Článek 7 — Změny přílohy III (nařízení EU o AI)

Článek 7 nařízení (EU) 2024/1689 — Změny přílohy III. Oficiální znění, praktický výklad, klíčové povinnosti a dopady na soulad s předpisy.

Shrnutí úředního znění

Článek 7 nařízení (EU) 2024/1689 svěřuje Evropské komisi pravomoc měnit přílohu III — seznam kategorií vysoce rizikových systémů AI — prostřednictvím aktů v přenesené pravomoci přijatých podle článku 97. Tento mechanismus umožňuje regulačnímu perimetru hlavy III rozšiřovat se nebo zužovat v reakci na empirické důkazy, aniž by bylo nutné zahájit úplný spolurozhodovací postup.

Při posuzování, zda přidat novou kategorii systémů AI do přílohy III, je Komise povinna uplatnit strukturovaný soubor kritérií. Ta zahrnují: závažnost a nevratnost újmy, kterou může systém způsobit zdraví, bezpečnosti nebo základním právům; počet potenciálně dotčených osob a míru jejich zranitelnosti; rozsah, v jakém byl systém již nasazen, a skutečné újmy, které byly pozorovány; míru lidského dohledu zachovaného nad automatizovanými výstupy; a zda platné právo Unie nebo členského státu již poskytuje přiměřenou úroveň ochrany před zjištěnými riziky.

Naopak, Komise může odebrat kategorii z přílohy III, pokud důkazní základ prokazuje, že zbytkové riziko již nesplňuje práh odůvodňující klasifikaci jako vysoce rizikové, nebo pokud byly rovnocenné záruky zavedeny jinými závaznými nástroji Unie.

Jakýkoli akt v přenesené pravomoci přijatý podle článku 7 podléhá parlamentnímu kontrolnímu postupu stanovenému v článku 97, který dává Evropskému parlamentu a Radě právo vznést námitku před vstupem aktu v platnost. To zajišťuje demokratický dohled nad vývojem předpisů při zachování flexibility, kterou Komise potřebuje k tomu, aby držela krok s rychle se vyvíjejícími schopnostmi AI.

Co to v praxi znamená

Článek 7 funguje jako adaptivní mechanismus nařízení EU o AI pro klasifikaci vysoce rizikových systémů. V praxi to znamená, že hranice mezi systémy AI podléhajícími úplnému režimu souladu pro vysoce rizikové systémy a těmi, které mu nepodléhají, není natrvalo pevně stanovena ke dni vstupu v platnost. Poskytovatelé a provozovatelé proto musí průběžně sledovat akty Komise v přenesené pravomoci, nejen při počátečním vývoji produktu.

Pro organizace budující nebo provozující systémy AI v odvětvích sousedících s přílohou III — například nástroje AI používané při řízení pracovní síly, bodovém hodnocení úvěruschopnosti nebo poskytování veřejných služeb — vytváří článek 7 riziko compliance horizontu: systém, který je dnes mimo rozsah, by mohl po změně Komise do rozsahu spadat. Rozvážné organizace by měly provést předběžné hodnocení vysoce rizikového charakteru i u hraničních systémů a navrhnout svou řídící architekturu tak, aby byla možná její aktualizace.

Pro organizace již působící v rámci kategorií přílohy III článek 7 posiluje potřebu průběžného monitorování shody. Změna, která zužuje definici uvedené kategorie, může ulevit od určitých povinností, organizace by však neměly předpokládat úlevu bez formální právní analýzy rozsahu aktu v přenesené pravomoci.

Konkrétně, poskytovatel nástroje s asistencí AI, který hodnotí uchazeče o zaměstnání v kontextu náboru do veřejného sektoru, je v současné době zahrnut v bodu 4 přílohy III. Pokud Komise na základě údajů z postmarketingového sledování shromážděných podle článku 72 zjistí, že systémy AI používané při náboru v soukromém sektoru v malých podnicích představují rovnocenná rizika, může tento bod rozšířit prostřednictvím článku 7. Dodavatelský řetězec tohoto poskytovatele, požadavky na technickou dokumentaci a povinnosti posuzování shody by se pak vztahovaly na širší okruh zákazníků.

