Zákon EÚ o umelej inteligencii: čo platí teraz a čo sa odkladá

Zákon EÚ o umelej inteligencii, nariadenie (EÚ) 2024/1689 , sa uplatňuje postupne od nadobudnutia účinnosti 1. augusta 2024: zákazy, pravidlá pre modely umelej inteligencie na všeobecné použitie a povinnosti transparentnosti pre chatboty a obsah generovaný umelou inteligenciou sa už uplatňujú. Najprísnejší režim pre vysoko rizikovú umelú inteligenciu bol v rámci súhrnného nariadenia o umelej inteligencii odložený do 2. decembra 2027 pre systémy uvedené v prílohe III a do 2. augusta 2028 pre umelú inteligenciu v regulovaných produktoch.

Nariadenie (EÚ) 2026/1744 o umelej inteligencii bolo uverejnené v Úradnom vestníku v júli 2026 a teraz je platné. Odložené dátumy sú preto ustáleným právnym predpisom, nie plánovacím predpokladom.

Čo je to zákon EÚ o umelej inteligencii?

Zákon o umelej inteligencii je nariadenie EÚ založené na riziku: čím vyššie riziko systém umelej inteligencie predstavuje, tým prísnejšie sú povinnosti. V Holandsku sa uplatňuje priamo bez potreby holandských vykonávacích predpisov pre základné pravidlá.

Zákon definuje systém umelej inteligencie v širšej rovine, v súlade s prístupom OECD. Ide o strojový systém, ktorý funguje s určitou mierou autonómie, po nasadení sa môže prispôsobiť a na základe prijatých vstupov usudzuje, ako generovať výstupy, ako sú predpovede, obsah, odporúčania alebo rozhodnutia, ktoré môžu ovplyvniť fyzické alebo virtuálne prostredia. Jednoduchý softvér založený na pravidlách, ktorý sa riadi iba pokynmi napísanými ľuďmi, do tejto kategórie vo všeobecnosti nepatrí.

Vzťahuje sa zákon o umelej inteligencii na vašu organizáciu?

Pravdepodobne, ak vyvíjate, predávate alebo používate systémy umelej inteligencie v profesionálnom kontexte v EÚ. Zákon sa vzťahuje aj na spoločnosti mimo EÚ, keď je ich systém uvedený na trh EÚ alebo keď sa jeho výstup používa v EÚ.

Spoločnosť z USA alebo Spojeného kráľovstva, ktorá poskytuje služby európskym zákazníkom, preto môže spadať do pôsobnosti zákona. Zákon rozlišuje niekoľko rolí, z ktorých každá má svoje vlastné povinnosti:

• Poskytovatelia vyvíjajú systém umelej inteligencie alebo univerzálny model umelej inteligencie a uvádzajú ho na trh alebo do prevádzky pod vlastným menom alebo ochrannou známkou. Nesú najťažšie záväzky.
• Zamestnanci používajú systém umelej inteligencie v rámci svojej právomoci v profesionálnom kontexte, napríklad zamestnávateľ používa nástroj umelej inteligencie na preverovanie uchádzačov o zamestnanie. Čisto osobné, neprofesionálne použitie nespadá do týchto povinností.
• Dovozcovia a distribútori uvádzajú na trh EÚ systém tretej strany alebo ho sprístupňujú ďalej v dodávateľskom reťazci a musia skontrolovať, či si poskytovateľ splnil svoje povinnosti.
• Výrobcovia produktov a v niektorých prípadoch aj oprávnení zástupcovia poskytovateľov z krajín mimo EÚ môžu prevziať povinnosti poskytovateľa.

Vaša úloha sa môže zmeniť. Nasadzovateľ, ktorý podstatne upraví vysoko rizikový systém alebo ho predáva pod vlastným menom, sa stane poskytovateľom a prevezme prísnejšie povinnosti. Pred prispôsobením systému zakúpeného od dodávateľa si to overte.

