EU AI Act podľa sektora — Príručka dodržiavania predpisov pre jednotlivé odvetvia

Príručky dodržiavania EU AI Act pre jednotlivé sektory: zdravotníctvo, HR, verejný sektor, doprava, poisťovníctvo, maloobchod, MSP a vzdelávanie.

Ako sektor určuje mieru vystavenia EU AI Act

EU AI Act je horizontálne právne predpisy — vzťahuje sa na AI systémy uvedené na trh alebo do prevádzky vo všetkých odvetviach hospodárstva v Európskej únii. Praktická záťaž spojená s dodržiavaním predpisov však nie je jednotná. Od sektora závisí, ktoré vysokorizikové kategórie podľa Annex III sú relevantné, ktoré existujúce regulačné rámce vytvárajú prekrývajúce sa povinnosti a ktoré vnútroštátne alebo orgány EÚ budú mať právomoc nad nasadením AI.

Nariadenie zakladá vrstvovú architektúru rizík: zakázané praktiky podľa Art. 5, vysokorizikové AI podľa Art. 6 a Annex III, povinnosti pre AI všeobecného účelu (GPAI) podľa Art. 51 až Art. 55 a povinnosti transparentnosti podľa Art. 50. Zákaz zakázaných praktík a transparentnostná vrstva podľa Art. 50 sa vzťahujú na všetky sektory. Povinnosti pre vysokorizikové systémy podľa Annex III sa uplatňujú selektívne, v závislosti od toho, aký AI systém organizácia nasadzuje a na aký účel.

Pochopenie expozície sektora začína mapovaním operačných prípadov použitia AI voči kategóriám Annex III. Organizácie musia tiež posúdiť, či nasadený AI predstavuje model GPAI podľa Art. 3(63), a či akékoľvek vzťahy s dodávateľmi zakladajú povinnosti prevádzkovateľa alebo poskytovateľa GPAI.

Pochopenie Annex III podľa sektora

Annex III EU AI Act vymedzuje 8 kategórií samostatných vysokorizikových AI systémov. Každá kategória sa mapuje na konkrétne odvetvia a prípady použitia AI.

Kategória 1 — Biometria (medziodvetvová)

Art. 6 v spojení s bodom 1 Annex III pokrýva AI systémy určené na biometrickú identifikáciu a biometrickú kategorizáciu fyzických osôb. Vzdialená biometrická identifikácia v reálnom čase na verejne prístupných miestach zo strany orgánov presadzovania práva je zakázaná podľa Art. 5(1)(h), nie len vysokoriziková. Systémy biometrickej identifikácie po skutočnosti a systémy biometrickej kategorizácie používané v zamestnaní, kontrole hraníc, presadzovaní práva (v povolených medziach) a kontrole prístupu zostávajú v kategórii vysokorizikových. Každá organizácia nasadzujúca rozpoznávanie tvárí, snímanie odtlačkov prstov, rozpoznávanie hlasu alebo podobné systémy na účely rozhodnutí s dôsledkami pre dotknuté osoby je v rozsahu pôsobnosti.

Kategória 2 — Kritická infraštruktúra (doprava, energetika, voda)

Bod 2 Annex III pokrýva AI využívaný ako bezpečnostná súčasť pri správe a prevádzke kritickej digitálnej infraštruktúry, cestnej premávky, zásobovania vodou, plynom, systémov vykurovania a elektriny. Prevádzkovatelia v oblasti dopravy, správcovia energetických sietí, správcovia vodárenskej infraštruktúry a poskytovatelia digitálnej infraštruktúry musia posúdiť, či ich AI systémy spĺňajú tieto kritériá. Annex I AI Act sa tu tiež prelína: bezpečnostné súčasti AI zabudované do výrobkov regulovaných podľa Annex I (strojové zariadenia, vozidlá, zariadenia civilného letectva, železničné systémy) sú vysokorizikové podľa Art. 6(1), nie podľa Annex III.