Klíčové povinnosti

• Sledovat akty Komise v přenesené pravomoci: Poskytovatelé a provozovatelé musí sledovat veškeré akty v přenesené pravomoci přijaté podle článku 7, které mění přílohu III, protože změny mohou změnit jejich stav souladu bez přechodných lhůt nad rámec těch stanovených v samotném aktu.
• Udržovat přizpůsobitelnou rizikovou dokumentaci: Technická dokumentace a záznamy o posuzování shody by měly být strukturovány tak, aby je bylo možné aktualizovat tak, aby odrážely jakoukoli reklasifikaci systému AI z nevysoce rizikového na vysoce rizikový, nebo naopak.
• Provádět výhledová posouzení hraničních systémů: Organizace provozující systémy AI v odvětvích sousedících s přílohou III by měly pravidelně posuzovat, zda se vyvíjející pokyny Komise nebo zjištění z tržního dozoru naznačují nadcházející změnu, která by mohla ovlivnit jejich produkty.
• Účastnit se veřejných konzultačních procesů: Postup přijímání aktů v přenesené pravomoci zahrnuje konzultace s příslušnými zúčastněnými stranami; poskytovatelé a průmyslová sdružení by se měli účastnit, aby bylo zajištěno, že odvětvově specifické důkazy jsou zohledněny před tím, než Komise změny finalizuje.
• Přezkoumat povinnosti vůči zákazníkům a dodavatelskému řetězci při změně: Pokud změna rozšiřuje přílohu III, musí poskytovatelé bez zbytečného odkladu přenést aktualizované smluvní a technické povinnosti na provozovatele a oznámené subjekty.
• Sledovat odebrání kategorií: Pokud Komise kategorii odebere, měly by organizace posoudit, zda mohou snížit administrativní zátěž spojenou se shodou, musí však uchovávat záznamy prokazující dřívější soulad za období, během nichž se uplatňoval status vysoce rizikového systému.

Vztah k dalším článkům

Článek 7 nelze číst izolovaně od několika dalších ustanovení. Je přímo podřízen článku 97, který upravuje výkon přenesené pravomoci, včetně délky přenesení, podmínek odvolání a parlamentního námitkového postupu.

Kritéria, která článek 7 předepisuje pro přidávání kategorií do přílohy III, přímo zrcadlí rámec hodnocení rizik, který tvoří základ článku 9 (systém řízení rizik), což znamená, že stejné skutkové otázky, které ovlivňují změnu Komise, ovlivňují také interní povinnosti řízení rizik poskytovatele.

Článek 6 definuje primární pravidlo pro klasifikaci vysoce rizikových systémů a článek 7 funguje jako jeho dynamický doplněk: společně určují, které systémy AI spadají pod povinnosti hlavy III stanovené v článcích 8 až 49.

Údaje z postmarketingového sledování shromážděné podle článku 72 a hlášení o závažných incidentech podle článku 73 přímo vstupují do důkazní základny, kterou Komise používá při zvažování změn podle článku 7, čímž se vytváří zpětná vazba mezi tržním dohledem a regulační klasifikací. Konečně, příloha III samotná je operativním textem, který článek 7 mění; jakákoli analýza souladu musí být provedena na základě verze přílohy III platné v době příslušné činnosti, nikoli verze platné v jakémkoli předchozím datu.

Časový harmonogram souladu

2. srpna 2024 — Nařízení (EU) 2024/1689 vstoupilo v platnost. Článek 7, včetně přenesené pravomoci Komise měnit přílohu III, nabyl účinnosti od tohoto data. Doba přenesení pravomoci trvá pět let od vstupu v platnost, obnovitelná mlčky přijatým prodloužením podle článku 97.

2. února 2025 — Zakázané praktiky AI podle článku 5 se staly použitelnými. Změny podle článku 7 nemohou překonávat zákazy; žádný systém spadající pod článek 5 nemůže být rehabilitován reklasifikací.

2. srpna 2025 — Pravidla pro modely AI pro obecné účely (hlava VIII) se stala použitelnými. Infrastruktura Komise pro postmarketingové sledování začala produkovat data, která mohou ovlivnit budoucí změny podle článku 7.

2. srpna 2026 — Vysoce rizikové systémy AI kryté harmonizovanými právními předpisy Unie uvedenými v příloze I, oddíle A se staly plně podléhajícími režimu hlavy III. Změny podle článku 7 ovlivňující tato odvětví jsou v interakci se stávajícími právními předpisy o bezpečnosti výrobků.

2. srpna 2027 — Vysoce rizikové systémy AI uvedené v příloze III (jiné než ty, které již podléhají dřívějším datům) se plně podléhají povinnostem hlavy III. Toto je primární lhůta souladu pro většinu organizací dotčených klasifikacemi přílohy III, včetně veškerých budoucích změn provedených podle článku 7 před tímto datem. Změny přijaté po 2. srpnu 2027 budou v souladu s postupem přijímání aktů v přenesené pravomoci stanovovat vlastní data použitelnosti.