Jak takový e-mail vypadá
Pokud na e-mail sedí většina bodů níže, považujte ho s klidem za obchodní praktiku. Zabalené do řečí o souladu s předpisy (compliance) a často využívající oficiálně se tvářících institucí se tyto zprávy opakují podle stejného vzoru:
- Agresivní předmět. Objeví se v něm „porušení“, „zvýšené riziko“ nebo číslo nařízení. Někdy se odesílatel hned v první větě za předmět omluví, ale předmět splnil svůj účel: přiměl vás e-mail otevřít.
- „Prošel jsem váš web.“ Nenásleduje ale jediný konkrétní nález. Občas, protože je to samozřejmě automatizovaná rozesílka, chybí i adresa stránky, nepoukazuje na prvek webu i článek nařízení, který máte porušovat. Protože ve většině případů žádný audit nebo kontrola provedena nebyla. Střílí naslepo.
- Hned nejvyšší možná pokuta. Typicky 15 milionů eur nebo 3 % obratu. V nařízení je to horní hranice, kterou úřad nesmí překročit, kdežto v e-mailu slouží k tomu, abyste se vyděsili a cítili urgenci to řešit.
- Název, který zní jako instituce. „Institut“, „centrum“ nebo „ústav“. Firma může být řádně zapsaná v obchodním rejstříku a přesto jen prodávat školení. Orgán EU ani český dozorový úřad to z ní nedělá.
- Výzva ke kontaktu. Nedostanete písemný popis zjištění, lhůtu ani číslo spisu, jen výzvu, abyste se s nimi spojili.
Samozřejmě i když některý z bodů chybí, pořád se může jednat o prodej.
Proč jim to funguje
Tyto e-maily kombinují skutečný předpis, velké číslo a tón, jako byste už měli problém. Potom nabídnou záchranu: zavolejte, probereme to, případně si objednejte audit a školení. Vy si oddychnete, že průšvih nemáte, ale budete přemýšlet, jestli tedy pro jistotu to neřešit.
AI Act je skutečné nařízení a pokuty v něm opravdu jsou. Lidé o něm slyšeli, ale není široce známé jako GDPR a rozsah, v jakém se týká vašeho webu kadeřnictví, restaurace, hotelu, e-shopu nebo prezentačního webu, je složité z nařízení jednoznačně uchopit.
Co AI Act skutečně řeší
AI Act (nařízení Evropského parlamentu a Rady (EU) 2024/1689) je evropský rámec pro umělou inteligenci. Nikde v něm nestojí, že by každý web musel mít nějaký certifikát. Řeší systémy umělé inteligence a role kolem nich: kdo je uvádí na trh (poskytovatel) a kdo je používá ve své činnosti (zavádějící subjekt).
Evropská komise rozděluje systémy podle míry rizika:
| Úroveň | O co jde (zjednodušeně) | Typický příklad |
|---|---|---|
| Nepřípustné riziko | Zakázané praktiky | sociální skóre, některé manipulační systémy |
| Vysoké riziko | Přísnější povinnosti (dokumentace, lidský dohled, kvalita dat a další) | AI při náboru zaměstnanců, při hodnocení úvěruschopnosti, vybraná biometrie |
| Transparentnost | Lidé mají vědět, že komunikují s AI nebo že je obsah vytvořený strojově | chatbot, deepfake, některé texty o věcech veřejného zájmu |
| Minimální nebo žádné riziko | Nařízení nepřidává zvláštní pravidla | většina běžných AI nástrojů |
Termíny účinnosti jednotlivých povinností se postupně mění. Pro základní orientaci stačí oficiální přehled Komise AI Act. Podrobnosti k označování chatbotů a strojově vytvořeného obsahu najdete v článku 50 a v otázkách a odpovědích k transparentnosti.
Tento článek není právní rada. Má majitelům webů pomoct se zorientovat, ale nenahrazuje posouzení vašeho konkrétního případu.
Co z AI Actu se může týkat webu
U běžného firemního webu se vyplatí zeptat se na pár konkrétních věcí.