Ako zákon o umelej inteligencii klasifikuje riziká?

Zákon pracuje so štyrmi úrovňami rizika: zakázané praktiky, vysoké riziko, obmedzené riziko s povinnosťou transparentnosti a minimálne riziko. Úroveň závisí od účelu, na ktorý systém používate, nie od technológie, ktorá je za ním založená.

Zakázané praktiky

Niektoré spôsoby použitia sú úplne zakázané podľa článku 5 a tieto zákazy platia od 2. februára 2025. Patria sem manipulatívne alebo klamlivé techniky, ktoré podstatne skresľujú správanie a spôsobujú značné škody, a zneužívanie zraniteľností súvisiacich s vekom, zdravotným postihnutím alebo sociálno-ekonomickou situáciou. Zakázané je aj sociálne bodovanie, necielené scrapingovanie obrázkov tváre na vytváranie rozpoznávacích databáz, rozpoznávanie emócií na pracovisku a vo vzdelávaní (s výnimkou lekárskych alebo bezpečnostných dôvodov) a biometrická kategorizácia, ktorá odvodzuje citlivé charakteristiky, ako je náboženstvo alebo sexuálna orientácia.

Diaľková biometrická identifikácia v reálnom čase vo verejných priestoroch na účely presadzovania práva je zakázaná, s výhradou úzkych výnimiek s ochrannými opatreniami. Omnibus pre umelú inteligenciu pridáva nový zákaz pre systémy umelej inteligencie, ktoré vytvárajú materiál zobrazujúci sexuálne zneužívanie detí alebo intímne snímky identifikovateľných osôb bez ich súhlasu.

Vysoké riziko

Vysokorizikové systémy sú povolené, ale prísne regulované. Existujú dve skupiny. Príloha I sa vzťahuje na umelú inteligenciu, ktorá je bezpečnostnou súčasťou produktu alebo je sama o sebe produktom, ktorý už regulujú právne predpisy EÚ o produktoch, ako sú zdravotnícke pomôcky, stroje, výťahy a hračky. Príloha III uvádza samostatné použitia v citlivých oblastiach: biometria, kritická infraštruktúra, vzdelávanie, zamestnanosť a riadenie pracovníkov, prístup k základným verejným a súkromným službám, ako sú úvery a poistenie, presadzovanie práva, migrácia a kontrola hraníc a správa spravodlivosti a demokratické procesy.

Systém uvedený v prílohe III nie je vysoko rizikový, ak vykonáva iba úzku procedurálnu alebo prípravnú úlohu a podstatne neovplyvňuje výsledok rozhodnutia. Táto výnimka je prísne vymedzená a poskytovateľ, ktorý sa na ňu spolieha, musí svoje posúdenie zdokumentovať.

Obmedzené riziko: transparentnosť

Niektoré systémy nie sú vysoko rizikové, ale môžu ľudí zavádzať. Podľa článku 50 majú povinnosti transparentnosti. Ľudia musia byť informovaní, keď interagujú s chatbotom, obsah generovaný alebo manipulovaný umelou inteligenciou musí byť zverejnený a označený a ľudia musia byť informovaní, keď sú vystavení povolenému rozpoznávaniu emócií alebo biometrickej kategorizácii.

Minimálne riziko

Väčšina umelej inteligencie, ako sú spamové filtre, odporúčacie nástroje a umelá inteligencia vo videohrách, patrí do tejto kategórie. Zákon v tomto smere neukladá žiadne konkrétne povinnosti, hoci sa podporujú dobrovoľné kódexy správania a stále platí všeobecná povinnosť gramotnosti v oblasti umelej inteligencie uvedená v článku 4.

Kedy sa povinnosti uplatňujú?

Zákon sa uplatňuje vo fázach. Zákazy, povinnosť gramotnosti v oblasti umelej inteligencie, pravidlá pre všeobecnú umelú inteligenciu a povinnosti transparentnosti sa už uplatňujú; pravidlá pre vysoké riziko nasledujú v decembri 2027 a auguste 2028.

