Článek 20 — Nápravná opatření a povinnost informování (EU AI Act)

Článek 20 nařízení (EU) 2024/1689 — Nápravná opatření a povinnost informování. Oficiální text, praktický výklad, klíčové povinnosti a důsledky pro soulad s předpisy.

Shrnutí oficiálního textu

Článek 20 nařízení (EU) 2024/1689 zavádí povinná nápravná opatření a povinnost informování pro poskytovatele systémů AI s vysokým rizikem. Pokud má poskytovatel důvod se domnívat, že systém AI s vysokým rizikem, který uvedl na trh nebo do provozu, již nesplňuje požadavky stanovené v kapitole 2 hlavy III, musí tento poskytovatel neprodleně přijmout nezbytná nápravná opatření k obnovení souladu systému s předpisy, k jeho stažení z trhu nebo k jeho odvolání, podle toho, co je vhodné.

Poskytovatel je zároveň povinen informovat distributory systému a případně zplnomocněného zástupce, provozovatele a jakékoli jiné relevantní třetí strany o nesouladu a přijatých nápravných opatřeních. Pokud systém AI představuje riziko ve smyslu čl. 79 odst. 1, musí poskytovatel rovněž neprodleně informovat příslušné vnitrostátní orgány členských států, v nichž systém zpřístupnil, a případně notifikovaný orgán, který pro systém vydal certifikát, a poskytnout jim podrobnosti o nesouladu a přijatých nápravných opatřeních.

Článek tedy kombinuje dvě odlišné, ale propojené povinnosti: operativní povinnost jednat a obnovit soulad a informační povinnost zajistit, aby všichni aktéři v dodavatelském a provozním řetězci — včetně orgánů dozoru nad trhem — byli neprodleně informováni o situaci a krocích přijatých k jejímu řešení. Tato dvojí struktura zajišťuje, že rizika nezůstávají izolována uvnitř organizace poskytovatele, ale jsou včas sdělena v rámci regulačního a obchodního ekosystému.

Co to znamená v praxi

Pro organizace, které vyvíjejí nebo uvádějí na trh EU systémy AI s vysokým rizikem, vytváří článek 20 trvalou povinnost, která je permanentně aktivní po celou dobu životního cyklu systému. Soulad s předpisy nelze považovat za jednorázovou záležitost omezenou na počáteční posouzení shody.

Na koho se to vztahuje: Na každého poskytovatele systému AI s vysokým rizikem v rozsahu působnosti přílohy III nebo systémů podléhajících pravidlům klasifikace vysokého rizika podle článku 6. To zahrnuje výrobce, dovozce uvádějící systém třetí strany na trh EU pod vlastním názvem a právnické osoby ve třetích zemích, jejichž systémy jsou používány v EU prostřednictvím zplnomocněného zástupce.

Co spouští povinnost jednat: Prahovou hodnotou je „důvod se domnívat" — záměrně nízká důkazní laťka. Poskytovatel nepotřebuje jistotu o nesouladu; věrohodný základ pro obavy, ať už vyplývající z interních dat monitorování po uvedení na trh, zprávy provozovatele, stížnosti uživatele nebo dotazu regulátora, postačuje k aktivaci povinnosti.

Konkrétní příklad: Poskytovatel systému AI s vysokým rizikem používaného při hodnocení úvěruschopnosti zjistí prostřednictvím svého procesu monitorování po uvedení na trh (vyžadovaného podle článku 72), že přesnost systému se výrazně zhoršila pro chráněnou demografickou skupinu, což vyvolává potenciální porušení požadavků na zaujatost a robustnost podle článků 9 a 15. Podle článku 20 musí poskytovatel neprodleně posoudit možnosti nápravy (přetrénování, úprava parametrů, dočasné pozastavení), implementovat zvolené opatření, informovat všechny provozovatele, kteří systém v současnosti používají, a informovat příslušný vnitrostátní orgán dozoru nad trhem, pokud degradace představuje riziko ve smyslu čl. 79 odst. 1.

Dokumentace: Veškerá nápravná opatření a oznámení by měla být zaznamenána v technické dokumentaci vedené podle článku 18 a v záznamech uchovávaných podle článku 19, protože to budou primární důkazy přezkoumávané orgány.

