Čl. 57 · Regulační sandboxy pro AI

Znění čl. 57 (odst. 1 až 17) se pro rozsah nereprodukuje v úplnosti. Nosné pasáže jsou citovány u příslušných bodů výkladu.

Související ustanovení: čl. 3 bod 55 (definice regulačního sandboxu pro AI), čl. 3 bod 54 (plán testování v sandboxu), čl. 2 odst. 2 (uplatnění u produktově vázaných systémů), čl. 58 (podrobná ustanovení), čl. 59 (další zpracování osobních údajů v sandboxu), čl. 60 (testování v reálných podmínkách mimo sandbox), čl. 62 (přednostní přístup malých a středních podniků), čl. 78 (důvěrnost), čl. 95 (kodexy chování), čl. 98 odst. 2 (přezkumný postup)

I. Povinnost zřídit sandbox a její institucionální rozměr (odst. 1 až 4)

1 Čl. 57 zavádí první z inovačních nástrojů, a činí tak formou tvrdé povinnosti členských států. Podle odstavce 1 platí: Členské státy zajistí, aby jejich příslušné orgány zřídily alespoň jeden regulační sandbox pro AI na vnitrostátní úrovni, který bude funkční do 2. srpna 2026. Nejde tedy o pouhou možnost, nýbrž o výsledkovou povinnost zajistit v každém členském státě alespoň jeden funkční sandbox. Bod 138 odůvodnění tuto povinnost odůvodňuje tím, že AI je rychle se vyvíjející skupina technologií vyžadující regulační dohled a zároveň bezpečný a kontrolovaný prostor pro experimentování. Členské státy proto mají zřídit alespoň jeden sandbox, aby byl zajištěn právní rámec podporující inovace, který obstojí i v budoucnu. Uvedenou lhůtu i čl. 57 změnil souhrnný balíček, tedy nařízení (EU) 2026/1744. Vnitrostátní regulační sandbox má být podle novely funkční do 2. 8. 2027.

2 Povinnost lze splnit i společně s příslušnými orgány jiných členských států, popřípadě účastí ve stávajícím sandboxu, pokud tato účast poskytuje zúčastněným členským státům rovnocennou úroveň vnitrostátního pokrytí. Mám za to, že měřítkem splnění není zřízení nové organizační struktury, nýbrž faktická dostupnost sandboxu poskytovatelům v daném státě. Sdílený nebo přeshraniční sandbox proto obstojí jen tehdy, je-li jeho kapacita a dosah pro tuzemské žadatele rovnocenný samostatnému vnitrostátnímu řešení. Shodně bod 138 odůvodnění splnění povinnosti účastí v existujícím nebo společně zřízeném sandboxu váže na rovnocennou úroveň vnitrostátního pokrytí.

3 Odstavce 2 až 4 doplňují institucionální rámec. Sandbox lze zřídit i na regionální nebo místní úrovni (odstavec 2). Evropský inspektor ochrany údajů může zřídit sandbox pro orgány, instituce a jiné subjekty Unie a vykonávat úlohy příslušných vnitrostátních orgánů (odstavec 3). Odstavec 4 ukládá členským státům přidělit dostatečné zdroje pro urychlené dosažení souladu. Zdůrazňuji, že bez odpovídajícího personálního a odborného zázemí zůstává povinnost zřídit sandbox jen formální, neboť smysl nástroje spočívá právě v aktivním dohledu, pokynech a podpoře příslušného orgánu. Tuto úvahu potvrzuje bod 138 odůvodnění, který zřizujícím orgánům výslovně ukládá zajistit, aby sandboxy měly odpovídající zdroje pro své fungování, včetně finančních a lidských.

