Firmy sa postupne začínajú zžívať s novým európskym nariadením o umelej inteligencii. Akt o AI je nariadenie, ktoré dáva mantinely vývoju a používaniu umelej inteligencie. Rozdelené je podľa miery rizika a platí vo všetkých členských štátoch vrátane Slovenska. Nové povinnosti tak nemajú len firmy, ktoré pracujú na vývoji umelej inteligencie, ale aj tie, ktoré ju denne využívajú.
Aké sú najdôležitejšie zmeny, ktoré akt o AI (AI Act) prináša? V texte sme pripravili praktický právno-biznisový prehľad formou otázok a odpovedí pre firmy, podnikateľov, agentúry, médiá, e-commerce hráčov a manažérov, ktorí už umelú inteligenciu používajú.
Na otázky, čo nariadenie znamená pre firmy, ktoré používajú jazykové modely ako ChatGPT, Gemini či Claude, platformu Midjourney, interné chatboty, automatizované odporúčania, personalizovanú reklamu či AI v zákazníckej komunikácii, odpovedajú odborníci z advokátskej kancelárie Havel & Partners.
Ako konkrétne ovplyvní akt o AI fungovanie firiem, ktoré bežne využívajú nástroje ako ChatGPT či Midjourney?
Štěpán Štarha, partner v advokátskej kancelárii Havel & Partners: AI Act je v podstate nová ústava pre umelú inteligenciu v Európe. Netýka sa pritom len technologických gigantov, ale aj bežných firiem, ktoré umelú inteligenciu používajú v každodennom biznise. Pre spoločnosti, ktoré využívajú ChatGPT na texty alebo Midjourney na vizuály, to v praxi znamená najmä dve veci. V prvom rade by mali mať prehľad o tom, aké dáta do týchto nástrojov vstupujú a čo sa následne deje s ich výstupmi. Citlivé informácie, osobné údaje či obchodné tajomstvo by nemali nekontrolovane opúšťať firmu.
Rovnako dôležité je poznať podmienky používania konkrétneho nástroja. Niektoré služby si totiž vyhradzujú právo výstupy ďalej využívať alebo ich používať pri trénovaní svojich modelov. To môže mať významné dôsledky z pohľadu ochrany duševného vlastníctva aj GDPR.
Akt o AI v skratke
V akte o umelej inteligencii sa vymedzujú štyri úrovne rizika pre systémy umelej inteligencie. Na spodnej časti pyramídy sú tie s minimálnym rizikom, nasleduje riziko transparentnosti, vysoké riziko a najvyššie v pyramíde je takzvané neprijateľné riziko. Zákazy a povinnosti vyplývajúce z európskeho nariadenia AI Act sa zavádzajú postupne. Od februára 2025 napríklad platí povinnosť gramotnosti v oblasti umelej inteligencie. Ide o povinnosti zamestnávateľa a týka sa najväčšieho počtu firiem.
Začiatkom augusta 2026 zasa začali platiť povinnosti transparentnosti. Sem patrí napríklad to, že používateľ musí vedieť, že komunikuje s AI a obsah vytvorený umelou inteligenciou vrátane deepfake musí byť označený. Povinnosti pre vysokorizikové systémy, kam sa radia tie, ktoré môžu predstavovať vážne riziká pre zdravie, bezpečnosť alebo základné práva, sa posunuli na december 2027.
V akte o AI sa zakazuje deväť praktík, ktoré sa vzťahujú na najvyššiu úroveň neprijateľného rizika. Je medzi nimi napríklad sociálne bodovanie, rozpoznávanie emócií na pracoviskách a vo vzdelávacích inštitúciách či „systémy umelej inteligencie, ktoré vytvárajú sexuálne explicitný a intímny obsah alebo materiál obsahujúci sexuálne zneužívanie detí bez súhlasu, ako sú aplikácie na ‚nudizáciu‘ umelej inteligencie.“ Drvivá väčšina zákazov už nadobudla účinnosť vo februári 2025.
V ktorých špecifických prípadoch musí firma priznať, že obsah vytvorila umelá inteligencia?
Róbert Gašparovič, vedúci advokát z advokátskej kancelárie HAVEL & PARTNERS: Nie každý obsah vytvorený pomocou AI musí automaticky niesť označenie, že za ním stojí umelá inteligencia. Povinnosť informovať sa týka najmä situácií, v ktorých môže byť pre človeka dôležité vedieť, že komunikuje s AI alebo že obsah nie je autentický. Typickým príkladom sú chatboty komunikujúce s ľuďmi, systémy rozpoznávajúce emócie alebo deepfake obsah, ktorý pôsobí ako autentický. Pri textoch venovaných témam verejného záujmu sa povinnosť označenia uplatní vtedy, ak obsah neprešiel riadnou ľudskou redakčnou kontrolou.
Aké sú pre firmy sankcie za nedodržanie aktu o AI?
Štěpán Štarha: AI Act počíta s veľmi vysokými sankciami. Pri najzávažnejších porušeniach, napríklad pri používaní zakázaných praktík, môže pokuta dosiahnuť až 35 miliónov eur alebo 7 percent celosvetového ročného obratu. Pri ďalších porušeniach sa sankcie spravidla pohybujú do výšky 15 miliónov eur alebo troch percent obratu. Pre malé a stredné podniky či startupy pritom platí miernejší režim a uplatňuje sa nižšia z oboch súm.
Ako nové pravidlá ovplyvnia napríklad e-shopy, ktoré používajú AI na automatizované odporúčania produktov a personalizovanú reklamu?
