Článok 99 — Sankcie (Nariadenie EÚ o umelej inteligencii)

Článok 99 nariadenia (EÚ) 2024/1689 — Sankcie. Oficiálny text, praktická interpretácia, kľúčové povinnosti a dôsledky pre súlad s predpismi.

Zhrnutie oficiálneho textu

Článok 99 nariadenia (EÚ) 2024/1689 stanovuje rámec správnych sankcií za porušenia nariadenia EÚ o umelej inteligencii. Stanovuje trojstupňovú štruktúru pokút kalibrovanú podľa závažnosti porušenia.

Najzávažnejšie porušenia — porušenia zakázaných praktík UI uvedených v Article 5 — priťahujú pokuty až do výšky 35 miliónov eur alebo 7 % celkového celosvetového ročného obratu, podľa toho, čo je vyššie. Porušenia iných povinností uložených poskytovateľom, prevádzkovateľom nasadenia, dovozcom a distribútorom — vrátane tých, ktoré sa týkajú systémov UI s vysokým rizikom, povinností transparentnosti a modelov GPAI — podliehajú pokutám až do výšky 15 miliónov eur alebo 3 % celosvetového ročného obratu. Poskytovanie nesprávnych, neúplných alebo zavádzajúcich informácií notifikovaným orgánom alebo príslušným vnútroštátnym orgánom sa trestá pokutou až do výšky 7,5 milióna eur alebo 1 % celosvetového ročného obratu.

Pre poskytovateľov modelov GPAI článok 99(3) odkazuje na prahy pokút uplatniteľné na povinnosti podľa kapitoly V (Articles 53–56), vrátane povinností systémového rizika pre poskytovateľov modelov GPAI so systémovým rizikom. Ak je porušujúcou stranou MSP alebo startup, percentuálny strop obratu sa uplatní vtedy, ak produkuje nižšiu absolútnu sumu ako strop pevnej sumy. Príslušné vnútroštátne orgány sú zodpovedné za ukladanie a vymáhanie pokút v rámci svojej jurisdikcie, zatiaľ čo Úrad pre UI má právomoc vymáhania voči poskytovateľom modelov GPAI na úrovni Únie.

Čo to znamená v praxi

Článok 99 je chrbtovou kosťou vymáhania nariadenia EÚ o umelej inteligencii. Jeho vrstvená štruktúra priamo určuje, ako by organizácie mali uprednostňovať svoje programy súladu s predpismi.

Pre poskytovateľov systémov UI s vysokým rizikom sa vrstva 3 %/15 miliónov eur uplatňuje pri zlyhaniach, ako sú nedostatočné posúdenia zhody, chýbajúca technická dokumentácia, nesúladné systémy riadenia kvality alebo nedostatočná registrácia systémov v databáze EÚ podľa Article 71. Výrobca zdravotníckeho zariadenia nasadzujúci diagnostický nástroj s podporou UI bez dokončenia požadovaného posúdenia zhody podľa Annex VI je napríklad vystavený zodpovednosti v tejto vrstve.

Pre každého prevádzkovateľa nasadzujúceho zakázané aplikácie UI — ako je biometrická identifikácia v reálnom čase vo verejných priestoroch mimo úzkych výnimiek, sociálne skórovanie zo strany verejných orgánov alebo techniky sublimálnej manipulácie — sa uplatňuje vrstva 7 %/35 miliónov eur. Ide o tvrdé zákazy nariadenia a úroveň sankcie signalizuje, že žiadne obchodné odôvodnenie nemôže kompenzovať porušenie.

Pre vývojárov a prevádzkovateľov nasadenia modelov GPAI sa pokuty v 3 % vrstve viažu na zlyhania okolo technickej dokumentácie, transparentnosti autorských práv a — pre modely so systémovým rizikom — povinnosti hlásenia incidentov a testovania adversariálnych scenárov.

Pre všetkých prevádzkovateľov dezinformovanie regulátorov počas vyšetrovaní dohľadu nad trhom spúšťa vrstvu 1 %. Toto je prevádzkovo významné: znamená to, že interná správa dokumentov, záznamy auditu a protokoly spolupráce s orgánmi musia byť spoľahlivé pred príchodom regulátorov.

Faktory proporcionality — vrátane trvania porušenia, miery spolupráce a predchádzajúcich porušení — vedú orgány pri stanovovaní skutočnej pokuty v rámci uplatniteľného stropu.

