AI – umělá inteligence v Evropě

Umělá inteligence zpracovává velké množství osobních údajů. GDPR vyžaduje, aby bylo zpracování zákonné, přiměřené a transparentní.

Firmy musí dbát na to, aby jejich AI systémy:

• zpracovávaly jen nezbytné údaje (zásada minimalizace),
• měly právní základ zpracování (např. souhlas),
• byly srozumitelně vysvětleny uživatelům,
• umožnily lidský přezkum automatizovaných rozhodnutí,
• respektovaly práva subjektů údajů.

Nedodržení GDPR může vést k porušení základních práv i k vysokým sankcím.

Nařízení Evropského parlamentu a Rady o harmonizovaných pravidlech pro umělou inteligenci (tzv. AI Act) stanovuje různé sankce v závislosti na závažnosti porušení.

Pod tímto odkazem jsou uvedeny hlavní typy porušení a odpovídající sankce.

Proč by firmy měly řešit vztah mezi umělou inteligencí a GDPR

Umělá inteligence (AI) je dnes klíčovou technologií, která proměňuje zpracování dat, automatizaci rozhodování i samotný chod firem. Současně s jejím nástupem se však zvyšují i požadavky na ochranu osobních údajů a dodržování legislativy, zejména Obecného nařízení o ochraně osobních údajů (GDPR). Proč by tedy firmy měly tuto oblast věnovat zvláštní pozornost? A jaké kroky podnikla Evropská unie?

1. Zpracování osobních údajů a riziko porušení GDPR

AI často zpracovává velké množství dat, včetně těch, které jsou osobní nebo citlivé (např. biometrické údaje, zdravotní informace, lokalizační data). GDPR ukládá přísná pravidla pro získávání, uchovávání a zpracování takových údajů. Porušení těchto pravidel může znamenat nejen vysoké sankce, ale také ztrátu důvěry zákazníků a reputační škody.

2. Automatizované rozhodování a článek 22 GDPR

AI systémy mohou generovat rozhodnutí bez lidského zásahu, která mají právní nebo obdobně závažný dopad na jednotlivce (např. zamítnutí úvěru, výběr kandidáta). Článek 22 GDPR váže těchto situací na přísná pravidla včetně nutnosti lidského přezkoumání a informování subjektu údajů. Firmy musejí zajistit, že jejich AI systémy těmito požadavky disponují.

3. Transparentnost a vysvětlitelná AI

Jedním z klíčových principů GDPR je transparentnost. V kontextu AI to znamená, že firmy musejí umět vysvětlit, jak AI rozhoduje, jaké vstupy používá a jaké dopady má na jednotlivce. To je výzvou zejména u modelů typu „černá skříňka“, ale nedodržení těchto požadavků může znamenat porušení práv subjektů údajů.

4. DPIA jako preventivní nástroj

Posouzení vlivu na ochranu osobních údajů (DPIA) je povinné, pokud AI systém pravděpodobně představuje vysoké riziko pro práva a svobody fyzických osob. DPIA umožňuje včas odhalit slabá místa v navrženém zpracování a přijmout vhodná technická a organizační opatření.

5. AI Act a jeho provázanost s GDPR

Nařízení Evropského parlamentu a Rady (EU) 2024/1689 – známé jako AI Act – představuje první komplexní právní rámec pro umělou inteligenci na světě. Stanoví pravidla založená na posouzení rizik a zavádí čtyři úrovně rizika: nepřijatelné, vysoké, omezené a minimální. Pro vysoce rizikové systémy (např. v oblasti zdraví, HR, financí, biometrie) stanovuje přísné povinnosti včetně požadavků na transparentnost a dokumentaci, lidský dohled, bezpečnost a kvalitu dat a registraci do veřejných databází.

AI Act doplňuje GDPR – oba právní předpisy je třeba chápat v souvislosti. GDPR se zaměřuje na ochranu osobních údajů, AI Act na bezpečné a důvěryhodné používání umělé inteligence.

6. Evropský úřad pro umělou inteligenci (European AI Office)

Evropský úřad pro umělou inteligenci je specializovanou institucí zřízenou v rámci Evropské komise. Zajišťuje koordinaci jednotného uplatňování AI Actu, dohled nad modely obecného použití (GPAI), vývoj standardů, metodik a kodexů praxe, mezinárodní spolupráci a monitoring vývoje AI.

Úřad rovněž poskytuje metodickou podporu členským státům a podnikům, provádí hodnocení modelů, uděluje pokyny k implementaci a má i pravomoci sankcionovat porušení nařízení.

7. Pakt AI – dobrovolná iniciativa pro firmy

Pakt o umělé inteligenci (AI Pact) vznikl jako doplňující mechanismus ke zvyšování připravenosti organizací na nové povinnosti vyplývající z AI Act. Má dva pilíře. První z nich je komunita sdílející zkušenosti, přístupy a osvědčené postupy. Druhý pilíř představují dobrovolné závazky firem, které chtějí implementovat AI Act dříve než začne být plně účinný.

Firmy se v rámci Paktu zavazují například ke zmapování svých AI systémů, zajištění transparentnosti, etickému vývoji nebo školení zaměstnanců.

8. Hlavní momenty, na které si dát pozor při zavádění AI v praxi

Při zavádění AI systémů v praxi si firmy musí dát pozor na několik klíčových oblastí. Především musí správně určit právní základ zpracování osobních údajů. V případě vysoce rizikových systémů je třeba provést posouzení dopadu na ochranu osobních údajů (DPIA). Dále je nezbytné zajistit lidský dohled nad automatizovaným rozhodováním, být transparentní vůči subjektům údajů, vést odpovídající dokumentaci o AI systému a uchovávat záznamy o jeho fungování. V neposlední řadě je důležité zohlednit jak GDPR, tak AI Act při výběru a nasazování technologií a dodavatelů.

Shrnutí

AI přináší obrovský potenciál, ale také odpovědnost. Firmy, které chtějí AI používat v souladu se zákonem a s důvěrou uživatelů, by měly vztah AI a GDPR věnovat systematickou pozornost. Evropa prostřednictvím AI Act a dalších iniciativ definuje jasná pravidla pro bezpečné, transparentní a etické využívání AI. Ignorovat je znamená nejen právní riziko, ale i strategické selhání v digitální transformaci.