Kontrolný zoznam súladu s nariadením EÚ o AI: sprievodca FAQ krok za krokom

Kontrolný zoznam súladu s nariadením EÚ o AI vo forme otázok a odpovedí: rozsah pôsobnosti, zostávajúce termíny, klasifikácia rizika, zakázané postupy, GPAI, zhoda vysokorizikových systémov a rozdelenie povinností medzi poskytovateľa a nasadzujúci subjekt.

Tento sprievodca odpovedá na otázky súladu v poradí, v akom skutočne prichádzajú: dosiahne na mňa nariadenie, čo ma viaže už dnes, ktoré z mojich systémov sú vysokorizikové, čo musím predložiť a koľko stojí chyba. Každá odpoveď je ukotvená v právnom základe citovateľnom vo vnútornej správe.

Kto musí týmto zoznamom prejsť?

Každá organizácia, ktorá vyvíja, nasadzuje, dováža alebo distribuuje systém AI používaný v EÚ — bez ohľadu na to, kde je usadená. Čl. 2 dosahuje na poskytovateľov a nasadzujúce subjekty z tretích krajín hneď, ako sa výstup systému používa v Únii: americký dodávateľ SaaS s európskymi zákazníkmi patrí do rozsahu rovnako ako slovenská banka.

Štyri otázky určujú váš súbor povinností a všetky štyri sú potrebné, aby zoznam dával zmysel:

Posledný riadok uniká väčšine inventárov. Povinnosti transparentnosti dopadajú na systémy, ktoré vysokorizikové vôbec nie sú: chatbot zákazníckej podpory dnes nesie povinnosť bez toho, aby niesol čokoľvek z bremena zhody, ktorému sa venuje zvyšok tohto zoznamu.

Čo vás viaže už dnes a čo ešte príde?

Päť dátumov uplatňovania už uplynulo; hlavná práca na zhode pripadá na december 2027. Nasledujúce dátumy zodpovedajú dátovému súboru termínov, ktorý táto stránka zverejňuje a ktorý zohľadňuje odklady vykonané nariadením (EÚ) 2026/1744.

Digitálny omnibus posunul štyri z týchto dátumov a prepísal čl. 4; úplný register pred/po je zverejnený na /changes/. Neodstránil žiadnu povinnosť a nevytvoril výnimku, takže program postavený na pôvodných dátumoch zostáva správnym programom — má len dlhší rozbeh.

Krok 1 — Je váš inventár AI úplný?

Bez úplného inventára nie je nič z nasledujúceho obhájiteľné. Založte register všetkých systémov AI, ktorých sa organizácia dotýka:

• Systémy, ktoré vyvíjate a predávate alebo licencujete (ste poskytovateľ)
• Systémy, ktoré nakupujete alebo licencujete a používate interne (ste nasadzujúci subjekt)
• Systémy zabudované do výrobkov, ktoré vyrábate alebo dovážate
• Systémy, ku ktorým pristupujete cez API tretích strán (cloudová AI, API základových modelov)

Pri každom: názov, funkcia, vstupné a výstupné údaje, kontext používania, dosah rozhodnutia a dotknuté osoby. Označte systémy s neistou klasifikáciou — vyžadujú právne posúdenie, nie inžiniersku odpoveď.

Dve kategórie sa systematicky podhodnocujú: funkcie AI dodávané v nástrojoch SaaS, ktoré firma už platí, a modely postavené jednotlivými tímami mimo nákupného procesu. Vyžiadajte si od financií zoznam dodávateľov a od vývoja register modelov; zjednotenie oboch je bližšie pravde než každý osobitne.

Krok 2 — Neprevádzkujete už niečo nezákonné?

Prejdite čl. 5 pred akoukoľvek klasifikáciou rizika, pretože zakázaný systém nemožno uviesť do súladu. Porovnajte každý systém so zoznamom:

• Podprahové, manipulatívne alebo klamlivé techniky podstatne narúšajúce správanie
• Zneužívanie zraniteľnosti danej vekom, zdravotným postihnutím alebo sociálnou či ekonomickou situáciou
• Sociálne skórovanie vedúce k nepriaznivému zaobchádzaniu v nesúvisiacich kontextoch
• Necielené získavanie tvárových snímok na budovanie rozpoznávacích databáz
• Odvodzovanie emócií na pracovisku alebo vo vzdelávaní
• Biometrická kategorizácia na odvodenie citlivých charakteristík
• Biometrická identifikácia na diaľku v reálnom čase na verejných priestranstvách na presadzovanie práva

→ Vyradiť alebo od základu prepracovať. Tieto zákazy platia od 2. februára 2025 a patria do sankčnej hladiny 35 miliónov EUR / 7 %. Sprievodca zakázanými postupmi rozoberá úzke výnimky pri každom z nich.

Od 2. decembra 2026 pribúda zákaz systémov generujúcich materiály zobrazujúce sexuálne zneužívanie detí alebo intímne snímky bez súhlasu.

Krok 3 — Ste poskytovateľom modelu na všeobecné účely?

