V našej praxi sa v posledných rokoch čoraz častejšie ukazuje, že umelá inteligencia už dávno nie je výlučne technologickou témou. Čoraz zreteľnejšie vstupuje do oblasti právnej zodpovednosti, interného nastavenia kontrolných mechanizmov, výkonu verejného dohľadu a ochrany práv dotknutých osôb. Vidíme to pri práci s dátami, pri nábore a hodnotení zamestnancov, pri automatizovanom posudzovaní podkladov, v zákazníckych procesoch aj pri rozhodovaní orgánov verejnej moci. Aj preto má pripravovaný slovenský zákon o organizácii štátnej správy v oblasti umelej inteligencie význam, ktorý zjavne presahuje rámec bežného vykonávacieho predpisu.
Legislatívny proces sa už posunul do fázy vyhodnocovania pripomienkového konania, takže dnes je možné oveľa presnejšie vidieť nielen smerovanie návrhu, ale aj jeho možné praktické dôsledky. Tie sa nebudú týkať len orgánov dohľadu, ale aj podnikateľského prostredia, verejných inštitúcií a subjektov, ktoré systémy umelej inteligencie vyvíjajú, nasadzujú alebo využívajú pri svojej činnosti. Práve preto si tento návrh zaslúži pozornosť už v tejto fáze, a to nielen ako formálna súčasť implementácie európskeho rámca, ale najmä ako predpis, ktorý bude v konečnom dôsledku určovať konkrétne pravidlá pre prax. V nižšie uvedenom texte preto ponúkame krátke a rámcové zamyslenie nad niektorými princípmi a inštitútmi, ktoré má nová právna úprava ambíciu zaviesť.
Vnútroštátny vykonávací rámec pre oblasť umelej inteligencie
Základný zámer pripravovanej vnútroštátnej úpravy je legitímny a z právneho hľadiska nevyhnutný. Európsky Artificial Intelligence Act je síce priamo aplikovateľným právnym predpisov, sám osebe však nevyrieši, ktorý orgán bude na úrovni členského štátu vykonávať dohľad, kto bude plniť úlohu jednotného kontaktného miesta vo vzťahu k európskym inštitúciám, kto bude ukladať sankcie a podľa akých procesných pravidiel sa bude postupovať pri kontrole a v správnom konaní. Bez takejto vnútroštátnej úpravy by výkon európskeho regulačného rámca zostal v prakticky významnej miere neúplný.
Skutočná otázka preto nespočíva v tom, či Slovensko osobitný zákon v tejto oblasti potrebuje. Rozhodujúce je iba, akú podobu tento zákon napokon dostane. Podľa nášho názoru bude podstatné najmä to, či pôjde o vecné, presné a zdržanlivé vykonanie európskeho rámca alebo či sa popri nevyhnutnej implementácii začne vytvárať aj samostatná vnútroštátna regulačná vrstva s vlastnou materiálnou a procesnou ambíciou.
Čo návrh zákona zavádza
Návrh v prvom rade určuje inštitucionálne usporiadanie dohľadu. Počíta s tým, že všeobecným orgánom dohľadu nad trhom bude Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky (MIRRI SR), ktoré má zároveň plniť úlohu jednotného kontaktného miesta. Popri ňom majú pôsobiť aj sektorové orgány dohľadu, najmä tam, kde sa umelá inteligencia prelína s ochranou osobných údajov, kybernetickou bezpečnosťou alebo regulovanými výrobkami.
Návrh upravuje aj kontrolu, vybavovanie sťažností, povinnosť súčinnosti, predbežné opatrenia, vymedzenie správnych deliktov a sankcie. Zároveň vytvára rámec pre regulačné experimentálne prostredie, teda priestor na testovanie AI riešení v kontrolovaných podmienkach. Súčasne zasahuje aj do viacerých ďalších právnych predpisov, najmä do zákona o informačných technológiách vo verejnej správe. Práve tu sa podľa nášho názoru ukazuje, že nejde len o technický vykonávací predpis, ale o návrh s výrazne širším dosahom.
