Regulácia umelej inteligencie: čo sa zmení začiatkom augusta.

Hoci európske nariadenie o umelej inteligencii (AI) nadobudlo účinnosť 1. augusta 2024, dosahujeme kľúčovú fázu jeho implementácie.

Užitočnú pripomienku časového harmonogramu uplatňovania ustanovení nariadenia, ktorý zohľadňuje nedávne zmeny vykonané v rámci «digitálneho omnibusu», nájdete na webovej stránke Európskej komisie.

• Všeobecné ustanovenia nariadenia (definície a kultúra umelej inteligencie) a zákaz systémov umelej inteligencie predstavujúcich neprijateľné riziká platia od 2. februára 2025.
• Od 2. augusta nadobudla účinnosť väčšina ustanovení: pravidlá transparentnosti a opatrenia na podporu inovácií sú teraz uplatniteľné a monitorovanie implementácie je možné vykonávať v súvislosti s modelmi všeobecnej umelej inteligencie, zákazmi, pravidlami transparentnosti a kultúrou umelej inteligencie. Za to bude zodpovedný Úrad pre umelú inteligenciu Európskej komisie v spolupráci s vnútroštátnymi orgánmi.
• Od 2. decembra budú regulované systémy umelej inteligencie generujúce sexuálne «deepfakes» a detskú pornografiu bez súhlasu a od konca roka 2027 a polovice roka 2028 budú vysokorizikové systémy umelej inteligencie zahrnuté do prílohy III (citlivé oblasti ako zamestnanosť a policajná činnosť) a prílohy I (produkty ako zdravotnícke pomôcky).

Konkrétnejšie, od tohto leta nové pravidlá transparentnosti podľa článku 50 vyžadujú, aby určité systémy umelej inteligencie, ako sú chatboti, informovali používateľov o interakcii s umelou inteligenciou a o tom, kedy bol obsah ňou vygenerovaný alebo upravený.

Okrem toho bude potrebné identifikovať poskytovateľov obsahu upraveného alebo generovaného pomocou umelej inteligencie.

Tento obsah musí byť tiež vybavený strojovo čitateľnými značkami, aby sa ľahšie detekoval.

V trestnom kontexte, ako aj pre texty, ktorých obsah ovláda človek, boli stanovené určité výnimky a existujú aj adaptácie pre umelecké výtvory.

Komisia tiež navrhla tri ikony na identifikáciu obsahu generovaného úplne alebo čiastočne pomocou umelej inteligencie.

Aby pomohla podnikom splniť tieto povinnosti, Európska komisia 20. júla zverejnila usmernenia, ktoré objasňujú, koho sa tieto pravidlá týkajú a aký obsah musí byť zverejnený.

«Kódex osvedčených postupov pre transparentnosť obsahu generovaného umelou inteligenciou», ktorý už podpísalo viac ako 180 organizácií vrátane OpenAI a Google, má pomôcť spoločnostiam preukázať ich súlad s nariadením.

Kto je vo Francúzsku zodpovedný za implementáciu a monitorovanie dodržiavania nariadenia?

Dohľad je rozdelený medzi viacero subjektov pod vedením DGE a DGCCRF, ktoré budú dohliadať na všeobecné povinnosti týkajúce sa informácií a sledovateľnosti.

• CNIL zohráva ústrednú úlohu v systémoch umelej inteligencie zahŕňajúcich spracovanie osobných údajov vrátane citlivých údajov a biometrických údajov. Orgán ponúka praktické príručky a nástroj na sebahodnotenie, ktoré pomáhajú spoločnostiam overiť si súlad s právnymi požiadavkami, a poskytuje poradenstvo malým a stredným podnikom a veľmi malým podnikom.
• ARCOM zasahuje do digitálneho a audiovizuálneho obsahu vrátane «deepfakes».
• ANSSI bude zasahovať do aspektov kybernetickej bezpečnosti.
• HAS bude kompetentný pre systémy umelej inteligencie používané v oblasti medicíny.

Táto konštelácia zodpovedností, ktorá nevyhnutne povedie k prekrývaniu, si vyžaduje posilnenú spoluprácu medzi zainteresovanými stranami. DGCCRF zohráva úlohu jednotného kontaktného miesta na operačnej úrovni.

Riziká v prípade priestupku môžu byť značné.

