AI Act po novele 2026: čo má slovenská firma preveriť skôr, než zapne ďalšiu AI funkciu

01Najprv zistite, kde vo firme AI skutočne pracuje

Nespisujte len názvy aplikácií. V jednom nástroji môže tím navrhovať text, odpovedať zákazníkovi alebo hodnotiť uchádzača. Rovnaký model preto neznamená rovnaký spôsob použitia ani rovnaké riziko. Zaznamenajte účel, vstupy, výstup a človeka, ktorý ho používa.

• Systém a dodávateľ: názov, verzia alebo spôsob sledovania zmien a prevádzkový kontakt.
• Účel: konkrétny pracovný postup a okruh osôb, ktorých môže výsledok ovplyvniť.
• Údaje: dokumenty, osobné údaje, obchodné tajomstvá a miesto spracúvania.
• Rozhodnutie: kto výsledok preveruje, kto ho môže odmietnuť a čo sa odošle automaticky.

Zahrňte funkcie v CRM, náborovom systéme a kancelárskych aplikáciách aj samostatné účty zamestnancov. Prehľad má zachytiť aj neformálne používanie na pracovné úlohy. Ak o ňom firma nevie, nedokáže rozumne určiť pravidlá ani vyriešiť odoslanie citlivého dokumentu.

Rozlišujte AI od bežnej automatizácie. Pevné pravidlo, ktoré iba priradí záznam podľa predvoleného poľa, nemusí byť AI systémom v zmysle nariadenia. Od dodávateľa si vypýtajte opis funkcie. Marketingový názov AI ani jeho absencia nie sú právnym zaradením.

02Po novele neplatí jeden spoločný dátum pre všetko

Nariadenie 2026/1744 mení okrem iného články 4, 111 a 113 AI Act. Pri plánovaní používajte prijaté znenie. Starší materiál môže popisovať pôvodný harmonogram alebo návrh, ktorý sa od výslednej úpravy líši.

Nové dátumy vysokorizikových pravidiel uvádza aj aktuálny prehľad Komisie. Pre existujúci systém preto zapíšte dátum prvého uvedenia a zmeny. Samotné tvrdenie používame ho už dávno nie je dostatočný podklad na použitie prechodného režimu.

03Určite, či AI používate alebo ju poskytujete

Firma používajúca systém pod svojou právomocou býva nasadzujúcim subjektom, v angličtine deployer. Poskytovateľom je subjekt, ktorý systém vyvíja alebo si ho nechá vyvinúť a uvádza ho na trh či do prevádzky pod svojím menom. AI Act definuje tieto roly. Jedna firma môže mať pri rôznych riešeniach odlišné úlohy.

Modelová firma používa hotového asistenta na prípravu odpovede. Pri inom projekte objedná vlastnú AI službu a ponúka ju zákazníkom. Rovnaký dodávateľ základného modelu nezaručuje rovnakú právnu rolu firmy v oboch prípadoch. Do zadania patrí aj to, pod akým menom bude výsledný systém poskytovaný.

Pri vysokorizikovom systéme môžu významné úpravy alebo zmena účelu presunúť povinnosti podľa článku 25. Preverte preto dôsledok skôr, než tím využije pomocnú funkciu na úplne iné rozhodovanie. Dodávateľská zmluva má umožniť získať potrebné informácie a riešiť zmeny, nie len odkázať na značku modelu.

Odlišujte model od výslednej aplikácie. Nákup prístupu k modelu nevyrieši automaticky povinnosti vlastného systému. Rovnako bežné používanie nástroja z firmy samo osebe nerobí poskytovateľa základného modelu.

04Riziko posudzujte podľa účelu a vplyvu na ľudí

Začnite existujúcimi zákazmi podľa AI Act. Napríklad odvodzovanie emócií ľudí na pracovisku z biometrických údajov podlieha zákazu s príslušnými výnimkami pre zdravotné alebo bezpečnostné dôvody. Bežná analýza textu sa nemá bez posúdenia zamieňať s biometrickým rozpoznávaním emócií. Súhlas zamestnanca nie je univerzálnym riešením zákazu.

Pri nábore venujte pozornosť filtrovaniu žiadostí a hodnoteniu kandidátov. Tieto účely sú uvedené v prílohe III. Samotné konečné potvrdenie človekom ešte nedokazuje výnimku z vysokorizikového režimu. Posúdenie má zachytiť skutočný vplyv systému a relevantné podmienky článku 6.

Modelové HR oddelenie si dáva navrhnúť znenie pracovnej ponuky. Iný systém však uchádzačov zoradí a skryje časť životopisov pred personalistom. Tento rozdiel patrí do právneho aj technického posúdenia. Vyskúšajte, či človek vidí všetky potrebné podklady a môže výsledok zmysluplne preveriť.

Výsledné zaradenie zapíšte spolu s dôvodmi, podkladmi a dátumom kontroly. Pri zmene účelu, vstupov či významu výstupu ho prehodnoťte. Nálepka nízke riziko od dodávateľa bez vysvetlenia vám pri vlastnej odlišnej prevádzke nemusí pomôcť.