Kategória 3 — Vzdelávanie a odborná príprava

Bod 3 Annex III pokrýva AI, ktorý rozhoduje o prístupe k vzdelávacím inštitúciám, zaraďuje žiakov a študentov do vzdelávacích ciest, hodnotí výkon na skúškach alebo testoch, vyhodnocuje vzdelávacie výsledky, ktoré podstatne ovplyvňujú budúce príležitosti, a monitoruje správanie žiakov počas skúšok. Platformy EdTech, vysoké školy, poskytovatelia odborného vzdelávania a skúšobné orgány musia porovnať svoje AI nástroje s týmito kritériami.

Kategória 4 — Zamestnanosť a HR

Bod 4 Annex III pokrýva AI používaný pri nábore a výbere zamestnancov (preverovanie životopisov, zoraďovanie uchádzačov, automatizovaná analýza pohovorov), rozhodnutiach o povýšení, ukončení pracovného pomeru, prideľovaní úloh pracovníkom platforiem, monitorovaní správania zamestnancov a hodnotení výkonu. Táto kategória patrí k najširším — prakticky každá organizácia využívajúca AI-asistované HR procesy musí posúdiť dodržiavanie predpisov. Povinnosť sa vzťahuje na AI používaný zamestnávateľmi, personálnymi agentúrami a platformami gig ekonomiky.

Kategória 5 — Základné súkromné a verejné služby (financie, poisťovníctvo, zdravotnícke doplnkové služby, dávky)

Bod 5 Annex III je najširšou kategóriou, zahŕňajúcou AI používaný na posudzovanie bonity a kreditné skórovanie fyzických osôb, hodnotenie poistného rizika a stanovenie cien, posúdenie nároku na verejné dávky a sociálne služby a rozhodnutia o dispečingu záchranných zložiek. Táto kategória priamo ovplyvňuje banky, poisťovne, verejné správy a poskytovateľov sociálnych služieb. Zdravotnícky AI, ktorý skóruje osoby pre účely nároku na poistenie, sem tiež patrí, čím sa vytvára prekryv medzi povinnosťami vo finančných službách a zdravotníctve.

Kategórie 6, 7 a 8 — Presadzovanie práva, migrácia, justícia

Body 6, 7 a 8 Annex III sa zameriavajú na orgány verejného sektora a ich technologických dodávateľov. AI v oblasti presadzovania práva (skórovanie rizika, predikcia recidívy, predikcia trestnej činnosti, hodnotenie dôkazov), AI v oblasti migrácie a kontroly hraníc (hodnotenie azylového rizika, overovanie dokladov, spracovanie žiadostí) a AI v oblasti justície a demokratických procesov (nástroje na právny výskum, AI v súvislosti s voľbami) sú všetky vysokorizikové. Tieto kategórie sa primárne dotýkajú policajných orgánov, pohraničných agentúr, imigračných tribunálov, súdov a ich zmluvných poskytovateľov AI.

Sektorové príručky

Každá z nasledujúcich špecializovaných príručiek mapuje povinnosti podľa EU AI Act na špecifický regulačný kontext, typické prípady použitia AI a architektúru presadzovania v danom sektore.

Zdravotníctvo a vedy o živote

AI v zdravotníctve pôsobí na priesečníku EU AI Act, Nariadenia o zdravotníckych pomôckach (MDR) a Nariadenia o diagnostike in vitro (IVDR). AI systémy, ktoré sa kvalifikujú ako zdravotnícke pomôcky, sú primárne regulované podľa MDR/IVDR, no naďalej podliehajú povinnostiam AI Act týkajúcim sa základných práv a transparentnosti. Bod 5 Annex III zahŕňa AI používaný na skórovanie zdravotného rizika v poisťovníctve a na posúdenie nároku na verejné dávky. Podpora klinického rozhodovania, diagnostický AI, nástroje na triedenie pacientov a AI pre objavovanie liekov nesú špecifické povinnosti v závislosti od ich regulačnej klasifikácie.

