Článek 87 — Oznamování porušení (Nařízení EU o AI)

Článek 87 nařízení (EU) 2024/1689 — Oznamování porušení. Oficiální znění, praktický výklad, klíčové povinnosti a dopady na soulad s předpisy.

Shrnutí oficiálního textu

Článek 87 nařízení (EU) 2024/1689 (Nařízení EU o AI) zakotvuje rámec ochrany oznamovatelů použitelný na osoby, které oznamují porušení nařízení příslušným vnitrostátním orgánům nebo příslušným institucím, orgánům, úřadům nebo agenturám EU. Článek odkazem na směrnici (EU) 2019/1937 o ochraně osob, které oznamují porušení práva EU, výslovně rozšiřuje záruky této směrnice na oblast Nařízení o AI.

Podle článku 87 musí členské státy zajistit, aby oznamující osoby — definované v širokém smyslu tak, aby zahrnovaly zaměstnance, dodavatele, stážisty, dobrovolníky a bývalé pracovníky, kteří relevantní informace získali v pracovním kontextu — byly chráněny před odvetou, diskriminací a nepříznivým zacházením v důsledku podání oznámení v dobré víře. Poskytovatelé, provozovatelé a ostatní subjekty podléhající Nařízení o AI jsou proto zakázáni přijímat odvetná opatření vůči osobám, které upozorní na potenciální nesoulad.

Článek dále vyžaduje, aby příslušné orgány, které přijímají oznámení, s nimi nakládaly v souladu s procesními zárukami stanovenými podle směrnice 2019/1937, včetně povinností zachovávat důvěrnost totožnosti oznamovatele, potvrzovat přijetí a včas navazovat. Kde instituce EU přijímají oznámení, uplatňují se analogické ochrany podle služebního řádu EU a platného práva EU. Článek 87 tak začleňuje vymáhání Nařízení o AI do širší architektury práva EU v oblasti oznamování porušení, namísto vytvoření paralelního sektorově specifického režimu.

Co to znamená v praxi

Článek 87 má přímé provozní důsledky pro každou organizaci v rozsahu působnosti Nařízení EU o AI — především poskytovatele uvádějící systémy AI na trh EU, provozovatele používající vysoce rizikové systémy AI a provozovatele modelů AI pro obecné účely.

Pro organizace spočívá praktická povinnost v zajištění, aby interní politiky, pracovní smlouvy, kodexy chování a smlouvy s dodavateli neobsahovaly klauzule, které by mohly jednotlivce odradit, sankcionovat nebo smluvně bránit v oznamování porušení Nařízení o AI externím orgánům. Dohody o mlčenlivosti a klauzule o důvěrnosti musí být přezkoumány, aby bylo potvrzeno, že nepurportují omezovat zákonnou činnost oznamování. Tam, kde organizace již má interní kanál pro podávání zpráv nařízený podle směrnice 2019/1937, měl by být potvrzen jako pokrývající obavy týkající se Nařízení o AI a určení odpovědní pracovníci v oblasti souladu by měli být vyškoleni k vyřizování takových zpráv.

Pro týmy HR a právní týmy to znamená aktualizaci postupů pro vyřizování stížností, disciplinárních řízení a ukončení pracovního poměru tak, aby bylo zdokumentováno, že jakékoli nepříznivé opatření přijaté vůči zaměstnanci, který podal zprávu týkající se AI, je zcela nesouvisející s touto zprávou — a aby bylo možné to prokázat při jakémkoli následném regulatorním nebo soudním přezkumu.

Pro příslušné vnitrostátní orgány ukládá článek 87 procesní povinnost vyřizovat zprávy týkající se AI se stejnými zárukami důvěrnosti a termíny pro potvrzení přijetí jako ostatní zprávy o porušeních přijaté v rámci vnitrostátního provedení směrnice 2019/1937.

Konkrétní příklad: Zaměstnanec společnosti, která nasazuje vysoce rizikový systém AI při náboru zaměstnanců, si všimne, že výstupy systému zjevně diskriminují na základě pohlaví v rozporu s požadavky Nařízení. Tento zaměstnanec problém oznámí vnitrostátnímu orgánu dozoru nad trhem. Článek 87 zajišťuje, že v důsledku tohoto oznámení nemůže být zákonně propuštěn, degradován nebo vystaven nepřátelskému pracovnímu prostředí.

