Čl. 4a · Zpracování zvláštních kategorií osobních údajů za účelem odhalování a nápravy zkreslení

1. Pokud je to nezbytně nutné pro zajištění odhalování a nápravy zkreslení ve vztahu k vysoce rizikovým systémům AI v souladu s čl. 10 odst. 2 písm. f) a g) tohoto nařízení, mohou poskytovatelé těchto systémů výjimečně zpracovávat zvláštní kategorie osobních údajů s výhradou vhodných záruk týkajících se základních práv a svobod fyzických osob. Kromě ustanovení nařízení (EU) 2016/679 a (EU) 2018/1725 a v příslušných případech i směrnice (EU) 2016/680 musí být pro takové zpracování splněny všechny tyto podmínky:

a) odhalení a nápravu zkreslení nelze účinně provést zpracováním jiných údajů, včetně syntetických nebo anonymizovaných údajů;

b) zvláštní kategorie osobních údajů podléhají technickým omezením opakovaného použití osobních údajů, jakož i nejmodernějším bezpečnostním opatřením a opatřením v oblasti ochrany soukromí, včetně pseudonymizace;

c) zvláštní kategorie osobních údajů podléhají opatřením, která zajišťují, aby zpracovávané osobní údaje byly zabezpečeny a chráněny a aby se na ně vztahovaly vhodné záruky, včetně přísných kontrol a dokumentace přístupu, s cílem zabránit zneužití a zajistit, aby k těmto osobním údajům měly přístup pouze oprávněné osoby s odpovídajícími povinnostmi zachování důvěrnosti;

d) zvláštní kategorie osobních údajů nejsou přenášeny, převáděny nebo jinak zpřístupněny jiným stranám;

e) zvláštní kategorie osobních údajů se vymažou, jakmile je zkreslení napraveno nebo jakmile u těchto údajů uplyne doba uchovávání, podle toho, co nastane dříve, a

f) záznamy o činnostech zpracování podle nařízení (EU) 2016/679 a (EU) 2018/1725 a směrnice (EU) 2016/680 uvádějí, z jakých důvodů bylo zpracování zvláštních kategorií osobních údajů nezbytně nutné k odhalení a nápravě zkreslení a proč tohoto cíle nemohlo být dosaženo zpracováním jiných údajů.

2. Poskytovatelé a zavádějící subjekty jiných systémů AI a modelů AI a zavádějící subjekty vysoce rizikových systémů AI mohou výjimečně zpracovávat zvláštní kategorie osobních údajů v rozsahu, v němž:

a) je toto zpracování naprosto nezbytné k zajištění odhalování a nápravy zkreslení s ohledem na potenciální zkreslení, která pravděpodobně ovlivní zdraví a bezpečnost osob, budou mít nepříznivý dopad na základní práva nebo povedou k diskriminaci, která je podle práva Unie zakázána, zejména pokud výstupy dat ovlivňují vstupy pro budoucí operace, a

b) jsou uplatněny všechny podmínky a záruky stanovené v odstavci 1.

Tento odstavec nezakládá povinnost provádět takové odhalování a nápravy zkreslení.

Článek vložilo nařízení (EU) 2026/1744 (čl. 1 bod 6) s účinností od 27. července 2026. Nahrazuje zrušený čl. 10 odst. 5, který totéž upravoval jen pro poskytovatele vysoce rizikových systémů.

Související ustanovení: čl. 2 odst. 7 (nedotčenost práva o ochraně osobních údajů); čl. 10 odst. 2 písm. f) a g) (kvalita dat, zkreslení); čl. 59 (další zpracování v sandboxu); čl. 3 bod 37 (zvláštní kategorie osobních údajů)

Související předpisy EU: čl. 9 nařízení (EU) 2016/679 (GDPR); čl. 10 nařízení (EU) 2018/1725; čl. 10 směrnice (EU) 2016/680

I. Proč článek existuje a co nahrazuje

1 Odhalit zkreslení v datech znamená umět je změřit napříč chráněnými znaky. Bez údaje o etnickém původu, zdravotním stavu nebo sexuální orientaci nelze doložit, že model tyto skupiny neznevýhodňuje. Vzniká tím rozpor, který GDPR samo neřeší: zákaz zpracování zvláštních kategorií podle jeho čl. 9 brání právě tomu měření, které by diskriminaci odhalilo. Čl. 4a je odpovědí na tenhle rozpor.

2 Do 26. července 2026 stálo totéž pravidlo v čl. 10 odst. 5 a týkalo se jen poskytovatelů vysoce rizikových systémů. Nařízení (EU) 2026/1744 ho zrušilo a přesunulo sem, přičemž rozšířilo okruh adresátů o odstavec 2. Kdo pracuje se starším materiálem, najde v něm odkaz na čl. 10 odst. 5; ten už nikam nemíří.