Od 2. augusta 2026 sa povinnosti transparentnosti uplatňujú v plnom rozsahu; iba generatívne systémy umelej inteligencie, ktoré sú už na trhu pred týmto dátumom, majú čas do 2. decembra 2026 na strojovo čitateľné označenie. Dodatočný čas pre vysoko rizikovú umelú inteligenciu je odklad, nie výnimka: vytvorenie technickej dokumentácie, riadenie rizík a ľudský dohľad trvajú mesiace.

Čo musia urobiť poskytovatelia, implementátori a dovozcovia?

Poskytovatelia vysokorizikových systémov nesú hlavnú záťaž a musia preukázať zhodu predtým, ako sa systém dostane na trh. Zavádzacie spoločnosti musia systém správne používať, dohliadať naň a informovať dotknuté osoby.

Poskytovatelia vysokorizikových systémov musia zaviesť systém riadenia rizík pokrývajúci celý životný cyklus, uplatňovať správu údajov, uchovávať technickú dokumentáciu, zabudovať automatické protokolovanie a ľudský dohľad a dosiahnuť primeranú presnosť, robustnosť a kybernetickú bezpečnosť. Pred uvedením na trh dokončia posúdenie zhody, vyhlásenie EÚ o zhode, označenie CE a registráciu v databáze EÚ a následne monitorujú systém a hlásia závažné incidenty.

Prevádzkovatelia vysokorizikových systémov musia systém používať v súlade s pokynmi poskytovateľa, prideliť ľudský dohľad kompetentným zamestnancom, zabezpečiť relevantnosť vstupných údajov, monitorovať prevádzku a uchovávať záznamy. V prípade potreby musia informovať dotknuté osoby. Verejné orgány a niektorí súkromní prevádzkovatelia, napríklad v oblasti kreditného bodovania a tvorby cien poistenia, musia vykonať posúdenie vplyvu na základné práva. Zamestnávatelia musia informovať pracovníkov a ich zástupcov predtým, ako na pracovisku uvedú vysokorizikový systém do používania.

Povinnosť gramotnosti v oblasti umelej inteligencie v článku 4 sa vzťahuje na všetkých poskytovateľov a nasadzovateľov. Omnibus AI znenie zmiernil: organizácie musia teraz prijať opatrenia na podporu dostatočnej úrovne gramotnosti v oblasti umelej inteligencie medzi svojimi zamestnancami. Očakávanie, že ľudia, ktorí s umelou inteligenciou pracujú, rozumejú tomu, čo robí a kde sa môže pokaziť, pretrváva.

Čo platí pre univerzálne modely umelej inteligencie?

Poskytovatelia modelov univerzálnej umelej inteligencie (GPAI) majú od 2. augusta 2025 svoje vlastné povinnosti. Modely so systémovým rizikom čelia dodatočným povinnostiam.

Podľa článkov 53 až 55 musia všetci poskytovatelia GPAI uchovávať technickú dokumentáciu, zverejňovať dostatočne podrobný súhrn obsahu použitého na školenia, mať zavedenú politiku na dodržiavanie autorských práv EÚ a poskytovať informácie spoločnostiam, ktoré na modeli stavajú. Poskytovatelia modelov so systémovým rizikom musia tiež vyhodnotiť svoje modely vrátane kontradiktórneho testovania, posúdiť a zmierniť systémové riziká, sledovať a hlásiť závažné incidenty a zabezpečiť silnú kybernetickú bezpečnosť. Dodržiavanie oficiálneho kódexu postupov pre všeobecnú umelú inteligenciu je uznávaným spôsobom preukázania súladu. Úrad pre umelú inteligenciu Európskej komisie vykonáva priamy dohľad nad týmito poskytovateľmi.

Ktoré povinnosti transparentnosti sa uplatňujú teraz?

