Článek 2 — Rozsah působnosti (nařízení EU o umělé inteligenci)

Článek 2 nařízení (EU) 2024/1689 — Rozsah působnosti. Oficiální znění, praktický výklad, klíčové povinnosti a důsledky pro soulad s předpisy.

Shrnutí oficiálního znění

Článek 2 nařízení (EU) 2024/1689 vymezuje věcný a územní rozsah působnosti nařízení EU o umělé inteligenci. Stanoví, kteří aktéři, systémy a okolnosti spadají do působnosti tohoto nařízení.

Ratione personae se nařízení vztahuje na: (1) poskytovatele, kteří uvádějí systémy umělé inteligence na trh Unie nebo je uvádějí do provozu v EU, bez ohledu na místo jejich usazení; (2) provozovatele systémů umělé inteligence, kteří jsou usazeni nebo se nacházejí v EU; (3) poskytovatele a provozovatele usazené ve třetích zemích, pokud je výstup systému umělé inteligence používán v Unii; (4) dovozce a distributory systémů umělé inteligence; a (5) výrobce produktů, kteří uvádějí systémy umělé inteligence jako bezpečnostní komponenty regulovaných výrobků na trh Unie.

Článek 2 dále objasňuje, že nařízení se nevztahuje na systémy umělé inteligence vyvinuté nebo používané výhradně pro vojenské účely, účely národní bezpečnosti nebo obrany, ani na systémy umělé inteligence používané orgány veřejné moci třetích zemí nebo mezinárodními organizacemi v kontextu mezinárodních dohod o spolupráci v oblasti vymáhání práva a soudní spolupráce. Mimo rozsah působnosti rovněž padají systémy umělé inteligence, které ještě nebyly uvedeny na trh a nacházejí se ve fázi výzkumu a vývoje, před jejich zpřístupněním uživatelům.

Pokud je provozovatel nebo poskytovatel usazen mimo EU, avšak výstup systému umělé inteligence je používán v EU, nařízení se přesto uplatňuje, čímž se zavádí silný extrateritoriální dosah srovnatelný s modelem GDPR.

Co to znamená v praxi

Článek 2 určuje, zda vaše organizace musí vůbec dodržovat nařízení EU o umělé inteligenci — jde o prahovou otázku, na kterou musí každý právní tým a tým pro zajištění souladu s předpisy odpovědět před tím, než lze posoudit jakékoli povinnosti.

U společností se sídlem v EU je analýza přímočará: pokud vyvíjíte, provozujete, dovážíte, distribuujete nebo integrujete systémy umělé inteligence do produktů nebo služeb dostupných v EU, spadáte do působnosti. To zahrnuje poskytovatele SaaS nabízejících funkce s využitím umělé inteligence, podniky nasazující nástroje AI v oblasti HR, půjček nebo zdravotnictví a výrobce začleňující umělou inteligenci do fyzických produktů podléhajících stávajícím právním předpisům EU v oblasti bezpečnosti výrobků.

U společností se sídlem mimo EU je klíčovým testem otázka, zda výstup systému umělé inteligence dosahuje fyzických nebo právnických osob v EU nebo je ovlivňuje. Americká společnost poskytující nástroj AI pro prověřování uchazečů o zaměstnání používaný evropskými pobočkami nadnárodních společností je například v působnosti, i když sama nemá žádnou přítomnost v EU. Tito poskytovatelé musí určit oprávněného zástupce v Unii.

V praxi by týmy pro zajištění souladu s předpisy měly nejprve zmapovat každý systém umělé inteligence, který je v provozu nebo ve vývoji, a poté na každý z nich uplatnit kritéria článku 2. Systémy používané výhradně pro interní výzkum a vývoj — nezasazené koncovým uživatelům — mohou být zdokumentovány jako mimo rozsah působnosti, tento stav však musí být aktivně udržován a přehodnocen při nasazení. Výjimky pro vojenské a bezpečnostní účely jsou úzké a nemělo by se bez pečlivého právního posouzení předpokládat, že se vztahují na systémy dvojího užití nebo nástroje pro vymáhání práva.

Poskytovatelé modelů s otevřeným zdrojovým kódem mají určité výhody v podobě lehčích povinností, ale zůstávají v působnosti pro zakázané praktiky a vysoce riziková zařazení.

