upřednostněny? Neváhejte nás kontaktovat pro nezávaznou diskusi.
Často kladené otázky
Níže odpovídáme na otázky, které nám k tomuto tématu dostávají nejčastěji.
Co je zákon o umělé inteligenci?
Evropské nařízení o umělé inteligenci (nařízení (EU) 2024/1689). Vstoupilo v platnost 1. srpna 2024 a je postupně uplatňováno, přičemž povinnosti se zpřísňují s rostoucím rizikem, které systém umělé inteligence představuje.
Kdy je systém umělé inteligence vysoce rizikový?
Dvěma cestami: jako součást produktu, na který se vztahují právní předpisy o produktech uvedené v příloze I, nebo prostřednictvím použití v jedné z oblastí uvedených v příloze III. V druhém případě není samotná oblast rozhodující; bere se v úvahu také specifická funkce a podmínky článku 6.
Může systém podle přílohy III přesto spadat mimo kategorii vysoce rizikových?
Ano, pokud to nepředstavuje žádné významné riziko a podstatně neovlivňuje rozhodování, například pokud provádí úzký procesní nebo čistě přípravný úkol. Toto posouzení musí být zdokumentováno. Pokud systém provádí profilování fyzických osob, výjimka se nikdy neuplatní.
Jsem poskytovatel nebo implementátor?
Poskytovatelem jste, pokud systém vyvíjíte nebo uvádíte na trh pod svým vlastním jménem či ochrannou známkou, a obecně implementátorem, pokud používáte zakoupený systém. Pokud zakoupený systém podstatně upravíte nebo jej dále dodáte pod svým vlastním jménem, stále se můžete stát poskytovatelem.
Jaké povinnosti se vztahují na poskytovatele?
Mimo jiné řízení rizik, správa dat, technická dokumentace, protokolování, návod k použití, lidský dohled, požadavky na přesnost a kybernetickou bezpečnost, systém řízení kvality, posuzování shody, označení CE a registrace v databázi EU.
Jaké povinnosti se vztahují na implementátory?
Používání v souladu s pokyny, kompetentní lidský dohled, monitorování, hlášení rizik a závažných incidentů a uchovávání protokolů po dobu nejméně šesti měsíců. Zapojení zaměstnanci a osoby, na které je systém aplikován, musí být předem informováni.
Kdy musí být provedeno posouzení dopadu na základní práva?
Článek 27 to vyžaduje mimo jiné od subjektů veřejnoprávních, soukromých poskytovatelů veřejných služeb a poskytovatelů využívajících systémy pro bodování úvěrů nebo pro posuzování pojistných rizik v životním a zdravotním pojištění.
Byly odloženy vysoce rizikové závazky?
Přijatá změna odkládá použitelnost nejpozději do 2. prosince 2027 pro přílohu III a do 2. srpna 2028 pro přílohu I. K referenčnímu datu tohoto článku nebyla tato změna dosud zveřejněna v Úředním věstníku, takže formálně stále platí původní datum 2. srpna 2026.
Co už dnes platí?
Zakázané praktiky podle článku 5 a povinnost gramotnosti v oblasti umělé inteligence od 2. února 2025 a pravidla pro modely umělé inteligence pro všeobecné použití od 2. srpna 2025. Povinnosti transparentnosti podle článku 50 nabývají účinnosti dnem 2. srpna 2026 a nebyly odloženy.
Kdo dohlíží na zákon o umělé inteligenci v Nizozemsku?
Stále chybí prováděcí legislativa. Očekává se, že nizozemský Úřad pro digitální infrastrukturu a nizozemský Úřad pro ochranu osobních údajů převezmou ústřední koordinační roli spolu s odvětvovými dozorci. Konečné rozdělení pravomocí bude následovat po nizozemské prováděcí legislativě.
Co by měla moje organizace nyní udělat?
Začněte s inventářem všech systémů umělé inteligence, které vyvíjíte, kupujete nebo používáte. U každého systému zaznamenejte, jakou roli máte, která kategorie rizika se na vás vztahuje a jaké povinnosti z toho vyplývají. Nastavte také správu a řízení umělé inteligence, zajistěte gramotnost v oblasti umělé inteligence a zkontrolujte smlouvy s dodavateli týkající se rozdělení rolí, poskytování informací a auditorských práv.