Osobitne dôležitá je časť venovaná vysokorizikovým systémom AI. Návrh ukladá prevádzkovateľom týchto systémov konkrétne povinnosti, najmä vo vzťahu k prístupnosti webových sídiel a mobilných aplikácií, k požiadavkám na prístupnosť výrobkov a služieb podľa osobitných predpisov a pri orgánoch verejnej moci aj k povinnosti uviesť v individuálnom právnom akte, v akom rozsahu bol použitý výstup z vysokorizikového systému AI.
Návrh zároveň smeruje aj k tomu, aby sa za veľký projekt vo verejnej správe považoval aj projekt obsahujúci použitie systému AI alebo modelu AI na všeobecné účely. Táto zmena môže mať citeľný dopad na prípravu, schvaľovanie a riadenie projektov verejnej správy.
Krátke zamyslenie
Čo sa týka predloženého návrhu v znení aké máme k dispozícii, formálne síce ide o zákon o organizácii štátnej správy v oblasti umelej inteligencie, jeho vecný obsah však v niektorých častiach presahuje rámec samotného inštitucionálneho a procesného zabezpečenia dohľadu. Návrh totiž nevymedzuje len príslušné orgány a ich právomoci, ale vstupuje aj do samotného právneho postavenia subjektov, ktoré systémy umelej inteligencie vyvíjajú, nasadzujú alebo používajú.
Dovoľujeme si upozorniť na skutočnosť, že AI Act upravuje viacero oblastí, osobitne vysokorizikové systémy, už dnes pomerne podrobne a harmonizovane. Ak vnútroštátny zákon začne uvedenú oblasť podrobnejšie upravovať, je nevyhnutné dbať o maximálny súlad s už prijatou a záväznou právnou úpravou aby sa eliminovalo riziko vytvárania konfliktnej, resp. paralelnej národnej nadstavby.
Návrh zavádza konkrétne povinnosti pre prevádzkovateľov vysokorizikových systémov, napriek tomu, že európsky rámec túto oblasť už upravuje detailne a systematicky.
Za osobitne citlivé považujeme spôsob, akým návrh v § 6 určuje adresátov jednotlivých povinností. V § 6 ods. 1 a 2 ich viaže na prevádzkovateľa vysokorizikového systému umelej inteligencie, a to vo vzťahu k prístupnosti webových sídiel, mobilných aplikácií, výrobkov a služieb, pričom v § 6 ods. 3 na toho istého adresáta nadväzuje aj splnenie podmienky zavedenia a zdokumentovania systému monitorovania a plánu monitorovania po uvedení na trh. Práve tu však vzniká zásadná otázka vecného súladu s európskym rámcom, keďže ten pri viacerých povinnostiach nepracuje so všeobecne vymedzeným okruhom všetkých subjektov v reťazci, ale s presne rozlíšenými rolami a konkrétne určenými adresátmi povinností. Ak preto vnútroštátny návrh používa širší pojem prevádzkovateľa bez dostatočného rozlíšenia, vytvára tým riziko, že povinnosti, ktoré sú v európskej úprave viazané na užšie určený typ subjektu, sa budú na vnútroštátnej úrovni vykladať ako povinnosti dopadajúce aj na ďalších aktérov v odlišnom právnom a faktickom postavení.
Rovnako dôležitá je aj otázka účinnosti a časového zosúladenie ustanovení, ktoré ukladajú povinnosti fyzickým a právnickým osobám s už prijatým záväzným európskym rámcom. Ak by sa totiž niektoré povinnosti začali na národnej úrovni presadzovať skôr alebo v širšom rozsahu, než predpokladá samotný AI Act, výsledkom by nebola vyššia kvalita regulácie ale stav právnej neistoty, ktorý bude pre aplikačnú prax len ťažko obhájiteľný.