Ak organizácia vyvíja a zverejňuje základový model, povinnosti kapitoly V platia od 2. augusta 2025. Tri testy:

• Je model trénovaný samoučením vo významnom rozsahu?
• Zvláda kompetentne široké spektrum rôznych úloh?
• Je sprístupnený ďalším subjektom namiesto čisto interného použitia?

Ak áno: dokumentácia modelu pre Úrad pre AI a pre nadväzujúcich poskytovateľov, politika autorského práva a dostatočne podrobné verejné zhrnutie tréningového obsahu. Nad 10²⁵ FLOPs tréningového výpočtu sa predpokladá systémové riziko, čo pridáva hodnotenie modelu, adverzné testovanie, hlásenie incidentov a kybernetickú bezpečnosť. Pozri sprievodcu povinnosťami GPAI.

Od 2. augusta 2026 vymáha túto kapitolu priamo Komisia — nie vnútroštátne orgány — s pokutami až 15 miliónov EUR alebo 3 %.

Krok 4 — Ktoré z vašich systémov sú vysokorizikové?

Klasifikujte podľa prílohy III a prílohy I, použite filter čl. 6 ods. 3 a výsledok zapíšte. Príloha III uvádza osem samostatných kategórií: biometria, kritická infraštruktúra, vzdelávanie a odborná príprava, zamestnanosť a riadenie pracovníkov, prístup k základným súkromným a verejným službám, presadzovanie práva, migrácia a kontrola hraníc a výkon spravodlivosti. Príloha I zachytáva AI pôsobiacu ako bezpečnostný komponent výrobku, ktorý už reguluje právo EÚ o bezpečnosti výrobkov.

Výnimka podľa čl. 6 ods. 3 uvoľňuje systém, ktorý síce patrí do kategórie prílohy III, ale nepredstavuje významné riziko: úzka procedurálna úloha, zlepšenie výsledku dokončenej ľudskej činnosti, odhaľovanie rozhodovacích vzorcov bez nahradenia ľudského posúdenia alebo čisto prípravná práca. Nikdy neplatí pri profilovaní fyzických osôb. Posúdenie treba zdokumentovať pred uvedením na trh a registračná povinnosť trvá.

Rozhodnutia o klasifikácii sú najčastejšie kontrolovaným artefaktom tohto zoznamu. Zaznamenajte zvažovanú kategóriu, úvahu, dôkazy, dátum a zodpovednú osobu.

Krok 5 — Ste poskytovateľ, alebo nasadzujúci subjekt?

Úloha určuje asi 80 % záťaže a nákupná zmluva ju nefixuje. Čl. 25 z vás robí poskytovateľa vysokorizikového systému, ktorý ste nepostavili, ak naň umiestnite svoje meno či známku, podstatne ho zmeníte alebo ho presmerujete tak, že sa stane vysokorizikovým. Doladenie dodávateľského modelu na vlastných údajoch a jeho dodanie pod vlastnou značkou je bežnou cestou, ako zdediť nerozpočtované povinnosti poskytovateľa.

Sprievodca poskytovateľ vs. nasadzujúci subjekt rozoberá hraničné prípady vrátane dovozcov a distribútorov, ktorí nesú overovacie, nie zhodové povinnosti.

Kroky 6 – 10 — Čo program pre vysoké riziko vytvára?

Šesť artefaktov v poradí závislostí. Každý je vstupom pre ďalší, a preto program, ktorý začína dokumentáciou a postupuje späť k riadeniu, uviazne.

1. Systém riadenia kvality (čl. 17) — politiky, zodpovednosti, riadenie zmien, správa údajov, monitorovanie po uvedení na trh a postupy pri incidentoch. Na to sa orgán dohľadu nad trhom spýta prvé.
2. Záznamy o riadení rizík (čl. 9) — iteratívny cyklus identifikácie, odhadu a zmierňovania vedený počas celého životného cyklu, nie odsúhlasený raz.
3. Doklady o správe údajov (čl. 10) — pôvod, reprezentatívnosť, preskúmanie a zmiernenie skreslení pri tréningových, validačných a testovacích súboroch.
4. Technická dokumentácia podľa prílohy IV — súbor opísaný v sprievodcovi technickou dokumentáciou vrátane skúšok voči požiadavkám na presnosť, robustnosť a kybernetickú bezpečnosť podľa čl. 15.
5. Posudzovanie zhody a vyhlásenie — vlastné posúdenie podľa prílohy VI alebo notifikovaný subjekt tam, kde to vyžaduje biometria či výrobkové predpisy prílohy I. Pozri sprievodcu posudzovaním zhody.
6. Registrácia, označenie CE a monitorovanie — zápis do databázy EÚ pred uvedením na trh, označenie CE na dokumentácii a potom plán monitorovania po uvedení na trh a hlásenie závažných incidentov podľa čl. 73.

Mierte na 2. decembra 2027 pri samostatných systémoch prílohy III a na 2. augusta 2028 pri zabudovaných systémoch prílohy I. Realistický program pre jediný vysokorizikový systém trvá 12 až 24 mesiacov: štart na konci roka 2026 sa do okna zmestí bez rezervy a kapacita notifikovaných subjektov sa bude s blížiacim sa termínom zužovať.