Chatbot nebo virtuální asistent
Pokud návštěvník píše s botem a bot mu odpovídá jako člověk, platí povinnost transparentnosti pro systémy, které s lidmi přímo komunikují. Návštěvník musí poznat, že mluví s AI, pokud to není zřejmé ze souvislostí. Stačí k tomu například jasný nápis v okně chatu ještě před první zprávou. U chatbota od externího dodavatele nese hlavní povinnost označení obvykle poskytovatel systému. Jako provozovatel webu byste přesto měli zkontrolovat, že je označení vidět a že ho šablona webu neschovává.
Deepfake a výrazně upravený obsah
Fotky, videa nebo hlasy, které AI vytvořila nebo výrazně pozměnila, mají vlastní pravidla pro označení. Běžná produktová fotka z focení mezi ně nepatří. Vygenerovaného člověka na fotce kalendáře už je dobré označit. Ale tady je právě obrovská šedá zóna, kdy ještě jsou úpravy AI u fotek na webu nebo sociálních sítích drobné a neškodné, a kdy už mohou být klamavé a uvádět ostatní v omyl, že jde o realitu. Protože v takovém případu být označeny mají. Trh to zatím prakticky kompletně ignoruje. Přeci jen by většina firem měla pak 80x na webu “vygenerováno pomocí AI”. Je tedy zatím na každém, jak potivě se k AI bude stavět a kde nakreslí první postihy čáru, co ještě je a není akceptovatelné. Vyměnit vaši tvář za celebritu a dát si to na web bude jistě v kategorii neakceptovatelných.
Texty, které informují veřejnost o věcech veřejného zájmu
Zavádějící subjekt, který pomocí AI vytváří texty určené k informování veřejnosti o věcech veřejného zájmu, je musí v některých případech označit. Popis služeb firmy nebo produktová stránka e-shopu do této kategorie obvykle nespadne jen proto, že text někdo napsal s pomocí ChatGPT.
Co AI Act na webu neřeší
U běžného firemního webu se AI Act netýká:
- cookie lišty
- GDPR (obecného nařízení o ochraně osobních údajů, což je jiný předpis),
- kontaktního formuláře bez AI,
- rezervačního formuláře, ve kterém o lidech nerozhoduje AI.
AI Act a GDPR jsou dva různé předpisy. Cookies, souhlasy a ochrana osobních údajů spadají pod GDPR a související pravidla. Zastrašovací e-maily je mohou míchat dohromady, protože „nařízení EU a pokuta“ zní v obou případech podobně a podobné emaily a strašící taktiky se objevovaly u GDPR také.
Co nevyžádaný e-mail o vašem webu dokázat nemůže
Z pouhého pohledu na veřejný web nikdo nedokáže, že vám zítra přijde pokuta 15 milionů eur. Skutečná výzva úřadu vypadá jinak. Uvádí, který orgán ji posílá, číslo spisu, popis jednání, lhůtu a právní základ, a nežádá vás, abyste zavolali na mobil.
U prezentačního webu jde zvenku poznat jen málo. Jde poznat například:
- jestli máte chatbota a jak je označený,
- jestli je na stránce zjevný deepfake bez označení,
- případně veřejné tvrzení typu „mluvíte s naším asistentem“.
Zvenku nejde spolehlivě prověřit interní nástroje, školení zaměstnanců ani vysoce rizikové použití AI v personalistice, třeba při náboru.
Pokud se v mailu objeví výše pokut v maximální výši, tak to není realita u malých a středních podniků. Skutečná výše pokuty záleží na tom, co se stalo, jakou roli v tom firma měla a jak řízení proběhne.
Co dělat, když vám takový e-mail přijde
- Nevolejte hned. Strach je součástí nabídky.
- Projděte si znaky popsané výše. Pokud sedí, berte zprávu jako nevyžádanou obchodní nabídku.
- Zeptejte se svého webaře nebo právníka na konkrétní AI prvky na webu, jako je chatbot nebo generovaný obsah.
- Na nabídku odpovídejte, jen pokud chcete.
- Skutečnou výzvu dozorového úřadu řešte vždy. Taková výzva ale přijde typicky na datovou schránku. Vždy si ověřte doménu odesílatele zprávy, subjekt a jeho “oficialitu”. V tom vám může pomoci AI.
Zdroje
Oficiální a výkladové odkazy k AI Actu a souvisejícím tématům:
