Článek 25 nařízení (EU) 2024/1689 — Odpovědnosti v hodnotovém řetězci AI. Oficiální znění, praktický výklad, klíčové povinnosti a důsledky pro dodržování předpisů.
Shrnutí oficiálního znění
Článek 25 nařízení (EU) 2024/1689 (nařízení EU o umělé inteligenci) stanoví podmínky, za nichž strany jiné než původní poskytovatel přebírají odpovědnosti na úrovni poskytovatele za vysoce rizikový systém AI. Článek je součástí hlavy III, kapitoly 3, která upravuje povinnosti poskytovatelů a provozovatelů po celou dobu životního cyklu vysoce rizikových systémů AI.
Článek specifikuje tři spouštěcí scénáře. Zaprvé, distributor, dovozce, provozovatel nebo jiná třetí strana se stává poskytovatelem — se všemi souvisejícími povinnostmi podle kapitoly 2 hlavy III — tehdy, když uvede vysoce rizikový systém AI na trh nebo do provozu pod vlastním názvem nebo ochrannou známkou. Zadruhé, postavení poskytovatele je přijato tehdy, když třetí strana provede podstatnou úpravu vysoce rizikového systému AI. Zatřetí, změna zamýšleného účelu vysoce rizikového systému AI — i bez fyzické změny — může vyvolat požadavky na opětovnou klasifikaci a opětovné posouzení.
Dojde-li k takovému přechodu odpovědnosti, původní poskytovatel není automaticky zbaven odpovědnosti. Nařízení vyžaduje, aby smluvní ujednání mezi stranami v dodavatelském řetězci jasně vymezovala, kdo drží jaké povinnosti v každé fázi. Tím je zajištěno, že regulační odpovědnost sleduje subjekt, který vykonává skutečnou kontrolu nad nasazením nebo úpravou systému. Článek posiluje obecnou zásadu, že nařízení EU o umělé inteligenci přiřazuje povinnosti na základě skutečné role a vlivu každého aktéra v hodnotovém řetězci, nikoli pouze na základě formálních smluvních označení.
Co to znamená v praxi
Článek 25 má přímé důsledky pro dodržování předpisů pro každou organizaci, která integruje, přejmenovává, podstatně upravuje nebo znovu nasazuje vysoce rizikový systém AI třetí strany. Brání běžné obchodní praxi spočívající v předpokladu, že odpovědnost za soulad spočívá výhradně na dodavateli v upstream části dodavatelského řetězce.
Systémoví integrátoři a prodejci, kteří uvádějí vysoce rizikový systém AI na trh EU pod vlastní značkou — například softwarová společnost, která do svého produktu zabudovává bodovací systém úvěruschopnosti AI třetí strany a uvádí jej na trh pod vlastním názvem — se stávají poskytovateli podle nařízení. Musí splnit veškeré povinnosti stanovené v článku 16, včetně posouzení shody, technické dokumentace, registrace v databázi EU a připevnění označení CE.
Společnosti, které upravují systémy AI, musí posoudit, zda jejich změny představují podstatnou úpravu. Příklady, u nichž pravděpodobně dojde k vyvolání opětovného posouzení, zahrnují: přeškolení modelu na novém souboru dat, změnu rozhodovacích prahů způsobem, který mění rizikové profily, nebo rozšíření funkčnosti systému do nové oblasti. I čistě softwarová změna, která ovlivňuje výstupy v regulovaném kontextu, může být způsobilá.
Provozovatelé, kteří přeúčelují systémy nad rámec původního zamýšleného použití — například používají obecný nástroj pro analýzu pracoviště k přijímání rozhodnutí o zaměstnání — musí posoudit, zda nový případ použití spadá do vysokorizikové kategorie, a pokud ano, zda se efektivně stali poskytovatelem systému.
Z praktického hlediska by organizace měly auditovat všechny systémy AI ve svém portfoliu, zmapovat zdokumentovaný zamýšlený účel původního poskytovatele a zavést interní procesy řízení k signalizaci, kdy navrhované změny nebo nové případy použití se přibližují prahům článku 25.
Klíčové povinnosti
- Převzetí povinností poskytovatele při přejmenování: Každý distributor, dovozce nebo třetí strana, která uvádí na trh nebo nasazuje vysoce rizikový systém AI pod vlastním názvem nebo ochrannou známkou, musí splnit veškeré povinnosti poskytovatele podle článku 16, včetně technické dokumentace, posouzení shody a registrace v databázi EU.
- Opětovné posouzení po podstatné úpravě: Každá strana, která provede podstatnou úpravu vysoce rizikového systému AI, musí s upraveným systémem zacházet jako s novým vysoce rizikovým systémem AI, zopakovat příslušný postup posouzení shody a odpovídajícím způsobem aktualizovat veškerou dokumentaci.
- Opětovná registrace systému: Pokud je převzato postavení poskytovatele nebo je provedena podstatná úprava, musí nový poskytovatel zaregistrovat systém (nebo jeho upravenou verzi) v databázi EU pro vysoce rizikové systémy AI zřízené podle článku 71.
- Přezkum zamýšleného účelu před nasazením: Provozovatelé musí ověřit, že jejich použití vysoce rizikového systému AI zůstává v rámci zamýšleného účelu zdokumentovaného původním poskytovatelem; jakákoli podstatná odchylka musí být posouzena z hlediska důsledků pro soulad s předpisy podle článku 25.
- Udržování jasného smluvního rozdělení odpovědností: Všechny strany v hodnotovém řetězci AI — původní poskytovatelé, dovozci, distributoři a provozovatelé — musí zajistit, aby jejich dohody jasně rozdělily odpovědnosti za soulad, zejména tam, kde jsou předvídány úpravy nebo přejmenování.