Od 2. augusta 2026 článok 50 vyžaduje, aby ľudia vedeli, kedy majú do činenia s umelou inteligenciou. To sa vzťahuje na chatboty, obsah generovaný umelou inteligenciou a deepfaky, ako aj na rozpoznávanie emócií a biometrickú kategorizáciu.

Poskytovatelia chatbotov a konverzačných agentov musia jasne uviesť, že používateľ interaguje so strojom, pokiaľ to nie je zrejmé. Poskytovatelia systémov, ktoré generujú syntetický zvuk, obrázky, video alebo text, musia označiť výstup v strojovo čitateľnom formáte, aby bolo možné ho rozpoznať ako umelý. Poskytovatelia, ktorí publikujú deepfakey, musia zverejniť, že obsah bol umelo vygenerovaný alebo manipulovaný, a poskytovatelia, ktorí publikujú text generovaný umelou inteligenciou o záležitostiach verejného záujmu, musia túto skutočnosť zverejniť, pokiaľ ho osoba neskontrolovala a nenesie redakčnú zodpovednosť. Poskytovatelia povoleného rozpoznávania emócií alebo biometrickej kategorizácie musia informovať osoby, ktoré sú im vystavené.

Aké sú pokuty podľa zákona o umelej inteligencii?

Pokuty závisia od typu porušenia a sú stanovené v článku 99. Pre každú kategóriu sa uplatňuje vyššia z pevne stanovenej sumy a percenta obratu.

• Zakázané praktiky (článok 5): do 35 miliónov EUR alebo 7 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia.
• Porušenia väčšiny ostatných povinností vrátane požiadaviek na vysoké riziko a povinností týkajúcich sa transparentnosti: do 15 miliónov EUR alebo 3 % celosvetového ročného obratu.
• Poskytnutie nesprávnych, neúplných alebo zavádzajúcich informácií notifikovaným osobám alebo orgánom: do výšky 7.5 milióna EUR alebo 1 % celosvetového ročného obratu.

Pre malé a stredné podniky a začínajúce podniky je pokuta obmedzená na nižšiu z pevne stanovenej sumy a percenta. AI Omnibus rozširuje niekoľko týchto úľav aj na malé spoločnosti so strednou trhovou kapitalizáciou. Pokuty nie sú jediným nástrojom: orgány dohľadu nad trhom môžu vyžadovať nápravné opatrenia, obmedziť alebo zakázať sprístupnenie systému a nariadiť jeho stiahnutie z trhu alebo z trhu.

Aký je vzťah medzi zákonom o umelej inteligencii a GDPR a kybernetickým bezpečnostným predpisom?

Zákon o umelej inteligencii nadväzuje na existujúce právne predpisy. Ak váš systém umelej inteligencie spracováva osobné údaje, uplatňuje sa naň v plnom rozsahu nariadenie GDPR a ak poskytujete základné alebo dôležité služby, uplatňuje sa aj holandský zákon o kybernetickej bezpečnosti.

Podľa GDPR potrebujete právny základ, musíte rešpektovať obmedzenie účelu a práva dotknutých osôb a často musíte vykonať posúdenie vplyvu na ochranu údajov (DPIA). Posúdenie vplyvu na základné práva podľa zákona o umelej inteligencii a DPIA sa prekrývajú, preto je efektívne vykonávať ich spoločne.

Zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet), ktorým sa implementuje smernica EÚ NIS2, sa v Holandsku uplatňuje od 15. augusta 2026. Pridáva povinnosti týkajúce sa riadenia rizík a hlásenia incidentov pre základné a dôležité subjekty, čím posilňuje požiadavky zákona o umelej inteligencii na robustnosť a bezpečnosť.

Kto v Holandsku presadzuje zákon o umelej inteligencii?

