Řízení rizik pro AI: Co vyžaduje článek 9 AI Actu

31. srpna 2026 • 8 min čtení

Na které systémy se článek 9 vztahuje

Článek 9 nařízení (EU) 2024/1689 vyžaduje systém řízení rizik ve vztahu k vysoce rizikovým AI systémům. Nejde o obecnou povinnost pro každý software využívající umělou inteligenci. Nejprve je nutné ověřit klasifikaci podle článku 6, přílohy I a přílohy III a zohlednit zamýšlený účel systému.

Za zajištění souladu vysoce rizikového systému s požadavky oddílu 2 odpovídá poskytovatel. Systém řízení rizik proto není jen provozní tabulka nasazovatele, ale součást návrhu, vývoje, dokumentace a údržby produktu po celý jeho životní cyklus.

Kontinuální a iterativní proces

Řízení rizik musí být plánované, průběžné a pravidelně aktualizované. Článek 9 požaduje identifikovat a analyzovat známá i rozumně předvídatelná rizika pro zdraví, bezpečnost a základní práva při zamýšleném použití systému.

Proces zahrnuje také odhad a hodnocení rizik při rozumně předvídatelném nesprávném použití. Další rizika se mají vyhodnocovat podle dat z monitorování po uvedení na trh podle článku 72. Výsledkem mají být cílená opatření odpovídající zjištěným rizikům.

Jak volit opatření a posuzovat zbytkové riziko

První volbou je riziko odstranit nebo technicky omezit vhodným návrhem a vývojem systému. Rizika, která nelze odstranit, mají pokrýt přiměřená kontrolní a zmírňující opatření. Poskytovatel současně poskytuje informace podle článku 13 a tam, kde je to vhodné, školení nasazovatelům.

Zbytkové riziko jednotlivých nebezpečí i systému jako celku musí být posouzeno jako přijatelné. Při výběru opatření se zohledňují znalosti, zkušenosti a školení, které lze očekávat od nasazovatele, i prostředí, ve kterém má být systém používán.

Článek 9 se soustředí na rizika, která lze rozumně omezit nebo odstranit vývojem, návrhem nebo poskytnutím odpovídajících technických informací. To pomáhá udržet proces zaměřený na konkrétní vlastnosti a použití daného systému.

Testování a citlivé skupiny

Vysoce rizikový systém musí být testován za účelem výběru vhodných a cílených opatření. Testování má ověřit, že systém funguje konzistentně pro zamýšlený účel a splňuje požadavky příslušného oddílu AI Actu.

Testy se podle potřeby provádějí během vývoje a vždy před uvedením systému na trh nebo do provozu. Mají vycházet z předem definovaných metrik a pravděpodobnostních prahů odpovídajících zamýšlenému účelu. Poskytovatel má rovněž posoudit možné nepříznivé dopady na osoby mladší 18 let a podle okolností na další zranitelné skupiny.

Role poskytovatele a nasazovatele

Častou chybou je přenést celý článek 9 na firmu, která hotový systém pouze používá. Povinnost navrhnout a udržovat systém řízení rizik je součástí odpovědnosti poskytovatele vysoce rizikového systému. Poskytovatel může proces spojit s jiným systémem řízení rizik požadovaným právem EU, pokud zachová požadovanou úroveň ochrany.

Nasazovatel má jiné, ale navazující povinnosti podle článku 26. Musí systém používat podle návodu, sledovat jeho provoz a předávat relevantní informace, pokud zjistí riziko nebo závažný incident. Dobrá spolupráce mezi poskytovatelem a nasazovatelem proto zlepšuje data pro průběžnou aktualizaci rizik.

Praktický postup

Začněte přesným popisem zamýšleného účelu, předvídatelného nesprávného použití a dotčených osob. Ke každému riziku evidujte příčinu, pravděpodobnost, závažnost, zvolené opatření, vlastníka kroku a výsledek testu. Zvlášť sledujte rizika pro základní práva a skupiny, na které může systém působit odlišně.

Proces pravidelně aktualizujte podle změn systému, nových dat z provozu a výsledků monitorování po uvedení na trh. Dokumentace má ukázat nejen seznam rizik, ale i důvod, proč byla konkrétní opatření zvolena a proč je výsledné zbytkové riziko přijatelné.