- Uchovávání informací od původního poskytovatele: Pokud třetí strana převezme postavení poskytovatele, musí mít přístup ke vší technické dokumentaci a informacím o shodě původně vytvořeným upstream poskytovatelem a tyto dokumenty uchovávat, protože jsou základem jejích vlastních povinností v oblasti souladu.
Vztah k ostatním článkům
Článek 25 funguje jako most mezi povinnostmi poskytovatele definovanými v článku 16 (povinnosti poskytovatelů vysoce rizikových systémů AI) a povinnostmi provozovatele v článku 26. Zajišťuje, že odpovědnosti vyjmenované v článku 16 — technická dokumentace, posouzení shody, řízení kvality, monitorování po uvedení na trh — nemohou být obcházeny smluvním ujednáním nebo podnikovou strukturou.
Musí být vykládán společně s článkem 6 (pravidla klasifikace pro vysoce rizikové systémy AI) a přílohou III, které vymezují, kdy je systém vysoce rizikový, a tedy podléhá plnému režimu povinností poskytovatele. Článek 47 (EU prohlášení o shodě) a článek 48 (označení CE) jsou přímo relevantní, pokud musí nový poskytovatel znovu certifikovat upravený systém.
Článek 71 (databáze EU pro vysoce rizikové systémy AI) je relevantní, protože opětovná registrace je vyžadována při změně postavení poskytovatele. Bod odůvodnění 79 poskytuje výkladové vodítko ohledně toho, co představuje podstatnou úpravu. U dodavatelských řetězců zahrnujících modely GPAI upravují články 51–56 povinnosti poskytovatele upstream modelu, ale článek 25 určuje, kdy se systémový integrátor budující na tomto modelu stává sám o sobě poskytovatelem vysoce rizikového systému AI.
Časový plán dodržování předpisů
Nařízení EU o umělé inteligenci vstoupilo v platnost dne 1. srpna 2024 (dvacet dní po zveřejnění v Úředním věstníku EU dne 12. července 2024). Uplatňování je postupné:
- 2. února 2025 — Začala se uplatňovat zákazy praktik AI s nepřijatelným rizikem (hlava II). Článek 25 se ještě neuplatňoval.
- 2. srpna 2025 — Začaly se uplatňovat povinnosti pro modely umělé inteligence pro obecné účely (hlava VIII, články 51–56) a ustanovení o řízení (hlava III, kapitola 4; hlava V). Článek 25 se ještě neuplatňoval pro vysoce rizikové systémy AI uvedené v příloze III.
- 2. srpna 2026 — Článek 25 a plný režim povinností poskytovatele a provozovatele podle kapitoly 3 se uplatňuje pro vysoce rizikové systémy AI uvedené v příloze III (včetně biometrických systémů, kritické infrastruktury, zaměstnávání, vzdělávání, přístupu k základním službám a případů použití v oblasti vymáhání práva). Organizace působící v těchto odvětvích musí mít do tohoto data zavedeny procesy řízení, smluvní rámce a postupy pro posuzování úprav.
- 2. srpna 2027 — Povinnosti článku 25 se rozšiřují na vysoce rizikové systémy AI pokryté přílohou I (právní předpisy o bezpečnosti výrobků, jako jsou zdravotnické prostředky a stroje), kde tyto systémy byly již na trhu před srpnem 2026 a podléhají přechodnému období.
Organizace by měly zahájit mapování souladu s článkem 25 — zejména audity dodavatelského řetězce a protokoly pro řízení úprav — s dostatečným předstihem před termínem srpnu 2026.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Článek 25 se vztahuje na distributory, dovozce, provozovatele a jakékoli jiné třetí strany, které uvádějí vysoce rizikový systém AI na trh nebo do provozu pod vlastním názvem nebo ochrannou známkou, nebo které vysoce rizikový systém AI modifikují způsobem, který mění jeho zamýšlený účel nebo stav souladu s předpisy. V takových případech tyto strany přebírají povinnosti poskytovatele podle nařízení.
Provozovatel je považován za poskytovatele — a musí splňovat veškeré povinnosti poskytovatele — tehdy, když uvádí vysoce rizikový systém AI na trh nebo do provozu pod vlastním názvem nebo ochrannou známkou, provede podstatnou úpravu vysoce rizikového systému AI, která mění jeho zamýšlený účel, nebo upraví vysoce rizikový systém AI způsobem, který může ovlivnit jeho soulad s požadavky hlavy III, kapitoly 2.
Podstatná úprava je změna vysoce rizikového systému AI, ať fyzická nebo logická, která ovlivňuje soulad systému s požadavky hlavy III, kapitoly 2, nebo vede ke změně zamýšleného účelu, pro který byl systém posouzen. Podstatná úprava vyvolává povinnosti opětovného posouzení a opětovné registrace.
Když třetí strana převezme postavení poskytovatele podle článku 25, původní poskytovatel není automaticky zbaven veškeré odpovědnosti. Smluvní ujednání a povaha úpravy určují trvající povinnosti. Strany jsou vybízeny, aby odpovědnosti jasně zdokumentovaly v technických a právních dohodách napříč dodavatelským řetězcem.
Článek 25 se zaměřuje na odpovědnosti v hodnotovém řetězci vysoce rizikového systému AI. Pro modely umělé inteligence pro obecné účely (GPAI) platí samostatné povinnosti podle hlavy VIII (články 51–56). Integrátory, které budují vysoce rizikové systémy AI na základě modelů GPAI, však musí posoudit, zda jejich integrace vyvolává povinnosti poskytovatele podle článku 25.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.