Čl. 71 · Databáze EU obsahující vysoce rizikové systémy AI uvedené v příloze III

Znění čl. 71 odst. 1 až 6 se pro rozsah cituje po částech u příslušných bodů výkladu.

Související ustanovení: čl. 6 odst. 2 a 3 (klasifikace vysokého rizika a filtr významného rizika), čl. 49 (registrace), čl. 60 (testování vysoce rizikových systémů v reálných podmínkách), příloha III bod 2 (kritická infrastruktura), příloha VIII (registrační údaje)

I. Zřízení a předmět databáze

1 Podle odstavce 1 Komise ve spolupráci s členskými státy zřizuje a udržuje databázi EU obsahující informace ohledně vysoce rizikových systémů AI podle čl. 6 odst. 2, které jsou registrovány v souladu s články 49 a 60, a systémů AI, které nejsou považovány za vysoce rizikové podle čl. 6 odst. 3 a které jsou registrovány v souladu s čl. 6 odst. 4 a článkem 49. Předmět databáze je tedy dvojí: zahrnuje jak systémy zařazené do vysokého rizika samostatnou cestou podle přílohy III, tak systémy, u nichž poskytovatel uplatnil filtr významného rizika podle čl. 6 odst. 3 a dospěl k závěru, že vysoce rizikové nejsou. I tento negativní závěr se tedy eviduje, což umožňuje jeho následnou kontrolu. Shodně bod 131 odůvodnění, který registrační povinnost ukládá i poskytovateli dovolávajícímu se výjimky, podle níž systém uvedený mezi příklady vysoce rizikového použití vysoce rizikový není.

2 Databázi zřizuje a udržuje Komise, která je zároveň jejím správcem (odstavec 6). Při stanovování funkčních specifikací konzultuje odborníky a při jejich aktualizaci radu. Databáze je tedy unijním nástrojem spravovaným centrálně, byť se plní údaji pocházejícími od poskytovatelů a zavádějících subjektů.

II. Kdo a co registruje

3 Odstavce 2 a 3 rozdělují vkládání údajů. Podle odstavce 2 vkládá poskytovatel nebo případně zplnomocněný zástupce údaje uvedené v oddíle A a B přílohy VIII. Podle odstavce 3 vkládá zavádějící subjekt, který je orgánem veřejné moci, agenturou nebo subjektem (nebo jedná jejich jménem) v souladu s čl. 49 odst. 3 a 4, údaje uvedené v oddíle C přílohy VIII. Rozvržení tak odpovídá registračním povinnostem podle čl. 49: poskytovatel registruje sebe a systém, veřejnoprávní zavádějící subjekt registruje své používání systému. Bod 131 odůvodnění k odstavci 3 dodává rozlišení. Veřejnoprávní zavádějící subjekty, tedy orgány veřejné moci, agentury nebo jiné subjekty, se mají před použitím systému do databáze zaregistrovat a vybrat systém, který chtějí používat. Ostatní zavádějící subjekty to udělat mohou, ale nemusí.

III. Veřejná přístupnost a její meze

4 Jádrem článku je odstavec 4. Ten stanoví: Informace v databázi EU registrované v souladu s článkem 49 jsou s výjimkou oddílu uvedeného v čl. 49 odst. 4 a čl. 60 odst. 4 písm. c) přístupné a veřejně dostupné uživatelsky vstřícným způsobem. Podle textu mají tyto informace být snadno dohledatelné a strojově čitelné. Veřejná dostupnost je tedy pravidlem, nikoli výjimkou. Databáze je koncipována jako otevřená evidence, k níž se dostane kdokoli. Mám za to, že požadavek strojové čitelnosti a snadné dohledatelnosti není formální. Teprve on činí z databáze skutečný nástroj veřejné kontroly a umožňuje dotčeným osobám i občanské společnosti dohledat vysoce rizikové systémy nasazené v Unii. Bod 131 odůvodnění tuto veřejnou vrstvu dále popisuje: příslušný oddíl databáze má být veřejně přístupný a bezplatný, informace snadno dohledatelné, srozumitelné a strojově čitelné a databáze uživatelsky přívětivá, mimo jiné funkcí vyhledávání podle klíčových slov. Tím se potvrzuje, že strojová čitelnost a snadná dohledatelnost nejsou formální požadavky, nýbrž předpoklad účinné veřejné kontroly.

5 Veřejnost má dvě zabudované meze. Zaprvé se z veřejného přístupu vyjímá zabezpečená neveřejná část pro citlivé oblasti (registrace podle čl. 49 odst. 4, tedy vysoce rizikové systémy v oblasti vymáhání práva a migrace, azylu a správy hranic podle bodů 1, 6 a 7 přílohy III, a část podle čl. 60 odst. 4 písm. c). Zadruhé jsou informace o testování v reálných podmínkách registrované podle čl. 60 přístupné pouze orgánům dozoru nad trhem a Komisi, ledaže poskytovatel dá souhlas s jejich zpřístupněním veřejnosti. Odstavec 5 pak omezuje rozsah osobních údajů v databázi na míru nezbytnou pro registraci, zejména na jména a kontaktní údaje osob odpovědných za registraci. Odstavec 6 doplňuje technickou a administrativní podporu a soulad s požadavky na přístupnost. Bod 131 odůvodnění k zabezpečenému neveřejnému oddílu upřesňuje, že přístup do něj má být přísně omezen na Komisi a na orgány dozoru nad trhem, pokud jde o jejich vnitrostátní část databáze.

IV. Funkce databáze a vztah k registraci

6 Vztah databáze a registrace je vztahem úložiště a vstupní povinnosti. Registrace podle čl. 49 je právní povinností poskytnout stanovené údaje; databáze EU podle čl. 71 je místem, kam se tyto údaje ukládají a odkud se (s výjimkami) zpřístupňují veřejnosti. Poznamenávám, že vysoce rizikové systémy podle bodu 2 přílohy III (kritická infrastruktura) se podle čl. 49 odst. 5 registrují na vnitrostátní úrovni, a do unijní databáze tedy nevstupují stejným způsobem jako ostatní. Databáze EU proto není zcela úplným obrazem všech vysoce rizikových systémů. Registraci vysoce rizikových systémů v oblasti kritické infrastruktury pouze na vnitrostátní úrovni potvrzuje i bod 131 odůvodnění. Týž bod dodává k roli Komise tři věci. Pro přeshraniční výměnu informací je Komise správcem databáze podle nařízení (EU) 2018/1725. Postup zavedení databáze zahrnuje funkční specifikace a nezávislou zprávu o auditu. A databáze má splňovat požadavky na přístupnost podle směrnice (EU) 2019/882.

7 Praktická účinnost databáze je časově navázána na náběh vysokorizikového režimu. Databáze se naplní údaji teprve tehdy, kdy vzniknou registrační povinnosti podle čl. 49, a ty jsou vázány na použitelnost pravidel o vysoce rizikových systémech. Právě tyto lhůty nařízení (EU) 2026/1744 posunulo (u přílohy III na 2. prosince 2027 a u přílohy I na 2. srpna 2028 oproti původnímu znění), je okamžik vzniku evidenční povinnosti v tomto komentáři uveden už po novele. Zdůrazňuji, že samotná existence veřejné databáze je významným prvkem transparentnosti nařízení: činí rizikovou klasifikaci systémů AI zjistitelnou navenek a doplňuje tak individuální transparentnostní povinnosti podle čl. 50 i posouzení dopadů na základní práva podle čl. 27.