Již 2. února 2025 vstupují v účinnost první povinnosti podle AI Actu – zákaz nedovolených praktik a povinnosti v oblasti AI gramotnosti. Tímto vydáním Vás tedy připravujeme na kroky v rámci implementace AI Actu, pakliže zamýšlíte ve Vaší organizaci nasadit nástroje umělé inteligence. Více o samotném AI Actu například v našem předchozím newsletteru. Číst více

Příprava na první povinnosti účinné od 2. února 2025

Školení pro zaměstnance a AI gramotnost

Za účelem zajištění AI Gramotnosti bude velmi pravděpodobně nutné uskutečnit školení pro zaměstnance (a všechny další potenciální AI uživatele) či jinou formu vzdělání uživatelů o fungování a rizikovosti umělé inteligence. Záměrem má být v co největší možné míře zajistit dostatečnou úroveň gramotnosti v oblasti AI u případných uživatelů.

Posouzení nedovolených praktik

AI Act vymezuje seznam nedovolených praktik, které budou od 2. února 2025 přímo zakázány. V rámci přípravy na účinnost tohoto ustanovení je vhodné posoudit, zda použití umělé inteligence nemůže naplnit některou z definic těchto zakázaných praktik. Jedná se například v určitých případech o AI systémy využívající podprahových technik, AI systémy využívající zranitelnosti osob či například systémy AI umožňující biometrickou kategorizaci za účelem dovození rasy či jiných sensitivních kritérií.

Implementace umělé inteligence a příprava na plnění povinností dle AI Actu

1. AI tým

Podle velikosti Vaší organizace je vhodné jmenovat vhodný tým, který bude za umělou inteligenci napříč celou vaší společností zodpovědný a který bude rovněž znalý problematiky umělé inteligence. AI tým by měl být zejména propojen (podle struktury Vaší organizace) s Risk & Compliance, DPO, IT & security, právním, jakož i business týmy, které spravují případné use casy, a případně i s managementem.

2. Mapování: katalog AI systémů a identifikace use casů

Jako další krok bude vhodné zmapovat, jaké systémy, aplikace a nástroje používáte a zda integrujete či zamýšlíte nasazovat systémy umělé inteligence a zda Vaše systémy mohou naplnit definici systému umělé inteligence podle AI Actu. Je vhodné brát v potaz nejen zcela nové AI nástroje, ale i existující nástroje či aplikace, a to zejména ty licencované od třetích stran. Na základě tohoto mapování vznikne Váš katalog AI systémů. Současně bude vhodné vymezit a zmapovat tzv. use casy neboli scénáře, jak AI používáte či zamýšlíte používat. Nejen, že vám tento krok pomůže při výběru správného řešení (každý AI systém/model se hodí pro jiné účely), ale zároveň jde o vhodný postup z hlediska implementace právní regulace.

3. Gap analýza: posouzení AI systému a právních rizik a zhodnocení zpracování osobních údajů dle GDPR

V dalším kroku je vhodné zhodnotit, zda může Váš systém a způsob užití naplnit rizikovou kategorii dle AI Actu. Současně je vhodné zhodnotit, zda dochází ke zpracování osobních údajů – například zda vaši uživatelé mohou do AI systému nahrávat osobní údaje či důvěrné informace (například v rámci promptů) či zda využíváte customizované systémy umožňující fine-tuning na Vašich datech. Dále je vhodné brát v potaz i další právní rizika – například otázky duševního vlastnictví či případně sektorovou regulaci.

4. GDPR compliance

Pokud při používání AI bude docházet ke zpracování osobních údajů, je nezbytné implementovat celou řadu kroků k zajištění souladu s GDPR. Zejména je vhodné zvážit provedení DPIA (posouzení vlivu na ochranu osobních údajů), zvážit otázky slučitelnosti účelů zpracování osobních údajů, zabezpečení osobních údajů a smluvních závazků s poskytovatelem systému (pakliže se nejedná o interní vývoj), implementovat opatření k zajištění transparentnosti, procesy na výkon práv subjektů, jakož i zajištění odpovídající úrovně zabezpečení.

5. Implementace, dodatečná opatření a dokumentace

V poslední fázi projektu přichází na řadu samotná implementace kroků vyžadovaných právními předpisy. V rámci této fáze bude zejména vhodné implementovat celou řadu opatření, a to včetně opatření k zajištění compliance s nařízením AI Act, GDPR či opatření ke snížení rizik porušení práv duševního vlastnictví třetích stran. Součástí bude rovněž implementace potřebné dokumentace. Zde se bude jednat zejména o systém řízení rizik, interní směrnici o používání umělé inteligence, záznamy o provedených bezpečnostních auditech, technickou a smluvní dokumentaci poskytovatele AI systému, privacy notices a opatření k zajištění transparentnosti umělé inteligence, GDPR dokumentaci a celou řadu dalších kroků.

6. AI governance, monitoring a aktualizace

Jak už to bývá u obdobných projektů, i v případě AI implementace bude nezbytné přijatá opatření a dokumentaci pravidelně revidovat a dle potřeby aktualizovat, zejména s ohledem na postupné vyhodnocování opatření a dokumentace a současně vývoj technologií a legislativy.