Kľúčové povinnosti

• Vyhýbanie sa zakázaným praktikám (Article 5): Akékoľvek nasadenie alebo uvedenie na trh systémov UI, ktoré sa zapájajú do praktík uvedených v Article 5 — vrátane biometrickej identifikácie na diaľku v reálnom čase vo verejne prístupných priestoroch (mimo uvedených výnimiek), sociálneho skórovania, sublimálnej manipulácie a zneužívania zraniteľností — vystavuje prevádzkovateľa najvyššej sankčnej vrstve.
• Plnenie povinností poskytovateľa pre systémy UI s vysokým rizikom: Poskytovatelia musia udržiavať posúdenia zhody, technickú dokumentáciu, systémy riadenia kvality a monitorovanie po uvedení na trh. Zlyhania v ktorejkoľvek z týchto oblastí podliehajú pokute strednej vrstvy.
• Súlad s povinnosťami modelu GPAI (Chapter V): Poskytovatelia modelov UI na všeobecné účely musia spĺňať povinnosti transparentnosti, dokumentácie a politiky autorských práv; poskytovatelia modelov GPAI so systémovým rizikom čelia ďalším požiadavkám okolo hlásenia incidentov, hodnotení modelov a opatrení kybernetickej bezpečnosti.
• Poskytovanie presných informácií orgánom: Všetci prevádzkovatelia musia spolupracovať s vnútroštátnymi orgánmi dohľadu nad trhom a Úradom pre UI a nesmú poskytovať nesprávne alebo zavádzajúce informácie počas vyšetrovaní alebo postupov zhody.
• Zabezpečenie súladu primeraného pre MSP: Hoci MSP profitujú z úvahy o proporcionalite pri stanovovaní pokút, nie sú oslobodené od vecných povinností — musia stále spĺňať uplatniteľné požiadavky a podliehajú vymáhaniu.
• Vedenie interných záznamov auditu: Vzhľadom na to, že pokuty môžu byť modulované mierou spolupráce a prijatými nápravnými opatreniami, organizácie by mali udržiavať dôkazy o krokoch dodržiavania predpisov, postupoch reagovania na incidenty a dobromyseľnom zapojení s regulátormi.

Vzťah k iným článkom

Článok 99 nemožno čítať izolovane — je výrazom vymáhania povinností definovaných v celom nariadení.

Najpriamejšie väzby sú na Article 5 (zakázané praktiky, spúšťajúce najvyššiu sankčnú vrstvu) a Articles 8–15 (požiadavky na systémy UI s vysokým rizikom, primárny zdroj porušení strednej vrstvy). Article 53–56 (povinnosti GPAI) prispievajú do sankčnej štruktúry pre poskytovateľov základných modelov. Article 71 (databáza EÚ pre systémy UI s vysokým rizikom) je registračná povinnosť, ktorej porušenie zachytáva stredná vrstva.

Article 100 je sesterské ustanovenie pre inštitúcie a orgány Únie, uplatňujúce paralelný sankčný režim spravovaný európskym dozorným úradníkom pre ochranu údajov, nie vnútroštátnymi orgánmi.

Article 98 (sankcie za nesúlad notifikovaných orgánov) a Article 101 (delegovanie právomoci týkajúcej sa pokút pre poskytovateľov GPAI) sú bezprostredne susediace v sankčnej kapitole a mali by sa čítať spolu s článkom 99 pre úplný obraz architektúry vymáhania nariadenia. Articles 74–79 (dohľad nad trhom a vymáhanie) definujú procesný rámec, v ktorom sa ukladajú pokuty podľa článku 99.

Harmonogram súladu s predpismi

Nariadenie EÚ o umelej inteligencii nadobudlo účinnosť 2. augusta 2024 (dvadsať dní po uverejnení v Úradnom vestníku). Článok 99 sám sa stal uplatniteľným 2. augusta 2025, po dvanásťmesačnom prechodnom období podľa článku 113(2).

Harmonogram etapového uplatňovania je kritickým kontextom na pochopenie toho, kedy sa vystavenie sankciám viaže na rôzne povinnosti:

• 2. februára 2025 — Stali sa uplatniteľnými zákazy (Article 5), čo znamená, že porušenia zakázaných praktík UI podliehajú od tohto dátumu vrstve pokút 7 %/35 miliónov eur.
• 2. augusta 2025 — Všeobecný dátum uplatniteľnosti pre väčšinu nariadenia, vrátane samotného článku 99, povinností modelov GPAI (Chapter V) a rámca správy. Vrstvy pokút 3 %/15 miliónov eur a 1 %/7,5 milióna eur sa stali operatívnymi od tohto dátumu.
• 2. decembra 2026 — Systémy UI s vysokým rizikom kryté Annex I (existujúce harmonizačné právne predpisy Únie) musia spĺňať úplné požiadavky na vysoké riziko, čím sa povinnosti poskytovateľov podľa Articles 8–15 stávajú vymožiteľnými s vystavením pokutám.
• 2. augusta 2027 — Systémy UI s vysokým rizikom uvedené v Annex III, ktoré boli na trhu pred 2. augustom 2024, musia spĺňať požiadavky, čím sa dokončuje postupné zavádzanie pre existujúce nasadenia s vysokým rizikom.

Organizácie by mali mapovať svoje portfólio UI oproti týmto dátumom, aby určili súčasné a budúce vystavenie sankciám podľa článku 99.