Povinnosti podle Aktu o AI pro společnosti působící ve více členských státech

Horizontální technická a bezpečnostní regulace podle Aktu o AI

Akt o AI je přímo použitelný ve všech členských státech bez nutnosti vnitrostátní transpozice. Zásadní aspekty, jako je určení konkrétních orgánů dozoru nad trhem, procesní pravidla a přesné sazby pokut, však zůstávají v kompetenci jednotlivých členských států.

Věcně nařízení funguje především jako rámec pro bezpečnost výrobků, jehož cílem je zajistit bezpečné a důvěryhodné nasazení AI, spíše než přímo rozšiřovat katalog individuálních práv. Nařízení proto stanovuje přísné technické specifikace pro vysoce rizikové systémy, které zahrnují správu dat, posuzování shody i monitorování po uvedení na trh.

Uplatňováním Aktu o AI není nijak dotčeno nařízení GDPR. Otázky ochrany osobních údajů, včetně omezení automatizovaného rozhodování, se nadále řídí stávajícími unijními předpisy na ochranu soukromí, které Akt o AI doplňuje o specifické technické a organizační požadavky.

Jako horizontální vrstva se Akt o AI integruje se stávajícími odvětvovými pravidly, včetně regulace finančních služeb, norem pro zdravotnické prostředky a rámců kybernetické bezpečnosti, jako jsou NIS2 a DORA. Pro přeshraničně působící podniky tato horizontální integrace vyžaduje komplexní compliance rámec pokrývající celý životní cyklus AI od počátečního návrhu až po vyřazení z provozu.

Přístup založený na posuzování rizik a klasifikace systémů

Základním prvkem nařízení je přístup založený na posuzování rizik, který odstupňuje compliance povinnosti podle potenciálního dopadu systému AI na bezpečnost, zdraví a základní práva. Rámec rozděluje systémy do čtyř odlišných kategorií rizik: nepřijatelné riziko, vysoké riziko, omezené riziko a minimální riziko.

Systémy představující nepřijatelné riziko, jako je sociální skórování zaměstnavateli nebo podprahová manipulace, podléhají přísnému a univerzálnímu zákazu ve všech členských státech. Vysoce rizikové systémy, včetně AI využívané při náboru, hodnocení úvěruschopnosti (credit scoring) nebo v kritické infrastruktuře, musí před uvedením na trh splňovat nejnáročnější compliance standardy.

Systémy s omezeným rizikem podléhají základním požadavkům na transparentnost, například upozornění uživatelů na to, že komunikují s chatboty nebo generátory umělého obsahu. U aplikací s minimálním rizikem, jako jsou běžné spamové filtry, Akt o AI neukládá žádné specifické technické povinnosti nad rámec zajištění základní gramotnosti zaměstnanců v oblasti AI.

Harmonogram implementace a plánování compliance

Akt o AI zavádí fázovaný harmonogram implementace, který organizacím poskytuje dostatek času na přizpůsobení jejich systémů novým požadavkům. Tento postupný přechod vyžaduje okamžité strategické plánování, aby se předešlo závažným provozním výpadkům.

Zákazy nepřijatelných praktik nabývají účinnosti v únoru 2025, následovány povinnostmi pro modely AI pro obecné účely v srpnu 2025. Většina požadavků na shodu pro vysoce rizikové systémy začne platit v srpnu 2026, přičemž specifické systémy integrované do výrobků mají čas na splnění požadavků do roku 2028.

Ačkoli je harmonogram implementace v celé EU jednotný, národní orgány budou disponovat různými kapacitami, prioritami a postupy vymáhání. Nadnárodní korporace proto musí zavést centralizovaný systém sledování, který umožní efektivně řídit regionální rozdíly a milníky.

Věcná a územní působnost v mezinárodním provozu

Věcná působnost Aktu o AI vychází z technologicky neutrální definice systému AI v souladu se standardy OECD. Zahrnuje systémy navržené tak, aby fungovaly s různou mírou autonomie a vyvozovaly, jak generovat výstupy, jako jsou předpovědi, obsah, doporučení nebo rozhodnutí.