Klíčové povinnosti

• Okamžitá nápravná opatření: Přijmout veškerá nezbytná opatření k obnovení souladu, stažení systému z trhu nebo jeho odvolání od provozovatelů a uživatelů, přiměřeně povaze a závažnosti zjištěného nesouladu.
• Oznámení v dodavatelském řetězci: Bez zbytečného odkladu informovat distributory, zplnomocněné zástupce a provozovatele o nesouladu a přijatých nápravných opatřeních.
• Oznámení orgánům: Pokud nesoulad představuje riziko ve smyslu čl. 79 odst. 1, informovat příslušné orgány dozoru nad trhem všech dotčených členských států a případný notifikovaný orgán, který pro systém vydal certifikát.
• Poskytnutí informací: Poskytnout vnitrostátním orgánům a notifikovaným orgánům úplné podrobnosti o nesouladu, jeho potenciálních důsledcích a přijatých nebo plánovaných nápravných opatřeních.
• Průběžná ostražitost: Udržovat systémy monitorování po uvedení na trh vyžadované podle článku 72, aby bylo zajištěno, že okolnosti vedoucí k nesouladu jsou včas odhaleny a nejsou ponechány bez řešení.
• Dokumentace opatření: Zaznamenávat veškerá nápravná rozhodnutí, vydaná oznámení a komunikaci s orgány jako součást průběžných povinností v oblasti technické dokumentace a systému řízení kvality podle článků 17, 18 a 19.

Vztah k ostatním článkům

Článek 20 stojí v operativním středu povinností poskytovatele v průběhu životního cyklu a je spojen s několika dalšími ustanoveními.

Předchází článku 73 (hlášení závažných incidentů), který se uplatní konkrétně tehdy, když systém AI s vysokým rizikem způsobí nebo přispěje k závažnému incidentu; oba režimy mohou být spuštěny současně a musí být spravovány souběžně. Navazuje na článek 72 (monitorování po uvedení na trh), který je primárním mechanismem, jehož prostřednictvím budou poskytovatelé odhalovat nesoulady aktivující článek 20.

Povinnost nápravných opatření úzce souvisí také s článkem 9 (systém řízení rizik) a články 15 a 17 (přesnost, robustnost a řízení kvality), protože přiměřenost těchto systémů určí, zda je nesoulad včas odhalen a napraven. Článek 26 ukládá provozovatelům doplňkovou povinnost hlásit podezřelé nesoulady poskytovatelům, čímž se provozovatelé stávají důležitým zdrojem informací přispívajících k aktivaci článku 20. Článek 21 se konečně zabývá povinnostmi spolupráce poskytovatelů poté, co orgány formálně zasáhly, a měl by být chápán jako regulační protiváha dobrovolné povinnosti nápravných opatření podle článku 20.

Časový harmonogram souladu s předpisy

Nařízení EU o AI vstoupilo v platnost 1. srpna 2024 (dvacet dní po zveřejnění v Úředním věstníku dne 12. července 2024). Článek 20 spadá pod hlavu III, kapitolu 3 a vztahuje se na systémy AI s vysokým rizikem. Postupný harmonogram použitelnosti je následující:

• Únor 2025: Začala se uplatňovat ustanovení o zakázaných praktikách v oblasti AI (hlava II).
• Srpen 2025: Začala se uplatňovat pravidla pro modely AI pro obecné účely (hlava VIII, kapitola 2).
• Srpen 2026: Začaly se uplatňovat povinnosti pro systémy AI s vysokým rizikem uvedené v příloze III používané veřejnými orgány.
• Prosinec 2026 (primární lhůta pro vysoké riziko): Začal se uplatňovat úplný soubor povinností podle hlavy III — včetně článku 20 — pro poskytovatele systémů AI s vysokým rizikem zahrnutých v příloze III. Poskytovatelé, jejichž systémy byly na trhu již před tímto datem, měli prospěch z přechodného období, ale nyní musí plně splňovat požadavky.
• Srpen 2027: Prodloužená lhůta pro určité systémy AI s vysokým rizikem, které jsou součástí rozsáhlých IT systémů EU nebo podléhají harmonizovaným normám, které nebyly v době vstupu v platnost ještě zveřejněny.

Pro většinu poskytovatelů systémů AI s vysokým rizikem podle přílohy III se článek 20 plně uplatňuje od prosince 2026 a procesy nápravných opatření a informování by již měly být funkční.