Sankcie sa líšia v závislosti od úrovne rizika: až 35 miliónov eur alebo 71 TP4T z celosvetového obratu za zakázanú umelú inteligenciu, 15 miliónov eur alebo 31 TP4T za vysoko rizikovú umelú inteligenciu, ktorá nie je v súlade s predpismi, a 7,5 milióna eur alebo 11 TP4T za nedostatočnú transparentnosti.

Pre malé a stredné podniky a veľmi malé podniky sú pokuty obmedzené na nižšiu z hodnôt absolútnej prahovej hodnoty a percenta z obratu.

Toto nariadenie sa modulovane vzťahuje na každý systém umelej inteligencie používaný organizáciou, a nie na organizáciu ako celok.

Preto sa odporúča zmapovať všetky používané systémy (vrátane umelej inteligencie tretích strán a subdodávateľských zmlúv) a posúdiť ich úroveň rizika s cieľom prispôsobiť súlad s predpismi.

Vo Francúzsku

Francúzsko je prvou európskou krajinou, ktorá prijala zákon zakazujúci prístup k sociálnym sieťam maloletým mladším ako 15 rokov.

Kompromisný text, ktorý parlament prijal 21. júla, ukladá poskytovateľom služieb povinnosť zaviesť spoľahlivý systém overovania veku bez toho, aby sa zaviedol konkrétny mechanizmus.

Od 1. septembra 2026 si maloletí mladší ako pätnásť rokov už nebudú môcť vytvárať nové účty na týchto platformách.

Pre existujúce účty bude zákaz platiť po uplynutí štyroch mesiacov, t. j. 1. januára 2027. Za zabezpečenie dodržiavania tohto zákazu bude zodpovedná spoločnosť ARCOM.

Treba poznamenať, že text vyvoláva otázky proporcionality, pretože vyžaduje, aby všetci používatelia sociálnych sietí preukázali svoj vek, a účinnosť mechanizmu spochybňujú jeho kritici, ktorí poukazujú na zmiešané výsledky, ktoré Austrália v tejto oblasti dosiahla.

Dve skupiny poslancov požiadali Ústavnú radu o preskúmanie textu. Okrem toho má Európska komisia v úmysle predložiť návrh k tejto téme túto jeseň, pričom uprednostní mechanizmy overovania veku, ktoré zachovávajú anonymitu.

Od 11. augusta a na základe dekrétu z 23. júla bude telefonické oslovovanie v zásade zakázané pre spoločnosti vo všetkých odvetviach činnosti, s výnimkou výnimočných okolností: na rozdiel od systému Bloctel, ktorý vyžaduje aktívnu výnimku:

• Ak sa hovor týka zmluvy uzavretej so spoločnosťou s cieľom ponúknuť napríklad doplnkové produkty alebo služby, alebo ponuky zameranej na zlepšenie poskytovanej služby alebo jej výkonu.
• Ak príslušná spoločnosť získala predchádzajúci súhlas s kontaktovaním na marketingové účely, tento súhlas musel byť vyjadrený «slobodne» a «informovane» a «jasným potvrdzujúcim konaním».

Nedodržanie týchto predpisov vystavuje spoločnosti pokutám až do výšky 375 000 eur pre právnické osoby, ako aj neplatnosti zmlúv uzavretých na základe nezákonného oslovovania.

V apríli minulého roka zaujala CNIL pevný postoj k sledovacím pixelom v e-mailoch a dala spoločnostiam tri mesiace na to, aby dodržali zákonné ustanovenia na ochranu elektronickej komunikácie.

Odvtedy každému pristálo do poštových schránok množstvo správ so žiadosťou o súhlas so sledovaním otvárania pošty. 22. júla CNIL (francúzsky úrad na ochranu údajov) zverejnil sériu otázok a odpovedí s cieľom objasniť podmienky implementácie svojho odporúčania.

CNIL a CIANum (Rada pre umelú inteligenciu a digitálne technológie) spoločne zhodnotili a zverejnili prieskumnú správu o otázkach, ktoré nastolila umelá inteligencia v oblasti ochrany osobných údajov.

Táto práca odráža diskusie, ktoré na túto tému viedla CNIL so svojimi medzinárodnými partnermi, najmä v rámci orgánov na ochranu údajov skupiny G7.

