Regulace umělé inteligence v EU a nezbytná opatření pro japonské podniky

Dne 12. července 2024 byl v EU vyhlášen „Zákon o regulaci umělé inteligence (EU AI Act)“, který nabyl účinnosti 1. srpna téhož roku.
Tento zákon reguluje používání a poskytování systémů umělé inteligence v rámci EU a od roku 2025 bude vyžadovat určité kroky i od japonských společností.

Specificky to znamená, že podobně jako provozovatelé e-commerce webů v Japonsku musí dodržovat „Obecné nařízení o ochraně osobních údajů (GDPR)“ EU, i japonské společnosti poskytující produkty nebo služby související s umělou inteligencí zákazníkům v EU mohou podléhat aplikaci zákona o regulaci umělé inteligence EU.

Zde vysvětlíme, jaké kroky jsou požadovány od příslušných podnikatelů v souvislosti s nabytím účinnosti tohoto zákona, včetně klasifikace rizik systémů umělé inteligence a hodnocení jejich shody s regulacemi.

Předpoklad: Rozdíl mezi “nařízením” a “směrnicí” v právu EU

Před vysvětlením samotného zákona o regulaci AI je nutné pochopit rozdíl mezi “nařízením” a “směrnicí” v právu EU.

Za prvé, “nařízení” je legislativní akt, který se přímo aplikuje na členské státy, podniky a další subjekty v rámci EU. To znamená, že má přednost před vnitrostátními právními předpisy členských států a v celé EU se tak uplatňují jednotná pravidla. Když nařízení nabude účinnosti, v členských státech EU se tedy uplatní stejný regulační obsah.

Na druhé straně, “směrnice” je legislativní akt, jehož cílem je koordinace a sjednocení regulačního obsahu mezi členskými státy EU. Směrnice však nejsou přímo aplikovatelné na členské státy, ale vyžadují, aby každý stát převedl obsah směrnice do svého vnitrostátního práva. Obvykle musí být vnitrostátní právní předpisy vytvořeny nebo revidovány do tří let od publikace směrnice v Úředním věstníku EU.

Jednou z charakteristik “směrnice” je, že při převodu do vnitrostátního práva je členským státům přiznána určitá diskreční pravomoc, což znamená, že obsah právních předpisů se může mezi jednotlivými státy lišit. Jinými slovy, je třeba si uvědomit, že právní předpisy založené na “směrnici” nejsou v rámci EU zcela sjednocené a mohou se mezi státy vyskytovat drobné rozdíly.

V tomto kontextu byl zákon o regulaci AI přijat jako “nařízení”. To znamená, že zákon o regulaci AI se přímo vztahuje na podniky nacházející se v rámci EU.

Související článek: Podnikání v Evropě: Klíčové body práva a právního systému EU[ja]

Regulace umělé inteligence a její extrateritoriální aplikace v Japonsku

Co znamená extrateritoriální aplikace

Termín “extrateritoriální aplikace” označuje situaci, kdy zákony vydané v jedné zemi jsou aplikovány i na činy, které se odehrávají mimo suverénní území této země. Základem pro uznání extrateritoriální aplikace je globalizace ekonomiky a internacionalizace podnikání, s cílem zajistit spravedlivé a řádné provádění světových ekonomických aktivit.

GDPR (Obecné nařízení o ochraně osobních údajů EU) je příkladem, který široce zpopularizoval koncept extrateritoriální aplikace. GDPR se může vztahovat i na podnikatele, kteří nemají základnu v EU, pokud splňují následující kritéria (extrateritoriální aplikace):

• Poskytování služeb nebo zboží osobám v EU.
• Zpracování osobních údajů s cílem sledovat chování osob v EU.

Například, v případě, že podnik mimo EU vysílá své zaměstnance na služební cestu do EU a během této doby zpracovává související osobní údaje, bylo v roce 2020 (2020) v pokynech uvedeno, že se GDPR nevztahuje, ačkoli původně byla extrateritoriální aplikace diskutována.

