Nařízení (EU) 2024/1689 (AI Act) · Kapitola III · Vysoce rizikové systémy AI

Čl. 31 · Požadavky na oznámené subjekty

Znění

Oznámený subjekt musí být zřízen podle vnitrostátního práva členského státu a mít právní subjektivitu.
Oznámené subjekty splňují organizační požadavky a požadavky na řízení kvality, zdroje a postupy, které jsou k plnění uvedených úkolů nezbytné, stejně jako odpovídající požadavky na kybernetickou bezpečnost.
Organizační struktura, rozdělení odpovědností, způsob podávání zpráv a fungování oznámených subjektů musí být takové, aby byla zajištěna důvěra v provádění a výsledky činností posuzování shody, které oznámené subjekty provádějí.
Oznámené subjekty jsou nezávislé na poskytovateli vysoce rizikového systému AI, u něhož provádějí činnosti posuzování shody. Oznámené subjekty jsou rovněž nezávislé na jakémkoliv jiném provozovateli, který má na posuzovaných vysoce rizikových systémech AI zájem, i na jakýchkoliv konkurentech poskytovatele. To nevylučuje používání posuzovaných vysoce rizikových systémů AI, které jsou nezbytné pro činnost subjektu posuzování shody, ani používání takových vysoce rizikových systémů AI pro osobní účely.
Subjekt posuzování shody, jeho nejvyšší vedení a pracovníci odpovědní za plnění úkolů posuzování shody se nesmějí přímo podílet na navrhování, vývoji, uvádění na trh nebo používání vysoce rizikových systémů AI ani nesmějí zastupovat strany, které se těmito činnostmi zabývají. Nesmějí vykonávat žádnou činnost, která by mohla ohrozit jejich nezávislý úsudek nebo důvěryhodnost ve vztahu k činnostem posuzování shody, k jejichž vykonávání jsou oznámeni. To platí zejména pro poradenské služby.
Oznámené subjekty jsou organizovány a provozovány tak, aby byla zaručena nezávislost, objektivita a nestrannost jejich činností. Oznámené subjekty zdokumentují a zavedou strukturu a postupy pro zajištění nestrannosti a pro prosazování a uplatňování zásad nestrannosti v rámci celé své organizace, všech činností posuzování a u všech pracovníků.
Oznámené subjekty mají zavedeny zdokumentované postupy zajišťující, aby jejich pracovníci, výbory, pobočky, subdodavatelé a jakýkoliv přidružený subjekt nebo pracovníci externích subjektů zachovávali v souladu s článkem 78 důvěrnost informací získaných při provádění činností posuzování shody, s výjimkou případů, kdy je zveřejnění těchto informací vyžadováno dle práva. Zaměstnanci oznámených subjektů jsou povinni zachovávat služební tajemství, pokud jde o veškeré informace, které obdrželi při plnění svých úkolů podle tohoto nařízení, nikoli však ve vztahu k oznamujícím orgánům členského státu, v němž vykonávají svou činnost.
Oznámené subjekty mají zavedeny postupy pro provádění činností, jež řádně zohledňují velikost poskytovatele, odvětví, v němž působí, jejich strukturu a míru složitosti dotčeného systému AI.
Oznámené subjekty uzavřou vhodné pojištění odpovědnosti za škodu s ohledem na své činnosti v oblasti posuzování shody, pokud tuto odpovědnost nepřevzal členský stát, v němž jsou usazeny, v souladu s vnitrostátním právem nebo pokud není tento členský stát za posuzování shody sám přímo odpovědný.
Oznámené subjekty jsou schopny provádět všechny své úkoly podle tohoto nařízení, na nejvyšší úrovni profesní důvěryhodnosti a náležité způsobilosti v této konkrétní oblasti bez ohledu na to, zda jsou uvedené úkoly prováděny samotnými oznámenými subjekty, nebo jejich jménem a na jejich odpovědnost.
Oznámené subjekty mají dostatečnou interní způsobilost, aby byly schopny účinně hodnotit úkoly, které jejich jménem provádějí externí strany. Oznámený subjekt má neustále k dispozici dostatek administrativních, technických, právních a vědeckých pracovníků se zkušenostmi a znalostmi ohledně příslušných typů systémů AI, dat a datových výpočtů, jakož i požadavků uvedených v oddíle 2.
Oznámené subjekty se podílejí na koordinačních činnostech uvedených v článku 38. Rovněž se přímo účastní činnosti evropských normalizačních organizací nebo jsou v nich zastoupeny, případně zajistí, aby měly povědomí a aktuální informace o příslušných normách.

