Umelá inteligencia je už dnes bežnou súčasťou podnikania – od chatbotov na weboch, generatívnej AI na tvorbu marketingového obsahu, AI v HR procesoch až po automatizáciu rozhodovania. Ale ako vieme, že naše firmy používajú AI v súlade s legálnym rámcom? Európska únia prijala historicky prvý komplexný právny rámec pre reguláciu AI: Nariadenie o umelej inteligencii (AI Act). Od augusta 2024 platí niektoré povinnosti, od februára 2025 sú povinné školenia pre zamestnancov a od augusta 2026 prichádza plná účinnosť pre vysokorizikové AI systémy.
Čo je AI Act a prečo je pre firmy dôležitý
AI Act je prvý komplexný zákon o umelej inteligencii na svete, ktorý platí od 1. augusta 2024 a plnú účinnosť nadobúda 2. augusta 2026. Ide o legislatívny rámec, ktorý určuje hranice používania AI a stanovuje povinnosti pri jej používaní. Citlivosť AI Act je v tom, že sa vzťahuje na každú organizáciu, ktorá vyvíja, používa alebo dováža AI systémy v EÚ, teda aj na bežné firmy na Slovensku.
Hlavným cieľom AI Act je zabezpečiť transparentnosť, ochranu ľudských práv a podporiť inovácie bez ohrozenia súkromia a bezpečnosti užívateľov. Podniky v celej Európskej únii tak budú musieť preukázať, že systémy umelej inteligencie používajú transparentne, bezpečne a s jasne nastaveným riadením rizík.
AI Act nerozlišuje medzi startupom a korporáciou
Je to prvý komplexný zákon o umelej inteligencii na svete, ktorý platí od 1. augusta 2024 a od 2. februára 2025 prikazuje všetkým poskytovateľom a používateľom AI systémov, aby zabezpečili, že ich zamestnanci majú dostatočnú úroveň AI gramotnosti. Inými slovami, ak vo firme používate AI, tak vaši ľudia musia rozumieť tomu, čo robí, aké sú jej limity a kde predstavuje riziko.
AI Act nerozlišuje, či ste malý startup alebo nadnárodná korporácia. Ak vo firme používate nástroje umelej inteligencie – na tvorbu obsahu, analýzu dát, HR, zákaznícku podporu alebo automatizáciu – platia pre vás povinnosti. Ak sa firma na túto povinnosť vykašle a jej zamestnanci svojím nesprávnym používaním AI spôsobia škodu zákazníkom, či partnerom, od 2. augusta 2025 môže niesť občianskoprávnu zodpovednosť.
Rizikové kategórie podľa AI Act
AI Act uplatňuje prístup založený na riziku a rozlišuje štyri rizikové kategórie AI systémov.
- Zakázané AI systémy (unacceptable risk)
Týchto AI riešenia sú zakázané úplne, pretože predstavujú nezákonné ohrozenie ľudských práv. Zakázané AI riešenia zahŕňajú nepozorovanú manipuláciu, sociálne skóre, prediktívny kontroling a iné formy diskriminácie.
Konkrétne sa zakazujú:
- Manipulácia – AI, ktorá tajne manipuluje s ľuďmi
- Sociálne skóre – vyhodnocovanie ľudí na základe ich správania
- Prediktívny kontroling – predikcia kriminality na základe osobných údajov
- Biometrická kategorizácia – rozpoznávanie emócií bez vedomia osoby
- Vysokorizikové AI systémy (high-risk)
Vysokorizikové AI systémy sú tie, ktoré majú významný dopad na zdravie, bezpečnosť alebo základné ľudské práva. Patrí sem napríklad AI v HR (nábore zamestnancov), v medicíne, vo finančnom hodnotení, pri monitorovaní zamestnancov alebo v systémech automatizovaného rozhodovania.
AI systémy z Annex III sú vždy považované za vysokorizikové, pokiaľ nevykazujú významné riziko. Pri vysokorizikových AI systémoch majú firmy tieto povinnosti:
- Používanie podľa určeného účelu – systém môžete používať len na to, na čo bol určený
- Ľudský dohľad – musíte zabezpečiť, že človek môže zasahovať do rozhodovania AI
- Relevantné vstupné údaje – dáta pre AI musia byť relevantné a aktuálne
- Monitorovanie fungovania – pravidelné kontroly, či AI funguje správne
- Informovanie zamestnancov – zamestnanci musia vedieť o AI systémoch
- DPIA pre vysokorizikové systémy – posúdenie vplyvu na ochranu údajov
- Zachovávanie logov – automatické záznamy minimálne 6 mesiacov
- Transparentnosť voči dotknutým osobám – ľudia musia vedieť, že rozhoduje AI
- Registrácia v EÚ databáze – vysokorizikové systémy musia byť zaregistrované
- Spolupráca s dozorným orgánom – povinná spolupráca pri kontrolách
- AI gramotnosť – preškolenie všetkých, čo pracujú s AI (účinné od februára 2025)
Od augusta 2026 musia mať high risk systémy najmä: riadenie rizík, poriadok v dátach a kvalitu dát, technickú dokumentáciu, logovanie, jasné informácie a návod na použitie, ľudský dohľad a post market monitoring. Termín pre vysokorizikové AI sa Digital Omnibusom odkladá na december 2027.
- Transparentné AI systémy (limited risk)
Transparentné AI systémy majú povinnosti týkajúce sa informovania užívatelov. Tieto systémy zahŕňajú chatboty, AI systémy na rozpoznávanie emócií alebo biometrickú kategorizáciu.
