Čl. 26 · Povinnosti zavádějících subjektů vysoce rizikových systémů AI

nosné pasáže citujeme u příslušných bodů výkladu.

Související ustanovení: čl. 3 bod 4 (definice zavádějícího subjektu), čl. 13 (informace

a návod k použití od poskytovatele), čl. 14 (lidský dohled), čl. 72 (monitorování po uvedení na trh), čl. 73 (oznamování závažných incidentů), čl. 79 odst. 1 (systém představující riziko), čl. 49 a čl. 71 (registrace a databáze EU), čl. 27 (posouzení dopadu na základní práva), čl. 50 (transparentnost)

Související předpisy EU: nařízení (EU) 2016/679 (GDPR), čl. 35 (posouzení vlivu na ochranu

osobních údajů); směrnice (EU) 2016/680, čl. 10, 13 a 27 (ochrana údajů v trestních věcech)

I. Povaha a rozsah povinností zavádějícího subjektu

1 Zavádějící subjekt je podle čl. 3 bodu 4 osoba nebo orgán, který systém využívá v rámci své pravomoci, s výjimkou využití při osobní neprofesionální činnosti. Jeho povinnosti jsou konstrukčně odlišné od povinností poskytovatele. Poskytovatel odpovídá za to, jaký systém uvedl na trh. Zavádějící subjekt odpovídá za to, jak jej používá. Článek 26 proto neukládá znovu zajistit shodu systému, nýbrž zajistit řádné a bezpečné používání systému, který již shodu prošel.

2 Tíže povinností zavádějícího subjektu je nižší než tíže povinností poskytovatele, není však zanedbatelná. Řada povinností podle čl. 26 je navíc podmíněna faktickou kontrolou zavádějícího subjektu (nad vstupními daty, nad protokoly), takže jejich rozsah se liší podle míry, v jaké subjekt systém fakticky ovládá. Zdůrazňuji, že zavádějící subjekt, který překročí hranice čl. 25 (typicky změnou zamýšleného účelu), se stává poskytovatelem se všemi jeho povinnostmi.

II. Provozní jádro: soulad s návodem, lidský dohled, vstupní data (odst. 1 až 4)

3 Odstavec 1 zakotvuje ústřední povinnost: „Subjekty zavádějící vysoce rizikové systémy AI přijmou vhodná technická a organizační opatření s cílem zajistit, že tyto systémy budou používány v souladu s návodem k použití přiloženým k těmto systémům na základě odstavců 3 a 6.” Návod k použití je tedy pro zavádějící subjekt závazným rámcem používání. Ověřili jsme, že obsah návodu určuje čl. 13, který ukládá poskytovateli dodat zavádějícímu subjektu stručné, úplné a srozumitelné informace o vlastnostech, mezích a lidském dohledu systému. Povinnost zavádějícího subjektu podle odstavce 1 tak zrcadlí informační povinnost poskytovatele podle čl. 13: co poskytovatel do návodu vloží, to zavádějící subjekt musí dodržet. Smysl této vazby vystihuje bod 72 odůvodnění: transparentnost včetně přiloženého návodu k použití má zavádějícím subjektům pomoci systém správně používat a podpořit jejich informované rozhodování, aby byli poučeni o zamýšleném i vyloučeném použití. Návod tak není jen informací, nýbrž rámcem, který používání systému vymezuje.

4 Odstavec 2 ukládá zavádějícímu subjektu „pověří lidským dohledem fyzické osoby, které k tomu mají nezbytnou způsobilost, odbornou přípravu a pravomoc, jakož i potřebnou podporu”. Tím se povinnost lidského dohledu, navržená poskytovatelem podle čl. 14, přenáší do provozu: nestačí, aby systém lidský dohled umožňoval, zavádějící subjekt jej musí personálně obsadit způsobilými a oprávněnými osobami. Odstavec 3 přitom zachovává zavádějícímu subjektu volnost v organizaci vlastních zdrojů (k požadavku, aby osoby pověřené lidským dohledem měly odbornou způsobilost, odbornou přípravu a pravomoci nezbytné k výkonu této funkce, viz bod 73 odůvodnění).