Extrateritoriální aplikace zákona o regulaci AI v Japonsku

I v případě zákona o regulaci AI EU je extrateritoriální aplikace uznávána pro podnikatele nacházející se mimo EU. Následující podnikatelé a aktivity jsou předmětem regulace:

• Poskytovatelé (Providers): Ti, kteří vyvíjejí AI systémy nebo GPAI modely, nebo ti, kteří nechávají vyvíjet AI systémy nebo GPAI modely a uvádějí je na trh, nebo ti, kteří spouštějí AI systémy pod svým jménem nebo obchodní značkou.
• Uživatelé (Users): Ti, kteří používají AI systémy pod svou autoritou (s výjimkou osob, které používají AI systémy pro osobní a nekomerční aktivity).
• Dovozci (Importers): Dovozci se sídlem nebo založení v EU, kteří uvádějí na trh EU AI systémy označené jménem nebo obchodní značkou fyzické nebo právnické osoby založené mimo EU.
• Distributori (distributers): Fyzické nebo právnické osoby, které jsou součástí dodavatelského řetězce a poskytují AI systémy na trh EU, a to mimo poskytovatele a dovozce.

Jak je uvedeno výše, i podnikatelé nacházející se mimo EU mohou být přímo podřízeni zákonu o regulaci AI EU, pokud provádějí dodávky, provoz, dovoz nebo používání AI systémů nebo GPAI modelů v EU.

Charakteristiky regulace umělé inteligence v EU: Přístup založený na riziku

Co je to rizikově založený přístup

Jednou z nejvýraznějších rysů EU AI Regulation (2021) je “regulace odpovídající obsahu a stupni rizika” (rizikově založený přístup).

“Rizikově založený přístup” označuje metodu, která upravuje intenzitu regulace na základě obsahu a stupně rizika. Tento přístup určuje přísnost regulace systémů AI podle závažnosti rizik, která mohou tyto systémy představovat.

Konkrétně, systémy AI s vysokým rizikem podléhají přísnější regulaci, zatímco systémy s nižším rizikem jsou regulovány méně striktně. Tímto způsobem se vyhýbáme nadměrné regulaci systémů s nízkým rizikem a naopak zajišťujeme adekvátní dohled a správu systémů s vysokým rizikem.

AI systémy s nepřijatelným rizikem podle japonského práva

AI systémy, které jsou považovány za nepřijatelné riziko, jsou obecně považovány za hrozbu pro lidi a jsou v zásadě zakázány.

Například AI systémy, které manipulují s poznáním nebo chováním uživatelů ze zvláště zranitelných skupin, jako jsou hračky s hlasovým ovládáním, které podporují nebezpečné chování dětí, spadají do této kategorie. Dále jsou zakázány systémy sociálního skórování, které lidi klasifikují na základě chování, socioekonomického postavení nebo osobních charakteristik. Také systémy pro ‘reálné a vzdálené biometrické ověřování’, které využívají technologie jako rozpoznávání obličeje a porovnávají biometrická data člověka s referenční databází pro identifikaci osoby na dálku, jsou v zásadě zakázány.

Existují však výjimky, kdy je použití těchto systémů povoleno. Konkrétně je použití systémů pro reálné vzdálené biometrické ověřování povoleno pouze v omezeném počtu závažných případů. Na druhou stranu, systémy pro biometrické ověřování po události mohou být povoleny pouze s předchozím souhlasem soudu za účelem stíhání závažných trestných činů.

Další výjimky, kdy je možné systémy použít, zahrnují hledání osob, které mohou být oběťmi trestných činů, jako jsou pohřešované děti, předcházení konkrétním a bezprostředním hrozbám pro lidský život nebo tělesnou bezpečnost nebo teroristickým útokům, a detekci pachatelů nebo podezřelých z vážných trestných činů a určení jejich polohy. Pro tyto výjimky platí přísná omezení, včetně zásady předchozího soudního povolení, a vyžaduje se opatrné používání AI systémů.

Vysokorizikové AI systémy podle japonského práva

Dále jsou systémy umělé inteligence (AI) klasifikovány jako vysokorizikové, pokud mohou mít negativní dopad na bezpečnost nebo základní lidská práva. Tyto systémy mohou být používány, pokud splňují určité požadavky a povinnosti (hodnocení shody).

Vysokorizikové AI systémy jsou rozděleny do dvou hlavních kategorií. První kategorie zahrnuje AI systémy používané ve výrobcích, které spadají pod právní předpisy EU o bezpečnosti výrobků, jako jsou hračky, letadla, automobily, zdravotnické přístroje a výtahy. Druhá kategorie zahrnuje AI systémy, které jsou povinně registrovány v databázích EU a patří do specifických oblastí. Tyto oblasti zahrnují správu a provoz kritické infrastruktury, vzdělávání a odbornou přípravu, zaměstnání a správu pracovních sil, přístup k nezbytným veřejným službám a výhodám, vymáhání práva, imigraci a azyl, správu hranic a podporu interpretace a aplikace práva.

U vysokorizikových AI systémů se vyžaduje hodnocení před uvedením na trh i během celého životního cyklu. Navíc je uznáno právo podat stížnost na AI systém u určených národních orgánů.

