Sankcie

Pokuty za nesúlad s EU AI Act

Nariadenie (EÚ) 2024/1689 zavádza jeden z najprísnejších sankčných režimov v práve Európskej únie. Pokuty za porušenie pravidiel pre umelú inteligenciu môžu presiahnuť aj sankcie podľa GDPR. Tento prehľad vysvetľuje tri úrovne pokút, osobitné pravidlá pre malé a stredné podniky, právomoci dozorných orgánov aj to, ako sa nesúladu vyhnúť.

Tri úrovne pokút podľa článku 99

Sankčný rámec AI Act rozlišuje závažnosť porušenia. Čím vážnejší zásah do práv osôb alebo bezpečnosti, tým vyššia hornná hranica pokuty. Vo všetkých troch úrovniach platí, že sa uplatní vyššia z dvoch hodnôt — pevná suma alebo percento z celosvetového ročného obratu podniku. Nasledujúca tabuľka zhŕňa hranice stanovené v článku 99 nariadenia.

Rozhodujúce je zaradenie systému do príslušnej rizikovej kategórie. Práve od neho závisí, ktoré povinnosti sa na podnik vzťahujú a akej úrovni pokút je vystavený. Podrobnosti nájdete v našom sprievodcovi po rizikovej klasifikácii. Riziková klasifikácia.

Pravidlo pre malé a stredné podniky a startupy

Nariadenie berie do úvahy, že malé a stredné podniky (MSP) a startupy nemajú rovnaké finančné možnosti ako veľké korporácie. Preto pre ne platí osobitné pravidlo. Zatiaľ čo pri veľkých firmách sa uplatní vyššia z dvoch hodnôt — teda buď pevná suma, alebo percento z obratu podľa toho, ktorá je vyššia — pri MSP a startupoch je to naopak.

Pre menšie podniky sa uplatní nižšia z dvoch hodnôt. Ak by teda percento z obratu bolo nižšie ako pevná suma uvedená v tabuľke, orgán použije toto percento. Cieľom je, aby sankcia bola primeraná veľkosti a hospodárskej sile podniku a aby nelikvidovala menšie subjekty za rovnaké porušenie, za aké veľká korporácia zaplatí pomerne menej vo vzťahu k svojmu obratu.

Toto pravidlo však neznamená, že menšie podniky môžu pravidlá ignorovať. Aj nižšia pokuta môže byť pre startup existenčne ohrozujúca a k finančnej sankcii sa pridáva strata dôvery zákazníkov aj obchodných partnerov.

Kto ukladá pokuty

Vymáhanie sankcií je v prvom rade v rukách národných dozorných orgánov jednotlivých členských štátov. Každý štát určuje vlastný orgán, ktorý dohliada na uplatňovanie nariadenia, prijíma podnety, vedie konania a ukladá pokuty. Postup a výška sankcie sa preto môžu medzi štátmi mierne líšiť v rámci hraníc stanovených nariadením.

Na Slovensku nevznikne nový ústredný úrad pre umelú inteligenciu. MIRRI 13. augusta 2026 oznámilo, že návrh zákona so zriadením nového centrálneho orgánu nepočíta — dohľad zabezpečia existujúce štruktúry na čele s MIRRI SR ako všeobecným orgánom dohľadu nad trhom a jednotným kontaktným miestom. Zákon je zatiaľ v legislatívnom procese a nie je účinný. Povinnosti vyplývajúce z nariadenia však platia priamo, takže podniky sa nemôžu zbaviť zodpovednosti odvolaním sa na priebeh budovania vnútroštátneho sankčného mechanizmu.

Osobitné postavenie majú všeobecné modely umelej inteligencie (GPAI). Pokuty za porušenie povinností pri týchto modeloch môže ukladať priamo Európska komisia prostredníctvom svojho Úradu pre umelú inteligenciu (AI Office), a to až do výšky 15 miliónov € alebo 3 % celosvetového obratu. Viac o rozdelení zodpovednosti nájdete v prehľade povinností firiem.

Povinnosti firiem

Porovnanie s pokutami GDPR

Mnoho podnikov pozná sankčný režim všeobecného nariadenia o ochrane údajov (GDPR) a používa ho ako meradlo. AI Act však ide ešte vyššie. Nasledujúca tabuľka porovnáva horné hranice oboch režimov.

Rozdiel nie je len v číslach, ale aj v účele. GDPR chráni osobné údaje fyzických osôb, zatiaľ čo AI Act reguluje samotné systémy umelej inteligencie podľa miery rizika, ktoré predstavujú pre zdravie, bezpečnosť a základné práva. Podnik, ktorý nasadzuje systém AI a zároveň spracúva osobné údaje, môže byť vystavený obom režimom súčasne, čo výrazne zvyšuje celkovú výšku možnej sankcie.

Ako sa vyhnúť pokutám

Najlepšou ochranou pred pokutami je proaktívny súlad. Namiesto čakania na kontrolu sa oplatí pripraviť sa vopred a priebežne. Nariadenie nadobudlo účinnosť 1. augusta 2024 a jednotlivé sankčné ustanovenia sa uplatňujú postupne — zákazy zakázaných praktík platia od 2. februára 2025 a ďalšie povinnosti nasledujú podľa harmonogramu.

Odporúčame tieto kroky:

• Zmapovať všetky systémy umelej inteligencie, ktoré podnik používa alebo poskytuje, a zaradiť ich do správnej rizikovej kategórie.
• Viesť dôkladnú technickú a organizačnú dokumentáciu, ktorá preukazuje súlad a je pripravená pre prípadnú kontrolu.
• Zabezpečiť školenie zamestnancov o zodpovednom používaní umelej inteligencie a o povinnostiach vyplývajúcich z nariadenia.
• Sledovať jednotlivé termíny a časovú os účinnosti, aby žiadna povinnosť neušla pozornosti.
• Pravidelne overovať stav súladu a reagovať na zmeny vo výklade nariadenia aj v zozname zakázaných praktík.

Termíny a časová os

Tento text má informatívny charakter a nenahrádza právne poradenstvo. Presné znenie a výklad povinností nájdete v nariadení (EÚ) 2024/1689 a v pokynoch príslušných dozorných orgánov. V prípade konkrétnej situácie sa obráťte na odborného právneho poradcu.