AI Act a Cyber Resilience Act: Jak se implementují v České republice a jejich dopad na IT a kybernetickou bezpečnost
Evropská unie přijala dvě klíčová nařízení, která mají zásadní vliv na oblasti umělé inteligence a kybernetické bezpečnosti. Tato nařízení, Nařízení o umělé inteligenci (AI Act) a Nařízení o kybernetické odolnosti (Cyber Resilience Act, CRA), mají přímou účinnost ve všech členských státech EU, včetně České republiky. Ačkoliv se jedná o přímo aplikovatelné evropské regulace, Česká republika musí přijmout příslušné právní úpravy a stanovit nástroje pro jejich praktickou implementaci.
AI Act – Nařízení o umělé inteligenci
Nařízení Evropského parlamentu a Rady (EU) 2022/2065, známé jako AI Act, vstoupilo v platnost v srpnu 2024. Cílem tohoto nařízení je regulovat používání a vývoj umělé inteligence, přičemž klade důraz na ochranu základních práv, bezpečnosti a zdraví jednotlivců. AI Act rozděluje systémy umělé inteligence do čtyř kategorií podle rizika, přičemž vysoko rizikové systémy, jako jsou ty, které jsou nasazeny ve zdravotnictví, bankovnictví nebo veřejné správě, podléhají přísným pravidlům. Mezi hlavní požadavky na vývojáře a provozovatele AI systémů patří transparentnost, zajištění dokumentace a sledovatelnost rozhodovacích procesů a povinnost provádět pravidelná hodnocení rizik.
AI Act v ČR
Nařízení (EU) 2022/2065 o umělé inteligenci je aplikováno přímo. Česká republika proto nemusí přijímat zvláštní zákon, ale musí zajistit orgány a procesy, které budou odpovídat za jeho uplatňování a vymáhání. V ČR tuto agendu pokrývají například:
- Ministerstvo průmyslu a obchodu (pro dohled nad vývojem AI),
- Úřad pro ochranu osobních údajů (pro ochranu dat a soukromí v AI aplikacích).
Zároveň se české instituce, jako NÚKIB a MPO, podílejí na vytváření testovacích prostředí („regulační pískoviště“), které umožňují firmám testovat AI v souladu s pravidly AI Act.
Cyber Resilience Act – Nařízení o kybernetické odolnosti
Nařízení (EU) 2023/2240 o kybernetické odolnosti, která je již účinná (Česká legislativa by měla být přizpůsobena v roce 2025, pravděpodobně v červenci), stanoví minimální požadavky na kybernetickou bezpečnost pro výrobce a poskytovatele digitálních produktů a služeb. Cílem CRA je snížit kybernetická rizika v celém dodavatelském řetězci a zajistit, aby výrobci a poskytovatelé pravidelně implementovali bezpečnostní opatření během celého životního cyklu svých produktů. Nařízení se zaměřuje na oblast IoT zařízení, jako jsou chytré domácí spotřebiče, a určuje povinnosti pro výrobce hlásit bezpečnostní zranitelnosti, poskytovat bezpečnostní aktualizace a zajišťovat bezpečnostní standardy.
V ČR je implementace CRA prováděna prostřednictvím novely Zákona o kybernetické bezpečnosti (č. 181/2014 Sb.), který bude rozšířen o nové povinnosti pro výrobce a poskytovatele ICT služeb. Klíčovou roli v tomto procesu hraje Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), který je odpovědný za dozor nad dodržováním pravidel CRA, provádění kontrol a inspekcí, a za uplatňování sankcí v případě porušení těchto pravidel. Zákon o kybernetické bezpečnosti bude aktualizován, aby zahrnoval nové požadavky týkající se hlášení zranitelností a povinnosti pro výrobce zajistit pravidelnou aktualizaci svých produktů.
Povinnosti a dopady pro firmy v ČR
AI Act a Cyber Resilience Act mají přímý dopad na české firmy, zejména ty, které vyvíjejí nebo využívají AI technologie, nebo se podílejí na výrobě a distribuci digitálních produktů a služeb. AI Act přináší konkrétní požadavky na firmy vyvíjející AI systémy, například povinnost provádět hodnocení rizik, poskytovat dokumentaci a zajistit transparentnost rozhodovacích procesů. Vysoce rizikové systémy, jako jsou algoritmy používané ve zdravotnických nebo finančních aplikacích, budou podléhat přísným testům a certifikacím.
Naopak, firmy vyrábějící produkty spojené s IoT nebo digitálními službami se musí připravit na nové požadavky stanovené Cyber Resilience Act. To znamená povinnost provádět analýzu rizik, zajistit pravidelné aktualizace a zajištění bezpečnosti po celou dobu životnosti výrobků.
Závěr
Obě nařízení přinášejí České republice výzvy i příležitosti. Na jedné straně budou firmy muset investovat do bezpečnostních opatření a zajistit shodu s těmito regulacemi, na druhé straně bude tento krok sloužit jako podpora pro zajištění vyšší úrovně ochrany dat, kybernetické bezpečnosti a etického využívání AI v evropském i národním měřítku. Důležité je začít se připravovat již nyní, aby byly české firmy připravené na vstup těchto regulací v roce 2025. Pro více informací a tipů se přihlaste k odběru našeho newsletteru ZDE.
