AI Act a smlouvy s dodavateli: Co musí obsahovat pro AI Act compliance

Proč je revize smluv s dodavateli klíčová pro AI Act compliance?

Digitální transformace a nástup umělé inteligence (AI) přináší firmám nebývalé příležitosti, ale s nimi i nové výzvy, zejména v oblasti regulace. Evropská unie se stala průkopníkem v této oblasti s přijetím Nařízení o umělé inteligenci (EU AI Act, Nařízení 2024/1689), které zásadně mění pravidla hry pro vývoj, zavádění a používání AI systémů. Pokud vaše organizace plánuje integrovat AI řešení od externího dodavatele, je nezbytné si uvědomit, že AI Act se vás týká a s ním i revize stávajících a budoucích smluvních vztahů.

AI Act klade důraz na odpovědnost a transparentnost v celém životním cyklu AI systému. Již nejde pouze o technickou specifikaci nebo cenu. Nyní musíte zajistit, že AI systém, který kupujete, je v souladu s novými právními předpisy. To znamená, že jako 'zavádějící' (deployer) nebo dokonce potenciální 'dovozce' či 'distributor' AI systému můžete nést značné povinnosti a rizika, pokud dodavatel nesplní své závazky. Pokuty za nedodržení AI Act mohou být astronomické, proto je proaktivní přístup ke smlouvám s dodavateli naprosto klíčový.

Cílem tohoto článku je poskytnout vám praktický přehled toho, co byste měli zohlednit při tvorbě nebo revizi smluv s dodavateli AI systémů. Zaměříme se na klíčové klauzule, distribuci odpovědnosti a zajištění kvality a shody s AI Act, aby vaše investice do AI byla nejen efektivní, ale i právně bezpečná.

Základní klauzule, které nesmí chybět v každé smlouvě na AI

Každá smlouva o dodávce AI systému by měla začít jasným vymezením pojmů a rolí, aby se předešlo nedorozuměním. Je nezbytné definovat, co je 'AI systém' dle čl. 3 bod 1 AI Act, a zda se jedná o 'vysokorizikový AI systém' podle čl. 6 a Přílohy III. Toto určení má zásadní dopad na rozsah povinností obou stran. Dále je klíčové jasně stanovit, kdo je 'poskytovatel' (provider) a kdo 'zavádějící' (deployer), případně 'dovozce' či 'distributor', a jaké povinnosti z těchto rolí plynou podle AI Act.

Nesmírně důležitá je klauzule o souladu s AI Act. Dodavatel by se měl smluvně zavázat, že dodávaný AI systém splňuje všechny relevantní požadavky AI Act, zejména ty pro vysokorizikové systémy (čl. 8-15). To zahrnuje požadavky na systémy řízení rizik, správu dat a datových souborů (čl. 10), transparentnost a poskytování informací uživatelům (čl. 13), lidský dohled (čl. 14) a robustnost, přesnost a kybernetickou bezpečnost (čl. 15). Bez tohoto závazku se vystavujete značnému riziku, že budete muset řešit nesoulad na vlastní náklady.

Další zásadní součástí jsou ustanovení o dokumentaci a transparentnosti. AI Act vyžaduje rozsáhlou technickou dokumentaci (Příloha IV), která musí být aktualizovaná a dostupná. Vaše smlouva musí zajistit, že dodavatel tuto dokumentaci poskytne včas a v požadovaném rozsahu. Měla by také obsahovat závazek dodavatele poskytovat jasné a srozumitelné návody k použití a informace o funkcích, omezeních a rizicích AI systému, jak vyžaduje čl. 13 AI Act. Tyto informace jsou klíčové pro správné a bezpečné zavádění a používání AI systému.

Smluvní aspekty pro řízení rizik a odpovědnosti

Vzhledem k potenciálním rizikům spojeným s AI systémy, zejména těmi vysokorizikovými, je nezbytné detailně upravit otázky odpovědnosti. Smlouva musí jasně stanovit, kdo nese odpovědnost v případě, že AI systém způsobí škodu nebo selže při plnění požadavků AI Act. Měla by obsahovat ustanovení o odškodnění (indemnizaci) pro případ, že vás jako zavádějícího postihne pokuta nebo jiná sankce kvůli nesouladu AI systému, za který je odpovědný dodavatel. Dále by měla specifikovat, kdo nese náklady na nápravu a úpravy systému k dosažení compliance.

