Nařízení (EU) 2024/1689 (AI Act) · Kapitola IX · Dozor a práva dotčených osob

Čl. 73 · Oznamování závažných incidentů

Znění

Poskytovatelé vysoce rizikových systémů AI uváděných na trh Unie oznamují jakýkoli závažný incident orgánům dozoru nad trhem v členských státech, v nichž k tomuto incidentu došlo
Oznámení uvedené v odstavci 1 musí být učiněno neprodleně poté, co poskytovatel zjistí příčinnou souvislost mezi daným systémem AI a daným závažným incidentem nebo přiměřenou pravděpodobnost této souvislosti, v každém případě však nejpozději do patnácti dnů poté, co se poskytovatel případně zavádějící subjekt o daném závažném incidentu dozvěděl.

Lhůta pro oznámení uvedená v prvním pododstavci zohlední závažnost závažného incidentu.

Bez ohledu na odstavec 2 tohoto článku se v případě rozsáhlého porušení práva nebo závažného incidentu ve smyslu čl. 3 bodu 49 písm. b) podává oznámení uvedené v odstavci 1 tohoto článku okamžitě, nejpozději však do dvou dnů poté, co se poskytovatel nebo případně zavádějící subjekt o tomto incidentu dozvěděl.
Bez ohledu na odstavec 2 se v případě úmrtí osoby podává oznámení ihned poté, co poskytovatel nebo zavádějící subjekt zjistí příčinnou souvislost mezi vysoce rizikovým systémem AI a závažným incidentem, nebo jakmile má podezření, že taková příčinná souvislost existuje, avšak nejpozději do 10 dnů ode dne, kdy se poskytovatel nebo případně zavádějící subjekt o závažném incidentu dozvěděl.
Je-li to nezbytné k zajištění včasného ohlášení, může poskytovatel nebo případně zavádějící subjekt podat neúplné počáteční oznámení, po němž následuje oznámení úplné.
Po ohlášení závažného incidentu podle odstavce 1 provede poskytovatel v souvislosti se závažným incidentem a dotčeným systémem AI bezodkladně nezbytná šetření. Ta zahrnují posouzení rizika incidentu a nápravná opatření.

Poskytovatel během šetření uvedených v prvním pododstavci spolupracuje s příslušnými orgány a případně s dotčeným oznámeným subjektem a neprovádí žádná šetření, při nichž je daný systém AI upravován způsobem, který může ovlivnit následné vyhodnocení příčin incidentu, dokud o takovém opatření neinformuje příslušné orgány.

Po obdržení oznámení týkajícího se závažného incidentu uvedeného v čl. 3 bodu 49 písm. c) informuje příslušný orgán dozoru nad trhem vnitrostátní veřejné orgány nebo subjekty veřejného sektoru uvedené v čl. 77 odst. 1. Komise vypracuje zvláštní pokyny s cílem usnadnit plnění povinností stanovených v odstavci 1 tohoto článku. Tyto pokyny se vydají do 2. srpna 2025 a jsou pravidelně vyhodnocovány.
Do sedmi dnů ode dne, kdy obdržel oznámení uvedené v odstavci 1 tohoto článku, přijme orgán dozoru nad trhem vhodná opatření stanovená v článku 19 nařízení (EU) 2019/1020 a řídí se oznamovacími postupy stanovenými v uvedeném nařízení.
U vysoce rizikových systémů AI podle přílohy III, které jsou uvedeny na trh nebo do provozu poskytovateli, na něž se vztahují legislativní nástroje Unie, které stanovují oznamovací povinnosti rovnocenné povinnostem stanoveným v tomto nařízení, se oznamování závažných incidentů omezuje na incidenty uvedené v čl. 3 bod 49 písm. c).
U vysoce rizikových systémů AI, které jsou bezpečnostními součástmi zařízení nebo jsou samy zařízeními, na něž se vztahují nařízení (EU) 2017/745 a (EU) 2017/746, se oznamování závažných incidentů omezuje na incidenty, které jsou uvedeny v čl. 3 bodě 49 písm. c) tohoto nařízení, a provádí se u příslušného vnitrostátního orgánu zvoleného pro tento účel členskými státy, v nichž k danému incidentu došlo.
Příslušné vnitrostátní orgány každý závažný incident neprodleně oznámí Komisi v souladu s článkem 20 nařízení (EU) 2019/1020 bez ohledu na to, zda v souvislosti s ním přijaly opatření.