Transparentnosť rozhodovania vo verejnej správe
Za správne považujeme, že návrh osobitne reflektuje aj používanie vysokorizikových systémov AI pri rozhodovaní orgánov verejnej moci. Ak má orgán verejnej moci v individuálnom právnom akte uviesť, v akom rozsahu a vo vzťahu ku ktorej časti rozhodovania bol použitý výstup z vysokorizikového systému AI, ide z pohľadu princípu o krok správnym smerom. Ak verejná moc vstupuje do rozhodovacieho procesu prostredníctvom umelej inteligencie, dotknutá osoba musí mať možnosť zistiť, či a v akej miere sa táto technológia na rozhodnutí podieľala.
Ak má byť takáto úprava v praxi naozaj funkčná, musí byť podľa nášho názoru sprevádzaná aj primeranou mierou evidencie, technickej dohľadateľnosti a následnej overiteľnosti. Bez týchto prvkov totiž môže zostať transparentnosť len na úrovni formálneho konštatovania, ktoré síce bude v rozhodnutí uvedené, no nebude z neho reálne možné zistiť, akým spôsobom, v akom rozsahu a s akým významom výstup systému AI do rozhodovania vstúpil.
Predbežné opatrenia a zásahové oprávnenia
Za mimoriadne citlivú považujeme aj úpravu predbežných opatrení. Návrh umožňuje všeobecnému orgánu dohľadu zasiahnuť ešte pred začatím konania o uložení pokuty a v nevyhnutnom rozsahu zamedziť vzniku rizika. Takýto nástroj môže mať v určitých situáciách svoje opodstatnenie, najmä ak hrozí bezprostredný zásah do bezpečnosti alebo do práv dotknutých osôb. Práve preto však ide o inštitút, ktorý si vyžaduje mimoriadne precízne procesné nastavenie.
Ak štát dostáva do rúk silný zásahový mechanizmus ešte pred rozhodnutím vo veci samej, musí byť zároveň úplne zrejmé, akým spôsobom je takýto postup preskúmateľný, aké právne prostriedky má dotknutý subjekt k dispozícii a aké limity viažu postup orgánu dohľadu. Možné riziko nevidíme v samotnej existencii predbežných opatrení, ale v tom, aby sa z nich v praxi nestal nástroj s intenzívnym dopadom bez rovnako jasne nastavených procesných bŕzd.
Obdobné otázky vznikajú aj pri kontrole a povinnosti súčinnosti. V novom regulačnom prostredí bude nevyhnutné, aby rozsah požadovanej spolupráce zo strany kontrolovaných subjektov bol vždy jednoznačne viazaný na zákonné oprávnenia orgánov dohľadu. Len tak možno predísť tomu, aby výkon kontroly pôsobil neprimerane, nepredvídateľne alebo nad rámec toho, čo je na dosiahnutie sledovaného cieľa skutočne potrebné.
Ďalšie otvorené otázky návrhu zákona
Osobitné otázky vyvoláva aj sankčný režim upravený najmä v § 12 návrhu zákona. Navrhované znenie zatiaľ nedokáže s potrebnou mierou presnosti vymedziť skutkové základy jednotlivých porušení povinností podľa Artificial Intelligence Act a neviaže ich dostatočne určito na konkrétny sankčný následok. Rovnako nie sú dostatočne vymedzené kritériá pre určenie výšky sankcie, lehoty na jej uloženie ani rozhranie medzi pôsobnosťou všeobecného orgánu dohľadu a sektorových orgánov dohľadu. Z pohľadu aplikačnej praxe na nás preto navrhovaná úprava zatiaľ pôsobí skôr ako formálne zakotvenie sankčného rámca než ako ustanovenie, ktoré by bolo bez ďalšieho reálne vykonateľné. Podobne ani regulačné experimentálne prostredie podľa § 7 nemožno v predloženej podobe považovať za dostatočne upravené, keďže návrh sa v podstate obmedzuje len na všeobecnú konštatáciu, že ministerstvo investícií zabezpečí jeho zriadenie, prevádzku a rozvoj. Z návrhu preto nevyplýva s dostatočnou presnosťou, akým spôsobom bude upravený vstup do tohto prostredia, aký právny režim sa bude uplatňovať pri práci s údajmi, akým spôsobom bude oddelené testovanie od produkčného nasadenia, ako budú riešené požiadavky kybernetickej bezpečnosti, ani v akej lehote má byť toto prostredie fakticky vytvorené. Aj v tejto časti preto návrh zatiaľ skôr deklaruje zámer, než poskytuje dostatočne určitý normatívny rámec pre jeho praktické fungovanie.