Obecně řečeno, zařízení a vozidla, která jsou základem pro zajištění bezpečnosti lidského života a tělesného zdraví, spadají do kategorie vysokorizikových AI. Například AI pro autonomní řízení vozidel může být také považováno za vysokorizikové, a proto je požadováno, aby japonské společnosti vyvíjející AI pro autonomní řízení pečlivě zvážily, zda splňují požadavky pro vysokorizikové AI, a aby se na tuto skutečnost náležitě připravily při expanzi na zahraniční trhy.

AI systémy s omezeným rizikem

Co se týče AI systémů s omezeným rizikem, předpokládají se rizika spojená s transparentností, zosobněním, manipulací a podvody. Konkrétně se jedná o chatboty, deepfake a generativní AI, které podle názoru Evropského parlamentu spadají do této kategorie a tvoří většinu AI systémů v současné době používaných. Příklady zahrnují automatické překladové systémy, herní konzole, roboty provádějící opakované výrobní procesy a dokonce i AI systémy typu “Eureka Machine”.

U generativního AI, ačkoli není klasifikováno jako vysoce rizikové, jsou požadovány transparentnost a dodržování právních předpisů EU o autorských právech. Konkrétně je nutné provést následující kroky:

• Jasně uvést, že obsah byl vygenerován AI
• Navrhnout model tak, aby negeneroval nelegální obsah
• Zveřejnit přehled o autorsky chráněných datech použitých při trénování AI

Dále, u pokročilých a vlivných obecných AI modelů, jako je “GPT-4”, které mohou přinést systémová rizika, je vyžadováno důkladné hodnocení. V případě výskytu vážných incidentů je navíc stanovena povinnost hlášení Evropské komisi. Kromě toho, obsah vytvořený nebo upravený pomocí AI (obrázky, zvukové záznamy, video soubory, deepfake atd.) musí být jasně označen jako vygenerovaný AI, aby uživatelé mohli tento obsah správně identifikovat.

AI systémy s minimálním rizikem

V neposlední řadě, u AI systémů s minimálním rizikem nejsou stanoveny žádné zvláštní regulace. Jako příklady lze uvést spamové filtry nebo doporučovací systémy. V této kategorii se místo regulací podporuje vytváření a dodržování chování podle etických kodexů.

Požadavky a povinnosti pro systémy s vysokým rizikem AI podle japonského práva

Povinnosti poskytovatelů, uživatelů, dovozců a distributorů

Na základě výše uvedeného rozlišení jsou systémy s vysokým rizikem AI vzhledem k závažnosti jejich rizik podrobeny zvláště přísným regulacím, a poskytovatelům i uživatelům jsou kladeny konkrétní povinnosti.

Za prvé, poskytovatelé, uživatelé, dovozci a distributoři jsou povinni vytvořit systém řízení rizik (článek 9). To znamená, že musí identifikovat rizika inherentní vysokorizikovým AI systémům, správně je řídit a navíc systém dokumentovat a udržovat. Co se týče správy dat (článek 10), je vyžadováno používání datových sad pro učení, ověřování a testování, které splňují standardy kvality. To je nezbytné, protože kvalita a spolehlivost dat musí být přísně řízena již ve fázi vývoje AI systému.

Dále je vyžadováno vytvoření technické dokumentace (článek 11). Tato technická dokumentace musí obsahovat informace potřebné k prokázání, že vysokorizikový AI systém splňuje regulační požadavky, a musí být připravena tak, aby byla k dispozici příslušným orgánům členských států nebo třetím stranám pro certifikaci. Navíc je nutné navrhnout a vyvinout funkci logování, která automaticky zaznamenává události během provozu AI systému (článek 12). Vysokorizikové AI systémy jsou také povinně registrovány v databázi pod správou EU před uvedením na trh, a poskytovatelé mají odpovědnost za zavedení a udržování systému řízení kvality a jeho dokumentaci.

Povinnosti poskytovatele

Poskytovatelé jsou povinni uchovávat technickou dokumentaci, dokumenty týkající se systému řízení kvality, schválení nebo rozhodnutí třetích stran pro certifikaci a další související dokumenty po dobu 10 let od uvedení na trh nebo zahájení provozu a na vyžádání je předkládat příslušným domácím úřadům. Poskytovatelé tak mají odpovědnost za dlouhodobé udržení kvality a bezpečnosti AI systému a za zajištění transparentnosti.