Znění: Úřední věstník EU z 12. 7. 2024. Konsolidované znění po novele nařízením (EU) 2026/1744 zatím vydané není.

Komentář

Poskytovatel hlásí závažný incident orgánu státu, kde k němu došlo, nejpozději do 15 dnů, při úmrtí do 10 dnů a při rozsáhlém porušení nebo narušení kritické infrastruktury do 2 dnů. Následuje šetření a hlášení o nápravě.

nosné pasáže citujeme u příslušných bodů výkladu.

Související ustanovení: čl. 3 bod 49 (závažný incident), čl. 3 bod 61 (rozsáhlé porušení práva), čl. 3 bod 62 (kritická infrastruktura), čl. 72 (monitorování po uvedení na trh), čl. 74 (dozor nad trhem), čl. 77 odst. 1 (orgány chránící základní práva), čl. 79 (nakládání se systémy představujícími riziko)

Související předpisy EU: nařízení (EU) 2019/1020 (čl. 19 a 20, obecný rámec dozoru nad trhem), nařízení (EU) 2017/745 a (EU) 2017/746 (zdravotnické prostředky)

Obsah výkladu

I.Pojem závažného incidentu a jeho ukotvení v čl. 3 bodu 491 II.Adresát, příjemce a spouštěč povinnosti (odst. 1, 2)4 III.Odstupňované lhůty (odst. 2 až 4)6 IV.Počáteční oznámení a šetření (odst. 5, 6)10 V.Návaznost dozoru a sektorové výjimky (odst. 7 až 11)12

I. Pojem závažného incidentu a jeho ukotvení v čl. 3 bodu 49

1 Oznamovací povinnost podle čl. 73 stojí a padá s pojmem závažného incidentu. Ten vymezuje čl. 3 bod 49 jako incident nebo chybné fungování systému AI, které přímo nebo nepřímo vedou k některému ze čtyř následků: a) smrt určité osoby nebo závažné poškození zdraví určité osoby; b) závažné a nevratné narušení správy nebo provozu kritické infrastruktury; c) porušení povinností vyplývajících z práva Unie, jejichž účelem je ochrana základních práv; d) závažné poškození majetku nebo životního prostředí. Povinnost zavést systém oznamování závažných incidentů i vymezení těchto čtyř následků předjímá bod 155 odůvodnění, který oznamovací systém řadí vedle systému monitorování po uvedení na trh jako druhou vrstvu povinností poskytovatele.

2 Zdůrazňuji slova „přímo nebo nepřímo”. Příčinná souvislost mezi systémem AI a následkem nemusí být bezprostřední; postačí souvislost zprostředkovaná. Tím se okruh oznamovaných událostí rozšiřuje i na následky, které se projeví až v řetězci dalších příčin. Zároveň jde vždy o následky kvalifikované (smrt, závažné poškození zdraví, závažné a nevratné narušení kritické infrastruktury, porušení práva chránícího základní práva, závažné poškození majetku nebo životního prostředí). Běžná porucha bez takového následku závažným incidentem není.

3 Kategorie podle písmene c) je pro AI Act charakteristická: závažným incidentem je i porušení povinností z práva Unie chránících základní práva. Tím se oznamovací režim propojuje s rozměrem základních práv, který prostupuje celé nařízení, a odlišuje se od klasické produktové bezpečnosti zaměřené na zdraví a majetek. Právě tato kategorie zakládá specifickou návaznost na orgány chránící základní práva (odstavec 7, čl. 77).