05Transparentnosť chatbotov a obsahu riešte oddelene

Aktuálne usmernenia Komisie k článku 50 rozlišujú povinnosti poskytovateľov a nasadzujúcich subjektov. Pri priamom kontakte s chatbotom má byť človek informovaný, že komunikuje s AI, ak to nie je z okolností zrejmé. Týka sa to návrhu interakcie, nielen všeobecnej zmienky v podmienkach.

Odlišný režim sa týka strojovo čitateľného označenia syntetických výstupov poskytovateľom. Úzky prechodný termín do 2. decembra 2026 podľa článku 111(4) sa týka tejto povinnosti pri určených starších systémoch. Nie je to spoločný odklad informovania zákazníkov o AI alebo označovania deepfake obsahu.

Pri publikovaní deepfake obrazového, zvukového či videoobsahu posúďte informačnú povinnosť nasadzujúceho subjektu a relevantné výnimky. Pri texte na témy verejného záujmu má článok 50 osobitné pravidlo aj výnimku pri ľudskej alebo redakčnej kontrole s prevzatou redakčnou zodpovednosťou. Nevytvára všeobecnú povinnosť pridať rovnakú nálepku ku každému marketingovému textu.

Prakticky vyskúšajte prvú návštevu chatu na mobile aj zdieľanie obsahu mimo pôvodného webu. Informácia má byť zrozumiteľná v príslušnom použití. Do prevzatia zahrňte, kto spravuje oznámenia, čo sa zachová pri exporte a kto kontroluje zmeny funkcie.

06AI gramotnosť po novele stále potrebuje firemné opatrenia

Nový článok 4 vyžaduje opatrenia na podporu rozvoja AI gramotnosti zamestnancov a ďalších osôb pracujúcich so systémami v mene firmy. Nevyžaduje zaručiť konkrétnu úroveň jednotlivca. Povinnosť firmy preto nezmizla len preto, že Komisia a štáty majú posilnenú úlohu v podpore.

Prispôsobte opatrenia práci. Obchodník potrebuje rozpoznať nespoľahlivú odpoveď a vedieť, čo môže vložiť do nástroja. Personalista musí chápať význam hodnotenia a jeho obmedzenia. Správca potrebuje vedieť, kedy zmena modelu alebo funkcie vyžaduje nové preverenie.

Použite konkrétne situácie a krátke pracovné pravidlá. Nech si tím vyskúša opravu chybného výstupu, nepovolený vstup a odovzdanie problému zodpovednej osobe. Záznam o opatreniach pomáha udržiavať prehľad; univerzálny certifikát bez vzťahu k používaným systémom sám nevyrieši prevádzku.

07Údaje, dodávateľ a dohľad zostávajú samostatnou úlohou

AI Act nenahrádza ochranu osobných údajov. GDPR naďalej vyžaduje príslušný právny základ, primeraný rozsah a zabezpečenie. Pri rozhodovaní o ľuďoch posúďte aj režim automatizovaných rozhodnutí a prípadnú potrebu posúdenia vplyvu. Zaradenie podľa AI Act a posúdenie GDPR sú odlišné kroky.

V podmienkach služby zistite, čo sa deje so vstupmi, kto k nim pristupuje a či sa používajú na ďalšie trénovanie. Preverte uchovávanie, mazanie, ďalších dodávateľov a prípadné prenosy. Dôverné zmluvy a osobné údaje nevkladajte do ľubovoľného účtu len na základe všeobecného tvrdenia o bezpečnosti.

Dohodnite kontrolu kvality aj zlyhania. Kto opraví odpoveď, kto zastaví funkciu a ako človek pokračuje bez AI? Pri zákazníckom asistentovi skúste neznámy produkt, neúplnú otázku a požiadavku mimo jeho právomoci. Výsledkom má byť použiteľný postup, nie iba ukážka správnej odpovede na pripravenú otázku.

08Pripravenosť uzavrite štyrmi overiteľnými krokmi

1. Zmapujte použitie AI. Systémy, účel, údaje, dotknuté osoby a zodpovedný tím.
2. Posúďte rolu, riziko a termíny. Aktuálne znenie práva, podklady dodávateľa a zdôvodnené zaradenie.
3. Dohodnite prevádzkové pravidlá. Vstupy, transparentnosť, kontrola výstupu, gramotnosť a postup pri chybe.
4. Otestujte a zaznamenajte výsledok. Reálny pracovný postup, zlyhanie, zastavenie funkcie a nové preverenie pri zmene.

Najprv dokončite jeden konkrétny systém. Podklady majú umožniť zodpovednému človeku pochopiť použitie, rozhodnúť o spustení a neskôr zmenu preveriť. Ak chýba informácia od dodávateľa, zaznamenajte ju ako nevyriešenú úlohu s termínom. Všeobecná prezentácia o AI Act nenahrádza rozhodnutie o vašej funkcii.

09Časté otázky