Znění: Úřední věstník EU z 12. 7. 2024. Konsolidované znění po novele nařízením (EU) 2026/1744 zatím vydané není.

Komentář

Nezávislost na poskytovatelích i konkurentech, důvěrnost, odborný personál, pojištění odpovědnosti a vnitřní procesy úměrné velikosti klienta.

nosné pasáže se citují u příslušných bodů výkladu. Jde o klíčové ustanovení oddílu: vymezuje, co musí subjekt splňovat, aby mohl být oznámen (čl. 30) a aby zůstal oznámeným (čl. 36, čl. 37). Bod 126 odůvodnění pojmenovává jádro těchto požadavků, totiž nezávislost, způsobilost, neexistenci střetu zájmů a vhodnou kybernetickou bezpečnost; čl. 31 je rozvádí do dvanácti odstavců.

Související ustanovení: čl. 28 (oznamující orgán ověřuje plnění těchto požadavků), čl. 29 a čl. 30 (žádost a oznámení na základě splnění čl. 31), čl. 32 (předpoklad shody přes harmonizované normy), čl. 33 (subdodávky, jež musí splnit tytéž požadavky), čl. 38 (koordinace, odst. 12), čl. 43 (postupy posuzování shody, k nimž se způsobilost vztahuje), čl. 78 (důvěrnost, odst. 7)

Obsah výkladu

I.Právní subjektivita, organizace a řízení kvality (odst. 1 až 3, 8)1 II.Nezávislost a nestrannost (odst. 4 až 6)3 III.Důvěrnost, pojištění a odpovědnost (odst. 7, 9)6 IV.Způsobilost a interní kapacita (odst. 10 až 12)8

I. Právní subjektivita, organizace a řízení kvality (odst. 1 až 3, 8)

1 Odstavec 1 stanoví vstupní podmínku: oznámený subjekt musí být zřízen podle vnitrostátního práva členského státu a mít právní subjektivitu. Oznámeným subjektem tedy nemůže být pouhá organizační složka bez právní osobnosti. Nese totiž vlastní odpovědnost, včetně pojistné (odst. 9), a musí být způsobilý být adresátem opatření podle čl. 36.

2 Odstavce 2, 3 a 8 tvoří organizační jádro. Subjekt musí splňovat organizační požadavky a požadavky na řízení kvality, zdroje a postupy, jakož i odpovídající požadavky na kybernetickou bezpečnost (odst. 2). Jeho struktura, rozdělení odpovědností, způsob podávání zpráv a fungování musí zajišťovat důvěru v provádění a výsledky posuzování shody (odst. 3). Podle odstavce 8 subjekt zavede postupy, které řádně zohledňují velikost poskytovatele, odvětví, strukturu a míru složitosti systému AI. Poznamenávám, že tato zohledňující doložka se u čl. 34 odst. 2 vrací jako povinnost proporcionality při vlastní činnosti. Už zde však omezuje pouze způsob provedení, nikoli přísnost měřítka.

II. Nezávislost a nestrannost (odst. 4 až 6)

3 Nezávislost je hodnotovým jádrem celého institutu. Podle odstavce 4 platí, že oznámené subjekty jsou nezávislé na poskytovateli vysoce rizikového systému AI, u něhož provádějí činnosti posuzování shody, a dále i na jakémkoli jiném provozovateli se zájmem na posuzovaných systémech a na konkurentech poskytovatele. Nařízení současně připouští úzkou výjimku: nevylučuje používání posuzovaných systémů, je-li nezbytné pro činnost subjektu, ani jejich používání pro osobní účely. Tato výjimka je funkční, nikoli vztahová. Nezakládá vazbu na poskytovatele, jen umožňuje subjektu s technologií pracovat.

4 Odstavec 5 rozšiřuje neslučitelnost na osoby. Subjekt, jeho nejvyšší vedení a pracovníci odpovědní za posuzování se nesmějí přímo podílet na navrhování, vývoji, uvádění na trh ani na používání vysoce rizikových systémů AI. Nesmějí zastupovat strany, které se těmito činnostmi zabývají. A nesmějí vykonávat žádnou činnost, která by ohrozila nezávislý úsudek nebo důvěryhodnost. Nařízení k tomu dodává: to platí zejména pro poradenské služby. Mám za to, že odstavce 4 a 5 spolu vytvářejí režim tvrdé neslučitelnosti, který cílí jak na institucionální (odst. 4), tak na personální (odst. 5) rovinu; posuzovatel nesmí být ani konkurentem, ani poradcem, ani spolutvůrcem systému, jehož shodu ověřuje.