Zásadní je, že Akt o AI má silný extrateritoriální účinek, který přímo dopadá i na subjekty mimo EU. Pokud mateřská společnost se sídlem mimo EU provozuje centralizovaný prediktivní model a její evropské dceřiné společnosti využívají jeho výstupy, je mateřská společnost klasifikována jako poskytovatel.

V důsledku toho musí poskytovatelé ze zemí mimo EU jmenovat zplnomocněného zástupce v Unii, vypracovat vyčerpávající technickou dokumentaci a projít formálním posouzením shody. Mapování datových toků a právních rolí v rámci celé korporátní skupiny se tak stává nezbytnou prioritou.

Převodní ceny a daňové dopady centralizované AI

Centralizace vývoje a hostingu systémů AI v rámci jediné nadnárodní entity s sebou nese značná rizika v oblasti převodních cen a mezinárodního zdanění. Pokud jedna dceřiná společnost vyvíjí algoritmy, které jiné pobočky využívají bez úplaty na principu tržního odstupu (arm's length), mohou daňové orgány toto nastavení napadnout.

Skupiny působící ve více jurisdikcích musí provést podrobnou analýzu funkcí vývoje, vylepšování, údržby, ochrany a využití (DEMPE). Určení, která entita nese skutečná finanční rizika a kontroluje duševní vlastnictví, je zásadní pro vytvoření obhajitelné dokumentace k převodním cenám.

Nesoulad mezi touto provozní realitou a daňovými přiznáními může vést k doměrkům daně z příjmů právnických osob, sankcím za nesprávné převodní ceny a neočekávané srážkové dani. Právní a daňové týmy musí úzce spolupracovat, aby zajistily, že regulatorní dokumentace odpovídá ekonomické politice převodních cen dané skupiny.

Rozdělení rolí a povinností v hodnotovém řetězci AI

Akt o AI stanovuje jasné právní odpovědnosti na základě konkrétní role, kterou organizace v hodnotovém řetězci AI hraje. Tyto role zahrnují poskytovatele, nasazující subjekty, dovozce a distributory, přičemž každá z nich nese odlišnou regulatorní zátěž.

Podle článku 25 na sebe jakýkoli distributor, dovozce nebo nasazující subjekt, který podstatně upraví vysoce rizikový systém nebo změní jeho zamýšlený účel, přebírá veškeré právní odpovědnosti poskytovatele. Tento posun vyžaduje přísnou kontrolu, protože lokální úpravy provedené dceřinou společností mohou neúmyslně přenést náročné compliance povinnosti z původního vývojáře na místní pobočku.

Poskytovatelé vysoce rizikových systémů musí zavést komplexní systémy řízení kvality, udržovat podrobnou technickou dokumentaci a zajistit automatické protokolování událostí systému. Musí také provést formální posouzení shody a zaregistrovat své systémy v centralizované databázi EU.

Nasazující subjekty jsou naopak odpovědné za provozování systémů v souladu s poskytnutými pokyny, zajištění kvalifikovaného lidského dohledu a monitorování vstupních dat. Musí rovněž uchovávat protokoly generované systémem po dobu nejméně šesti měsíců a plnit informační povinnosti vůči zaměstnancům ohledně automatizovaného rozhodování.

Řízení těchto sdílených povinností v nadnárodním uspořádání vyžaduje jasná smluvní ujednání a smlouvy o úrovni služeb (SLA). Organizace musí výslovně definovat, kdo spravuje lokální adaptace, monitoruje hlášení incidentů a koordinuje komunikaci s místními orgány dozoru nad trhem.

Řízení klasifikace vysoce rizikové AI a přeshraničních rizik

Správná klasifikace zůstává základním kamenem každého podnikového compliance programu podle Aktu o AI. Nařízení kombinuje klasifikaci bezpečnostních komponent podle harmonizovaných právních předpisů EU o výrobcích se samostatnými systémy ovlivňujícími základní práva.

