Čl. 16 · Povinnosti poskytovatelů vysoce rizikových systémů AI

Článek 16 vypočítává povinnosti poskytovatele v písmenech a) až l). nosné pasáže citujeme u příslušných bodů výkladu. Uvozující věta zní: „Poskytovatelé vysoce rizikových systémů AI:” a na ni navazuje dvanáct povinností.

Související ustanovení: čl. 8 až 15 (požadavky oddílu 2), čl. 17 (systém řízení

kvality), čl. 18 (dokumentace), čl. 19 (protokoly), čl. 20 (nápravná opatření), čl. 43 (posuzování shody), čl. 47 (EU prohlášení o shodě), čl. 48 (označení CE), čl. 49 (registrace), čl. 25 (přechod rolí), čl. 99 odst. 4 písm. a) (sankce)

Související předpisy EU: směrnice (EU) 2016/2102 a (EU) 2019/882, upravující

požadavky na přístupnost (čl. 16 písm. l)

I. Poskytovatel jako těžiště oddílu 3

1 Článek 16 je uzlovým ustanovením celého oddílu 3. Neobsahuje samostatné hmotné požadavky (ty jsou v oddíle 2, čl. 8 až 15), nýbrž je uspořádává do katalogu povinností a přiřazuje je jedinému adresátovi, poskytovateli. Poskytovatelem je podle čl. 3 bodu 3 osoba nebo orgán, který systém vyvíjí nebo nechává vyvíjet a uvádí jej na trh, nebo který jej pod vlastním jménem uvádí do provozu. Právě proto, že poskytovatel systém uvádí na trh, soustřeďuje na sebe nařízení tíhu odpovědnosti za shodu. Bod 79 odůvodnění to potvrzuje. Odpovědnost za uvedení vysoce rizikového systému AI na trh nebo do provozu má převzít osoba definovaná jako poskytovatel. Není přitom podstatné, jestli je to tatáž osoba, která systém navrhla nebo vyvinula. Rozhodující je tedy uvedení systému na trh pod vlastní odpovědností, nikoli jeho autorství.

2 Většina povinností podle čl. 16 se váže k okamžiku uvedení na trh nebo do provozu a musí být splněna ještě před ním. To platí zejména pro provedení posouzení shody (písm. f), vypracování EU prohlášení o shodě (písm. g) a umístění označení CE (písm. h). Poskytovatel tedy nemůže systém nejprve uvést na trh a shodu doložit dodatečně. Logika nového legislativního rámce, ze kterého nařízení vychází, žádá prokázat shodu jako podmínku vstupu na trh, ne jako pozdější nápravu. Shodně bod 46 odůvodnění: produkt lze dodat na trh nebo uvést do provozu pouze tehdy, je-li v souladu se všemi platnými harmonizačními právními předpisy Unie.

3 Povinnosti oddílu 3 se stávají použitelnými spolu s celým režimem vysokého rizika. Podle přijatého znění čl. 113 jde obecně o 2. srpna 2026, u systémů klasifikovaných podle čl. 6 odst. 1 (příloha I) o 2. srpna 2027. Připomínám, že nařízení (EU) 2026/1744 tyto lhůty posunulo (u přílohy III na 2. prosince 2027, u přílohy I na 2. srpna 2028).

II. Katalog dvanácti povinností

4 Písmeno a) je zastřešující: poskytovatel „zajišťují, aby jejich vysoce rizikové systémy AI splňovaly požadavky stanovené v oddíle 2”. Ostatní písmena tuto obecnou povinnost buď procesně provádějí, nebo k ní přistupují jako povinnosti samostatné. Písmeno b) ukládá poskytovateli uvést na systému, jeho obalu nebo v přiložené dokumentaci své jméno, zapsaný název nebo ochrannou známku a kontaktní adresu. Jde o povinnost identifikační, která umožňuje dohledat odpovědnou osobu.

5 Písmena c) až e) odkazují na provozní infrastrukturu shody. Poskytovatel má mít zaveden systém řízení kvality podle čl. 17 (písm. c), vést dokumentaci podle čl. 18 (písm. d) a, jsou-li systémy pod jeho kontrolou, zajišťovat automatické generování protokolů podle čl. 19 (písm. e). Tato tři písmena jsou pouhými odkazy. Jejich obsah vykládáme u čl. 17 až 19.

6 Písmena f) až h) tvoří jádro produktové mechaniky. Poskytovatel zajistí provedení posouzení shody podle čl. 43 (písm. f), vypracuje EU prohlášení o shodě podle čl. 47 (písm. g) a umístí označení CE podle čl. 48 (písm. h). Tato tři písmena je nutné číst společně: posouzení shody je věcný postup, EU prohlášení o shodě je jeho písemný výsledek a označení CE je jeho vnější projev vůči trhu. Ověřil jsem, že čl. 43 rozlišuje mezi posouzením formou interní kontroly (příloha VI) a posouzením za účasti oznámeného subjektu (příloha VII), přičemž zapojení oznámeného subjektu je pravidlem jen u biometrických systémů podle přílohy III bodu 1 za určitých podmínek, kdežto u ostatních oblastí přílohy III (body 2 až 8) postačí interní kontrola. Praktický důsledek je zásadní: u většiny samostatných vysoce rizikových systémů posuzuje shodu sám poskytovatel a nezávislá třetí strana do postupu nevstupuje.