Dokument poukazuje na zmenu v rozsahu používania umelej inteligencie, ktorá sa stáva čoraz rozšírenejšou, a nastoľuje otázky zodpovednosti a straty kontroly nad osobnými údajmi. Hoci sa na tieto systémy vzťahuje súčasný právny rámec, CNIL zdôrazňuje výzvu v oblasti prispôsobenia metód jeho implementácie.

Spoločnosť Doctolib začiatkom júla v e-maile adresovanom 60 miliónom používateľov oznámila, že od augusta, pokiaľ nebudú mať námietky, bude niektoré z ich zdravotných údajov používať na trénovanie a vylepšovanie svojich nástrojov umelej inteligencie v rámci výskumných projektov v spolupráci s Inria, Inserm a Université Paris Cité.

Spoločnosť uvádza, že predmetné údaje sú pseudonymizované a ich použitie sa riadi pravidlami CNIL.

Tento výskumný projekt vyvolal množstvo reakcií, vrátane reakcie Ligy za ľudské práva, ktorá v tlačovej správe zo 16. júla kritizuje predvolené zaradenie používateľov do výskumného projektu a skutočnosť, že ho vykonáva súkromná spoločnosť (ktorej údaje uchováva spoločnosť podliehajúca právnym predpisom USA) a nie verejný orgán.

V Európe

Európske inštitúcie a orgány

Európsky parlament 9. júla hlasoval o predĺžení schémy «Chat Control 1.0», ktorá umožňuje digitálnym spoločnostiam dobrovoľne analyzovať súkromné správy bez mandátu.

Táto «dočasná výnimka» z pravidiel týkajúcich sa súkromia a elektronickej komunikácie, určená na odhaľovanie sexuálneho zneužívania detí online, by zostala v platnosti do 3. apríla 2028.

Tento text, ktorý parlament v marci zamietol, bol opäť zaradený do programu v druhom čítaní, v ktorom si zamietnutie návrhu vyžaduje absolútnu väčšinu všetkých poslancov.

Medzitým zákonodarcovia rokujú o aktualizovanom rámci s názvom «Chat Control 2.0», ktorý by mohol umožniť prístup k obsahu šifrovanej komunikácie. Projekt, ktorý viac ako 800 výskumníkov v oblasti kybernetickej bezpečnosti považuje za hrozbu pre šifrovanie a dôvernosť komunikácie.

Európska komisia 7. júla predstavila akčný plán v oblasti kybernetickej bezpečnosti a umelej inteligencie zameraný na «podporu bezpečného a zodpovedného používania umelej inteligencie a zároveň posilnenie kybernetickej bezpečnosti v Európe».

Akčný plán dopĺňa existujúci právny rámec EÚ v oblasti umelej inteligencie a kybernetickej bezpečnosti vrátane nariadenia o umelej inteligencii, nariadenia o kybernetickej odolnosti, smernice NIS2, nariadenia o digitálnej operačnej odolnosti (DORA) a nariadenia o kybernetickej solidarite.

Európska komisia 23. júla vydala dve rozhodnutia, v ktorých zistila, že spoločnosť Google porušila nariadenie o digitálnych trhoch (DMA) tým, že uprednostňovala vlastné služby vo Vyhľadávaní Google a ukladala podnikom obmedzenia, aby im zabránila v presmerovaní používateľov služby Google Play na iné, často lacnejšie nákupné kanály. Spoločnosť Google udelila pokutu 460 miliónov eur a 430 miliónov eur.

Európsky výbor pre ochranu údajov (EDPB) 8. júla zverejnil nové usmernenia zamerané na objasnenie uplatňovania GDPR na dve hlavné otázky:

• Anonymizácia údajov
• Web scraping v kontexte generatívnej umelej inteligencie.

Pokiaľ ide o anonymizáciu, výbor špecifikuje, že údaje možno považovať za skutočne anonymné iba vtedy, ak neexistuje žiadna rozumne možná opätovná identifikácia, a to najmä na základe troch kritérií: absencia izolácie, prepojenie a dedukcia.

Usmernenia zohľadňujú najmä rozsudok Súdneho dvora Európskej únie vo veci C-413/23 P, EDPB/SRB zo 4. septembra 2025.

Pokiaľ ide o web scraping, EDPB poukazuje na to, že automatizovaný zber osobných údajov na trénovanie modelov umelej inteligencie naďalej podlieha GDPR, najmä požiadavkám na právny základ, transparentnosť a obmedzenie účelu.

