Biz & Tech #6: EU AI Act: bojíte se špatného data

Firmy kolem AI Actu řeší jedno datum v budoucnu. To závazné přitom běží od února 2025.

Dnešní číslo rozděluje AI Act na tři hromádky: co platí teď, co se odložilo, a co u sebe vůbec nenajdete.

Vezměte pojišťovnu, která oceňuje riziko modelem. Model, který rozhoduje o ceně nebo o přijetí klienta, spadá pod AI Act do kategorie high-risk. Spolu s credit scoringem, náborem a biometrikou.

Ještě v červnu měla taková firma v kalendáři jasný termín: 2. srpna 2026. Pár týdnů, a musíte mít hotovou klasifikaci, dokumentaci, logy a lidský dohled.

Pak přišel Digital Omnibus. Rada EU mu 29. června 2026 dala finální zelenou a lhůtu pro tyhle systémy posunula na 2. prosince 2027. O šestnáct měsíců.

Práce se neposunula ani o den. Zjistit, co všechno ve firmě běží, na jakých datech, kdo to vidí a jak se to loguje, je přesně stejně velký úkol jako před odkladem.

Rozdělte si to na tři hromádky

Vezměte všechno, co u vás rozhoduje nebo generuje, a rozdělte to:

Platí teď. Zakázané praktiky a AI gramotnost — lidé pracující s AI rozumí tomu, co nástroj dělá a kde se mýlí. Běží od února 2025, bez ohledu na jakýkoli odklad.
Prosinec 2027. Systémy rozhodující o lidech: cena, přijetí, scoring, nábor. High-risk. Na ty míří odložená lhůta.
Nevíte. Všechno, u čeho nedokážete říct, kdo to používá a na jakých datech to běží.

Zkuste to teď za pět minut z hlavy. Za čtrnáct dní znovu, se skutečným seznamem. Rozdíl mezi těmi dvěma pokusy je vaše třetí hromádka.

Třetí hromádka je vždycky největší

Firmy mají právníky. Co obvykle chybí, je přehled o tom, co ve firmě běží.

Firma ví o dvou nasazených modelech a zapomene na třetí, který si postavil tým sám. Shadow AI z běžných chatů běží po firmě, aniž by ho někdo nasadil rozhodnutím. A přesně tyhle věci se klasifikují nejhůř, protože o nich nikdo neví.

Druhá věc: odklad se čte jako povolení netřídit vůbec. Tím se z úkolu, na který jste v červnu měli pár týdnů, stává roční archeologie vlastního stacku pod tlakem.

Jak hromádky zmenšit bez právního auditu za milion

Udělejte inventuru AI systémů. Seznam všeho, co ve firmě rozhoduje nebo generuje, nasazené i to, co si týmy postavily samy. Bez seznamu není co třídit.
U každého systému si poznamenejte čtyři věci: na jakých datech běží, kdo k němu má přístup, jak se loguje, kde do toho vstupuje člověk. To je většina dokumentace, kterou po vás Act chce.
Oddělte high-risk (rozhoduje o lidech — scoring, underwriting, nábor) od zbytku. Jen na tuhle hromádku míří velká lhůta v prosinci 2027.
Hromádku „platí teď“ vyřešte hned: zkontrolujte, že neděláte nic ze zakázaných praktik, a zajistěte, aby lidé u AI věděli, co nástroj dělá a kde se mýlí.

Pohled za byznys — Jakub Štengl

Tohle vidím u klientů pořád. Termín se posune — a s ním se v hlavách posune celý problém. Rozpočet, který byl v červnu urgentní, je najednou položka na příští rok. Jenže odklad není úleva. Je to úvěr.

Práci jste si jen půjčili do roku 2027. A úrok u tohohle úvěru je nepříjemný: čím později inventuru uděláte, tím víc toho bude k třídění a tím míň si lidé budou pamatovat, co vlastně postavili a proč. AI Act se totiž ve skutečnosti neptá na AI. Ptá se, jestli znáte vlastní majetek. Firma, která ví, co má nasazené a na jakých datech to běží, má většinu povinností hotovou dřív, než se do nich pustí.

Proto největší riziko není pokuta, i když 35 mil. € nebo 7 % obratu za zakázané praktiky je číslo, které stojí za jednu schůzku hned. Tahle část totiž platí už dnes. Největší riziko je zjištění za rok, že váš scoringový model je high-risk, dokumentaci k němu nemáte a za měsíc se to dohnat nedá. Inventura je teď levná, protože ji děláte bez tlaku. Ta samá inventura v roce 2027 bude stát to samé plus všechno, co mezitím vznikne bez vašeho vědomí. To je celá matematika toho odkladu.

Pohled za technologie — Jakub Inger

Klasifikace podle AI Actu vypadá jako práce pro právníky. Podívej se ale, na co se dokumentace ptá: na jakých datech systém běží, kdo k němu má přístup, jak se loguje, kde vstupuje člověk. Ani jedna z těch otázek není právní. Právník ti řekne, do které kategorie systém spadá. Odpovědi mu ale musí dodat tvůj stack.

Systém, který se umí popsat, je compliant mimochodem. Logy, přístupy, lineage dat — když tohle běží, dokumentace z toho vypadne skoro zadarmo, nikdo ji nepíše ručně. Když to neběží, nezachrání tě žádný audit, protože bude popisovat systém, který o sobě nic neví. Většina firem má mezeru přesně tady, ne v paragrafech.

Těch šestnáct měsíců je proto rozhodnutí, ne pauza. Můžeš rok nedělat nic a pak dohánět dokumentaci ručně pod termínem. Nebo ten čas použiješ na to, aby se tvoje systémy uměly popsat samy. To druhé je míň práce — a na rozdíl od šanonu ti zůstane i potom, co regulace zmizí z titulků.