7 Písmeno i) ukládá dodržet povinnosti registrace podle čl. 49 odst. 1, tedy zaregistrovat sebe i systém do databáze EU (čl. 71) ještě před uvedením systému podle přílohy III na trh nebo do provozu. Ověřil jsem, že z této registrace jsou vyňaty systémy podle přílohy III bodu 2 (kritická infrastruktura), které se podle čl. 49 odst. 5 registrují na vnitrostátní úrovni. Písmeno j) váže na poskytovatele nápravná opatření a informační povinnost podle čl. 20, písmeno k) povinnost prokázat na odůvodněnou žádost soulad systému s požadavky oddílu 2.

8 Písmeno l) ukládá zajistit, aby systém splňoval „požadavky na přístupnost v souladu se směrnicemi (EU) 2016/2102 a (EU) 2019/882”. Toto písmeno je snadno přehlédnutelné, jeho dosah je však široký: přístupnost vysoce rizikového systému pro osoby se zdravotním postižením se stává součástí shody s nařízením, nikoli jen samostatnou povinností podle uvedených směrnic. Mám za to, že nedostatek přístupnosti tak může zakládat nesoulad se samotným nařízením. Tento dosah potvrzuje bod 80 odůvodnění. Odkazuje na Úmluvu OSN o právech osob se zdravotním postižením a ukládá poskytovatelům zajistit plný soulad s požadavky na přístupnost, včetně obou uvedených směrnic. A to už od fáze návrhu. Přístupnost tedy nemá být dodatečnou vrstvou, nýbrž má být v co největší míře začleněna již do návrhu systému.

9 Souhrnně katalog čl. 16 spojuje tři vrstvy: hmotnou shodu (písm. a), její organizační a dokumentační zajištění (písm. b až e, k), procesní prokázání a označení (písm. f až i) a průběžnou nápravu (písm. j). Poskytovatel musí naplnit všechny a splnění jedné z nich nenahrazuje ostatní. Bod 81 odůvodnění tytéž pilíře shrnuje: zavést spolehlivý systém řízení kvality, zajistit provedení posuzování shody, vypracovat příslušnou dokumentaci a zavést systém monitorování po uvedení na trh.

III. Prosazování a přechod povinností na další subjekty

10 Porušení povinností podle čl. 16 je stiženo sankcí podle čl. 99 odst. 4 písm. a), tedy správní pokutou až do výše 15 000 000 EUR nebo, dopustí-li se porušení podnik, až do výše 3 % celkového celosvětového ročního obratu za předchozí finanční rok, podle toho, která hodnota je vyšší. Toto pásmo je nižší než pásmo pro zakázané postupy podle čl. 5 (35 000 000 EUR nebo 7 %), potvrzuje však, že povinnosti poskytovatele vysoce rizikového systému patří mezi nejzávažněji vynucované. Zdůrazňuji, že samostatné povinnosti podle čl. 17 až 21 jsou konstruovány jako obsah povinností poskytovatele, na něž čl. 16 odkazuje; jejich porušení se proto prosazuje skrze čl. 16.

11 Katalog čl. 16 není uzavřen okruhu původních poskytovatelů. Podle čl. 25 se povinnosti poskytovatele podle čl. 16 vztahují i na distributora, dovozce, zavádějící subjekt, jinou třetí stranu nebo výrobce produktu, nastane-li některá ze skutečností tam uvedených. Článek 16 je tedy třeba číst společně s čl. 25: je to katalog, který se za určitých podmínek přesouvá na dalšího účastníka hodnotového řetězce.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Poskytovatelem se lze stát bez vlastního vývoje. Firma koupí hotový systém, nasadí ho pod svým názvem a nabízí zákazníkům. Poskytovatelem je ona, i když nenapsala ani řádek kódu. Bod 79 odůvodnění to říká výslovně: nezáleží na tom, kdo systém navrhl.

2. Shoda je podmínka vstupu, ne pozdější náprava. Uvést systém na trh a doložit posouzení shody „do měsíce” nejde. Logika nového legislativního rámce žádá shodu před uvedením.

3. Přístupnost už od návrhu (odst. písm. l). Systém pro vyřizování žádostí, který nefunguje s odečítačem obrazovky, požadavek nesplňuje. Bod 80 odůvodnění váže přístupnost na fázi návrhu, ne na pozdější doplněk.

Co z toho plyne v praxi

Čl. 16 je rozcestník, ne samostatná povinnost. Odkazuje na požadavky čl. 8 až 15, na systém řízení kvality podle čl. 17, na dokumentaci podle čl. 18, na protokoly podle čl. 19, na nápravu podle čl. 20 a na spolupráci podle čl. 21. Splnit ho znamená splnit je všechny.

Označení CE a registrace nejsou formalita. Bez nich systém na trh nesmí, i kdyby věcně požadavky splňoval.

Z judikatury

Zatím žádná.

Otevřené otázky

1. Kdy se z uživatele stane poskytovatel. Hranice je v čl. 25, ale u postupných změn systému není zřejmé, kdy se jich nasčítá tolik, že jde o podstatnou změnu.

2. Rozsah povinnosti přístupnosti. Odkaz míří na dvě směrnice, jejichž požadavky nejsou psané pro systémy AI. Jak se aplikují na konverzační rozhraní nebo na výstup modelu, není vyřešené.