Článok 26 — Povinnosti prevádzkovateľov vysokorizikových systémov umelej inteligencie (Zákon EÚ o umelej inteligencii)

Článok 26 nariadenia (EÚ) 2024/1689 — Povinnosti prevádzkovateľov vysokorizikových systémov umelej inteligencie. Oficiálny text, praktická interpretácia, kľúčové povinnosti a dôsledky pre súlad s predpismi.

Zhrnutie oficiálneho textu

Článok 26 nariadenia (EÚ) 2024/1689 stanovuje povinnosti, ktoré sa vzťahujú na prevádzkovateľov — tých, ktorí uvádzajú vysokorizikové systémy umelej inteligencie do používania — a je zaradený do hlavy III, kapitoly 3 zákona. Článok stanovuje, že prevádzkovatelia musia prijať primerané technické a organizačné opatrenia, aby zabezpečili, že používajú takéto systémy v súlade s pokynmi na používanie poskytnutými poskytovateľom (článok 26 ods. 1). Prevádzkovatelia sú povinní zveriť úlohu ľudského dohľadu osobám, ktoré majú potrebné kompetencie, odborné vzdelávanie a právomoci na jeho efektívne vykonávanie (článok 26 ods. 2).

Keď prevádzkovatelia určujú účel používania alebo vykonávajú výrazný vplyv na prevádzku systému umelej inteligencie, nesú zvýšené zodpovednosti porovnateľné s úlohou poskytovateľa. Prevádzkovatelia musia monitorovať prevádzku vysokorizikového systému umelej inteligencie na základe pokynov na používanie a, kde je to relevantné, informovať poskytovateľa o akýchkoľvek identifikovaných rizikách (článok 26 ods. 5). Nesmú používať systém spôsobmi, ktoré sú v rozpore s týmito pokynmi, ani vystavovať zamestnancov tlaku, ktorý by mohol ohroziť riadny dohľad.

Článok 26 ods. 7 vyžaduje od prevádzkovateľov, aby uchovávali protokoly automaticky generované vysokorizikovým systémom umelej inteligencie v rozsahu, v akom sú takéto protokoly pod ich kontrolou, a to po dobu primeranú zamýšľanému účelu a príslušným odvetvovým pravidlám, minimálne však šesť mesiacov. Článok 26 ods. 9 ukladá povinnosť prevádzkovateľom, ktorí sú verejnými orgánmi, a niektorým súkromným prevádzkovateľom vykonať a zdokumentovať posúdenie vplyvu na základné práva pred nasadením a zaregistrovať ho v databáze EÚ zriadenej podľa čl. 71.

Čo to znamená v praxi

Článok 26 sa priamo dotýka každej organizácie, ktorá integruje vysokorizikový systém umelej inteligencie do svojich operácií bez toho, aby bola vývojárom alebo pôvodným poskytovateľom tohto systému. Typickí prevádzkovatelia zahŕňajú nemocnice používajúce diagnostické nástroje podporované umelou inteligenciou, zamestnávateľov využívajúcich umelú inteligenciu na výber uchádzačov, banky používajúce nástroje na skórovanie úverov na báze umelej inteligencie a verejné orgány využívajúce umelú inteligenciu na rozhodovanie o oprávnenosti na dávky.

Konkrétne, prevádzkovateľ musí začať dôkladným prečítaním a implementáciou pokynov na používanie od poskytovateľa — tieto sa stávajú základom pre súlad s predpismi. Pred spustením musí prevádzkovateľ identifikovať, ktorý člen personálu alebo tím nesie zodpovednosť za dohľad, a zabezpečiť, aby mali odborné vzdelávanie a právomoci na zasahovanie, pozastavenie alebo prepísanie výstupov systému. Vytváranie tlaku na ignorovanie alebo obchádzanie mechanizmov dohľadu je výslovne zakázané.

Počas prevádzky musí prevádzkovateľ uchovávať protokoly generované systémom. Pre banku nasadzujúcu model kreditného rizika tretej strany to znamená uchovávanie automatizovaných protokolov rozhodnutí minimálne šesť mesiacov a zabezpečenie ich dostupnosti na audit alebo regulačnú inšpekciu. Ak systém začne produkovať neočakávané výstupy alebo je zapojený do incidentu spôsobujúceho alebo potenciálne spôsobujúceho ujmu, prevádzkovateľ musí okamžite eskalovať k poskytovateľovi a v prípade potreby k národnému dozornému orgánu.

Prevádzkovatelia vo verejnom sektore a súkromné spoločnosti poskytujúce verejné služby čelia ďalšiemu kroku: formálne posúdenie vplyvu na základné práva musí byť dokončené a zaregistrované v databáze EÚ pred aktiváciou systému. Toto posúdenie musí identifikovať predvídateľné vplyvy na práva, ako je nediskriminácia, súkromie a spravodlivý proces, a dokumentovať zmierňujúce opatrenia.