II. Odstavec 1: poskytovatel vysoce rizikového systému a šest podmínek

3 Adresátem je poskytovatel vysoce rizikového systému. Zpracování je vázáno na účel podle čl. 10 odst. 2 písm. f) a g), tedy na zkoumání možných zkreslení a na opatření k jejich nápravě, a je přípustné, jen je-li „nezbytně nutné”.

4 Titul podle čl. 4a nenahrazuje GDPR, přidává se k němu. Text říká „kromě ustanovení nařízení (EU) 2016/679 a (EU) 2018/1725 a v příslušných případech i směrnice (EU) 2016/680”. Správce tedy stále musí vyřešit zákonnost, informování, práva subjektů a vše ostatní; čl. 4a odblokovává jen zákaz zpracování zvláštních kategorií.

5 Šest podmínek je kumulativních a žádná z nich není deklaratorní. Písmeno a) je test subsidiarity: nejdřív se musí zkusit jiná data, včetně syntetických a anonymizovaných. Kdo tenhle krok nezdokumentuje, nesplní podmínku, i kdyby zbytek dodržel.

6 Písmeno d) je nejtvrdší a v praxi nejpodceňovanější: zvláštní kategorie údajů nesmějí být přeneseny, převedeny ani jinak zpřístupněny jiným stranám. Vylučuje to předání externímu dodavateli, který model ladí, i sdílení testovací sady uvnitř skupiny. Kdo vývoj zadává ven, musí režim postavit jinak.

7 Písmeno f) se plní v dokumentaci podle GDPR, ne podle AI Actu, a právě proto se přehlíží: záznamy o činnostech zpracování musí obsahovat odůvodnění, proč bylo zpracování nezbytně nutné a proč cíle nešlo dosáhnout jinými daty. Je to písemné odůvodnění testu z písmene a) a při kontrole to bude první dokument, po kterém dozorový úřad sáhne.

III. Odstavec 2: širší okruh, přísnější práh

8 Odstavec 2 rozšiřuje okruh na poskytovatele a zavádějící subjekty jiných systémů a modelů AI a na zavádějící subjekty vysoce rizikových systémů. Prakticky tím pokrývá i toho, kdo model jen dolaďuje nebo nasazuje, a systémy mimo vysoké riziko.

9 Práh je ale vyšší. Vedle všech podmínek odstavce 1 se navíc žádá, aby bylo zpracování „naprosto nezbytné” a aby šlo o zkreslení, která pravděpodobně ovlivní zdraví a bezpečnost, nepříznivě dopadnou na základní práva nebo povedou k diskriminaci zakázané právem Unie. Zkreslení, které je jen technicky nežádoucí, tenhle titul neotevře.

10 Dovětek „zejména pokud výstupy dat ovlivňují vstupy pro budoucí operace” míří na zpětnovazební smyčky, tedy na systémy, které se učí z vlastních výstupů. Tam se zkreslení samo posiluje a argument nezbytnosti je nejsilnější.

IV. Co článek nezakládá

11 Poslední věta odstavce 2 je krátká a rozhodující: „Tento odstavec nezakládá povinnost provádět takové odhalování a nápravy zkreslení.” Čl. 4a je tedy oprávnění, ne povinnost. Povinnost zkoumat zkreslení má poskytovatel vysoce rizikového systému podle čl. 10 odst. 2 písm. f) a g); u okruhu podle odstavce 2 žádná taková povinnost z tohoto článku neplyne.

12 Nezakládá ani obecný titul ke sběru citlivých údajů „pro budoucí testování”. Vazba na konkrétní účel, test subsidiarity a povinnost výmazu, jakmile je zkreslení napraveno, dohromady vylučují budování zásoby dat do zálohy.

Co z toho plyne v praxi

Nejdřív zkuste jiná data a zapište to. Písmeno a) je vstupní brána celého článku a jediným důkazem o jejím splnění je záznam o tom, co jste zkusili a proč to nestačilo.

Nepředávejte tato data nikomu. Písmeno d) je bezvýjimečné. Ladí-li model externí dodavatel, testovací sadu se zvláštními kategoriemi mu předat nelze.

Odůvodnění patří do záznamů podle GDPR. Ne do technické dokumentace podle přílohy IV. Je to jediné místo, kde AI Act ukládá zápis do dokumentu vedeného podle jiného předpisu.

Otevřené otázky

1. Jak dlouho smějí data zůstat. Písmeno e) ukládá výmaz, „jakmile je zkreslení napraveno nebo jakmile u těchto údajů uplyne doba uchovávání, podle toho, co nastane dříve”. U modelu, který se doučuje průběžně, není zřejmé, kdy je zkreslení napraveno.

2. Kdo je „jiná strana” podle písmene d). Zda sem patří i zpracovatel jednající podle pokynů správce a jiná společnost téže skupiny, text neřeší. Doslovné čtení svědčí pro to, že ano.

3. Vztah k čl. 59. Oba články otevírají zpracování nad rámec původního účelu, každý na jiném základě. Jestli se v sandboxu použijí souběžně, nebo se vylučují, postavené najisto není.