5 Odstavec 6 pojí nezávislost s nestranností jako výsledkem: subjekt je organizován a provozován tak, aby byla zaručena nezávislost, objektivita a nestrannost, a zdokumentuje a zavede strukturu a postupy pro zajištění nestrannosti napříč celou organizací. Nestrannost tedy není jen stavem, nýbrž doloženým procesem.

III. Důvěrnost, pojištění a odpovědnost (odst. 7, 9)

6 Odstavec 7 ukládá zdokumentované postupy důvěrnosti podle čl. 78, které dopadají na pracovníky, výbory, pobočky, subdodavatele i přidružené subjekty. Zaměstnanci jsou vázáni služebním tajemstvím ke všem informacím získaným při plnění úkolů, nikoli však ve vztahu k oznamujícím orgánům státu činnosti. Tato výhrada je logická: povinnost mlčenlivosti nesmí zaslepit orgán, který má subjekt kontrolovat (čl. 36, čl. 37).

7 Odstavec 9 vyžaduje vhodné pojištění odpovědnosti za škodu, ledaže tuto odpovědnost převzal členský stát usazení nebo je za posuzování shody sám přímo odpovědný. Pojištění je pojistkou nejen pro poskytovatele, ale pro celý trh. Oznámený subjekt vydává certifikáty, o něž se opírá uvedení vysoce rizikových systémů na trh, a případná škoda z chybného posouzení může být značná.

IV. Způsobilost a interní kapacita (odst. 10 až 12)

8 Odstavce 10 a 11 vymezují způsobilost. Subjekt musí být schopen provádět všechny úkoly na nejvyšší úrovni profesní důvěryhodnosti a náležité způsobilosti, ať už je provádí sám, nebo jsou prováděny jeho jménem a na jeho odpovědnost (odst. 10). Musí mít dostatečnou interní způsobilost k hodnocení úkolů svěřených externím stranám. A musí mít neustále k dispozici dost administrativních, technických, právních a vědeckých pracovníků se zkušenostmi s příslušnými typy systémů AI, s daty a datovými výpočty i s požadavky oddílu 2 (odst. 11). Zdůrazňuji spojení „neustále k dispozici”: způsobilost musí být trvalá, nikoli sestavovaná ad hoc k jednotlivé zakázce.

9 Odstavec 12 zapojuje subjekt do širší soustavy. Subjekt se podílí na koordinačních činnostech podle čl. 38 a přímo se účastní práce evropských normalizačních organizací, nebo je v nich zastoupen, případně zajistí povědomí o příslušných normách. Toto propojení s normalizací není samoúčelné: harmonizované normy jsou podle čl. 32 základem předpokladu shody i pro samotný oznámený subjekt.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Střet zájmů, který se přehlédne. Oznámený subjekt posuzuje systém firmy, které zároveň dodává školení k témuž tématu. Poradenská činnost vůči posuzovanému poskytovateli je zakázaná, i když ji dělá jiné oddělení téhož subjektu.

2. Externí kapacita. Subjekt zadá část hodnocení externímu odborníkovi. Může, ale musí mít dost vlastní způsobilosti, aby výsledek té externí práce dokázal zhodnotit. Nákup celého posouzení bez interní schopnosti ho posoudit požadavek nesplňuje.

Co z toho plyne v praxi

Pro poskytovatele: ověřte si, jestli váš oznámený subjekt neposkytuje poradenství vám nebo vašemu konkurentovi. Vada nezávislosti může zpětně zpochybnit celý certifikát.

Pro subjekt: nezávislost je trojvrstvá, tedy zákaz střetu zájmů, oddělení posuzování od rozhodování a zákaz konkurenční i poradenské činnosti. Splnění jedné vrstvy nenahrazuje ostatní.

Z judikatury

Zatím žádná k tomuto nařízení. K nezávislosti oznámených subjektů podle jiných harmonizačních předpisů existuje praxe Soudního dvora, kterou lze použít jako výkladovou analogii, ne jako přímo použitelný precedens.

Otevřené otázky

1. Kolik oznámených subjektů vůbec bude. Kapacita je podmínkou fungování celého režimu a v Česku k datu psaní tohoto komentáře žádný oznámený subjekt pro AI Act jmenovaný není.

2. Kde končí dovolené školení a začíná zakázané poradenství. Text zakazuje poradenskou činnost vůči posuzovanému poskytovateli, ale hranice u obecného školení k požadavkům nařízení určená není.