Verejná správa a veľké projekty
Osobitnú pozornosť si podľa nášho názoru zasluhuje aj navrhovaná zmena v zákone o informačných technológiách vo verejnej správe. Ak by sa za veľký projekt mal považovať aj projekt obsahujúci použitie systému AI alebo modelu AI na všeobecné účely, išlo by o rozhodnutie s priamym dopadom na prípravu, schvaľovanie a riadenie digitalizačných projektov štátu. Už len z tohto dôvodu nejde o okrajovú technickú úpravu, ale o zmenu, ktorá môže citeľne ovplyvniť fungovanie verejnej správy v praxi.
Zámer posilniť dohľad nad významnými AI projektmi je v zásade pochopiteľný. Problém však môže vzniknúť vtedy, ak bude definícia nastavená príliš široko. V takom prípade by sa do prísnejšieho režimu mohli dostať aj projekty, v ktorých je prvok umelej inteligencie len doplnkový alebo pomocný. Výsledkom by potom nemusela byť vyššia kvalita kontroly, ale skôr zbytočné spomalenie projektovej prípravy a nárast administratívnej náročnosti aj tam, kde to nie je primerané. Aj tu sa podľa nášho názoru ukazuje, že o kvalite pripravovaného zákona nebude rozhodovať všeobecná deklarácia cieľov, ale presnosť legislatívneho detailu.
Záver
Nový návrh slovenskej úpravy v oblasti umelej inteligencie považujeme za legislatívnu iniciatívu, ktorú v zásade treba privítať. Vnútroštátny vykonávací rámec pre oblasť umelej inteligencie je prirodzeným predpokladom riadneho uplatňovania európskeho AI Actu a z pohľadu právnej istoty aj fungovania dohľadu ide o krok, ktorý slovenské právne prostredie nepochybne potrebuje.
Zároveň však podľa nášho názoru bude rozhodujúce až finálne znenie zákona. Už v súčasnej podobe návrhu totiž z aplikačnej praxe vieme identifikovať viaceré riziká, najmä pokiaľ ide o možné rozširovanie povinností nad rámec európskeho nariadenia, nejasné hranice medzi vykonávacou úpravou a samostatnou národnou reguláciou, intenzitu zásahových oprávnení orgánov dohľadu, nastavenie sankčného režimu či dopady na fungovanie verejnej správy a podnikateľského prostredia.
Práve preto bude dôležité, aby sa pri finalizácii zákona zohľadnili aj pripomienky a skúsenosti subjektov, ktoré sa s praktickými dôsledkami tejto regulácie budú stretávať bezprostredne. Ak má byť výsledná úprava kvalitná, nemala by zostať len pri formálnom naplnení požiadaviek európskeho rámca, ale mala by obstáť aj z pohľadu predvídateľnosti, primeranosti a reálnej vykonateľnosti v praxi.
Túto legislatívnu iniciatívu preto budeme naďalej pozorne sledovať a aktívne sa zapájať do odbornej diskusie o podobe výslednej právnej úpravy. Práve v oblasti umelej inteligencie totiž bude kvalita finálneho textu rozhodovať nielen o úrovni regulácie, ale aj o tom, či sa podarí vytvoriť prostredie, ktoré bude súčasne chrániť verejný záujem a umožňovať rozumný technologický rozvoj.
