Čl. 27 · Posouzení dopadu vysoce rizikových systémů AI na základní práva

nosné pasáže citujeme u příslušných bodů výkladu. Pro posouzení dopadu na základní práva používáme dále zkratku podle vžité praxe (z anglického fundamental rights impact assessment, „FRIA”).

Související ustanovení: čl. 6 odst. 2 a příloha III (vymezení dotčených systémů), čl. 13

(informace od poskytovatele), čl. 14 (lidský dohled), čl. 46 odst. 1 (odchylka od posuzování shody), čl. 49 (registrace), čl. 64 (úřad pro AI, vzor dotazníku)

Související předpisy EU: nařízení (EU) 2016/679 (GDPR), čl. 35 (posouzení vlivu na ochranu

osobních údajů); směrnice (EU) 2016/680, čl. 27

I. Funkce a povaha posouzení dopadu na základní práva

1 Článek 27 je systematicky výjimečný. V bloku povinností provozovatelů je to jediné ustanovení, které zavádějícímu subjektu ukládá samostatnou hmotnou povinnost jdoucí nad rámec řádného používání systému, totiž předem posoudit, jaký dopad na základní práva může použití systému mít. Tím se do režimu vysokého rizika promítá ochranný účel nařízení podle čl. 1: nejde jen o bezpečnost produktu, ale o předběžnou reflexi zásahu do práv osob, na něž systém dopadá. Šíři dotčených práv ilustruje bod 48 odůvodnění. Pro klasifikaci systému jako vysoce rizikového je podle něj zvlášť relevantní míra nepříznivého dopadu na základní práva chráněná Listinou. Sahá to od lidské důstojnosti a ochrany osobních údajů přes zákaz diskriminace až po právo na účinnou právní ochranu a spravedlivý proces. Právě tato práva jsou předmětem posouzení podle čl. 27.

2 Povaha FRIA je preventivní a dokumentační. Zavádějící subjekt má rizika pro základní práva identifikovat a naplánovat opatření dříve, než systém nasadí. Bod 96 odůvodnění tuto povinnost odůvodňuje účinnou ochranou základních práv a upřesňuje, že posouzení se provede před prvním zavedením systému. Vedle veřejnoprávních subjektů dopadá i na soukromé subjekty poskytující veřejné služby (například ve vzdělávání, zdravotní péči, sociálních službách, bydlení či výkonu spravedlnosti) a na bankovní a pojišťovací subjekty. Mám za to, že FRIA není jednorázovým formulářem, nýbrž nástrojem, který má reálně ovlivnit rozhodnutí, zda a jak systém nasadit. Tomu odpovídá i povinnost aktualizace podle odstavce 2.

II. Osobní a věcný rozsah: kdo a na které systémy (odst. 1)

3 Osobní a věcný rozsah vymezuje odstavec 1: „Před zavedením vysoce rizikového systému AI podle čl. 6 odst. 2, s výjimkou vysoce rizikových systémů AI určených k použití v oblasti uvedené v příloze III bodě 2, zavádějící subjekty, které jsou veřejnoprávními nebo soukromými subjekty poskytujícími veřejné služby, a zavádějící subjekty provozující vysoce rizikové systémy AI uvedené v příloze III bodě 5 písm. b) a c) provedou posouzení dopadu na základní práva, který může použití takového systému mít.” Toto vymezení je nutné rozebrat po vrstvách.

4 První vrstvou je předmět. FRIA se týká jen systémů vysoce rizikových podle čl. 6 odst. 2, tedy samostatných systémů z přílohy III, nikoli systémů vázaných na produkty podle čl. 6 odst. 1 (příloha I). Z přílohy III je navíc výslovně vyňat bod 2, tedy kritická infrastruktura. Ověřil jsem v příloze III, že bod 2 zahrnuje systémy užívané jako bezpečnostní komponenty při řízení a provozu kritické digitální infrastruktury, silniční dopravy a dodávek vody, plynu, topení či elektřiny. U těchto systémů se FRIA neprovádí (popis této oblasti nese bod 55 odůvodnění: bezpečnostní komponenty při řízení a provozu kritické digitální infrastruktury, silniční dopravy a při zásobování vodou, plynem, teplem a elektřinou).