Kvalita dat a jejich správa jsou základním kamenem spolehlivosti AI systému. Smlouva by měla obsahovat klauzule týkající se kvality, integrity a správy datových souborů používaných k tréninku, validaci a testování AI systému (čl. 10). Měla by specifikovat standardy, které musí data splňovat, a jaké záruky dodavatel poskytuje ohledně jejich bezchybnosti a relevanci. Dále je důležité zajistit, aby dodavatel dodržoval zásady ochrany osobních údajů (GDPR) a kybernetické bezpečnosti (čl. 15), které jsou pro AI systémy klíčové.

Dohled nad AI systémem je dalším kritickým bodem. AI Act požaduje, aby vysokorizikové AI systémy podléhaly lidskému dohledu (čl. 14). Smlouva by měla specifikovat, jak dodavatel zajistí možnost efektivního lidského dohledu – například prostřednictvím jasného uživatelského rozhraní, možnosti manuálního přerušení nebo přepisu rozhodnutí AI. Dále je nezbytné definovat Service Level Agreement (SLA), které stanoví výkonnostní metriky AI systému, jako je přesnost, robustnost a dostupnost, a co se stane v případě nedodržení těchto parametrů. SLA by měla reflektovat požadavky na přesnost a spolehlivost dle čl. 15 AI Act a jasně definovat postupy pro hlášení a řešení chyb nebo incidentů.

Audit, monitoring a ukončení smluvního vztahu

Pro zajištění kontinuální shody s AI Act je důležité mít ve smlouvě zakotveno právo na audit. To vám umožní pravidelně ověřovat, zda dodavatel stále dodržuje smluvní podmínky a požadavky AI Act, včetně aktualizací systému a dokumentace. Audity mohou být technické, právní nebo zaměřené na procesy. Smlouva by měla specifikovat frekvenci, rozsah a podmínky těchto auditů, včetně přístupu k relevantním záznamům a personálu dodavatele.

Monitoring výkonu a bezpečnosti AI systému je rovněž nezbytný. Smlouva by měla obsahovat ustanovení o reportování incidentů. Dodavatel musí mít povinnost bezodkladně hlásit jakékoli vážné incidenty, poruchy nebo porušení AI Act, které by mohly ovlivnit bezpečnost nebo základní práva uživatelů (čl. 62). Dále by měla smlouva definovat procesy pro pravidelné aktualizace a údržbu AI systému, aby byla zajištěna jeho kontinuální shoda s AI Act i po jeho nasazení (čl. 19).

Podmínky pro ukončení smlouvy by měly být jasně definovány. Měla by existovat možnost ukončení smlouvy v případě závažného porušení AI Act nebo smluvních povinností ze strany dodavatele, například při opakovaném nedodržení SLA nebo neschopnosti zajistit compliance. Dále je vhodné zvážit požadavek na pojištění odpovědnosti dodavatele, které by krylo potenciální škody nebo sankce vyplývající z porušení AI Act. Toto pojištění poskytuje dodatečnou vrstvu ochrany pro vaši organizaci.

Doporučené kroky a závěr: Buďte proaktivní v AI Act compliance

Integrace AI řešení do vašich procesů je strategické rozhodnutí, které však vyžaduje pečlivou právní a technickou přípravu. Před podpisem jakékoli smlouvy s dodavatelem AI systémů je nezbytné provést důkladnou due diligence. Zjistěte si, jaké zkušenosti má dodavatel s AI Act, jaké má interní procesy pro zajištění compliance a jak transparentně komunikuje o svém AI systému. Pokud kupujete vysokorizikový systém, měli byste sami provést posouzení dopadu na základní práva (Fundamental Rights Impact Assessment) a zajistit, že dodavatel poskytne veškeré podklady pro jeho provedení.

Vzhledem ke složitosti a novosti AI Act doporučujeme vždy konzultovat smlouvy s právními experty, kteří se specializují na tuto oblast. Správně nastavené smlouvy s dodavateli jsou vaší první a nejdůležitější obrannou linií proti potenciálním rizikům a sankcím spojeným s AI Act. Pamatujte, že proaktivní přístup k AI Act compliance nejen snižuje právní rizika, ale také buduje důvěru u vašich zákazníků a partnerů.

AI Act je realitou a ovlivňuje každého, kdo s AI pracuje. Zajištění shody s novými předpisy je investicí do budoucnosti vaší firmy. Nenechte nic náhodě a ujistěte se, že vaše smlouvy s dodavateli jsou připraveny na tuto novou éru regulace. Chcete zjistit, jak je váš web připraven na AI Act a další regulace? Nechte si ho zkontrolovat naším nástrojem! Navštivte aishield.cz/scan a získejte okamžitý přehled o potenciálních rizicích.

Související články

• Zjistěte více o rizikových kategoriích AI systémů
• Přečtěte si o pokutách za nedodržení AI Act