AI Act od srpna 2026: pravidla pro chatboty a AI obsah
Shutterstock.com
Brusel odložil nejtěžší část AI Actu. Pokuty za neoznačené deepfaky ale zůstávají
Evropská unie odložila hlavní povinnosti pro vysoce rizikové systémy umělé inteligence na roky 2027 a 2028. Od 2. srpna 2026 se však začnou uplatňovat pravidla transparentnosti, která dopadnou na chatboty, deepfaky i některé texty vytvořené pomocí AI. Podle OpenSSL Corporation odklad části regulace neznamená, že mohou firmy přestat řešit bezpečnost používaných systémů.
V debatě o evropském nařízení o umělé inteligenci se často směšuje jeho vstup v platnost s termíny, od kterých se začnou používat jednotlivé povinnosti. AI Act vstoupil v platnost už 1. srpna 2024, jeho ustanovení se ale zavádějí postupně. Od 2. srpna 2026 se začne používat především článek 50 upravující transparentnost některých AI systémů a obsahu vytvořeného nebo podstatně upraveného umělou inteligencí.
„Přestože se v této souvislosti občas mluví o odkladu AI Actu, řada povinností platí již dnes a od srpna přibývají další,“ upozorňuje advokát Jaroslav Kuba z poradenské společnosti Rödl. Používání umělé inteligence navíc nepodléhá jen AI Actu, ale podle konkrétní situace také pravidlům ochrany osobních údajů, autorskému právu nebo spotřebitelským předpisům.
Vysoce riziková AI dostala více času
Nejpřísnější část regulace zaměřená na vysoce rizikové AI systémy se od letošního srpna ještě nezačne používat. Evropská unie prostřednictvím digitálního omnibusu posunula příslušné termíny, aby firmy, instituce i dozorové orgány získaly více času na přípravu technických standardů, procesů řízení rizik a dokumentace. Novela byla v Úředním věstníku Evropské unie zveřejněna 24. července 2026.
U systémů považovaných za vysoce rizikové podle článku 6 odst. 2 a přílohy III se mají hlavní pravidla začít používat 2. prosince 2027. Do této skupiny mohou patřit například některé nástroje používané při náboru zaměstnanců, ve vzdělávání, při úvěrovém hodnocení, v justici, kritické infrastruktuře nebo při poskytování veřejných služeb. U AI systémů zabudovaných do regulovaných výrobků podle článku 6 odst. 1 a přílohy I se termín posunul na 2. srpna 2028.
„V debatě o 2. srpnu se často chybně interpretují termíny i požadavky. Pravidla pro vysoce rizikové AI systémy nevstupují v platnost, posouvají se na konec let 2027 a 2028. Nyní začne platit jen výrazně užší okruh pravidel, především ta pro transparentnost AI obsahu,“ říká Anton Arapov, ředitel OpenSSL Corporation.
Přesněji řečeno AI Act už platí a odloženo bylo uplatňování vybraných částí pravidel pro vysoce rizikové systémy. Arapovovo vyjádření ale vystihuje podstatný rozdíl mezi původně očekávaným rozsahem srpnových povinností a pravidly, která se nakonec skutečně začnou používat.
Nejde přitom pouze o administrativní formuláře. Požadavky na vysoce rizikové systémy zahrnují například řízení rizik, kvalitu vstupních dat, vedení záznamů, technickou dokumentaci, lidský dohled, přesnost, odolnost a kybernetickou bezpečnost.
„Firmy by si ale neměly plést zpoždění regulace s odkladem bezpečnosti. Odkladem firmy získají čas na administrativu, ale budování důvěryhodných systémů nepočká. Dnešní AI systémy totiž bez ohledu na legislativní termíny vyžadují pevný základ v podobě důvěryhodné kryptografie, bezpečné komunikace a odolných dodavatelských řetězců softwaru,“ dodává Arapov.
Chatbot musí přiznat, že není člověk
Od 2. srpna se běžných firem nejviditelněji dotknou právě pravidla transparentnosti. Poskytovatelé AI systémů, které přímo komunikují s lidmi, musí zajistit, aby uživatel věděl, že jedná s umělou inteligencí. Výjimkou jsou případy, kdy je tato skutečnost pro běžně informovaného člověka zcela zřejmá. Povinnost může dopadat na zákaznické chatboty, AI agenty, virtuální asistenty, hlasové systémy nebo digitální avatary. Evropská komise zveřejnila k článku 50 podrobné pokyny.