HR a nábor zamestnancov

Bod 4 Annex III zaraďuje prakticky všetky AI-asistované HR procesy do kategórie vysokorizikových. Nástroje na preverovanie životopisov, platformy psychometrického hodnotenia, automatizovaná analýza video pohovorov, systémy riadenia výkonu a AI pre plánovanie pracovnej sily musia dodržiavať povinnosti poskytovateľov a prevádzkovateľov. Táto príručka sa zaoberá povinnosťami zamestnávateľov ako prevádzkovateľov podľa Art. 26, požiadavkami na správu údajov podľa Art. 10 a vzájomným pôsobením s obmedzeniami profilovania podľa GDPR.

Verejný sektor a justícia

Verejné orgány sú súčasne prevádzkovateľmi vysokorizikového AI a subjektmi, ktoré príslušné vnútroštátne orgány budú najdôslednejšie preskúmavať. Body 5 až 8 Annex III spoločne pokrývajú rozsiahlu časť AI vo verejnom sektore: určovanie nároku na dávky, AI pre záchranné zložky, nástroje presadzovania práva, systémy správy hraníc a justičný AI. Táto príručka sa zaoberá špecifickými povinnosťami verejných prevádzkovateľov, mandátmi transparentnosti pri automatizovaných rozhodnutiach ovplyvňujúcich občanov a prienikom s GDPR a Smernicou o presadzovaní práva.

Doprava a kritická infraštruktúra

Prevádzkovatelia v doprave musia navigovať tak bod 2 Annex III (bezpečnostné súčasti v kritickej infraštruktúre), ako aj produktovú bezpečnostnú reguláciu podľa Annex I. AI v systémoch autonómnych vozidiel, riadení železničnej premávky, riadení letovej prevádzky, prístavných operáciách a logistickom smerovaní môže spustiť klasifikáciu vysokorizikových systémov viacerými cestami. Táto príručka sa zaoberá interakciou s predpismi EASA, Smernicou o bezpečnosti železníc a úlohou notifikovaných orgánov pri posudzovaní zhody.

MSP

Malé a stredné podniky čelia rovnakým povinnostiam podľa EU AI Act ako veľké organizácie, ak sú poskytovateľmi vysokorizikového AI alebo prevádzkovateľmi využívajúcimi vysokorizikový AI. Nariadenie však stanovuje mechanizmy proporcionality. Táto príručka vysvetľuje možnosti zjednodušenej technickej dokumentácie, prístup k regulačným pieskoskám podľa Art. 57 až Art. 63 a spôsob, ako zostaviť minimálny, ale právne dostatočný program dodržiavania predpisov. Zaoberá sa aj expozíciou MSP ako prevádzkovateľov nástrojov AI tretích strán.

Poisťovníctvo

AI v poisťovníctve podlieha bodu 5(b) Annex III (hodnotenie rizika a stanovenie cien pre životné poistenie a zdravotné poistenie fyzických osôb) a prelína sa s požiadavkami Solvency II na správu modelov a využívanie interných modelov. AI na oceňovanie motorového, zdravotného, majetkového a životného poistenia, nástroje na rozhodovanie o upisovaní a systémy automatizovaného vybavovania poistných udalostí si vyžadujú posúdenie. Táto príručka sa zaoberá úlohami EIOPA a vnútroštátnych orgánov dohľadu nad poisťovníctvom popri rámci NCA podľa AI Act.

Maloobchod a call centrá

Maloobchodné a zákaznícke operácie sú primárne ovplyvnené povinnosťami transparentnosti podľa Art. 50 — zverejnenie obsahu generovaného AI, identifikácia chatbotov a označovanie deepfake — a AI v oblasti zamestnanosti podľa bodu 4 Annex III. Systémy rozpoznávania emócií používané v kontexte komunikácie so zákazníkmi sú výslovne regulované. Táto príručka sa zaoberá AI v online maloobchode, odporúčacími algoritmami, automatizovanými zákazníckymi službami a riadením pracovnej sily v kontaktných centrách.