Článek 6 odst. 3 zavádí úzkou výjimku pro systémy, které plní čistě pomocné úkoly a nepředstavují významné riziko. Tato výjimka je však striktně vyloučena pro jakýkoli systém provádějící profilování fyzických osob, který zůstává za všech okolností klasifikován jako vysoce rizikový.

V podnikovém kontextu se vysoce rizikové systémy nejčastěji vyskytují v oblasti lidských zdrojů, finančního skórování a dálkové biometrické identifikace. Provozování těchto systémů ve více státech vyžaduje strukturované zmírňování rizik a přeshraniční koordinaci.

Institucionální správa a vymáhání v členských státech

Struktura vymáhání Aktu o AI kombinuje centralizovanou evropskou koordinaci s decentralizovaným vnitrostátním dozorem nad trhem. Zatímco Evropský úřad pro AI dohlíží na modely pro obecné účely, národní orgány si ponechávají přímé pravomoci k vymáhání.

Toto decentralizované uspořádání přináší riziko regulatorní fragmentace, jelikož různé členské státy mohou vymáháním pověřit odlišné úřady s rozdílnými přístupy. V důsledku toho může tentýž systém AI čelit nestejné míře regulatorní kontroly, což vyžaduje jednotnou compliance strategii mateřské společnosti.

Sankce za nedodržení předpisů jsou přísné a dosahují až 35 milionů EUR nebo 7 procent celosvětového ročního obratu. Vzhledem k tomu, že pokuty pro nadnárodní skupiny se počítají z konsolidovaných celosvětových výnosů, mohou lokální pochybení ohrozit celou korporátní skupinu.

Za účelem zmírnění těchto rizik a podpory inovací ukládá Akt o AI členským státům povinnost zřídit do srpna 2026 národní regulatorní pískoviště (sandboxy). Účast v těchto kontrolovaných testovacích prostředích poskytuje společnostem zásadní právní jistotu a snižuje riziko předčasných postihů ze strany úřadů.

Strategická compliance a provozní integrace

Dosažení udržitelné shody vyžaduje strukturovaný proces mapování AI a vytvoření centralizovaného registru v rámci celého podniku. Organizace musí zmapovat všechny aktivní nástroje, určit jejich rizikové třídy a přiřadit jednotlivým entitám jasné právní role.

Správa AI navíc musí být integrována do stávajících rámců pro ochranu osobních údajů, kybernetickou bezpečnost a řízení odvětvových rizik. Propojení posouzení vlivu na základní práva se zavedeným posouzením vlivu na ochranu osobních údajů podle GDPR zamezí nákladným duplicitám v úsilí organizace.

Bezpečná workflow řešení pro přeshraniční compliance

Zvládnutí komplexních a víceúrovňových požadavků Aktu o AI představuje provozní výzvu, kterou nelze vyřešit izolovaným právním poradenstvím. Vyžaduje koordinaci desítek dokumentů, sledování regionálních legislativních změn a úzké sladění technických a právních týmů.

Ekosystém Anywhere.legal nabízí centralizované, bezpečné prostředí pro zvládnutí této komplexity – sdružuje veškerou technickou dokumentaci, zprávy o převodních cenách i systémové protokoly. Díky kombinaci bezpečných analytických nástrojů AI s finálním ověřením prověřenými lokálními právníky mění platforma compliance v efektivní a předvídatelný proces.

Tento hybridní model umožňuje nadnárodním podnikům rychle analyzovat smlouvy, transparentně stanovit náklady a získat odborné právní poradenství přizpůsobené jednotlivým členským státům. Díky strukturované koordinaci mohou organizace ochránit svůj provoz před vysokými sankcemi a zároveň si udržet technologický náskok.

Potřebujete mezinárodní právní pomoc? Spojte se s námi prostřednictvím Anywhere.legal. Naše platforma překlenuje propast mezi komplexní evropskou regulací a bezpečnou, lokální realizací.