Článek 99 — Sankce (akt EU o AI)

Článek 99 nařízení (EU) 2024/1689 — Sankce. Úřední text, praktický výklad, klíčové povinnosti a důsledky pro soulad s předpisy.

Shrnutí úředního znění

Článek 99 nařízení (EU) 2024/1689 zavádí rámec správních sankcí za porušení aktu EU o AI. Stanoví tříúrovňovou strukturu pokut kalibrovanou na závažnost porušení.

Nejzávažnější porušení — porušení zakázaných praktik AI uvedených v článku 5 — přitahují pokuty až do výše 35 milionů EUR nebo 7 % celkového celosvětového ročního obratu, podle toho, která hodnota je vyšší. Porušení jiných povinností uložených poskytovatelům, provozovatelům, dovozcům a distributorům — včetně těch týkajících se vysoce rizikových systémů AI, povinností transparentnosti a modelů GPAI — podléhají pokutám až do výše 15 milionů EUR nebo 3 % celosvětového ročního obratu. Poskytování nesprávných, neúplných nebo zavádějících informací oznámeným subjektům nebo vnitrostátním příslušným orgánům je penalizováno až do výše 7,5 milionu EUR nebo 1 % celosvětového ročního obratu.

Pro poskytovatele modelů GPAI odkazuje článek 99 odst. 3 na prahy pokut, které se vztahují na povinnosti podle kapitoly V (články 53–56), včetně povinností týkajících se systémového rizika pro poskytovatele modelů GPAI se systémovým rizikem. Pokud je porušující stranou malý nebo střední podnik nebo začínající podnik, platí procentní strop obratu tam, kde přináší nižší absolutní číslo než strop pevné částky. Za ukládání a prosazování pokut v rámci své jurisdikce odpovídají vnitrostátní příslušné orgány, zatímco Úřad pro AI drží prosazovatele kompetenci vůči poskytovatelům modelů GPAI na úrovni Unie.

Co to znamená v praxi

Článek 99 je páteří prosazování aktu EU o AI. Jeho stupňovitá struktura přímo ovlivňuje způsob, jakým by organizace měly upřednostňovat své compliance programy.

Pro poskytovatele vysoce rizikových systémů AI se úroveň 3 %/15 milionů EUR uplatňuje na selhání, jako jsou nedostatečná posouzení shody, chybějící technická dokumentace, nekompatibilní systémy řízení kvality nebo nesplnění povinnosti registrovat systémy v databázi EU podle článku 71. Například výrobce zdravotnických prostředků, který nasadí diagnostický nástroj s asistencí AI bez dokončení požadovaného posouzení shody podle přílohy VI, čelí expozici na této úrovni.

Pro jakéhokoli provozovatele nasazujícího zakázané AI aplikace — jako je biometrická identifikace v reálném čase na veřejných prostranstvích mimo úzké výjimky, sociální scoring ze strany veřejných orgánů nebo techniky podprahové manipulace — se uplatňuje úroveň 7 %/35 milionů EUR. To jsou tvrdé zákazy aktu a výše sankcí signalizuje, že žádné obchodní odůvodnění nemůže kompenzovat porušení.

Pro vývojáře a provozovatele modelů GPAI se pokuty na úrovni 3 % vztahují na selhání týkající se technické dokumentace, transparentnosti autorských práv a — pro modely se systémovým rizikem — povinností hlášení incidentů a adversarního testování.

Pro všechny provozovatele spouští dezinformování regulátorů při šetřeních dozoru nad trhem úroveň 1 %. To je operačně významné: znamená to, že interní správa dokumentů, auditní záznamy a protokoly spolupráce s orgány musí být robustní dříve, než regulátoři přijdou.

Faktory přiměřenosti — včetně trvání porušení, míry spolupráce a předchozích porušení — vedou orgány při stanovování skutečné pokuty v rámci použitelného stropu.