Prevádzkovatelia, ktorí prekročia rámec svojich pokynov — repurposovaním systému pre iný prípad použitia alebo podstatnou zmenou jeho konfigurácie — riskujú reklasifikáciu ako poskytovatelia podľa čl. 25, čím sa na nich vzťahuje celý rozsah povinností poskytovateľa vrátane posúdenia zhody.

Kľúčové povinnosti

• Dodržiavajte pokyny na používanie: Nasadzujte a prevádzkujte vysokorizikový systém umelej inteligencie výlučne v súlade s pokynmi poskytovateľa; akékoľvek použitie mimo zamýšľaného účelu vyvoláva potenciálnu reklasifikáciu ako poskytovateľa.
• Zabezpečte kompetentný ľudský dohľad: Určte osoby s potrebnými kompetenciami, odborným vzdelávaním a právomocami na vykonávanie efektívneho ľudského dohľadu; nedávajte personálu pokyny ani ho nepodporujte v obchádzaní funkcií dohľadu.
• Monitorujte a hláste riziká a incidenty: Priebežne monitorujte výkon systému; okamžite informujte poskytovateľa a, tam kde je to relevantné, príslušný orgán dohľadu nad trhom o každom závažnom riziku alebo incidente identifikovanom počas prevádzky.
• Uchovávajte automaticky generované protokoly: Zachovávajte protokoly produkované systémom umelej inteligencie minimálne šesť mesiacov alebo dlhšie, ak to vyžadujú príslušné právne predpisy alebo odvetvové pravidlá, v rozsahu, v akom sú tieto protokoly pod kontrolou prevádzkovateľa.
• Vykonajte a zaregistrujte posúdenie vplyvu na základné práva: Prevádzkovatelia, ktorí sú orgánmi verejného práva, a súkromní prevádzkovatelia poskytujúci verejné služby musia pred nasadením dokončiť zdokumentované posúdenie vplyvu na základné práva a zaregistrovať ho v databáze EÚ.
• Informujte a chráňte dotknutých pracovníkov: Keď sa systém používa v pracovných kontextoch, prevádzkovatelia musia pred nasadením informovať zástupcov pracovníkov a dotknuté osoby v súlade s príslušným právom Únie a vnútroštátnym právom.

Vzťah k iným článkom

Článok 26 sa musí čítať spolu s niekoľkými vzájomne prepojenými ustanoveniami. Čl. 25 definuje, kedy je prevádzkovateľ reklasifikovaný ako poskytovateľ — próg, ktorý musia prevádzkovatelia aktívne sledovať vždy, keď systém menia alebo repurposujú. Čl. 13 (Transparentnosť a poskytovanie informácií prevádzkovateľom) upravuje, čo musí poskytovateľ komunikovať prostredníctvom pokynov na používanie, a priamo formuje to, ako vyzerá súlad s článkom 26 ods. 1. Čl. 14 (Ľudský dohľad) rozvíja technické požiadavky, ktoré musia poskytovatelia zabudovať do systémov, aby prevádzkovatelia mohli plniť svoje povinnosti dohľadu podľa článku 26 ods. 2.

Čl. 71 (Databáza EÚ) je základom požiadavky na registráciu uloženej verejným prevádzkovateľom článkom 26 ods. 9. Čl. 73 (Hlásenie závažných incidentov) dopĺňa článok 26 ods. 5 tým, že podrobne opisuje procesný rámec pre oznámenia o incidentoch. V pracovných kontextoch sa článok 26 ods. 6 prelína so smernicou 2002/14/ES o informovaní a poradu so zamestnancami. Pre prevádzkovateľov v regulovaných odvetviach — financie, zdravotníctvo, doprava — môže odvetvové právo Únie ukladať ďalšie alebo prekrývajúce sa povinnosti, ktoré interagujú so základnou líniou článku 26.

Časový harmonogram súladu s predpismi

Zákon EÚ o umelej inteligencii nadobudol účinnosť 1. augusta 2024, pričom povinnosti sa uplatňujú podľa postupného harmonogramu. Ustanovenia o zakázaných praktikách v oblasti umelej inteligencie sa stali uplatniteľnými 2. februára 2025. Povinnosti týkajúce sa modelov umelej inteligencie všeobecného použitia sa stali uplatniteľnými 2. augusta 2025.

Článok 26 ako povinnosť uplatniteľná na vysokorizikové systémy umelej inteligencie uvedené v prílohe III sa stáva uplatniteľným 2. augusta 2026 pre väčšinu vysokorizikových systémov, s predĺženým termínom 2. augusta 2027 pre vysokorizikové systémy umelej inteligencie v oblastiach zamestnanosti, vzdelávania a prístupu k základným službám, kde sa uplatňuje existujúca harmonizačná legislatíva Únie (systémy uvedené v prílohe I). Prevádzkovatelia by preto mali 2. august 2026 považovať za primárny termín súladu s predpismi pre operačnú pripravenosť, určenie ľudského dohľadu, infraštruktúru uchovávania protokolov a postupy posúdenia vplyvu na základné práva, pričom by mali okamžite začať s prípravnými prácami, aby mali dostatok času na riadenie, revíziu obstarávania a školenie personálu.