Povinnosti uživatele

Na druhé straně jsou na uživatele kladeny konkrétní povinnosti spojené s používáním vysokorizikových AI systémů. Uživatelé jsou povinni uchovávat logy automaticky generované vysokorizikovým AI systémem po dobu, která je vhodná vzhledem k zamýšlenému účelu tohoto AI systému, pokud není v právu EU nebo právu členského státu stanoveno jinak. Konkrétně je vyžadováno uchování alespoň po dobu šesti měsíců.

Kromě toho, pokud zaměstnavatel, který je uživatelem, zahájí provoz nebo používání vysokorizikového AI systému na pracovišti, je povinen předem informovat zástupce zaměstnanců a zaměstnance, kteří budou ovlivněni, o používání tohoto systému. To je stanoveno z hlediska ochrany práv pracovníků a zajištění transparentnosti.

Takto jsou na poskytovatele i uživatele kladeny přísné požadavky a povinnosti v souvislosti s vysokorizikovými AI systémy. Zvláště při manipulaci s pokročilými AI technologiemi, jako jsou zdravotnické přístroje nebo systémy autonomního řízení, může být vyžadováno provádění hodnocení shody a revize třetími stranami pro certifikaci, a to i s ohledem na soulad s existujícími regulačními rámci, což vyžaduje, aby podnikatelé jednali opatrně a plánovitě.

Postupné zavádění zákona o regulaci AI v Japonsku

EU zákon o regulaci AI stanovuje harmonogram postupného zavádění od jeho vyhlášení až po aplikaci. To vyžaduje, aby podnikatelé připravili a přizpůsobili se každé fázi.

12. července 2024 (2024) byl zákon o regulaci AI publikován ve státním věstníku a následně 1. srpna 2024 (2024) vstoupil v platnost. V této fázi se od podnikatelů vyžaduje, aby se nejprve seznámili s obsahem regulace a zvážili její důsledky.

2. února 2025 (2025) začnou platit ustanovení o “obecných zásadách” a “AI systémech s nepřijatelným rizikem”. Pokud podnikatelé používají AI systémy s nepřijatelným rizikem, musí okamžitě zastavit jejich používání.

Dále, 2. května 2025 (2025) budou publikovány praxe pro poskytovatele obecných AI modelů (GPAI). Podnikatelé musí jednat v souladu s těmito praxemi.

Poté, 2. srpna 2025 (2025), začnou platit ustanovení o “GPAI modelech” a “sankcích”, a v každém členském státě budou jmenovány příslušné úřady. V této fázi musí poskytovatelé GPAI modelů dodržovat příslušné předpisy.

2. února 2026 (2026) budou publikovány směrnice týkající se metod implementace AI systémů podle zákona o regulaci AI. Současně bude povinné monitorování AI systémů s vysokým rizikem po uvedení na trh a vyžaduje se odpovídající organizační struktura.

Dále, 2. srpna 2026 (2026), začnou platit ustanovení o “AI systémech s vysokým rizikem” uvedených v příloze III. V tomto okamžiku musí členské státy zřídit regulační sandboxy pro AI a dodržování předpisů pro tyto AI systémy s vysokým rizikem se stává povinným.

Nakonec, 2. srpna 2027 (2027), začnou platit ustanovení o “AI systémech s vysokým rizikem” uvedených v příloze I. Tím se dodržování předpisů pro AI systémy definované v příloze I stává povinným.

Takto bude zákon o regulaci AI postupně zaváděn v průběhu několika let a regulace odpovídající závažnosti rizika budou postupně aplikovány. Podnikatelé musí přesně chápat každé období aplikace a postupovat v souladu s požadavky na AI systémy, které používají.

Související článek: Jaký je současný stav a výhled zákona o regulaci AI v EU? Vysvětlení také dopadu na japonské společnosti[ja]

Představení opatření naší kanceláře

Právní kancelář Monolith je právní firma s bohatými zkušenostmi v oblasti IT, zejména internetu a práva.

Obchodování s AI je spojeno s mnoha právními riziky a podpora advokátů, kteří se specializují na právní problémy související s AI, je nezbytná. Naše kancelář poskytuje sofistikovanou právní podporu pro AI podnikání, včetně ChatGPT, prostřednictvím týmu advokátů a inženýrů, kteří jsou odborníky na AI. Nabízíme služby jako tvorba smluv, posouzení legality obchodních modelů, ochrana duševního vlastnictví a řešení otázek soukromí. Podrobnosti naleznete v následujícím článku.

Oblasti práva, kterými se Právní kancelář Monolith zabývá: Právní služby AI (včetně ChatGPT atd.)[ja]