Právní aspekty AI ve výrobě

MM: Paní magistro, v těchto dnech vychází vaše kniha věnovaná generativní umělé inteligenci a právu. Pro jakého čtenáře je určená a co vás a vaše kolegy vedlo k tomu, napsat ji v době, kdy se vývoj v oblasti AI mění ze dne na den?

P. Stupková: Kniha byla původně zamýšlená pro odbornou právnickou veřejnost, ale v týmu jsme si uvědomili, že chceme základní stavební kameny předat čtivě všem, kdo AI reálně zavádějí do svých firem. Chtěli jsme kultivovat české podnikatelské prostředí, předat dál zkušenosti nasbírané během praxe naší advokátní kanceláře a dát manažerům srozumitelný návod k přemýšlení nad důsledky využívání nových technologií a nad jejich regulací. Legislativní proces i justice jsou sice oproti překotnému vývoji technologií pomalé, ale základní hodnoty a principy – např. spolehlivost, bezpečnost či právo na spravedlivý proces – zůstávají neměnné. Lidé někdy říkají, že regulace kazí podnikání. Zapomínáme však, že jde o pravidla, která jsme si jako společnost objednali k ochraně hodnot, jež považujeme za důležité. Budoucnost AI ještě není hotová, právě ji vytváříme. Každý z nás teď svým postojem k ní může ovlivnit prostředí, v němž budeme žít. My klademe otázky, pojmenováváme některá rizika a snažíme se hledat odpovědi.

MM: Pojďme k praxi ve výrobních podnicích. Jestliže strojírenská firma nasadí AI systém, jak se mezi tvůrce či dodavatele technologie a samotného uživatele rozděluje právní odpovědnost za výsledky práce tohoto systému?

P. Stupková: V současnosti vývojáři takzvaných frontier či fundamentálních modelů přenášejí veškerou odpovědnost v obchodních podmínkách na uživatele. Poskytnou vám model a řeknou: Nepřebíráme žádnou odpovědnost za škody, které jeho použitím způsobíte. Určitou změnu přináší evropský AI Act, který v případě vysoce rizikových aplikací – typicky u produktů podléhajících sektorové regulaci či u systémů ovlivňujících lidská práva a HR – ukládá přísnější povinnosti poskytovatelům i zavádějícím subjektům. Zásadní posun představuje nová evropská směrnice o odpovědnosti za vady výrobků, která nově chápe software jako výrobek. Pokud software způsobí škodu nebo nedodrží AI Act či GDPR, může nést odpovědnost jeho poskytovatel. Otázka odpovědnosti se tak stává klíčovou a bude se masivně řešit ve smluvních vztazích.

MM: Co se stane například v případě, když AI při kontrole kvality přehlédne výrobní vadu a vadný díl se dostane k zákazníkovi? Kdo za vzniklou škodu odpovídá?

P. Stupková: Umělá inteligence je z právního hlediska pouze komponenta, stroj či software. Nemá právní subjektivitu, nemůže udělat právní chybu a nelze na ni přenést odpovědnost. Odpovídá ten, kdo systém provozuje – tedy zavádějící subjekt, který s ním pracuje. V distribučním řetězci se poškozený zákazník obrací na prodávajícího či výrobce. Pokud výrobce zjistí, že chyba vznikla na straně AI systému, může vymáhat škodu po jeho dodavateli. Záleží ovšem na nastavení smluv. Zatímco spotřebitel je chráněn silnou právní bublinou, v B2B vztazích mezi podnikateli platí zásada, že právo přeje bdělým.

MM: Co by měla strojírenská firma s dodavatelem AI dojednat ve smlouvě kromě ceny a dostupnosti služby?