Vzdelávanie a EdTech

Bod 3 Annex III zaraďuje vzdelávací AI do kategórie vysokorizikových systémov tam, kde určuje alebo podstatne ovplyvňuje prístup k vzdelávacím cestám alebo hodnotí výsledky. Táto príručka sa zaoberá povinnosťami poskytovateľov EdTech, vysokých škôl, inštitúcií odborného vzdelávania a verejných skúšobných orgánov. Zahŕňa adaptívne vzdelávacie platformy, softvér na dohľad počas skúšok, automatizované hodnotenie esejí a nástroje na predikciu rizík u žiakov.

Finančný sektor (bankovníctvo)

Príručka pre bankový sektor sa zaoberá kreditným skórovaním a posudzovaním bonity podľa bodu 5(b) Annex III, AI na detekciu podvodov, algoritmickými obchodnými systémami, nástrojmi AML/KYC a platformami robo-poradenstva. Skúma vrstvenie povinností EU AI Act na DORA, MiFID II, CRR/CRD a usmernenia EBA. Prvoradou témou je prienik požiadaviek na správu modelov podľa AI Act s existujúcimi rámcami riadenia modelového rizika podľa usmernení EBA.

Prierezové povinnosti

Niektoré povinnosti podľa EU AI Act sa uplatňujú bez ohľadu na sektor. Každá organizácia pôsobiaca v EÚ musí rozumieť týmto základným požiadavkám.

Zakázané praktiky — Art. 5

Art. 5 stanovuje absolútne zákazy účinné od 2. februára 2025. Tieto sa vzťahujú na každý sektor bez výnimky: techniky podprahovej manipulácie spôsobujúce ujmu, využívanie zraniteľností fyzických osôb, sociálne skórovanie zo strany verejných orgánov, vzdialená biometrická identifikácia v reálnom čase orgánmi presadzovania práva na verejných miestach (s výhradou úzkych výnimiek), rozpoznávanie emócií na pracoviskách a vo vzdelávacích inštitúciách (mimo stanovených použití), biometrická kategorizácia využívajúca citlivé charakteristiky a prediktívna polícia založená výlučne na profilovaní. Žiadna sektorovo špecifická výnimka tieto zákazy nepotláča.

Povinnosti transparentnosti — Art. 50

Art. 50 ukladá poskytovateľom a prevádzkovateľom AI systémov, ktoré interagujú s fyzickými osobami, povinnosť zverejniť AI povahu interakcie. Vzťahuje sa na chatboty, virtuálnych asistentov, automatizované systémy call centier a každý AI systém navrhnutý tak, aby sa javil ako ľudský. Obsah generovaný AI — syntetické médiá, deepfake, text — musí byť označený strojovo čitateľným spôsobom. Tieto povinnosti sa vzťahujú na maloobchod, finančné služby, nástroje zdravotníctva orientované na pacientov, občianske služby verejného sektora a každý iný sektor nasadzujúci konverzačný alebo generatívny AI.

Povinnosti modelu GPAI — Art. 51 až Art. 55

Organizácie, ktoré nasadzujú modely GPAI — veľké jazykové modely, základné modely, multimodálny AI — musia posúdiť, či sú prevádzkovateľmi modelu GPAI tretej strany alebo poskytovateľmi systému integrujúceho GPAI. Poskytovatelia GPAI nesú povinnosti podľa Art. 53 (transparentnosť voči poskytovateľom na nižšej úrovni, politika autorských práv, zhrnutie trénovacích dát). Modely GPAI so systémovým rizikom nesú dodatočné povinnosti podľa Art. 55. Každý sektor využívajúci komerčné API základných modelov alebo vlastne hostované základné modely musí tieto povinnosti posúdiť.

MSP a primerané povinnosti

MSP predstavujú väčšinu podnikov EÚ a rastúci podiel poskytovateľov a prevádzkovateľov AI systémov. EU AI Act nevytvára plošnú výnimku pre MSP, avšak Art. 9(5), Art. 11 a Art. 16 vyžadujú, aby povinnosti poskytovateľov boli primerané veľkosti a kapacite organizácie.