Klíčové povinnosti

• Stanovení rozsahu působnosti: Organizace musí kladně určit, zda spadají do jedné z definovaných kategorií aktérů (poskytovatel, provozovatel, dovozce, distributor nebo výrobce produktu), a to před posouzením, jaká úroveň povinností se na ně vztahuje.
• Extrateritoriální soulad: Poskytovatelé ze třetích zemí, jejichž výstupy systémů umělé inteligence jsou používány v Unii, musí dodržovat nařízení a určit oprávněného zástupce usazeného v EU.
• Jasné vymezení rolí: Pokud stejná organizace jedná současně jako poskytovatel i provozovatel, vztahují se na ni kumulativně obě sady povinností; organizace musí každou roli samostatně dokumentovat a spravovat.
• Dokumentace hranic výzkumu a vývoje: Organizace, které se opírají o výjimku pro výzkum a vývoj, musí uchovávat jasné záznamy prokazující, že systém nebyl uveden na trh ani do provozu, a musí rozsah působnosti přehodnocovat v každé fázi vývoje.
• Restriktivní výklad výjimek: Výjimky pro vojenské, bezpečnostní a obranné účely musí být uplatňovány striktně; systémy umělé inteligence dvojího užití nebo systémy používané v obecném kontextu vymáhání práva se pro výjimku automaticky nekvalifikují.
• Určení oprávněného zástupce: Poskytovatelé ze třetích zemí v působnosti nařízení musí formálně určit a zdokumentovat oprávněného zástupce v EU jako součást své infrastruktury pro zajištění souladu s předpisy.

Vztah k ostatním článkům

Článek 2 je vstupním bodem celého regulačního rámce a musí být čten spolu s několika základními ustanoveními. Článek 3 (Definice) je nezbytný pro výklad klíčových pojmů používaných v článku 2, zejména definic „systému umělé inteligence", „poskytovatele" a „provozovatele", které určují rozsah působnosti. Článek 5 (Zakázané praktiky v oblasti umělé inteligence) se vztahuje na všechny aktéry v působnosti bez ohledu na kategorii rizika, přičemž správné stanovení rozsahu působnosti podle článku 2 je předpokladem pro posouzení nejzávažnějších povinností. Článek 6 (Klasifikace vysoce rizikových systémů umělé inteligence) a článek 51 (Klasifikace modelů GPAI) se stávají relevantními teprve po potvrzení rozsahu působnosti podle článku 2. U organizací, které využívají cestu poskytovatele ze třetí země, článek 2 přímo navazuje na článek 25 (Povinnosti dovozců) a článek 26 (Povinnosti distributorů). Extrateritoriální dosah zakotvený v článku 2 zrcadlí logiku článku 3 GDPR a regulační orgány potvrdily, že tato ustanovení by měla být vykládána konzistentně.

Časový harmonogram souladu s předpisy

Článek 2 vstoupil v platnost dne 1. srpna 2024, dvacet dní po zveřejnění nařízení v Úředním věstníku EU. Jeho praktické povinnosti se však aktivují podle fázovaného harmonogramu uplatňování nařízení:

• 2. února 2025: Rozsah působnosti článku 2 se plně uplatňuje v souvislosti se zakázanými praktikami v oblasti umělé inteligence podle článku 5 — organizace musely do tohoto data dokončit stanovení rozsahu působnosti, aby mohly posoudit, zda některý z jejich systémů spadá do zakázaných kategorií.
• 2. srpna 2025: Rozsah působnosti se vztahuje na poskytovatele modelů umělé inteligence pro obecné účely (GPAI) podle hlavy VIII (články 51–56), včetně hodnocení systémového rizika a povinností transparentnosti.
• 2. srpna 2026: Stávají se uplatnitelné povinnosti pro instituce a orgány EU používající systémy umělé inteligence podle článku 2 odst. 1 písm. h).
• 2. prosince 2026: Rozsah působnosti článku 2 se vztahuje na vysoce rizikové systémy umělé inteligence uvedené v příloze I (bezpečnostní komponenty regulovaných výrobků).
• 2. srpna 2027: Plné uplatňování na vysoce rizikové systémy umělé inteligence uvedené v příloze III (samostatné vysoce rizikové aplikace v oblastech, jako je zaměstnanost, vzdělávání, kritická infrastruktura a vymáhání práva).

Organizace by měly považovat srpen 2024 za datum, od kterého měla být zahájena mapovací cvičení rozsahu působnosti, přičemž každý následující termín vyvolává odpovídající pracovní tok zajišťování souladu s předpisy.