Tieto dva návrhy usmernení sú otvorené na verejnú konzultáciu do 30. októbra 2026. Okrem toho boli usmernenia pre blockchain prijaté v ich konečnej verzii.

Dňa 31. júla 2026 EDPB zaslal aj list Európskej komisii, v ktorom ju požiadal, aby preskúmala, či rozhodnutie Najvyššieho súdu USA v prípade Trump vs. Slaughter pravdepodobne ovplyvní platnosť rámca ochrany údajov medzi EÚ a USA.

Súdny dvor Európskej únie (SDEÚ) 16. júla rozhodol, že profesionálne e-maily predstavujú komunikáciu chránenú podľa článkov 7 a 8 Charty základných práv Európskej únie, ale že ich môže zaistiť orgán hospodárskej súťaže v rámci vyšetrovania bez predchádzajúceho súdneho povolenia, za predpokladu, že je zavedený prísny právny rámec a primerané záruky proti zneužívaniu a svojvôli (spojené veci C-258/23 až C-260/23).

Vo svojom rozsudku zo 14. júla (C 474/24 – NADA Austria a ďalší) usúdil, že zverejnenie mien profesionálnych športovcov, ktorí porušili antidopingové pravidlá, môže byť zákonné.

Subjekt zodpovedný za zverejnenie však musí byť schopný vyvážiť protichodné záujmy, aby rešpektoval zásadu proporcionality. Taktiež uznal, že sťažnosť možno podať ako preventívne opatrenie.

Súdny dvor EÚ nakoniec vo svojom rozsudku z 9. júla (C-199/24 ND proti Legal Newsdesk Sweden AB) rozhodol, že zverejňovanie informácií týkajúcich sa odsúdení za trestné činy vo verejne prístupných databázach nepredstavuje novinársku činnosť a nemôže sa naň vzťahovať výnimka podľa GDPR na základe vnútroštátnych zákonov transponujúcich článok 85 ods. 2.

Správy z členských krajín Európskej únie.

V Rakúsku Najvyšší správny súd po siedmich rokoch konania potvrdil pokutu vo výške 13 miliónov eur uloženú Rakúskej pošte.

Spoločnosť zhromaždila údaje o politickej príslušnosti viac ako dvoch miliónov ľudí a tieto informácie predala tretím stranám na účely priameho marketingu.

Hoci spoločnosť argumentovala v dobrej viere a citovala názory konzultantov, ktorí overili jej postupy, Najvyšší súd tieto argumenty zamietol s tým, že «na udelenie sankcií právnickej osobe nie je potrebný žiadny čin ani vedomosť zo strany riadiacich orgánov». Súd ďalej rozhodol, že «neobhájiteľné» právne názory by sa nemali považovať za poľahčujúcu okolnosť, ani za oslobodzujúci faktor.

Dňa 14. júla vydal EDPB rozhodnutie, ktorým nariadil belgickému úradu na ochranu údajov (APD) spracovať sťažnosť podanú mimovládnou organizáciou Noyb, ktorú APD považoval za neprípustnú. V záväznom rozhodnutí výbor preskúmal, či by sa sťažnosť mala zamietnuť z dôvodu zneužitia práv, a potvrdil, že poverenie neziskového orgánu, organizácie alebo združenia podať sťažnosť v mene sťažovateľa je v súlade s GDPR.

Španielsky úrad na ochranu údajov (APD) udelil pokutu spoločnosti zaoberajúcej sa genomikou a biotechnológiami vo výške 2,4 milióna eur za nedostatočnú ochranu genetických a zdravotných údajov a za nahlásenie porušenia ochrany osobných údajov úradu na ochranu údajov po uplynutí 72-hodinovej lehoty.

APD tiež uložil spoločnosti Vodafone pokutu 1 050 000 eur za nedostatočné opatrenia na ochranu údajov.

Taliansky úrad na ochranu údajov (APD) udelil dodávateľovi energie pokutu 5,8 milióna eur za nezverejnenie úverových ratingov alebo vysvetlenie spôsobu ich výpočtu, za nezákonné zdieľanie údajov o dlhoch v rámci svojej skupiny, za uchovávanie úverových údajov desať rokov bez dostatočného odôvodnenia a za ich opätovné použitie na nezlučiteľné účely.

