Zmluva medzi poskytovateľom AI systému a používateľom: čo má (a nemá) obsahovať podľa AI Act

Zmluvy o umelej inteligencii sú novým fenoménom právnej praxe. Čoraz viac organizácií využíva systémy AI na podporu svojich procesov, no len málokto si uvedomuje, že aj „bežné“ alebo nízkorizikové systémy AI prinášajú právne povinnosti.

Najmä ak ide o poskytovateľa systému AI, ktorý integruje model umelej inteligencie na všeobecné účely (napr. OpenAI), a nasadzujúci subjekt – teda organizáciu, ktorá systém používa v rámci svojho podnikania alebo výkonu právomoci.

V tomto článku sa pozrieme na to, aké náležitosti by mala obsahovať zmluva medzi týmito dvoma stranami podľa požiadaviek nariadenia o umelej inteligencii (AI Act) – aj v prípade, že systém nie je klasifikovaný ako vysokorizikový.

Kto je kto v reťazci umelej inteligencie?

AI Act rozlišuje tri hlavné roly v hodnotovom reťazci umelej inteligencie:

1. Poskytovateľ modelu AI na všeobecné účely – napríklad OpenAI, ktorý vytvára základný model (foundation model).

2. Poskytovateľ systému AI – subjekt, ktorý tento model integruje do svojho systému (napr. aplikácie, chatbotu či analytického nástroja).

3. Nasadzujúci subjekt – koncový používateľ, ktorý systém využíva na vlastné účely.

V praxi teda hovoríme o zmluve medzi bodom 2 a 3 – poskytovateľom systému AI a nasadzujúcim subjektom. Práve tu sa prenášajú (a zároveň rozdeľujú) povinnosti, ktoré vyplývajú z AI Actu aj z GDPR.

Transparentnosť voči používateľovi

Základnou zásadou pre systémy AI, ktoré nie sú vysokorizikové, je transparentnosť podľa článku 50 AI Actu.

Zmluva by preto mala zaviazať nasadzujúci subjekt k týmto povinnostiam:

1. Informovanie o interakcii s AI: Ak systém komunikuje priamo s fyzickými osobami, musí byť zrejmé, že ide o AI (ak to nie je zrejmé automaticky).

2. Deepfakes a generovaný obsah: Ak sa AI používa na generovanie alebo manipuláciu obrazového, zvukového či videoobsahu, ktorý sa javí ako autentický, musí byť jasne označené, že ide o umelý obsah.

3. Výnimka: umelecké, satirické alebo fiktívne diela – tu postačí primerané zverejnenie, ktoré nebráni vnímaniu diela.

4. Text s verejným záujmom: Ak AI generuje texty určené pre verejnosť, musí byť zrejmé, že ide o výstup umelej inteligencie – pokiaľ neprešli redakčnou kontrolou a nenesie za ne zodpovednosť človek.

Forma zverejnenia: Všetky tieto informácie sa musia poskytnúť jasne, rozlíšiteľne a najneskôr pri prvej interakcii.

AI gramotnosť a vzdelávanie

AI Act zavádza aj povinnosť podporovať AI gramotnosť – teda porozumenie princípom fungovania, obmedzeniam a rizikám AI systémov.

Zmluva by preto mala obsahovať:

• záväzok poskytovateľa systému zabezpečiť, aby nasadzujúci subjekt (a jeho zamestnanci) mali dostatočné školenie,

• informácie o rizikách, možnostiach a limitoch systému,

• odporúčania k zodpovednému používaniu a dohľadu nad výstupmi AI.

Kaskádovanie informácií a dokumentácia

Aj keď nejde o vysokorizikový systém, povinnosti sa „kaskádujú“ – teda prenášajú z poskytovateľa modelu (napr. OpenAI) na poskytovateľa systému a následne na používateľa.

Zmluva by preto mala riešiť:

• poskytnutie informácií o modeli AI, ktoré poskytovateľ systému získal od výrobcu (napr. technické limity, bezpečnostné obmedzenia, politiky prijateľného použitia),

• mechanizmus informovania o zmenách – napríklad pri aktualizáciách alebo známych zraniteľnostiach,

• dokumentačné povinnosti, ktoré umožnia nasadzujúcemu subjektu používať systém bezpečne a v súlade s reguláciou.

Kódexy správania a dobrovoľný súlad

Hoci AI Act neukladá povinné požiadavky pre nízkorizikové systémy, podporuje dobrovoľný súlad prostredníctvom kódexov správania.

Zmluva teda môže obsahovať dobrovoľné záväzky, ako napríklad:

• rešpektovanie princípov spravodlivosti a nediskriminácie,

• technická spoľahlivosť a ľudský dohľad,

• minimalizácia environmentálneho dopadu.

Takýto dobrovoľný rámec pomáha zvýšiť dôveryhodnosť systému aj právnu predvídateľnosť.

GDPR a iné právne režimy

Ak systém AI spracúva osobné údaje (napr. biometrické dáta, hlas, obraz), zmluva musí reflektovať aj povinnosti podľa GDPR.

Kľúčové body:

• správne určenie rolí (prevádzkovateľ / sprostredkovateľ),

• zmluvná úprava spracúvania údajov,

• prepojenie na existujúce právne rámce (ochrana spotrebiteľa, hospodárska súťaž, ePrivacy atď.).

Zodpovednosť a riešenie sporov

Zmluva by nemala opomenúť otázku zodpovednosti:

• kto nesie následky, ak systém spôsobí škodu,

• aké sú podmienky obmedzenia alebo zrušenia prístupu k systému,

• ako sa riešia spory (napr. mediácia, arbitráž, rozhodné právo).

Záver

AI Act neprináša „zmluvnú šablónu“, ale definuje povinnosti, ktoré je potrebné transponovať do praxe.

Zmluva medzi poskytovateľom systému AI a jeho používateľom by preto mala:

• reflektovať transparentnosť podľa článku 50,

• zabezpečiť AI gramotnosť používateľov,

• prenášať informácie o spôsobilostiach a limitoch modelu,

• a definovať zodpovednosť a spoluprácu v rámci reťazca AI.

Takto nastavený rámec pomôže obom stranám predísť právnym rizikám a zároveň podporí zodpovedné a dôveryhodné využívanie umelej inteligencie.