Informace musí být jasná a rozeznatelná už při první interakci. Nestačí proto pouze obecná formulace ukrytá v obchodních podmínkách nebo zásadách ochrany osobních údajů.
„Informace musí být srozumitelná a tam, kde k interakci skutečně dochází,“ zdůrazňuje Kuba. Podle tiskové zprávy Rödl se povinnosti netýkají jen vývojářů velkých modelů, ale také firem, institucí a dalších organizací, které AI systémy využívají při komunikaci se zákazníky nebo ve svém provozu.
Další část pravidel se vztahuje na poskytovatele systémů vytvářejících syntetický text, obraz, zvuk nebo video. Ti musí systémy navrhnout tak, aby bylo možné jejich výstupy označit ve strojově čitelném formátu a zjistit, že vznikly nebo byly upraveny pomocí umělé inteligence. Použitá technická řešení mají být účinná, interoperabilní, robustní a spolehlivá.
Zvláštní povinnost mají firmy, média, instituce a další profesionální uživatelé, kteří zveřejňují deepfaky. AI Act je definuje jako uměle vytvořený nebo upravený obrazový, zvukový či audiovizuální obsah připomínající existující osoby, objekty, místa, subjekty nebo události, který by mohl člověka klamat tím, že působí autenticky nebo pravdivě.
Takový obsah musí být označen nejpozději ve chvíli, kdy jej člověk poprvé uvidí nebo uslyší. Profesionální uživatel se proto nemůže spolehnout pouze na technickou značku ukrytou v metadatech. Informace musí být pro publikum srozumitelná a dostupná bez zvláštních nástrojů.
„I nově požadované označování AI obsahu je v jádru problém podepisování a ověřování – štítky fungují jen tehdy, pokud jsou autentické, odolné proti manipulaci a ověřitelné,“ upozorňuje Arapov.
Jedním z možných technických řešení jsou například Content Credentials podle standardu C2PA, které mohou k digitálnímu souboru připojit kryptograficky podepsané informace o jeho původu, použitých nástrojích a provedených úpravách. AI Act však kryptografický podpis ani standard C2PA nepředepisuje jako jedinou povolenou cestu. Evropská pravidla zůstávají technologicky neutrální a připouštějí různé metody označování a detekce obsahu.
„Právě takovou infrastrukturu buduje open-source svět už desítky let. Termíny regulací se posouvají. Potřeba spolehlivé infrastruktury ale zůstává,“ uzavírá Anton Arapov.
Média nemusejí označovat každý článek vytvořený s pomocí AI
Pravidla dopadají také na texty vytvořené nebo podstatně upravené pomocí generativní AI, pokud jsou zveřejňovány s cílem informovat veřejnost o otázkách veřejného zájmu. Patří sem například politika, ekonomika, finance, veřejné zdraví, bezpečnost, životní prostředí nebo vědecký vývoj.
Povinnost označit text jako vytvořený nebo upravený pomocí AI se ale neuplatní, pokud výstup prošel skutečnou lidskou kontrolou nebo redakčním dohledem a za zveřejnění nese odpovědnost konkrétní fyzická nebo právnická osoba. Lidská kontrola musí být obsahová: editor musí mít potřebné znalosti a pravomoc text věcně ověřit, změnit nebo odmítnout. Pouhá kontrola pravopisu nebo gramatiky nestačí.
Pro média to znamená, že nemusejí automaticky označovat každý článek, při jehož přípravě byl použit chatbot. Měla by však být schopna doložit, že publikovaný materiál prošel kontrolou zdrojů, fact-checkingem a skutečným redakčním schválením a že za něj vydavatel přebírá odpovědnost.
Evropská komise připravila také Kodex správné praxe pro transparentnost AI obsahu. Poskytovatelům a profesionálním uživatelům nabízí praktický návod, jak plnit povinnosti týkající se označování a rozpoznávání AI obsahu. Přistoupení ke kodexu je dobrovolné, samotné požadavky článku 50 jsou ale právně závazné.
Za porušení příslušných povinností mohou dozorové orgány uložit pokutu až 15 milionů eur nebo tři procenta celosvětového ročního obratu společnosti za předchozí finanční rok. Konkrétní výše postihu má zohledňovat okolnosti případu a velikost postiženého podniku.
