Článek 19 — Automaticky generované protokoly (EU AI Act)

Článek 19 nařízení (EU) 2024/1689 — Automaticky generované protokoly. Oficiální text, praktický výklad, klíčové povinnosti a dopady na soulad s předpisy.

Shrnutí oficiálního textu

Článek 19 nařízení (EU) 2024/1689 stanoví povinnost protokolování, která působí na dvou úrovních: povinnost při návrhu pro poskytovatele a provozní povinnost pro nasazovatele.

Na straně poskytovatele článek 19 odst. 1 požaduje, aby vysoce rizikové systémy AI byly technicky schopné automaticky generovat protokoly svého provozu po celou dobu svého životního cyklu. Poskytovatelé musí tuto schopnost zabudovat do systému v míře technicky proveditelné a zajistit, aby události mohly být zaznamenávány bez manuálního zásahu. To se přímo váže na širší rámec transparentnosti a sledovatelnosti hlavy III.

Na straně nasazovatele článek 19 odst. 2 požaduje, aby nasazovatelé uchovávali protokoly automaticky generované vysoce rizikovými systémy AI, které provozují. Minimální doba uchovávání je šest měsíců, pokud právo Unie nebo příslušného členského státu nestanoví delší dobu. Odvětvová regulace — například v oblasti financí, zdravotnictví nebo kritické infrastruktury — tento výchozí minimum často překračuje.

Protokoly zamýšlené článkem 19 slouží několika účelům souladu: podporují monitorování po uvedení na trh podle článku 72, usnadňují hlášení incidentů podle článku 73 a poskytují důkazní základ potřebný národním příslušným orgánům při provádění tržního dozoru podle kapitoly VI. Článek sám o sobě nepředepisuje přesný technický formát ani granularitu protokolů, přičemž tyto podrobnosti ponechává na harmonizovaných normách a požadavcích na technickou dokumentaci článku 11 a přílohy IV.

Co to znamená v praxi

Pro organizace nasazující vysoce rizikové systémy AI zavádí článek 19 konkrétní povinnost uchovávání dat, která musí být zabudována do provozních procesů od prvního dne nasazení.

Nasazovatelé musí nejprve ověřit, že systém AI, který používají, je technicky schopný automaticky generovat protokoly. Pokud poskytovatel dodá systém, který tuto schopnost postrádá tam, kde je technicky proveditelná, je poskytovatel v rozporu se svými vlastními povinnostmi — nasazovatel však stále nese odpovědnost za provedení přiměřené náležité péče před nasazením, jak požaduje článek 26.

V praxi to znamená, že nasazovatelé by měli od poskytovatelů žádat jasnou dokumentaci potvrzující přítomnost funkce protokolování, popisující, jaké události jsou protokolovány, a specifikující formát protokolu. Tato dokumentace by měla tvořit součást smluvních ujednání mezi poskytovatelem a nasazovatelem.

Po zahájení provozu musí nasazovatelé implementovat politiku uchovávání protokolů pokrývající nejméně šest měsíců. Pro organizace působící v regulovaných odvětvích je toto výchozí minimum téměř vždy prodlouženo: nemocnice nasazující nástroj diagnostiky s asistencí AI bude muset sladit uchovávání protokolů s legislativou o zdravotnické dokumentaci; banka nasazující systém AI pro kreditní skórování musí zohlednit pravidla uchovávání záznamů v oblasti finančních služeb, která často vyžadují uchovávání po dobu několika let.

Konkrétní provozní kroky zahrnují: určení odpovědnosti za ukládání protokolů a kontroly přístupu, zajištění toho, aby protokoly byly odolné vůči neoprávněným změnám a bezpečně uloženy, zavedení procesů pro rychlé získávání protokolů v reakci na regulatorní žádost nebo šetření incidentu a dokumentaci politiky uchovávání v rámci širšího správního rámce AI organizace.

Protokoly by měly zachycovat dostatek informací k rekonstrukci vstupů poskytnutých systému, generovaných výstupů, verze modelu v provozu a časování operací — čímž umožňují smysluplný zpětný přezkum.