Modely AI na všeobecné účely sú pod dohľadom Úradu pre AI v Bruseli; všetko ostatné presadzujú vnútroštátne orgány dohľadu nad trhom. V Holandsku zákon, ktorým sa tieto orgány určujú, stále prechádza legislatívnym procesom.

Na úrovni EÚ Úrad pre umelú inteligenciu Európskej komisie priamo dohliada na modely umelej inteligencie na všeobecné účely a spolupracuje s Európskou radou pre umelú inteligenciu. AI Omnibus rozšíril svoje právomoci na systémy umelej inteligencie postavené na vlastnom modeli GPAI poskytovateľa a na umelú inteligenciu vo veľmi rozsiahlych online platformách a vyhľadávačoch.

Zákon o umelej inteligencii sa uplatňuje priamo, takže podniky sú už viazané jeho časťami. Holandský zákon, ktorý určuje orgány dohľadu a ich právomoci, však ešte nenadobudol účinnosť a konečné rozdelenie sa môže ešte zmeniť. Doteraz navrhovaný model je hybridný. Existujúci sektoroví regulátori sa stávajú orgánmi dohľadu nad trhom vo svojich vlastných oblastiach, takže umelá inteligencia v zdravotníctve patrí pod inšpektorát zdravotnej starostlivosti a umelá inteligencia na pracovisku pod inšpektorát práce. Holandský úrad na ochranu údajov (Autoriteit Persoonsgegevens, AP) a holandský úrad pre digitálnu infraštruktúru (Rijksinspectie Digitale Infrastructuur, RDI) majú koordinačné úlohy, pričom AP pôsobí ako zostatkový orgán dohľadu pre vysoko rizikové systémy, ktoré nemajú zjavného sektorového regulátora.

Ktorým mylným predstavám by ste sa mali vyhnúť?

Štyri nedorozumenia pravidelne vedú organizácie k tomu, aby vynakladali úsilie na nesprávne miesto.

Prvým je, že ľudský podpis odstraňuje označenie vysokého rizika. Neodstraňuje. Výnimka pre úzke procedurálne alebo prípravné úlohy je prísne stanovená. Nástroj, ktorý zoradí uchádzačov o zamestnanie alebo vyberie súbory na bližšie preskúmanie, ovplyvňuje rozhodnutie, aj keď daná osoba podpíše súhlas. Pečiatka nie je ľudský dohľad a nevylučuje systém z prílohy III.

Druhým je, že regulovaní sú iba vývojári. Povinnosti implementátora sú skutočné a vymáhateľné voči organizácii, ktorá systém používa. Niektoré z nich, ako napríklad informovanie pracovníkov a ich zástupcov, pridelenie kompetentného dohľadu a vedenie záznamov, nemožno preniesť na dodávateľa.

Po tretie, všetko, čo sa už používa, je vyňaté. Podľa článku 111 sú vysokorizikové systémy uvedené na trh pred uplatnením pravidiel pre vysoké riziko v zásade zahrnuté iba v prípade, že sa ich dizajn následne výrazne zmení. Táto výnimka je užšia, ako sa zdá: aktualizácie, preškolenie a nové použitia sú presne tým druhom zmien, ktoré systém opäť zaraďujú do rozsahu pôsobnosti. Systémy používané verejnými orgánmi musia byť v súlade do 2. augusta 2030 bez ohľadu na to. Ak sa plánujete spoľahnúť na prechodné pravidlo, zdokumentujte aktuálnu konfiguráciu už teraz.

Štvrtým je, že zákon o umelej inteligencii nahrádza existujúce zákony. Je ich nadradený. ​​Ochrana údajov, zákon o rovnakom zaobchádzaní, spotrebiteľské právo, sektorová regulácia, pracovné právo a práva zamestnaneckej rady (ondernemingsraad) sa naďalej uplatňujú v plnom rozsahu. V Holandsku je to zvyčajne jeden z týchto zákonov, nie samotný zákon o umelej inteligencii, kto vyvolá prvú konkrétnu sťažnosť. Napríklad podľa článku 27(1)(l) zákona o zamestnaneckých radách (Wet op de ondernemingsraden) si zavedenie systému monitorovania zamestnancov vyžaduje súhlas zamestnaneckej rady.