5 Druhou vrstvou je okruh povinných subjektů, a ten je dvojí. Zaprvé jde o zavádějící subjekty, které jsou veřejnoprávními subjekty nebo soukromými subjekty poskytujícími veřejné služby; u nich se FRIA vztahuje na všechny systémy podle přílohy III (kromě bodu 2). Zadruhé jde o kohokoli, tedy i o čistě soukromý subjekt neposkytující veřejné služby, provozuje-li systémy podle přílohy III bodu 5 písm. b) a c). Ověřil jsem v příloze III, že bod 5 písm. b) zahrnuje hodnocení úvěruschopnosti nebo úvěrové bodování fyzických osob (s výjimkou odhalování finančních podvodů) a písmeno c) posuzování rizik a stanovování cen v životním a zdravotním pojištění. Praktický důsledek je zásadní: banka hodnotící úvěruschopnost nebo pojišťovna oceňující životní a zdravotní pojištění musí provést FRIA, i když neposkytuje veřejné služby. Mám za to, že právě rozšíření na tato dvě písmena je jádrem věcného dosahu článku a nelze je zaměňovat s obecným pravidlem pro poskytovatele veřejných služeb. Proč právě tyto dvě kategorie, vysvětluje bod 58 odůvodnění. Systémy k hodnocení úvěruschopnosti fyzických osob klasifikuje jako vysoce rizikové proto, že určují přístup člověka k finančním zdrojům i k základním službám. Systémy k posuzování rizik a stanovování cen v životním a zdravotním pojištění proto, že mohou významně dopadnout na živobytí a při nesprávném návrhu porušit základní práva, včetně finančního vyloučení a diskriminace. Zvýšená citlivost těchto použití pro základní práva je důvodem, proč se posouzení dopadu u nich vyžaduje i po čistě soukromých subjektech.

III. Obsah posouzení (odst. 1 písm. a až f)

6 Odstavec 1 dále vypočítává povinný obsah posouzení v písmenech a) až f): popis procesů, v nichž bude systém používán v souladu se zamýšleným účelem (písm. a); popis časového období a frekvence použití (písm. b); kategorie fyzických osob a skupin, které mohou být dotčeny (písm. c); specifická rizika újmy pro tyto osoby při zohlednění informací dodaných poskytovatelem podle čl. 13 (písm. d); popis provádění opatření lidského dohledu podle návodu (písm. e); a opatření pro případ naplnění rizik, včetně vnitřní správy a mechanismů vyřizování stížností (písm. f). Zdůrazňuji provázanost s návodem k použití: písmena d) a e) se opírají o informace, které poskytovatel dodává podle čl. 13, takže FRIA předpokládá, že poskytovatel svou informační povinnost splnil.

IV. Časování, oznámení a vztah k posouzení podle GDPR (odst. 2 až 5)

7 Odstavec 2 určuje časování: „Povinnost stanovená v odstavci 1 platí pro první použití vysoce rizikového systému AI.” V podobných případech může zavádějící subjekt vycházet z dříve provedeného posouzení nebo z posouzení provedeného poskytovatelem. Změní-li se však během používání některý z prvků posouzení nebo přestane-li být aktuální, subjekt jej aktualizuje. FRIA tedy není trvale platným dokumentem, nýbrž je vázáno na aktuálnost svých východisek.

8 Odstavec 3 zavádí oznamovací složku: po provedení posouzení informuje zavádějící subjekt o jeho výsledcích orgán dozoru nad trhem prostřednictvím vyplněného dotazníku. Ověřil jsem, že podle čl. 46 odst. 1, na nějž odstavec 3 odkazuje, jde o povolení uvedení systému na trh nebo do provozu udělené orgánem dozoru nad trhem odchylně od posuzování shody z výjimečných důvodů; v takovém případě mohou být zavádějící subjekty od oznamovací povinnosti osvobozeny. Oznamovací povinnost tedy odpadá tam, kde systém na trh vstoupil zvláštním odchylným povolením.