Klíčové povinnosti

• Poskytovatelé musí navrhovat a budovat vysoce rizikové systémy AI tak, aby byly technicky schopné automaticky generovat protokoly svého provozu v míře technicky proveditelné po celou dobu provozního životního cyklu systému.
• Nasazovatelé musí uchovávat automaticky generované protokoly produkované vysoce rizikovými systémy AI, které provozují, po dobu nejméně šesti měsíců od data jejich generování, nebo déle, je-li to požadováno příslušným právem Unie nebo členského státu.
• Nasazovatelé musí zajistit, aby uchovávané protokoly byly přístupné, bezpečné a schopné být poskytnuty národním příslušným orgánům na žádost během tržního dozoru nebo šetření incidentů.
• Poskytovatelé musí dokumentovat schopnost protokolování svého systému — včetně toho, co je protokolováno, formátu protokolu a veškerých známých technických omezení — jako součást technické dokumentace požadované podle článku 11 a přílohy IV.
• Tam kde odvětvová regulace ukládá přísnější nebo delší požadavky na uchovávání, musí nasazovatelé tyto požadavky uplatňovat vedle výchozího minima šesti měsíců a namísto něj.
• Nasazovatelé musí zajistit, aby infrastruktura protokolování byla udržována po celou dobu používání vysoce rizikového systému AI a aby byla chráněna integrita protokolů před neoprávněnými změnami nebo neúmyslným smazáním.

Vztah k ostatním článkům

Článek 19 je součástí kapitoly 3 hlavy III a musí být chápán jako součást integrovaného rámce sledovatelnosti, nikoli jako izolovaná povinnost.

Přímo se váže na článek 12 (Vedení záznamů), který požaduje, aby vysoce rizikové systémy AI byly navrženy tak, aby umožňovaly vedení záznamů o svém provozu, a na článek 11 a přílohu IV, které specifikují, jakou technickou dokumentaci musí poskytovatelé udržovat, včetně popisů schopnosti protokolování.

Článek 19 vstupuje do článku 72 (Monitorování po uvedení na trh), který požaduje, aby poskytovatelé aktivně monitorovali výkon systému v praxi — protokoly jsou primárním zdrojem dat pro toto monitorování. Rovněž podporuje článek 73 (Hlášení závažných incidentů), kde protokoly poskytují důkazní základ pro pochopení toho, co se během incidentu stalo.

Protokoly uchovávané podle článku 19 patří mezi záznamy, které mohou národní příslušné orgány požadovat při výkonu svých pravomocí tržního dozoru podle článků 74 a 75. Nakonec přidělení odpovědností mezi poskytovatele a nasazovatele vyjádřené v článku 19 odráží širší rámec stanovený článkem 25 (Odpovědnosti v rámci hodnotového řetězce) a článkem 26 (Povinnosti nasazovatelů).

Časový harmonogram souladu

Nařízení EU AI Act vstoupilo v platnost 1. srpna 2024, čímž zahájilo postupný harmonogram použití.

Článek 19 spadá do hlavy III, kapitoly 3, která upravuje povinnosti pro poskytovatele a nasazovatele vysoce rizikových systémů AI. Obecné datum použití pro povinnosti vysoce rizikových systémů AI — včetně článku 19 — je 2. srpen 2026 pro systémy uvedené v příloze III (vysoce rizikové aplikace v oblastech jako vzdělávání, zaměstnanost, základní služby a vymáhání práva). Pro vysoce rizikové systémy AI zahrnuté v příloze I (bezpečnostní součásti produktů regulovaných stávajícími harmonizačními právními předpisy Unie) se povinnosti použijí od 2. srpna 2027, v souladu s obnovením nebo prvním vydáním příslušných posouzení shody produktů.

Dřívější milníky použití zahrnují zákaz nepřijatelných praktik AI (článek 5), který platil od 2. února 2025, a povinnosti týkající se modelů AI pro obecné účely (hlava VII), které platily od 2. srpna 2025.

Organizace nasazující vysoce rizikové systémy AI by měly považovat datum 2. srpna 2026 za pevnou lhůtu souladu pro povinnosti podle článku 19, avšak měly by začít navrhovat politiky uchovávání protokolů, přezkoumávat smlouvy s poskytovateli a slaďovat se s odvětvovými zákony o uchovávání dat s dostatečným předstihem — složitost správy podnikových dat ztěžuje soulad na poslední chvíli.