Nařízení (EU) 2024/1689 (AI Act) · Kapitola III · Vysoce rizikové systémy AI
Čl. 19 · Automaticky generované protokoly
Znění
-
Uživatelé vysoce rizikových systémů AI, uvedených v čl. 12 odst. 1, uchovávají protokoly automaticky generované jejich vysoce rizikovým systémem AI v rozsahu, v jakém jsou tyto protokoly pod jejich kontrolou. Aniž je dotčeno platné právo Unie nebo vnitrostátní právo, protokoly se uchovávají po dobu odpovídající zamýšlenému účelu vysoce rizikového systému AI, která činí nejméně šest měsíců, nestanoví-li jinak platné právo Unie nebo vnitrostátní právo, zejména právo Unie o ochraně osobních údajů.
-
Poskytovatelé, kteří jsou finančními institucemi, na něž se vztahují požadavky týkající se jejich vnitřní správy, systémů nebo postupů podle práva Unie v oblasti finančních služeb, uchovávají protokoly automaticky generované jejich vysoce rizikovými systémy AI jako součást dokumentace vedené podle příslušného práva v oblasti finančních služeb.
Znění: Úřední věstník EU z 12. 7. 2024. Konsolidované znění po novele nařízením (EU) 2026/1744 zatím vydané není.
Komentář
Logy, které má poskytovatel pod kontrolou, se uchovávají po dobu přiměřenou účelu, nejméně šest měsíců.
Související ustanovení: čl. 12 odst. 1 (technická způsobilost systému protokolovat),
čl. 16 písm. e) (poskytovatel zajišťuje generování protokolů), čl. 26 odst. 6 (souběžná povinnost zavádějícího subjektu uchovávat protokoly), čl. 21 odst. 2 (přístup orgánu k protokolům)1 Článek 19 ukládá uchovávat protokoly, které vysoce rizikový systém automaticky generuje podle čl. 12 odst. 1, a to v rozsahu, v jakém jsou pod kontrolou povinné osoby. Nosnou pasáží je vymezení doby úschovy: protokoly se „uchovávají po dobu odpovídající zamýšlenému účelu vysoce rizikového systému AI, která činí nejméně šest měsíců, nestanoví-li jinak platné právo Unie nebo vnitrostátní právo, zejména právo Unie o ochraně osobních údajů”. Šest měsíců je tedy dolní hranice. Horní meze plynoucí z jiných předpisů, typicky z práva o ochraně osobních údajů, ji mohou zkrátit jen v mezích těchto předpisů. K automatickému zaznamenávání událostí protokoly po celou dobu životnosti systému viz bod 71 odůvodnění na konci.
2 Musíme upozornit na výkladovou obtíž v adresátovi. Shard v knihovně uvozuje odstavec 1 slovem „Uživatelé”, což by naznačovalo, že povinnost tíží zavádějící subjekt. Máme za to, že tak odstavec 1 číst nelze a že adresátem je poskytovatel. Vede k tomu trojí systematický důvod plynoucí přímo ze znění shardu. Zaprvé, čl. 16 písm. e) řadí zajištění automatického generování protokolů „jak je uvedeno v článku 19” mezi povinnosti poskytovatele. Zadruhé, odstavec 2 téhož článku výslovně začíná slovem „Poskytovatelé, kteří jsou finančními institucemi” a upravuje tutéž úschovu protokolů. Adresát odstavce 2 je tedy nepochybně poskytovatel. Zatřetí, souběžnou a samostatnou povinnost zavádějícího subjektu uchovávat protokoly upravuje čl. 26 odst. 6, takže není důvod ji zdvojovat v čl. 19.
3 Slovo „Uživatelé” v odstavci 1 je proto namístě vykládat v uvedeném systematickém smyslu jako poskytovatele. Před klientským či publikačním použitím tohoto ustanovení doporučuji ověřit jeho znění v Úředním věstníku EU, neboť rozpor mezi zněním shardu a systematikou by neměl být přenášen do výstupu bez ověření.
4 Rozvržení úschovy protokolů mezi dvě role je logické. Poskytovatel uchovává protokoly, které má pod kontrolou (čl. 19), zavádějící subjekt ty, které má pod kontrolou on (čl. 26 odst. 6). Kritériem není formální role, nýbrž faktická kontrola nad protokoly. Odstavec 2 pak i zde přiznává finančním institucím úlevu spočívající v začlenění protokolů do dokumentace vedené podle práva o finančních službách.