9 Odstavec 4 řeší souběh s posouzením vlivu na ochranu osobních údajů. Je-li některá z povinností podle tohoto článku splněna již na základě posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR nebo čl. 27 směrnice (EU) 2016/680, FRIA toto posouzení doplní, nikoli nahradí. Obě posouzení tak stojí vedle sebe. Jejich předměty se překrývají jen zčásti, neboť FRIA se zaměřuje na základní práva jako celek, kdežto posouzení podle GDPR na ochranu osobních údajů. Odstavec 5 konečně ukládá úřadu pro AI vypracovat vzor dotazníku: „Úřad pro AI vypracuje vzor pro dotazník, a to i prostřednictvím automatizovaného nástroje, aby zavádějícím subjektům usnadnil plnění povinností podle tohoto článku.”

10 Na závěr upozorňuji na výkladově otevřenou otázku prosazování. Sankční ustanovení čl. 99 odst. 4 vyjmenovává povinnosti poskytovatelů podle čl. 16, zplnomocněných zástupců podle čl. 22, dovozců podle čl. 23, distributorů podle čl. 24 a zavádějících subjektů podle čl. 26, avšak povinnost provést FRIA podle čl. 27 mezi vyjmenovanými ustanoveními samostatně neuvádí. Předmětem výkladové praxe proto bude, zda a jak se porušení čl. 27 sankcionuje; možným řešením je posouzení takového porušení v rámci obecného dozorového režimu podle kapitoly IX, nikoli přímo přes výslovné sankční pásmo čl. 99 odst. 4. Zdůrazňuji, že jde o mezeru v odkazu sankčního ustanovení, kterou nelze překlenout rozšiřujícím výkladem v neprospěch provozovatele.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Kdo posouzení dělá. Obec nasazující systém pro přidělování dávek je veřejným subjektem a posouzení podle čl. 27 provést musí. Soukromá firma nasazující tentýž systém pro vlastní zaměstnanecké benefity pod povinnost nespadá, ledaže jde o úvěruschopnost nebo o pojištění podle přílohy III bodu 5.

2. Kdy stačí aktualizace. Subjekt, který posouzení provedl a systém dál používá beze změny, ho nemusí dělat znovu. Změní-li se ale skupina dotčených osob nebo způsob použití, posouzení se aktualizuje.

3. Opření o DPIA. Subjekt, který k témuž systému už zpracoval posouzení vlivu podle čl. 35 GDPR, může posouzení podle čl. 27 doplnit o chybějící prvky. Nemůže ho ale nahradit celé, protože předmět je jiný: GDPR chrání údaje, čl. 27 základní práva v širším rozsahu.

Co z toho plyne v praxi

Posouzení je podmínkou použití, ne dokument do šuplíku. Provádí se před prvním použitím a jeho výsledky se oznamují orgánu dozoru nad trhem.

Zachyťte i to, na koho systém dopadne. Kategorie dotčených osob a konkrétní rizika pro ně jsou povinné náležitosti, ne volitelná část.

U biometrické identifikace na dálku je posouzení podmínkou zákonnosti podle čl. 5 odst. 2, ne jen povinností podle čl. 27.

Z judikatury

Zatím žádná.

Otevřené otázky

1. Jak podrobné posouzení musí být. Nařízení určuje okruhy, ne hloubku. Dokument na dvě strany i na padesát mohou obojí formálně vyhovět.

2. Co dělá orgán s oznámeným výsledkem. Čl. 27 ukládá oznámit, ale neurčuje, jestli orgán reaguje, schvaluje, nebo jen eviduje.

3. Vztah k šabloně Úřadu pro AI. Úřad má vydat vzorový dotazník. Do jeho vydání není jasné, jestli bude závazný, nebo doporučující.