Taliansky úrad pre ochranu údajov uložil pokutu vo výške 2 miliónov eur spoločnosti Lusha Systems Inc., americkému sprostredkovateľovi údajov, ktorý prostredníctvom svojej platformy poskytuje za poplatok «obohatené» informácie o jednotlivcoch, ako je ich profesionálna situácia, e-mailové adresy a telefónne čísla.

Spoločnosť Lusha zhromažďuje tieto údaje z viacerých zdrojov (extrakcia údajov zo sociálnych sietí, nákupy od iných sprostredkovateľov údajov atď.) a sprístupňuje ich svojim klientom na komerčné účely alebo na boj proti podvodom.

Spoločnosť tiež vykonáva aktualizácie zahŕňajúce online monitorovanie správania dotknutých osôb, ktoré spadajú pod GDPR. Taliansky úrad na ochranu údajov (APD) zakázal spracovanie údajov týkajúcich sa osôb nachádzajúcich sa v Taliansku a nariadil ich vymazanie.

APD tiež sankcionoval telekomunikačného operátora TIM za početné porušenia predpisov týkajúcich sa ochrany súkromia a telemarketingu.

Niekoľko jej call centier, ktoré pôsobili ako subdodávatelia, uskutočňovalo propagačné hovory v mene spoločnosti s použitím čísel, ktoré nepatrili do oficiálnej predajnej siete, s cieľom nelegálne zhromažďovať údaje o používateľoch.

Úrad poukazuje na to, že dodržiavanie kódexu správania nezbavuje zodpovednú stranu povinnosti monitorovať činnosti svojich subdodávateľov a overovať účinné uplatňovanie opatrení na ochranu údajov v celom telemarketingovom reťazci.

Medzinárodne

V Kanade návrh zákona z 15. júna navrhuje zrušiť právomoci DPA monitorovať súkromný sektor a vytvoriť jeden orgán zodpovedný za reguláciu online škôd, sociálnych sietí, chatbotov založených na umelej inteligencii a ochrany súkromia v súkromnom sektore.

V Spojených štátoch v júni vypršala platnosť paragrafu 702 zákona o dohľade nad zahraničnými spravodajskými službami (FISA).

Od roku 2008 toto ustanovenie umožňovalo americkým spravodajským agentúram zhromažďovať komunikáciu od cudzích štátnych príslušníkov mimo Spojených štátov bez súdneho príkazu.

Rastúci počet poslancov už niekoľko rokov podmieňoval obnovenie článku 702 požiadavkou povinného mandátu. Nakoniec získali potrebný počet hlasov na presadenie svojho stanoviska.

Avšak povolenia Súdu pre dohľad nad zahraničnými spravodajskými službami (FISC) obnovené v marci pre program podľa § 702 zostávajú v platnosti a «budú naďalej platiť bezo zmeny, minimálne do 17. marca 2027,» uviedol poslanec Jamie Raskin.

Niektorí prevádzkovatelia súkromne varovali, že prestanú spolupracovať hneď po skončení platnosti zákona, pretože sa obávajú právnej zodpovednosti v prípade neexistencie existujúceho zákona na podporu požiadaviek vlády.

Spravodajské agentúry a telekomunikačné spoločnosti preto čelia neistote ohľadom toho, ktoré činnosti zberu údajov môžu legálne pokračovať.

Aj v Spojených štátoch americký súd definitívne schválil priateľské urovnanie so spoločnosťou 23andMe po kybernetickom útoku v roku 2023, ktorý postihol približne 6,4 milióna zákazníkov.

Americkým obetiam, ktorých genetické údaje boli ohrozené, však odškodnenie ešte nebolo vyplatené z dôvodu konkurzného konania spoločnosti.

Kompenzačný fond dosahuje 46,75 milióna dolárov, ale väčšina príjemcov dostane len obmedzené odškodnenie, pričom najvyššie sumy sú vyhradené pre obete, ktoré preukážu značnú ujmu.

Vo štvrtok 16. júla bola na Kapitole v Ríme podpísaná «Rímska deklarácia za mier bez zbraní a založený na odzbrojení vo veku umelej inteligencie, jadrových a autonómnych zbraní, nových digitálnych protokolov a vznikajúcich vzorcov digitálneho rozvoja», ktorá znamenala vyvrcholenie Svetového zhromaždenia nositeľov Nobelovej ceny za umelú inteligenciu a jadrovú vojnu.