Rámec regulačných pieskovísk (Art. 57 až Art. 63) je osobitne navrhnutý na to, aby MSP a startupom poskytoval kontrolované vývojové prostredia, znížil regulačnú neistotu a umožnil priamy prístup k poradenstvu príslušného vnútroštátneho orgánu. Účasť nezaručuje osvedčenie o súlade, avšak poskytuje štruktúrovanú cestu na vstup na trh pre inovatívne AI produkty.

Pre MSP pôsobiace ako prevádzkovatelia vysokorizikového AI poskytovaného treťou stranou sa uplatňujú povinnosti podľa Art. 26 — posúdenie prípadu použitia, implementácia ľudského dohľadu, posúdenie vplyvu na základné práva. Rozsah požadovanej dokumentácie a monitorovania je primeraný, no právne povinnosti nie sú odpustené.

Špecializovaná príručka pre MSP poskytuje plán dodržiavania predpisov prispôsobený menším organizáciám, pokrývajúci stanovenie priorít, minimálnu realizovateľnú dokumentáciu, náležitú starostlivosť pri výbere dodávateľov a postupy prístupu k pieskoskám.

Presadzovanie

EU AI Act vytvára vrstvovú architektúru presadzovania s výraznými sektorovo špecifickými rozmermi.

Príslušné vnútroštátne orgány

Každý členský štát EÚ určuje jeden alebo viacero príslušných vnútroštátnych orgánov (NCA) podľa Art. 70. NCA sú zodpovedné za schvaľovanie regulačných pieskovísk, vykonávanie trhového dohľadu, prijímanie dát o monitorovaní po uvedení na trh od poskytovateľov, vyšetrovanie podozrení z porušenia predpisov a ukladanie správnych pokút podľa Art. 99 až Art. 101. Maximálne pokuty dosahujú 35 miliónov EUR alebo 7 % globálneho ročného obratu za porušenie zakázaných praktík podľa Art. 5.

Sektoroví regulátori ako orgány trhového dohľadu

Art. 74(8) a Art. 74(9) umožňujú sektorovým regulátorom pôsobiť ako orgány trhového dohľadu pre AI vo svojich oblastiach. Európsky orgán pre bankovníctvo (EBA), Európsky orgán pre poisťovníctvo a dôchodkové poistenie zamestnancov (EIOPA), Európsky orgán pre cenné papiere a trhy (ESMA), Európska agentúra pre lieky (EMA) a Agentúra Európskej únie pre bezpečnosť letectva (EASA) zohrávajú každý svoju úlohu pri dohľade nad AI v rámci svojich regulačných pôsobností. To vytvára dvojkoľajové presadzovanie: kreditný skórovací AI banky môže byť preskúmavaný tak vnútroštátnym finančným regulátorom uplatňujúcim povinnosti podľa Annex III, ako aj NCA vykonávajúcim trhový dohľad podľa AI Act.

Európsky úrad pre umelú inteligenciu

Európsky úrad pre umelú inteligenciu, zriadený podľa Art. 64 až Art. 70, disponuje priamou právomocou presadzovania voči poskytovateľom modelov GPAI. Pre organizácie nasadzujúce modely GPAI so systémovým rizikom je Úrad pre AI primárnym regulačným partnerom — nie vnútroštátny NCA. Sektároví regulátori nemajú priamu právomoc nad modelmi GPAI ako takými, hoci AI systémy na nižšej úrovni integrujúce GPAI zostávajú predmetom vnútroštátneho a sektorového dohľadu.

Harmonogram presadzovania

Zákaz praktík podľa Art. 5 platí od 2. februára 2025. Povinnosti pre GPAI podľa Art. 51 až Art. 55 nadobudli účinnosť 2. augusta 2025. Plné povinnosti pre vysokorizikové AI systémy podľa Annex III — pokrývajúce všetkých osem kategórií a všetky povinnosti poskytovateľov a prevádzkovateľov — sa uplatňujú od 2. decembra 2027 (predĺženie z pôvodného termínu 2. augusta 2026 prostredníctvom novely Digital Omnibus z roku 2025). Organizácie vo všetkých sektoroch by mali obdobie do decembra 2027 vnímať ako aktívne okno na zabezpečenie súladu, nie ako lehotu milosti.