Čo ak používate len cudziu AI?

Ste nasadzujúci subjekt a váš zoznam je krátky, ale nie prázdny. Tu stojí väčšina organizácií: žiadny vlastný model, tucet funkcií AI konzumovaných cez SaaS a API.

• Gramotnosť (čl. 4) platí teraz, pre každý nasadzujúci subjekt a na každej úrovni rizika.
• Transparentnosť (čl. 50) platí teraz pre to, čo vidia vaši používatelia: informácia o chatbote, označovanie deepfake, označovanie generovaných textov zverejnených na informovanie verejnosti.
• Povinnosti nasadzujúceho subjektu (čl. 26) začnú platiť 2. decembra 2027 všade tam, kde prípad použitia patrí do kategórie prílohy III — výber uchádzačov, úverové rozhodnutia, riadenie pracovníkov.
• Čl. 25 je pasca: v okamihu preznačenia alebo podstatnej zmeny dedíte súbor poskytovateľa.

Praktickým nástrojom kontroly je previerka dodávateľa: získať vyhlásenie o zhode, návod na použitie a informácie, ktoré čl. 13 poskytovateľovi ukladá poskytnúť. Sprievodca AI tretích strán spresňuje, čo zmluvne vyžadovať.

Čo sa mení podľa odvetvia?

Povinnosti sú totožné; výsledky klasifikácie a prekrývajúce sa režimy nie.

• Finančné služby — úverové skórovanie a stanovovanie cien poistenia patria do prílohy III a nasadzujúci subjekt tam dlhuje posúdenie vplyvu podľa čl. 27. Riadenie rizík IKT podľa DORA čiastočne napĺňa článok o riadení rizík, ale nepokrýva správu údajov špecifickú pre AI ani ľudský dohľad. Navrhnite jediný tok hlásení, ktorý naplní čl. 19 DORA aj čl. 73 AI Act. Pozri sprievodcu finančným sektorom a sprievodcu konvergenciou DORA / NIS2.
• Zdravotníctvo a zdravotnícke pomôcky — AI ako bezpečnostný komponent pomôcky podľa MDR/IVDR patrí do prílohy I, uplatniteľnej od 2. augusta 2028. Existujúca technická dokumentácia a systém kvality ISO 13485 tvoria základ a musia byť rozšírené o požiadavky kapitoly III; váš notifikovaný subjekt potrebuje samostatné určenie podľa AI Act.
• HR a nábor — kategória zamestnanosti prílohy III. Preskúmanie skreslení podľa čl. 10 je hlavnou expozíciou, transparentnosť voči uchádzačom je povinnosťou nasadzujúceho subjektu a žiadne konečné personálne rozhodnutie nesmie spočívať na systéme bez človeka schopného ho zvrátiť.
• Verejný sektor — posúdenie vplyvu je povinné a nasadzujúce subjekty registrujú svoje používanie systémov prílohy III v databáze EÚ.

Odvetvoví sprievodcovia preberajú deväť odvetví v rovnakej štruktúre.

Koľko stojí nesúlad?

Tri hladiny a pre bežný podnik je najdôležitejšia tá stredná. Čl. 99 stanovuje 35 miliónov EUR alebo 7 % celosvetového obratu za zákazy podľa čl. 5, 15 miliónov alebo 3 % za väčšinu ostatných povinností — vrátane transparentnosti podľa čl. 50 a celého bloku vysokého rizika — a 7,5 milióna alebo 1 % za zavádzajúce informácie poskytnuté orgánom. Malé a stredné podniky sú obmedzené nižšou sumou.

Tretia hladina si zaslúži pozornosť neúmernú svojej výške: trestá zlú odpoveď regulátorovi nezávisle od akéhokoľvek podkladového porušenia. Práve dokumentácia mení obhájiteľnú pozíciu na preukázateľnú. Sprievodca sankciami rozvádza výpočet expozície.

Čo urobiť v nasledujúcich 90 dňoch

1. Uzavrieť medzeru v inventári — zoznam dodávateľov z financií ∪ register modelov z vývoja.
2. Pretiahnuť celý park filtrom čl. 5. Je to jediný krok s už účinnou hladinou 7 %.
3. Nasadiť informácie podľa čl. 50 na všetko, čo mieri k používateľovi; povinnosť platí, nie až nastane.
4. Doložiť gramotnosť podľa čl. 4: kto bol školený, na čo a kedy. Sprievodca gramotnosťou v oblasti AI spresňuje, čo prepísaný článok vyžaduje.
5. Klasifikovať kandidátov prílohy III a zapísať úvahu vrátane rozhodnutí podľa čl. 6 ods. 3.
6. Pri každom potvrdenom vysokorizikovom systéme spustiť systém riadenia kvality. December 2027 je obmedzením a rad pri notifikovaných subjektoch je pred vami, nie za vami.

Pracovné šablóny pre inventár, register rizík, technickú dokumentáciu a previerku dodávateľov nájdete v sadách nástrojov pre súlad; Akadémia AI Act pokrýva rovnaké územie ako štruktúrované školenie s certifikáciou.