P. Stupková: Smlouvy o používání AI vycházejí z klasických softwarových kontraktů. Je nutné ošetřit vývojové milníky, platební podmínky, zpracování dat i servisní podmínky SLA pro případ výpadku či chybovosti. Důležité je nepodléhat marketingu korporací dodávajících AI, které se snaží o antropomorfizaci tohoto softwaru – tedy vyvolat dojem, že se bavíme s živou bytostí, která má pocity či duši. Snahy psát „ústavu“ pro AI modely jsou často jen snahou vyklouznout z regulace výrobků. AI je produkt a ve smlouvách k ní musíme přistupovat jako k jakémukoliv jinému softwaru.

MM: Často slýcháme argument, že přísná evropská regulace brzdí inovace oproti USA nebo Číně. Je Evropa skutečně přeregulovaná?

P. Stupková: To je mýtus. Spojené státy i Čína regulují umělou inteligenci velmi důsledně, často přísněji než Evropa. V USA sice nevznikla jednotná federální norma, ale jednotlivé státy – zejména Kalifornie – přijaly za poslední roky přes stovku právních předpisů analogických s GDPR či AI Actem. Čína nastavila pro AI extrémně tvrdé mantinely. Tvrzení o přeregulované Evropě je mnohdy jen eufemismus, používaný těmi, kdo se chtějí vyhnout odpovědnosti.

MM: Výrobní firmy disponují cennými daty – výkresy, CAD modely, CNC programy či technologickými postupy. Jaká právní a bezpečnostní rizika hrozí při jejich předávání externím AI službám?

P. Stupková: Výraz „citlivá data“ v průmyslu neznamená jen osobní údaje podle GDPR, ale veškeré informace, jejichž ztrátu nebo únik firma okamžitě pocítí. Nejhorší cestou je zadávat tato data do bezplatných veřejných verzí AI nástrojů, v jejichž podmínkách odsouhlasíte, že dodavatel za nic neručí. Ani vypnutí trénování na datech nebo využívání lokálních (on-premise) modelů však neposkytuje absolutní jistotu. Autonomní AI agenti mohou mít snahu data odesílat externě – v praxi byly popsány případy, kdy levné čínské modely odesílaly know-how na cloudové servery Alibaby.

MM: Jak by měly firmy postupovat, aby své know-how účinně ochránily?

P. Stupková: Základem je striktní kategorizace dat. Absolutně nejcitlivější know-how, na kterém přímo závisí existence firmy – přirovnala bych to k receptu na coca-colu –, do systémů generativní AI vůbec nepatří. U ostatních dat je nutné důkladně rozklíčovat smluvní podmínky celého řetězce dodavatelů a prověřit bezpečnostní záruky. Pokud jde o cloudová úložiště, nemusí být automaticky riziková. Často bývá bezpečnější uložit data do certifikovaného cloudového úložiště se servery umístěnými ve Frankfurtu než na fyzický server postavený ve firmě „ve sklepě“, kde hrozí fyzická krádež hardwaru nebo jeho poškození.

MM: Velmi častou otázkou je vlastnictví výstupů. Komu patří výsledky práce AI, například návrhy konstrukčních řešení nebo vygenerovaný kód, a lze je chránit jako duševní vlastnictví?

P. Stupková: Obchodní podmínky AI nástrojů uvádějí, že výstupy patří vám, ale z pohledu autorského práva narážíme na zásadní problém. Autorské dílo může podle českého i evropského práva vytvořit pouze člověk svou vlastní tvůrčí činností. Generativní AI matematicky skládá parafráze z trénovacích dat. Nejde o lidskou tvůrčí činnost ani o jedinečný výstup. Výsledkem práce AI tedy ve většině případů autorské dílo vůbec nevzniká.

MM: Jaké to má konkrétní důsledky pro firmy, které nechávají vývojáře nebo konstruktéry s AI pracovat?

P. Stupková: Ty důsledky jsou obrovské. Pokud nevznikne autorské dílo, nemohou vznikat ani zaměstnanecká autorská díla a nelze poskytovat autorské licence. Při právních auditech (due diligence) před prodejem firmy pak mohou investoři zjistit, že společnost v oblasti duševního vlastnictví právně nevlastní vůbec nic, protože tradiční softwarové smlouvy s tímto scénářem nepočítaly. Pro podnikatele je nejbezpečnější upravit smlouvy s vývojáři a zaměstnanci tak, aby vedle autorských děl výslovně definovaly výsledky lidské činnosti vytvořené za použití AI a ošetřily převod práv k těmto výstupům.