AI Act stanovuje transparentné povinnosti pre poskytovateľov a používateľov AI systémov. Spoločnosť musí informovať používateľov, keď interagujú s AI systémom, pokiaľ to nie je zrejmé alebo AI nie je použité na právne účely.
- Minimálne riziko (minimal risk)
Minimálne rizikové AI systémy zahŕňajú spam filtre, AI hry a odporúčacie systémy. Pre tieto systémy platia iba existujúce zákony ako GDPR, nie navyše AI Act.
Čo musia slovenské firmy stihnúť do augusta 2025 a 2026
Kľúčové termíny pre slovenské firmy:
- 1. august 2024 – začiatok platnosti AI Act, niektoré povinnosti už účinné
- 2. február 2025 – povinné AI školenia pre zamestnancov
- 2. august 2025 – občianskoprávna zodpovednosť firiem, ak zamestnanci nesprávne používajú AI
- 2. august 2026 – plná účinnosť pre vysokorizikové AI systémy
- december 2027 – odklad pre vysokorizikové AI podľa Prílohy I
- Vytvorte prehľad používaných AI nástrojov
Interný register AI nástrojov je prvým krokom. Identifikujte GPAI modely a systémy, ktoré môžu patriť medzi high-risk.
Bežní používatelia AI musia:
- Zabezpečiť školenia pre zamestnancov
- Označovať výstupy generované AI
- Preveriť, či nástroje nespadajú pod vyššiu kategóriu regulácie
- Školenia pre zamestnancov
AI školenia pre zamestnancov sú povinné pre všetky osoby, ktoré používajú AI systémy. Školenia sú povinné od februára 2025. Zamerajte sa na riziká, obmedzenia a zodpovednosť pri práci s AI.
- Overenie zákonnosti AI systémov
Skontrolujte, že nepoužívate zakázané AI riešenia: nepozorovanú manipuláciu, sociálne skóre, prediktívny kontroling.
- Vykonajte audit AI procesov
Vykonajte audit AI procesov – zhodnoťte, či vaše AI systémy spĺňajú kritériá transparentnosti a bezpečnosti. AI interné politiky – zavedie mechanizmy na kontrolu a dokumentáciu rozhodovacieho procesu AI.
Prepojenie AI Act a GDPR
AI Act a GDPR sa v praxi často prelínajú, najmä keď AI pracuje s osobnými údajmi. Spoločnosti, ktoré vyvíjajú alebo používajú AI, budú musieť zabezpečiť transparentnosť svojich algoritmov, auditovateľnosť rozhodovacích procesov a ochranu osobných údajov.
Pri AI, ktorá pracuje s osobnými údajmi, treba súbežne riešiť aj právny základ, informovanie a bezpečnosť spracúvania. DPDIA pre vysokorizikové systémy je posúdenie vplyvu na ochranu údajov.
Najčastejšie AI nástroje vo firme a ich klasifikácia
- Chatboty na webe
Chatboty na webe sú typicky transparentné systémy. Musíte informovať užívatelov, že komunikujú s AI. - Generatívna AI (ChatGPT, Claude, Gemini)
GPAI modely (napr. GPT-4, Claude, Gemini) vyžadujú dokumentáciu, transparentné označovanie niektorých výstupov a ďalšie povinnosti. - AI v HR (nábore, screening)
AI v HR procesoch je typicky vysokorizikový systém, pretože sa rozhoduje o zamestnancoch. - AI na tvorbu obsahu
AI na tvorbu textov a obrázkov je typicky minimálne rizikové, ale musíte označovať výstupy generované AI. - AI analytika
AI analytika môže byť vysokoriziková, ak sa rozhoduje o finančnom hodnotení alebo monitorovaní zamestnancov.
Pokuty pre firmy
Spoločnosti, ktoré nebudú plniť požiadavky regulácií, budú vystavené pokutám v rozsahu od 7,5 milióna EUR alebo 1,5% z globálneho obratu. Maximálna pokuta môže byť 7,5 milióna EUR alebo 1,5% celkového ročného obratu.
Odporúčané kroky pre firmy
- Zaveďte jednotný systém riadenia AI – napríklad podľa normy ISO/IEC 42001.
- Vykonajte audit AI procesov – zhodnoťte, či vaše AI systémy spĺňajú kritériá transparentnosti a bezpečnosti.
- Upravte interné politiky – zavedie mechanizmy na kontrolu a dokumentáciu rozhodovacieho procesu AI.
- Zapojte dodávateľov do zodpovednosti – vyžadujte od nich dokumentáciu, prehľad tréningových dát a pravidlá k autorským právam premietnite priamo do zmlúv.
- Vytvorte interný register AI nástrojov – identifikujte GPAI modely a systémy, ktoré môžu patriť medzi high-risk.
- Zabezpečte školenia pre zamestnancov – zamerajte sa na riziká, obmedzenia a zodpovednosť pri práci s AI.
Kedy sa firma nemusí obávať AI Act
Služba nemusí byť potrebná pre podniky, ktoré AI reálne nevyužívajú, alebo ju používajú len okrajovo bez dopadu na osoby, rozhodovanie či transparentnosť komunikácie. Aj v takom prípade je však užitočné aspoň základné posúdenie a interný prehľad používaných nástrojov, pretože prvým odporúčaným krokom je práve inventarizácia AI systémov vo firme.
AI Act ako šanca, nie len povinnosť
AI Act prináša nové povinnosti pre firmy. Tie by to však mali vnímať skôr ako šancu na vzdelávanie a implementáciu umelej inteligencie. Podniky, ktoré sa pripravia včas, budú mať konkurenčnú výhodu v tom, že budú schopné preukázať transparentné a bezpečné používanie AI.