II. Sandbox jako kontrolovaný rámec (odst. 5 až 7)

4 Věcné jádro nástroje vymezuje odstavec 5. Sandboxy poskytují kontrolované prostředí, které podporuje inovace a usnadňuje vývoj, trénování, testování a validaci inovativních systémů AI po omezenou dobu před jejich uvedením na trh nebo do provozu podle konkrétního plánu testování v sandboxu. Toto ustanovení konkretizuje definici v čl. 3 bodě 55, podle níž je regulačním sandboxem pro AI kontrolovaný rámec zřízený příslušným orgánem, který poskytovatelům nebo potenciálním poskytovatelům systémů AI nabízí možnost vyvíjet, trénovat, ověřovat a testovat inovativní systém AI, případně v reálných podmínkách, podle plánu testování v sandboxu po omezenou dobu pod regulačním dohledem. Sandbox tedy není deregulační zónou, nýbrž prostředím pod dohledem. Účast neruší povinnosti nařízení, pouze umožňuje jejich plnění vyzkoušet v součinnosti s orgánem. Bod 139 odůvodnění k tomu doplňuje účel. Sandbox má podpořit inovace tím, že vytvoří kontrolované experimentální a testovací prostředí ve fázi vývoje a před uvedením na trh. Smyslem je zajistit, aby inovativní systémy AI byly v souladu s nařízením i s dalším právem. Potvrzuje tak, že sandbox není úlevou z povinností, nýbrž nástrojem k ověření souladu.

5 Nosnými znaky jsou dohled příslušného orgánu, časové omezení a existence plánu testování v sandboxu. Plán testování v sandboxu je podle čl. 3 bodu 54 dokument dohodnutý mezi zúčastněným poskytovatelem a příslušným orgánem obsahující popis cílů, podmínky, časový rámec, metodiku a požadavky na činnosti prováděné v rámci sandboxu. Tento plán je zároveň dohodovým a regulačním základem účasti; z jeho dodržení se odvíjí i rozsah pozdější ochrany podle odstavce 12.

6 Odstavce 6 a 7 vymezují poradenskou funkci orgánu. Ten poskytuje pokyny, dohled a podporu ve dvou směrech. Podle odstavce 6 pomáhá určit rizika, hlavně pro základní práva, zdraví a bezpečnost, a zmírnit je. Podle odstavce 7 dává pokyny k regulačním očekáváním a k tomu, jak požadavky nařízení splnit. Poznamenávám, že právě tato funkce je skutečnou přidanou hodnotou sandboxu. Poskytovatel získává předběžnou orientaci orgánu ještě před uvedením systému na trh, což u vysoce rizikových systémů snižuje riziko pozdějšího neúspěchu při posuzování shody.

III. Výstupní zpráva a její důkazní hodnota (odst. 7 a 8)

7 Prakticky nejcennějším výstupem účasti je dokumentace. Na žádost poskytne příslušný orgán písemný doklad o činnostech úspěšně provedených v sandboxu a dále výstupní zprávu s podrobným popisem činností a výsledků. Podle odstavce 7 platí: Poskytovatelé mohou tuto dokumentaci použít k prokázání souladu s tímto nařízením v rámci postupu posuzování shody nebo příslušných činností dozoru nad trhem a orgány dozoru nad trhem i oznámené subjekty výstupní zprávu a písemný doklad kladně zohlední, aby bylo možno posuzování shody v přiměřeném rozsahu urychlit.

8 Zdůrazňuji mez tohoto účinku. Formulace „kladně zohlední” nezakládá domněnku shody ani nezbavuje poskytovatele povinnosti posouzení shody podle kapitoly III; výstupní zpráva je silným, avšak nezávazným podkladem, jehož smyslem je posuzování urychlit, nikoli je nahradit. Sporné bude, jak dalece se může oznámený subjekt od kladného zohlednění výstupní zprávy odchýlit. Podle našeho názoru je povinen se s ní věcně zabývat a případný odklon odůvodnit, neboť jinak by ustanovení pozbylo smyslu. Přístup Komise a rady k výstupním zprávám je podle odstavce 8 vázán na souhlas poskytovatele a na režim důvěrnosti podle čl. 78.