Klíčové povinnosti

• Členské státy musí rozšířit ochranu oznamovatelů podle směrnice (EU) 2019/1937 na osoby oznamující porušení Nařízení EU o AI, aby nevznikla mezera mezi obecným právem o oznamování porušení a vymáháním specifickým pro AI.
• Organizace podléhající Nařízení o AI nesmějí vykonávat odvetu vůči zaměstnancům, dodavatelům nebo jiným osobám v pracovním vztahu, kteří v dobré víře oznámí podezřelá porušení příslušným orgánům nebo orgánům EU.
• Interní kanály pro podávání zpráv požadované podle směrnice 2019/1937 (použitelné pro organizace s 50 nebo více pracovníky) musí být chápány jako zahrnující porušení Nařízení o AI a jmenované odpovědné osoby musí být vybaveny k hodnocení takových zpráv.
• Příslušné orgány přijímající zprávy jsou povinny zachovávat důvěrnost totožnosti oznamující osoby po celou dobu vyšetřovacího procesu, přičemž ji zpřístupní pouze v případě, kdy to zákon vyžaduje, a pokud možno s předchozím upozorněním oznamovateli.
• Smluvní klauzule — včetně dohod o mlčenlivosti, dohod o narovnání a pracovních smluv — které purportují omezovat nebo sankcionovat externí oznamování porušení Nařízení o AI, jsou v rozsahu, v jakém jsou v rozporu s ochranami článku 87, nevymahatelné.
• Oznamující osoby jednající v dobré víře si zachovávají plnou ochranu, i když oznámené porušení nakonec nebude potvrzeno, za předpokladu, že oznámení nebylo podáno s vědomím jeho nepravdivosti.

Vztah k dalším článkům

Článek 87 je součástí hlavy IX (Sledování po uvedení na trh, sdílení informací a dozor nad trhem) a funguje jako procesní hnací faktor pro vymáhací mechanismy zavedené v celé této hlavě a jinde v nařízení.

Přímo navazuje na článek 74 (dozor nad trhem a kontrola), článek 75 (shoda systémů AI) a články 78–84 (povinnosti oznámených subjektů a vnitrostátních příslušných orgánů), protože zprávy oznamovatelů mohou spustit nebo doplnit vyšetřování, která tato ustanovení opravňují. Podporuje také článek 87 (oznamování závažných incidentů), čímž vytváří doplňkový kanál, prostřednictvím nějž pracovníci, kteří jsou svědky incidentů nebo téměř-incidentů, mohou eskalovat obavy bez strachu z represálií.

V širším kontextu by měl být článek 87 vykládán ve spojení s článkem 4 (gramotnost v oblasti AI) a článkem 9 (systémy řízení rizik pro vysoce rizikové AI), protože organizace, která skutečně podporuje interní transparentnost a kompetence v oblasti AI, je lépe schopna jak odhalovat oznamovatelné problémy, tak prokazovat, že jakékoli nepříznivé personální rozhodnutí je zcela nezávislé na chráněném zveřejnění. Interaguje také s recitálem 179 nařízení, který potvrzuje závazek EU zajistit, aby vymáhání Nařízení nebylo narušeno odstrašujícím účinkem na legitimní oznamování.

Časový harmonogram souladu s předpisy

Nařízení EU o AI vstoupilo v platnost dne 1. srpna 2024, dvacet dní po zveřejnění v Úředním věstníku. Článek 87, jako součást hlavního textu nařízení, se plně uplatní dne 2. srpna 2026 — obecné datum použitelnosti pro většinu ustanovení, včetně těch, která upravují vysoce rizikové systémy AI podle přílohy III (článek 113 odst. 2).

Na rozdíl od zákazů postupů AI nepřijatelného rizika, které se staly použitelnými dne 2. února 2025, nebo povinností specifických pro modely AI pro obecné účely, které se uplatňovaly od 2. srpna 2025, článek 87 není v kategorii s urychlením použitelnosti. Jeho použitelnost odpovídá obecnému dvouletému implementačnímu období.

Organizace, které jsou již podřízeny směrnici (EU) 2019/1937 — kterou byly členské státy povinny provést do 17. prosince 2021 — by již měly mít zavedeny vyhovující kanály pro podávání zpráv. Praktickým úkolem v oblasti souladu před srpnem 2026 je tedy auditovat a rozšířit stávající kanály tak, aby výslovně pokrývaly porušení Nařízení o AI, přeškolit odpovědné osoby a přezkoumat smluvní dokumentaci. Organizace nasazující vysoce rizikové systémy AI, na které se vztahují přechodná ustanovení z prosince 2026 nebo srpna 2027 pro určité systémy přílohy I, by měly sladit připravenost v oblasti oznamování porušení s příslušným datem použitelnosti pro svou konkrétní kategorii systémů.