Regulačné experimentálne prostredia a sandboxy podľa AI Aktu

Úvod

AI Akt posúva zavádzanie umelej inteligencie z roviny „funguje to“ do roviny „je to preukázateľné a obhájiteľné“. V praxi to znamená, že organizácia potrebuje riadený postup, ako AI systém overí ešte pred uvedením na trh alebo pred nasadením do prevádzky. Zároveň musí vedieť doložiť, že riziká identifikovala, vyhodnotila a primerane znížila. Nejde teda iba o technické testy, ale aj o jasné roly, dohľad a dôkaznú stopu, ktorú možno použiť pri kontrole alebo audite.

Regulačné experimentálne prostredia, teda sandboxy, sú jeden z najpraktickejších mechanizmov, ako takýto riadený pilot nastaviť. Umožňujú testovať AI systém v kontrolovanom režime pod dohľadom príslušného orgánu. Pilot sa opiera o plán experimentu a vopred dohodnuté podmienky. Podstatné je, aby testovanie malo jasný rozsah, primerané záruky a pravidlá vyhodnocovania. Výstupy majú najväčšiu hodnotu vtedy, keď sú použiteľné aj v ďalších krokoch súladu, napríklad pri posudzovaní zhody alebo pri dohľade nad trhom.

Cieľom článku je dať organizáciám praktickú logiku, ako sandbox uchopiť tak, aby priniesol výsledok použiteľný aj mimo pilotu. Zameriavam sa na obsah plánu experimentu, očakávané výstupy a to, čo má byť obhájiteľné z pohľadu riadenia rizík, dohľadu a evidencií. Osobitne sa venujem práci s údajmi, keďže sandbox nie je výnimkou z GDPR. Právne požiadavky prepájam s rámcami riadenia a bezpečnosti tak, aby bol pilot opakovateľný, auditovateľný a udržateľný aj pri reálnom nasadení.

 

1. Sandbox podľa AI Aktu a kto ho zriaďuje

Sandbox je kontrolované prostredie, v ktorom si organizácia môže bezpečne overiť AI systém ešte predtým, než ho uvedie na trh alebo nasadí do reálnej prevádzky. Zmysel sandboxu nie je urobiť rýchly technický pilot. Podstatné je, že testovanie prebieha podľa vopred dohodnutého plánu a pod dohľadom príslušného orgánu. Vďaka tomu má výsledok vyššiu dôkaznú hodnotu a zároveň jasné hranice, ktoré chránia ľudí, procesy aj samotnú organizáciu. (AIA, čl. 57)

AI Akt zároveň umožňuje, aby sandbox v primeraných prípadoch zahŕňal aj testovanie v reálnych podmienkach. To má význam najmä tam, kde interné testy nedokážu zachytiť riziká v praxi, napríklad vplyv používateľského správania, kvalitu vstupov, vznik nečakaných chýb alebo dopady na rozhodovanie. Aj pri testovaní v reálnych podmienkach však platí rovnaká logika. Nejde o voľný režim, ale o riadený pilot s dohodnutými zárukami, dohľadom a pravidlami použitia výstupov. (AIA, čl. 57)

Pre členské štáty je kľúčové, že AI Akt ukladá povinnosť zabezpečiť aspoň jedno regulačné experimentálne prostredie na vnútroštátnej úrovni a uviesť ho do prevádzky najneskôr do 2. augusta 2026. Povinnosť sa môže splniť aj účasťou v existujúcom experimente, ak poskytuje rovnocenné vnútroštátne pokrytie. Nariadenie zároveň počíta aj s regionálnymi a miestnymi sandboxmi a pripúšťa spoločné sandboxy viacerých členských štátov. Pre organizácie pôsobiace cezhranične je to praktický signál, cieľom je znížiť rozdiely v prístupe medzi krajinami a zvýšiť využiteľnosť výstupov aj mimo jednej jurisdikcie. (AIA, čl. 57)

Kto sandbox zriaďuje a kto nad ním vykonáva dohľad, závisí od vnútroštátneho nastavenia. AI Akt však kladie dôraz na to, aby príslušné orgány mali dostatočné kapacity na účinné a včasné fungovanie sandboxov a aby vedeli spolupracovať s ďalšími relevantnými orgánmi. Osobitne upravuje aj kontext inštitúcií EÚ, kde sa počíta s možnosťou zriadiť sandbox pod dohľadom Európskeho dozorného úradníka pre ochranu údajov pre inštitúcie, orgány, úrady a agentúry Únie. (AIA, čl. 57)

Aby sandboxy v EÚ nevznikali ako úplne odlišné režimy, AI Akt smeruje k postupnej štandardizácii ich fungovania cez vykonávacie akty Európskej komisie. Tie majú upraviť spoločné dojednania pre oprávnenosť a výberové kritériá, proces podania a rozhodovania, pravidlá účasti a dohľadu, aj minimálne náležitosti plánu experimentu a výstupnej správy. Prístup má byť otvorený, transparentný a spravodlivý. Príslušný orgán má zároveň žiadateľa informovať o rozhodnutí do troch mesiacov od podania žiadosti. (AIA, čl. 58)

Z praktického pohľadu je sandbox najvhodnejší vtedy, keď je použitie citlivé alebo rizikové a organizácia potrebuje pilot, ktorý bude zároveň kontrolovaný a obhájiteľný. Najlepší efekt má, keď organizácia nevstupuje do sandboxu s abstraktným nápadom, ale s jasným opisom účelu a zamýšľaného použitia. Dôležité je mať pomenované hranice použitia, základnú rizikovú úvahu, prehľad dátových zdrojov a kontrolných mechanizmov, ako aj pripravené roly a zodpovednosti pre dohľad a rozhodovanie. Práve tieto prvky potom tvoria jadro plánu experimentu a neskôr aj dôkaznú stopu, na ktorej stojí súlad. (AIA, čl. 57)

Autor: JUDr. Rudolf Kellner, LL.M.