Róbert Gašparovič: Bežné odporúčanie produktov či personalizácia ponuky spravidla nepatria medzi vysokorizikové použitia umelej inteligencie podľa AI Actu. E-shopy si však musia dávať pozor na to, aby personalizácia neprekročila hranicu a nestala sa manipulatívnou alebo zavádzajúcou.
Prísnejší režim prichádza do úvahy napríklad vtedy, keď AI rozhoduje o úverovej bonite zákazníka pri nákupe na splátky. Zároveň netreba zabúdať ani na GDPR a pravidlá týkajúce sa profilovania a automatizovaného rozhodovania.
Na čo si musia dať pozor firmy pri implementácii umelej inteligencie do zákazníckej podpory, napríklad pri využívaní interných chatbotov?
Štěpán Štarha: Zákazník musí vedieť, že komunikuje s AI, ak to nie je zjavné samo osebe. Táto povinnosť platí pre každého, kto takýto chatbot prevádzkuje. Pre firmu je však rovnako dôležité postrážiť si, aké dáta do chatbotu posiela a či systém negeneruje nepresné alebo zavádzajúce odpovede. Pri interných chatbotoch je potom kľúčová najmä bezpečnosť a dôvernosť, teda ochrana osobných údajov, obchodného tajomstva či firemného know-how.
Ako nové pravidlá ovplyvnia využívanie syntetického obsahu, ako sú hlasové klony, deepfake videá či virtuálni influenceri v reklamných kampaniach?
Róbert Gašparovič: Pri hlasových klonoch alebo deepfake videách, ktoré pôsobia autenticky, bude spravidla potrebné jasne uviesť, že ide o obsah vytvorený alebo upravený pomocou umelej inteligencie. Táto povinnosť sa vzťahuje na subjekt, ktorý takýto obsah používa – napríklad na agentúru alebo zadávateľa reklamnej kampane. Pri virtuálnych influenceroch treba okrem pravidiel AI Actu myslieť aj na transparentnosť reklamy a prípadné práva osôb, ktoré sú v kampani zobrazované alebo napodobňované.
Kto je z pohľadu aktuálneho práva skutočným majiteľom, držiteľom autorských práv, textu z ChatGPT alebo vizuálu z Midjourney?
Róbert Gašparovič: Autorské právo je stále postavené na ľudskej tvorivosti. Pri výstupe, ktorý vytvorila AI úplne automaticky, preto môže byť otázne, či vôbec vznikne autorskoprávna ochrana. Takýto výstup môže zostať nechránený a jeho ďalšie používanie môže byť výrazne voľnejšie. Čím väčší je však tvorivý zásah človeka – napríklad pri iteratívnom vedení výstupu, výbere z viacerých variantov alebo následnej postprodukcii –, tým väčšia je šanca, že aspoň táto ľudská tvorivá časť bude chránená. Výsledok preto nie je vždy jednoznačný a judikatúra v tejto oblasti zatiaľ nie je ustálená.
Akým praktickým a finančným rizikám sa vystavuje značka, ak jej agentúra odovzdá kampaň postavenú výhradne na nezmenených výstupoch umelej inteligencie?
Štěpán Štarha: Pre majiteľa značky je najväčším rizikom, že dostane do rúk výstup so slabou alebo dokonca žiadnou autorskoprávnou ochranou. Ak navyše nástroj AI svoje výstupy zverejňuje vo verejných galériách, môže sa stať, že rovnaký alebo veľmi podobný vizuál použije aj konkurencia. Ďalším rizikom je zásah do práv tretích osôb – napríklad ak sa výstup príliš podobá existujúcemu dielu, hlasu alebo identite konkrétnej osoby. Problémom môžu byť aj nepresné tvrdenia v obsahu či následná reputačná škoda, najmä ak agentúra majiteľa značky na tieto limity a riziká vopred neupozornila.
Čo presne znamená fenomén shadow AI a prečo je pre manažment firiem také ťažké ho kontrolovať?
Štěpán Štarha: Shadow AI označuje situáciu, keď zamestnanci používajú neautorizované nástroje umelej inteligencie bez vedomia alebo súhlasu firmy – napríklad vlastný účet v ChatGPT. Problém je v tom, že tieto nástroje sú mimoriadne ľahko dostupné a nevyžadujú žiadnu technickú integráciu. Manažment preto často ani nevie, že ich zamestnanci používajú. Firma tak stráca prehľad o tom, aké dáta sa do nástrojov AI dostávajú, aké riziká tým vznikajú a či dokáže preukázať súlad so svojimi právnymi povinnosťami.
Aké konkrétne bezpečnostné hrozby vznikajú, keď zamestnanci nahrávajú interné dokumenty, obchodné stratégie alebo klientske dáta do voľne dostupných nástrojov umelej inteligencie?
Štěpán Štarha: Najväčším rizikom je únik citlivých informácií mimo firmy vrátane osobných údajov, obchodného tajomstva alebo zmluvných informácií o klientoch. Napríklad ak zamestnanci nahrajú citlivé dokumenty a informácie do neplatenej verzie ChatGPT a tá sa následne na týchto dátach ďalej učí, môže obchodné tajomstvo či citlivé informácie poskytnúť ako radu konkurencii. To môže viesť k porušeniu GDPR, zmluvnej zodpovednosti voči klientom aj strate dôvery. Riziko teda nie je iba reputačné. Môže mať veľmi konkrétne regulačné, právne aj obchodné dôsledky.