II. Adresát, příjemce a spouštěč povinnosti (odst. 1, 2)

4 Adresátem povinnosti je poskytovatel vysoce rizikových systémů AI uváděných na trh Unie. Příjemcem oznámení jsou orgány dozoru nad trhem členských států, v nichž k incidentu došlo. Spouštěčem je podle odstavce 2 okamžik, kdy poskytovatel zjistí příčinnou souvislost mezi systémem AI a incidentem nebo přiměřenou pravděpodobnost této souvislosti. Povinnost tedy nevzniká až prokázáním příčinné souvislosti; postačí přiměřená pravděpodobnost.

5 Ačkoli hlavním adresátem je poskytovatel, ustanovení o lhůtách opakovaně počítají i se zavádějícím subjektem („poskytovatel případně zavádějící subjekt”). Rozhodným okamžikem pro počátek lhůty je, kdy se o incidentu dozvěděl poskytovatel, případně zavádějící subjekt. Zavádějící subjekt tak vstupuje do oznamovacího řetězce zejména tam, kde se o incidentu dozví dříve nebo výlučně on.

III. Odstupňované lhůty (odst. 2 až 4)

6 Nařízení stanoví tři odstupňované lhůty podle povahy následku. Obecná lhůta podle odstavce 2 činí nejpozději do patnácti dnů poté, co se poskytovatel, případně zavádějící subjekt, o závažném incidentu dozvěděl. Oznámení má být učiněno neprodleně po zjištění příčinné souvislosti nebo její přiměřené pravděpodobnosti a lhůta zohledňuje závažnost incidentu.

7 Nejkratší lhůta podle odstavce 3 činí okamžitě, nejpozději však do dvou dnů. Uplatní se v případě rozsáhlého porušení práva (čl. 3 bod 61) nebo závažného incidentu ve smyslu čl. 3 bodu 49 písm. b), tedy narušení kritické infrastruktury. Zákonodárce zde upřednostnil rychlost tam, kde následek dopadá kolektivně a systémově.

8 Zvláštní lhůta podle odstavce 4 činí nejpozději do 10 dnů a uplatní se v případě úmrtí osoby. Oznámení se podává ihned poté, co poskytovatel nebo zavádějící subjekt zjistí příčinnou souvislost mezi systémem a incidentem nebo jakmile má podezření, že taková souvislost existuje.

9 Přehled lhůt:

Poznamenávám zdánlivou asymetrii mezi dvoudenní lhůtou u kritické infrastruktury a desetidenní lhůtou u úmrtí. Mám za to, že ji vysvětluje kolektivní a soustavná povaha narušení kritické infrastruktury, které vyžaduje okamžitou koordinaci dozoru, zatímco u úmrtí je kladen důraz na spolehlivé zjištění příčinné souvislosti či podezření na ni.

IV. Počáteční oznámení a šetření (odst. 5, 6)

10 Odstavec 5 umožňuje, je-li to nezbytné k zajištění včasného ohlášení, podat neúplné počáteční oznámení, po němž následuje oznámení úplné. Poskytovatel tedy nesmí odkládat oznámení jen proto, že dosud nemá kompletní informace; primární je včasnost.

11 Podle odstavce 6 poskytovatel po ohlášení bezodkladně provede nezbytná šetření, jejichž součástí je posouzení rizika incidentu a nápravná opatření. Při šetření spolupracuje s příslušnými orgány a případně s dotčeným oznámeným subjektem. A neprovádí žádná šetření, při nichž je daný systém AI upravován způsobem, který může ovlivnit následné vyhodnocení příčin incidentu, dokud o takovém opatření neinformuje příslušné orgány. Zdůrazňuji tento zákaz zásahů do systému: chrání důkazní hodnotu systému a možnost nezávislého zjištění příčin, obdobně jako zákaz manipulace se stopami.