Čo by ste si mali ako poskytovateľ overiť?

• Či je každý systém, ktorý uvediete na trh EÚ, zakázaný, vysoko rizikový, podliehajúci článku 50 alebo minimálne rizikový.
• Pre generatívnu umelú inteligenciu na trhu pred 2. augustom 2026: strojovo čitateľné označovanie výstupu do 2. decembra 2026.
• Pre vysoko rizikové systémy: riadenie rizík, správa údajov, technická dokumentácia, protokolovanie a ľudský dohľad do 2. decembra 2027 (príloha III).
• Posudzovanie zhody, vyhlásenie EÚ o zhode, označenie CE a registrácia v databáze EÚ.
• Ak vyvíjate modely na všeobecné použitie: dokumentácia, súhrn obsahu školení a zásady autorských práv podľa článkov 53 až 55.

Čo by ste si mali ako nasadzovateľ skontrolovať?

• Zoznam všetkých systémov umelej inteligencie, ktoré používate, vrátane umelej inteligencie zabudovanej do softvéru tretích strán, s uvedením ich úrovne rizika.
• Že žiadne použitie nespadá pod zákazy podľa článku 5, ako napríklad rozpoznávanie emócií na pracovisku.
• Či už ste sa stali poskytovateľom podstatnou úpravou systému alebo jeho marketingom pod vlastným menom.
• Zverejňovanie chatbotov, deepfakov a textu generovaného umelou inteligenciou podľa článku 50 a opatrenia v oblasti gramotnosti v oblasti umelej inteligencie podľa článku 4.
• Súhlas zamestnaneckej rady podľa článku 27(1)(l) WOR pred zavedením umelej inteligencie, ktorá monitoruje zamestnancov, a posúdenie vplyvu na ochranu údajov podľa GDPR.

Čo pre vás môžeme urobiť so zákonom o umelej inteligencii?

Poskytovateľom a implementátorom radíme v oblasti dodržiavania zákona o umelej inteligencii spolu s GDPR a pracovným právom. Náš register holandských sprievodcov IT a právom na ochranu osobných údajov obsahuje súvisiace články.

• Vaše systémy umelej inteligencie klasifikujeme podľa úrovne rizika a pre každý z nich určíme vašu úlohu.
• Preverujeme zmluvy s dodávateľmi z hľadiska rozdelenia povinností a zodpovednosti podľa zákona o umelej inteligencii.
• Vypracúvame oznámenia o transparentnosti požadované podľa článku 50.
• Posúdenie vplyvu na základné práva kombinujeme s posúdením vplyvu na ochranu údajov podľa GDPR.
• Pripravíme žiadosť o súhlas zamestnaneckej rady a vykonáme konzultácie.

zhrnutie

• Zákon EÚ o umelej inteligencii (nariadenie (EÚ) 2024/1689) je platný od 1. augusta 2024 a uplatňuje sa postupne.
• Zákazy, gramotnosť v oblasti umelej inteligencie, pravidlá GPAI a povinnosti transparentnosti už platia; označovanie výstupov zo starších generatívnych systémov je splatné do 2. decembra 2026.
• Omnibusové nariadenie o umelej inteligencii (nariadenie (EÚ) 2026/1744) odložilo pravidlá pre vysoké riziko na 2. decembra 2027 (príloha III) a 2. augusta 2028 (príloha I).
• Pokuty dosahujú až 35 miliónov EUR alebo 7 % celosvetového obratu; pre malé a stredné podniky platí nižšia suma.
• Zákon o umelej inteligencii prichádza nad rámec GDPR, kybernetického nariadení a pracovnoprávnych predpisov; plánujte dodržiavanie predpisov ako jeden program.

Často kladené otázky