IV. Cíle sandboxu a orientace na malé a střední podniky (odst. 9)

9 Odstavec 9 vypočítává pět cílů sandboxu: - větší právní jistota; - podpora sdílení osvědčených postupů; - podpora inovací a konkurenceschopnosti; - fakticky podložené regulační učení; - snazší a rychlejší přístup systémů AI na trh Unie, zejména pokud jsou poskytovány malými a středními podniky, včetně podniků začínajících. Poslední cíl potvrzuje, že těžištěm nástroje jsou menší hráči, kteří nemají kapacitu nést regulační nejistotu vlastními silami. Tento účelový výčet má výkladovou váhu při aplikaci diskreční pravomoci orgánu podle odstavce 11. Bod 139 odůvodnění tento výčet cílů předjímá. Mezi cíli uvádí i urychlení přístupu na trhy odstraněním překážek pro malé a střední podniky včetně začínajících. Zvláštní pozornost se přitom má věnovat tomu, aby byly sandboxy pro tyto subjekty dostupné.

V. Ochrana osobních údajů a součinnost dozorových orgánů (odst. 10 a 11)

10 Odstavec 10 řeší situaci, kdy inovativní systém zpracovává osobní údaje nebo jinak spadá do dohledu jiných orgánů. K provozu sandboxu se pak přidruží vnitrostátní úřady pro ochranu osobních údajů a další příslušné orgány. Do dohledu se zapojují v rozsahu svých úkolů. Toto ustanovení je procesním protějškem hmotného režimu podle čl. 59; dozor nad ochranou údajů se do sandboxu vtahuje, nikoli z něj vylučuje.

11 Odstavec 11 potvrzuje, že sandbox nemá vliv na dozorové a nápravné pravomoci příslušných orgánů. Významná rizika pro zdraví, bezpečnost a základní práva zjištěná při vývoji a testování musí být přiměřeně zmírněna. Nařízení dodává: Není-li účinné zmírnění možné, příslušné vnitrostátní orgány mají pravomoc zkušební proces nebo účast v sandboxu dočasně či trvale pozastavit a informují o tom úřad pro AI. Sandbox tedy nechrání před zásahem orgánu. Před sankcí chrání jen za podmínek odstavce 12. Shodně bod 139 odůvodnění požaduje, aby veškerá významná rizika zjištěná během vývoje a testování byla náležitě zmírněna, a v případě neúspěchu aby byl proces vývoje a testování pozastaven. Bod 140 odůvodnění k tomu dodává povinnost poskytovatelů postupovat podle pokynů orgánů a jednat rychle a v dobré víře.

VI. Odpovědnost a vynětí ze správních pokut (odst. 12)

12 Odstavec 12 řeší dvě odlišné otázky, které je nutné pečlivě rozlišit. Zaprvé odpovědnost za škodu. Poskytovatelé a potenciální poskytovatelé nesou podle platného práva i nadále odpovědnost za jakoukoli škodu způsobenou třetím stranám v důsledku experimentů, jež jsou v daném sandboxu prováděny. Účast v sandboxu tedy nijak neomezuje odpovědnost vůči poškozeným.

13 Zadruhé vynětí ze správních pokut. Nařízení stanoví, že v případě, že potenciální poskytovatelé dodržují konkrétní plán a podmínky účasti a řídí se v dobré víře pokyny vydanými příslušnými vnitrostátními orgány, orgány v případě porušení tohoto nařízení neuloží žádné správní pokuty. Mám za to, že jde o ochranu podmíněnou, nikoli o paušální imunitu. Váže se současně na dodržení plánu, dodržení podmínek účasti a na jednání v dobré víře podle pokynů orgánu. Odpadne-li kterákoli z těchto podmínek, ochrana se neuplatní.