V. Návaznost dozoru a sektorové výjimky (odst. 7 až 11)

12 Odstavec 7 propojuje incidenty dotýkající se základních práv s orgány podle čl. 77: po obdržení oznámení o incidentu podle čl. 3 bodu 49 písm. c) informuje orgán dozoru nad trhem vnitrostátní veřejné orgány nebo subjekty veřejného sektoru uvedené v čl. 77 odst. 1. Komise má podle téhož odstavce vydat zvláštní pokyny k usnadnění plnění oznamovací povinnosti do 2. srpna 2025, s pravidelným vyhodnocováním. Uvedené datum je zde už ve znění po nařízení (EU) 2026/1744.

13 Odstavce 8 a 11 zakotvují navazující kroky dozoru v logice nařízení (EU) 2019/1020. Do sedmi dnů od obdržení oznámení přijme orgán dozoru nad trhem vhodná opatření stanovená v článku 19 uvedeného nařízení a řídí se jeho oznamovacími postupy (odstavec 8). Příslušné vnitrostátní orgány každý závažný incident neprodleně oznámí Komisi v souladu s článkem 20 téhož nařízení (odstavec 11).

14 Odstavce 9 a 10 zavádějí sektorové výjimky, které oznamovací povinnost zužují, nikoli ruší. U systémů podle přílohy III, na něž se vztahují nástroje Unie stanovící rovnocenné oznamovací povinnosti (odstavec 9), a u systémů, které jsou bezpečnostními součástmi zařízení nebo samotnými zařízeními podle nařízení (EU) 2017/745 a (EU) 2017/746 (odstavec 10), se oznamování závažných incidentů omezuje na incidenty uvedené v čl. 3 bodu 49 písm. c). Logika je zřejmá: tam, kde sektorový režim už incidenty ohlašuje, se podle AI Actu doplňuje pouze rozměr základních práv, který sektorové předpisy nepokrývají.

Příklady

Případy jsou konstruované, ne rozhodnuté věci.

1. Kdy jde o závažný incident. Systém v nemocnici chybně vyhodnotí snímek a pacient utrpí vážnou újmu na zdraví. Spadá pod písmeno a) definice v čl. 3 bodu 49. Systém, který jen zobrazí nesmyslný výsledek a obsluha ho odhalí dřív, než cokoli způsobí, závažným incidentem není.

2. Porušení základních práv jako incident. Systém pro předvýběr uchazečů začne systematicky znevýhodňovat určitou skupinu. Písmeno c) definice míří právě na porušení povinností z práva Unie chránících základní práva, takže oznamovací povinnost vzniká, i když nikdo neutrpěl újmu na zdraví.

3. Zákaz zásahu do systému. Poskytovatel po incidentu okamžitě nasadí opravu, která změní chování modelu. Znemožní tím zjistit příčinu. Odstavec, který to zakazuje, je výslovný: úprava, která může ovlivnit vyhodnocení příčin, se nesmí provést dřív, než o ní poskytovatel informuje orgány.

Co z toho plyne v praxi

Mějte postup připravený předem. Lhůty jsou krátké a začínají běžet od zjištění příčinné souvislosti, ne od dokončení analýzy.

Nezasahujte do systému, dokud to neoznámíte. Dobře míněná okamžitá oprava může zmařit vyšetření příčin a sama založit porušení.

U zdravotnických prostředků a u systémů s rovnocennou oznamovací povinností se rozsah oznamování zužuje (odstavce 9 a 10), aby se povinnosti nezdvojovaly.

Z judikatury

Zatím žádná.

Otevřené otázky

1. Kdy je poškození zdraví „závažné”. Nařízení práh neurčuje a v hraničních případech tedy nevíte, jestli oznamovací povinnost vznikla.

2. Jak se prokazuje příčinná souvislost. Lhůta běží od zjištění souvislosti mezi systémem a incidentem. U složitých systémů může být sporné, kdy k tomu zjištění došlo.

3. Kdo oznamuje u systému v hodnotovém řetězci. Povinnost tíží poskytovatele. U systému složeného z komponent více dodavatelů není zřejmé, jak se dělí.