Klíčové povinnosti

• Vyhýbat se zakázaným praktikám (článek 5): Jakékoli nasazení nebo uvádění na trh systémů AI, které se zapojují do praktik uvedených v článku 5 — včetně dálkové biometrické identifikace v reálném čase na veřejně přístupných místech (mimo uvedené výjimky), sociálního scoringu, podprahové manipulace a využívání zranitelností — vystavuje provozovatele nejvyšší úrovni sankcí.
• Plnění povinností poskytovatele pro vysoce rizikové systémy AI: Poskytovatelé musí udržovat posouzení shody, technickou dokumentaci, systémy řízení kvality a postmarketingové monitorování. Selhání v kterékoli z těchto oblastí podléhá pokutě středního stupně.
• Soulad s povinnostmi modelu GPAI (kapitola V): Poskytovatelé modelů AI pro obecné použití musí plnit povinnosti transparentnosti, dokumentace a politiky autorských práv; poskytovatelé modelů GPAI se systémovým rizikem čelí dalším požadavkům ohledně hlášení incidentů, hodnocení modelů a opatření v oblasti kybernetické bezpečnosti.
• Poskytování přesných informací orgánům: Všichni provozovatelé musí spolupracovat s vnitrostátními orgány dozoru nad trhem a Úřadem pro AI a nesmí poskytovat nesprávné nebo zavádějící informace při šetřeních nebo conformitních postupech.
• Zajistit soulad s předpisy přiměřený pro malé a střední podniky: Ačkoli malé a střední podniky mají prospěch ze zohledňování přiměřenosti při stanovování pokut, nejsou osvobozeny od věcných povinností — musí stále plnit platné požadavky a podléhají prosazování.
• Udržovat interní auditní záznamy: Vzhledem k tomu, že pokuty mohou být modulovány mírou spolupráce a přijatými nápravnými opatřeními, měly by organizace udržovat důkazy o compliance krocích, postupech reakce na incidenty a dobromyslné angažovanosti s regulátory.

Vztah k dalším článkům

Článek 99 nelze číst izolovaně — je to prosazovací vyjádření povinností definovaných v celém nařízení.

Nejpřímější vazby jsou na článek 5 (zakázané praktiky, spouštějící nejvyšší úroveň sankcí) a články 8–15 (požadavky na vysoce rizikové systémy AI, primární zdroj porušení středního stupně). Články 53–56 (povinnosti GPAI) se podílí na struktuře sankcí pro poskytovatele základových modelů. Článek 71 (databáze EU pro vysoce rizikové systémy AI) je registrační povinností, jejíž porušení podléhá střednímu stupni.

Článek 100 je sourozeneckým ustanovením pro orgány a instituce Unie, uplatňující paralelní sankční režim spravovaný evropským inspektorem ochrany údajů spíše než vnitrostátními orgány.

Článek 98 (sankce za nesoulad ze strany oznámených subjektů) a článek 101 (přenesení pravomoci týkající se pokut pro poskytovatele GPAI) sídlí bezprostředně vedle v sankční kapitole a měly by být čteny spolu s článkem 99 pro úplný obraz architektury prosazování aktu. Články 74–79 (dozor nad trhem a prosazování) definují procesní rámec, v němž jsou pokuty podle článku 99 ukládány.

Časový harmonogram souladu

Akt EU o AI vstoupil v platnost 2. srpna 2024 (dvacet dní po zveřejnění v Úředním věstníku). Samotný článek 99 se stal platným 2. srpna 2025, po dvanáctiměsíčním přechodném období podle článku 113 odst. 2.

Harmonogram postupného uplatňování je kritickým kontextem pro pochopení toho, kdy se na různé povinnosti vztahuje sankční expozice:

• 2. února 2025 — Ustanovení o zákazech (článek 5) se stala platnými, což znamená, že porušení zakázaných praktik AI podléhala úrovni pokuty 7 %/35 milionů EUR od tohoto data.
• 2. srpna 2025 — Obecné datum použitelnosti pro většinu aktu, včetně samotného článku 99, povinností modelu GPAI (kapitola V) a rámce správy. Úrovně pokut 3 %/15 milionů EUR a 1 %/7,5 milionu EUR se staly operativními od tohoto data.
• 2. prosince 2026 — Vysoce rizikové systémy AI zahrnuté přílohou I (stávající harmonizační právní předpisy Unie) musí splňovat plné požadavky na vysoce rizikové systémy, čímž se povinnosti poskytovatele podle článků 8–15 stávají vymahatelnými s pokutní expozicí.
• 2. srpna 2027 — Vysoce rizikové systémy AI uvedené v příloze III, které byly již na trhu před 2. srpnem 2024, musí splňovat požadavky, čímž se dokončuje postupné zavádění pro starší vysoce rizikové nasazení.

Organizace by měly zmapovat své AI portfolio oproti těmto datům, aby určily aktuální a budoucí sankční expozici podle článku 99.