5 Odstavec 4 se týká vstupních dat: „zavádějící subjekt zajistí v rozsahu, v jakém vykonává kontrolu nad vstupními údaji, aby s ohledem na zamýšlený účel vysoce rizikového systému AI byla vstupní data relevantní a dostatečně reprezentativní”. Tato povinnost je omezena kontrolou nad daty. Mám za to, že jde o důležitý doplněk požadavků na jakost dat, které jinak podle čl. 10 tíží poskytovatele. I kvalitně navržený systém může selhat, když ho zavádějící subjekt krmí nereprezentativními vstupy. Nařízení proto ukládá odpovědnost i za tento vstup tam, kde ho subjekt ovládá. K riziku zkreslení a diskriminace z nereprezentativních dat, včetně tzv. smyček zpětné vazby, srov. bod 67 odůvodnění, který ovšem míří především na jakost dat u poskytovatele podle čl. 10).

III. Monitorování, protokoly a incidenty (odst. 5, 6)

6 Odstavec 5 zakládá monitorovací a oznamovací povinnost. Zavádějící subjekt monitoruje provoz na základě návodu a v příslušných případech informuje poskytovatele podle čl. 72. Má-li důvod se domnívat, že používání systému může založit riziko ve smyslu čl. 79 odst. 1, „bez zbytečného odkladu o této skutečnosti uvědomí poskytovatele nebo distributora a příslušné orgány dozoru nad trhem a používání systému pozastaví”. Zdůrazňuji, že pozastavení používání je zákonnou povinností, nikoli jen možností. Zjistí-li subjekt závažný incident, informuje nejprve poskytovatele a poté dovozce nebo distributora a orgány. Nepodaří-li se poskytovatele kontaktovat, použije se obdobně čl. 73 o oznamování závažných incidentů.

7 Odstavec 6 ukládá zavádějícímu subjektu uchovávat protokoly automaticky generované systémem v rozsahu, v jakém jsou pod jeho kontrolou, po dobu odpovídající zamýšlenému účelu, jež „není kratší než šest měsíců”, nestanoví-li jinak právo Unie nebo vnitrostátní právo, zejména o ochraně osobních údajů. Jde o zrcadlo povinnosti poskytovatele podle čl. 19, jak jsme vyložili tam: úschova protokolů se dělí mezi poskytovatele a zavádějící subjekt podle faktické kontroly. I zde platí úleva pro finanční instituce.

IV. Informační a registrační povinnosti (odst. 7 až 9, 11)

8 Odstavec 7 zavádí pracovněprávní informační povinnost: „Zavádějící subjekty, jež jsou zaměstnavateli, před uvedením do provozu nebo používáním vysoce rizikového systému AI na pracovišti informují zástupce zaměstnanců a dotčené pracovníky, že budou používání vysoce rizikového systému AI vystaveni.” Povinnost je předběžná (splní se před nasazením) a je třeba ji vykládat ve světle možnosti členských států ponechat či zavést pro pracovníky příznivější úpravu podle čl. 2 odst. 11.

9 Odstavec 8 ukládá zavádějícím subjektům, které jsou veřejnými orgány nebo orgány, institucemi či jinými subjekty Unie, splnit registrační povinnosti podle čl. 49. Ověřili jsme, že podle čl. 49 odst. 3 tyto subjekty registrují sebe i používání systému v databázi EU podle čl. 71. Odstavec 8 navíc zavádí pojistku: zjistí-li tento subjekt, že systém nebyl zaregistrován, systém nepoužije a informuje poskytovatele nebo distributora. Nezaregistrovaný systém tedy veřejný orgán nesmí použít.

10 Odstavec 9 propojuje nařízení s ochranou osobních údajů: zavádějící subjekty v příslušných případech použijí informace poskytnuté podle čl. 13 ke splnění povinnosti provést posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR nebo čl. 27 směrnice (EU) 2016/680. Nařízení tu nezakládá novou povinnost posouzení, nýbrž předpokládá povinnost existující podle práva o ochraně osobních údajů a usnadňuje její splnění.