14 Obdobné vynětí platí i ve vztahu k jinému unijnímu a vnitrostátnímu právu, byly-li do dohledu nad systémem v sandboxu aktivně zapojeny další příslušné orgány a poskytly-li pro dodržování tohoto práva pokyny. Zdůrazňuji dvě meze. Ochrana se týká výlučně pokut, nikoli jiných nápravných opatření (typicky pozastavení účasti podle odstavce 11), a týká se výslovně jen potenciálních poskytovatelů v rámci experimentů v sandboxu, nikoli provozu systému mimo něj.

VII. Koordinace, přeshraniční spolupráce a podávání zpráv (odst. 13 až 17)

15 Závěrečné odstavce budují koordinační vrstvu. Sandboxy mají usnadňovat přeshraniční spolupráci (odstavec 13). Příslušné orgány koordinují činnost v rámci rady (odstavec 14). A informují úřad pro AI a radu o zřízení sandboxu, přičemž úřad pro AI zveřejní a aktualizuje jejich seznam (odstavec 15).

16 Odstavec 16 zavádí povinnost výročních zpráv (od jednoho roku po zřízení sandboxu) a závěrečné zprávy, obsahujících osvědčené postupy, incidenty, získané zkušenosti a doporučení. Tyto zprávy nebo jejich shrnutí se zpřístupní veřejnosti online. Odstavec 17 ukládá Komisi vytvořit jednotné rozhraní s relevantními informacemi o sandboxech.

17 Souhrnně: čl. 57 je páteří inovačního bloku. Zavádí povinný nástroj (funkční sandbox v každém členském státě), vymezuje jej jako prostředí pod dohledem, poskytuje poskytovateli hmatatelný výstup pro pozdější posuzování shody a nabízí podmíněnou ochranu před pokutami. Na tento článek navazuje čl. 58 harmonizací podrobných pravidel, aby se ze sandboxů nestaly nesouměřitelné vnitrostátní ostrovy.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Co sandbox dává a co ne. Startup vyvíjí systém pro třídění žádostí o dávky, vstoupí do sandboxu a dodrží plán i pokyny orgánu. Za porušení nařízení, ke kterému během testování dojde, mu orgán podle odstavce 12 pokutu neuloží. Odpovědnosti za škodu způsobenou třetí osobě ho to ale nezbavuje.

2. Podmíněnost ochrany. Týž startup se od plánu odchýlí a pokyny orgánu ignoruje. Ochrana podle odstavce 12 padá, protože je vázaná na dodržení plánu a na jednání v dobré víře.

3. Výstupní zpráva jako důkaz. Poskytovatel po ukončení sandboxu předloží výstupní zprávu při posuzování shody. Podle odstavce 7 ji orgán dozoru i oznámený subjekt kladně zohlední. Není to automatické uznání shody, ale urychlení.

Co z toho plyne v praxi

Sandbox není úleva z pravidel, ale pomoc při jejich plnění. Požadavky nařízení zůstávají; mění se jen to, že máte dohled a pokyny orgánu a že vám za pochybení v dobré víře nehrozí pokuta.

Pro malé a střední podniky je vstup bezplatný (čl. 58 odst. 2 písm. d), s výhradou mimořádných nákladů.

Účast se uznává napříč Unií (čl. 58 odst. 2 písm. g). Nemusíte tedy do sandboxu v každém státě, kam míříte.

Termín. Členské státy měly sandbox zřídit do 2. 8. 2026. Nařízení (EU) 2026/1744 lhůty změnilo: vnitrostátní sandbox má být funkční do 2. 8. 2027.

Z judikatury

Zatím žádná.

Otevřené otázky

1. Kdy bude sandbox v Česku. Zřízení předpokládá adaptační zákon připravovaný MPO. Do jeho přijetí je nástroj v Česku nedostupný.

2. Co znamená „v dobré víře” (odst. 12). Ochrana před pokutou na tom stojí, ale měřítko chybí.

3. Rozsah odpovědnosti za škodu. Odstavec 12 vylučuje správní pokuty, ne soukromoprávní odpovědnost. Jak se obojí potká u škody vzniklé při testování, není vyřešené.