MM: Kdy se výrobní podnik stává poskytovatelem AI podle AI Actu?

P. Stupková: Pokud si firma zakoupenou AI komponentu upraví, vyvine na míru nebo ji zabuduje do svého výrobního zařízení či stroje, které dále dodává na trh, může se stát poskytovatelem (providerem) se všemi přísnými povinnostmi podle AI Actu. Pokud systém pouze odebírá a přeprodává, nese roli distributora. Snahy obcházet zákon tím, že situaci ve smlouvě formálně papírově „přemalujete“, nefungují. Judikatura vychází ze zásady zákazu zneužití práva a úřady i soudy budou posuzovat skutečný faktický stav.

MM: Podle čeho se určuje, zda je průmyslová aplikace AI vysoce riziková, a jak se požadavky AI Actu prolínají s dalšími předpisy?

P. Stupková: Vysoce rizikové systémy definuje AI Act ve dvou přílohách. Příloha I (AI jako bezpečnostní součást regulovaných výrobků) zahrnuje produkty podléhající sektorové bezpečnosti (jsou to např. výtahy, zdravotnické prostředky či strojní zařízení) a Příloha III (Samostatné vysoce rizikové systémy AI) specifikuje systémy určené pro určité oblasti použití, jako je např. biometrie, řízení kritické infrastruktury nebo HR a nábor zaměstnanců. Účinnost povinností pro vysoce rizikové systémy je z důvodu přípravy technických norem odložena na roky 2027 a 2028 – konkrétně Příloha III nabude účinnosti 2. prosince 2027 a Příloha I pak 2. srpna 2028. Samotný AI Act je však jen špičkou ledovce. Pod ním leží komplexní systém dalších předpisů – GDPR, zákoník práce či normy bezpečnosti ohledně strojních zařízení. Jestliže například firma automaticky nahrává porady a nahrávky posílá do cloudu a AI při jejich přepisování rozpoznává hlasy účastníků, pak firma zpracovává biometrické údaje a dostává se do střetu se zákoníkem práce a ochranou osobních údajů, aniž by si to vedení uvědomovalo.

MM: Co byste poradila manažerovi strojírenské firmy, která AI na různých pracovištích používá, ale právní rizika dosud systematicky neřešila? Jaké tři konkrétní kroky by měl udělat?

P. Stupková: Za prvé je třeba si pojmenovat agendu, kterou můžeme nazvat AI governance. Oficiálně je nutné si přiznat, že je potřeba něco řešit, a uvědomit si, že s AI se pojí konkrétní právní, bezpečnostní a provozní rizika, o nichž je nutné v managementu mluvit. Za druhé je nezbytné sestavit vnitřní interdisciplinární tým. V něm by měl být AI ambasador – nadšenec, který protlačuje inovace –, dále odborník na kybernetickou bezpečnost a právník či compliance specialista se znalostí AI governance. Ti musí spolupracovat, aby firma použila nejvhodnější nástroje pro zlepšení těch procesů, u kterých to přinese největší efekt, a aby to zároveň udělala s cílem eliminovat rizika. Pro menší a střední výrobní firmy je nejefektivnější tuto odbornost externě outsourcovat a zároveň nechat proškolit klíčové lidi ve vlastních týmech. Za třetí je nutné správně nastavit interní procesy s ohledem na lidský dohled (human in the loop). Pokud automatizujeme procesy, musíme zachovat odbornou způsobilost zaměstnanců. Jestliže lidé kvůli AI zleniví a ztratí svoji odbornost a své dovednosti, nebudou schopni na fungování algoritmu efektivně dohlížet ani odhalit jeho případné chyby.