11 Odstavec 11 zakládá informační povinnost vůči dotčeným osobám: „subjekty zavádějící vysoce rizikové systémy AI uvedené v příloze III, které přijímají rozhodnutí nebo pomáhají při přijímání rozhodnutí týkajících se fyzických osob, tyto fyzické osoby informují, že jsou použití vysoce rizikového systému AI vystaveny”. Tato povinnost je významná pro navazující právo na vysvětlení podle čl. 86: dotčená osoba, která ví, že o ní rozhoduje vysoce rizikový systém, se může domáhat vysvětlení. Odstavec 11 se přitom uplatní, aniž je dotčena transparentnost podle čl. 50.

V. Následná biometrická identifikace a součinnost (odst. 10, 12)

12 Odstavec 10 upravuje zvláštní režim následné biometrické identifikace na dálku pro účely vymáhání práva. Zavádějící subjekt musí, buď předem, nebo bez zbytečného odkladu a nejpozději do 48 hodin, požádat justiční nebo správní orgán o povolení použít takový systém, s výjimkou prvotní identifikace na základě objektivních a ověřitelných skutečností. Je-li povolení zamítnuto, používání se okamžitě ukončí a osobní údaje se vymažou. Nařízení výslovně zakazuje necílené používání bez souvislosti s konkrétním trestným činem a stanoví, že výlučně na základě výstupu systému nesmí být přijato rozhodnutí s nepříznivými právními účinky. Máme za to, že tento odstavec je nutné vykládat restriktivně a v úzké návaznosti na zákaz identifikace v reálném čase podle čl. 5 odst. 1 písm. h): následná identifikace není zakázána, je však podmíněna povolením a přísnými zárukami.

13 Odstavec 12 uzavírá katalog povinností zavádějícího subjektu obecnou součinností s orgány na opatřeních přijímaných za účelem provádění nařízení. Porušení povinností zavádějícího subjektu podle čl. 26 je stiženo sankcí podle čl. 99 odst. 4 písm. e). Zdůrazňuji, že samostatnou povinnost provést posouzení dopadu na základní práva podle čl. 27 čl. 26 mezi své povinnosti nezahrnuje. Jde o oddělené ustanovení, jemuž se věnujeme dále.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Vstupní data pod vaší kontrolou (odst. 4). Nemocnice nasadí diagnostický systém a plní ho vlastními záznamy. Jsou-li ty záznamy neúplné nebo nereprezentativní, je to odpovědnost nemocnice, ne dodavatele. Povinnost dopadá jen na data, která zavádějící subjekt ovládá.

2. Informování zaměstnanců (odst. 7). Firma nasadí systém pro hodnocení výkonnosti. Než ho spustí, musí informovat zaměstnance i jejich zástupce. Informace až po spuštění povinnost nesplňuje.

3. Vysvětlení jednotlivci (odst. 11 a čl. 86). Žadatel o úvěr, kterému systém přispěl k zamítnutí, má právo na vysvětlení role systému v tom rozhodnutí. Odkaz na obchodní tajemství celé vysvětlení neruší, jen omezuje jeho podrobnost.

Co z toho plyne v praxi

Návod k použití je pro vás závazný. Odstavec 1 žádá používat systém v souladu s ním. Použití mimo návod je nesprávné použití a přesouvá odpovědnost na vás.

Dohled musí vykonávat způsobilý člověk s pravomocí. Odstavec 2 žádá pověřit osoby s nezbytnou způsobilostí, přípravou a pravomocí, a zajistit jim podporu. Pověření bez pravomoci zasáhnout povinnost neplní.

Protokoly si uchovávejte nejméně šest měsíců (odstavec 6), pokud jiný předpis nežádá jinak. Je to dolní hranice, ne horní.

Z judikatury

Zatím žádná.

Otevřené otázky

1. Co znamená „kontrola” nad vstupními daty (odst. 4). U dat pocházejících od třetích stran nebo od samotných klientů není zřejmé, kdy je subjekt ještě ovládá.

2. Rozsah informování zaměstnanců (odst. 7). Nařízení určuje, že se informovat má, ale ne v jakém rozsahu a s jakým předstihem. Zákoník práce ani zákon o AI to zatím nedoplňují.

3. Souběh s posouzením vlivu podle GDPR. Zavádějící subjekt může být povinen provést posouzení dopadu na základní práva podle čl. 27 i posouzení vlivu podle čl. 35 GDPR. Čl. 27 odst. 4 dovoluje se o DPIA opřít, ale nepřebírá ho.