Gap analýza AI Act: Jak zjistit, co vám chybí k souladu?

Úvod: Proč je Gap analýza AI Actu klíčová?

Nařízení (EU) 2024/1689, známé jako AI Act, vstoupilo v platnost 1. srpna 2024 a představuje přelomový milník v regulaci umělé inteligence v Evropské unii. Jeho cílem je zajistit bezpečnost, transparentnost a etické používání AI systémů a zároveň podpořit inovace. Pro většinu firem, které AI systémy vyvíjejí, dodávají nebo používají, to znamená nutnost přizpůsobit své interní procesy a zajistit plnou compliance s novými pravidly.

Implementace AI Actu probíhá postupně. Od 2. února 2025 se uplatňují pravidla pro zakázané praktiky (článek 5) a AI gramotnost (článek 4). Další povinnosti nabíhají podle přechodných ustanovení a konkrétní role firmy. Termín proto vždy ověřte pro daný systém a aktuální znění předpisu.

Proaktivní přístup je nezbytný. Gap analýza AI Act je metodika, která firmám pomáhá systematicky porovnat jejich současný stav s požadavky tohoto nařízení. Cílem je identifikovat konkrétní mezery, které je třeba zaplnit, a vytvořit efektivní akční plán pro dosažení plné shody. Bez komplexního hodnocení rizik a auditních procesů hrozí nejen reputační škody, ale i vysoké pokuty.

Krok 1: Důkladná inventura AI systémů ve vaší firmě

Při inventuře je klíčové zaznamenat následující informace pro každý identifikovaný AI systém: jeho účel a funkcionalitu, typ dat, která zpracovává, kdo je jeho poskytovatel a kdo nasazovatel (což může být i vaše firma), a v jakém kontextu je používán. Tento detailní přehled je základem pro další hodnocení a klasifikaci rizik. Bez jasného pochopení, kde a jak se AI ve vaší organizaci uplatňuje, není možné efektivně mapovat povinnosti a identifikovat mezery.

Nezapomeňte zohlednit i AI systémy třetích stran, které integrujete do svých služeb či produktů. I zde mohou vznikat povinnosti pro vaši firmu jako nasazovatele nebo dokonce distributora. Důkladný audit a dokumentace těchto systémů je nezbytná pro transparentnost a budoucí compliance.

Krok 2: Klasifikace rizik a mapování konkrétních povinností

Po inventuře následuje klasifikace rizik. AI Act staví na rizikově orientovaném přístupu, rozlišuje čtyři kategorie: nepřijatelné riziko (Článek 5), vysoké riziko (Příloha III), omezené riziko a minimální riziko. Systémy s nepřijatelným rizikem jsou zakázány a Článek 5 se použije již od 2. února 2025. Jejich porušení je spojeno s nejvyššími sankcemi dle Článku 99 odst. 3, které mohou dosáhnout až 35 milionů EUR nebo 7 % celkového ročního obratu firmy.

Pro vysoce rizikové AI systémy platí nejrozsáhlejší soubor povinností. Patří sem systém řízení rizik, správa dat, technická dokumentace, lidský dohled, posouzení shody a kybernetická bezpečnost. Je klíčové porovnat stávající procesy s požadavky odpovídajícími vaší skutečné roli a konkrétnímu použití systému.

Krok 3: Identifikace mezer a tvorba akčního plánu

Po důkladné inventuře a mapování povinností přichází na řadu samotná identifikace mezer neboli 'gapů'. V této fázi systematicky porovnáváte zjištěný stav vaší firmy s požadavky AI Actu pro každý AI systém. Můžete si vytvořit hodnoticí tabulku, kde pro každý požadavek AI Actu (např. řízení rizik, kvalita dat, lidský dohled, transparentnost) zaznamenáte, zda jej splňujete, částečně splňujete, nebo vůbec nesplňujete.

Mezi nejčastěji identifikované mezery patří nedostatečná AI gramotnost osob zapojených do návrhu, vývoje, provozu a používání AI systémů (což je povinností poskytovatelů a nasazovatelů dle Článku 4 od 2. února 2025), absence interních směrnic pro používání AI, chybějící dokumentace k AI systémům, nedostatečně robustní procesy pro řízení rizik nebo nedostatečné mechanismy pro lidský dohled. Tyto mezery je potřeba jasně formulovat a prioritizovat podle jejich závažnosti a termínu použitelnosti příslušných článků.

Na základě identifikovaných mezer vytvořte detailní akční plán. Každá mezera by měla mít přiřazen konkrétní úkol, odpovědnou osobu, termín dokončení a potřebné zdroje. Tento plán by měl být realistický a proveditelný, s ohledem na stávající kapacity vaší organizace. Pamatujte, že efektivní postup v rámci compliance je kontinuální proces, nikoli jednorázový projekt.

Krok 4: Právní ověření a dlouhodobá compliance

Ačkoliv gap analýza poskytuje robustní technický základ pro pochopení vašich povinností a identifikaci mezer, je nezbytné zdůraznit, že AIshield neposkytuje právní poradenství ani negarantuje plný soulad s AI Actem. Vždy doporučujeme ověřit konkrétní situaci vaší firmy s kvalifikovaným právníkem specializujícím se na regulaci AI. Právní expertiza je klíčová pro interpretaci komplexních ustanovení nařízení a pro minimalizaci právních rizik. Naše technické posouzení slouží jako podklad a doporučení pro další kroky.

Dosažení souladu s AI Actem není jednorázová záležitost. S technologickým rozvojem a postupným náběhem jednotlivých ustanovení je nutné pravidelně revidovat interní procesy, seznam používaných systémů i jejich klasifikaci. Pravidelný audit a monitorování pomáhají zachytit změnu účelu, dodavatele nebo rizikového profilu.

Nepodceňujte včasnou přípravu. Proaktivní přístup k gap analýze a následné implementaci akčního plánu vám umožní minimalizovat rizika, vyhnout se potenciálním vysokým sankcím (například za porušení Článku 26 nebo Článku 50, které mohou dosáhnout 15 milionů EUR nebo 3 % obratu) a posílit důvěru vašich zákazníků a partnerů. Zjistěte, co vám chybí, a začněte jednat ještě dnes. Rádi vám s prvním krokem pomůžeme – získejte rychlý sken připravenosti vašeho webu na AI Act na aishield.cz/scan.

Primární zdroje

• Nařízení Evropského parlamentu a Rady (EU) 2024/1689
• Evropská komise: regulatorní rámec pro AI

Související články

• Co je AI Act?
• Rizikové kategorie AI systémů
• Označení AI obsahu v praxi
• Pokuty za porušení AI Actu