Súlad AI s predpismi: riadenie systémov AI a využívanie AI pri práci v oblasti dodržiavania predpisov

Súlad AI s predpismi znamená dve veci: priebežnú prácu na zabezpečení toho, aby systémy AI, ktoré vaša organizácia vyvíja alebo používa, spĺňali príslušné zákony, normy a interné zásady, a využívanie AI na rutinnú, objemnú prácu v oblasti dodržiavania predpisov.

Tento článok sa venuje obom významom: rizikám, ktoré súlad AI s predpismi rieši, hlavným rámcom, budovaniu programu súladu, kontrolným opatreniam pre agentov AI a oblastiam, v ktorých AI pomáha compliance tímom. Na záver uvádza otázky, ktoré si treba položiť pred kúpou nástroja na zabezpečenie súladu.

Čo je súlad AI s predpismi?

Súlad AI s predpismi označuje dve veci: zabezpečenie toho, aby systémy AI spĺňali pravidlá stanovené reguláciou AI, a využívanie AI na prácu v oblasti dodržiavania predpisov.

V prvom význame súlad AI s predpismi zabezpečuje, že systém AI dodržiava zákony, predpisy, etické normy a interné zásady počas celého životného cyklu AI – od trénovacích dát až po výkon a používanie.

Napríklad miestny zákon č. 144 mesta New York vyžaduje, aby zamestnávatelia, ktorí používajú automatizovaný nástroj na rozhodovanie o zamestnávaní, zabezpečili jeho audit zaujatosti v lehote jedného roka od jeho použitia, zverejnili informácie o audite a informovali zamestnancov alebo uchádzačov o zamestnanie.

Zabezpečovanie súladu AI s regulačnými požiadavkami je nepretržitý proces, pretože aplikácie AI sa aktualizujú, dáta, s ktorými pracujú, sa menia a predpisy sa vyvíjajú.

V druhom význame compliance tímy využívajú AI na rutinnú, objemnú prácu, ako je monitorovanie transakcií, kontrola dokumentov a sledovanie regulačných zmien.

Niektoré finančné inštitúcie napríklad využívajú AI na kontrolu transakcií a znižovanie počtu falošne pozitívnych upozornení pri monitorovaní transakcií skôr, než analytici rozhodnú, pri ktorých z nich je potrebné podať hlásenie o podozrivej činnosti.

Súlad AI s predpismi vs. správa AI vs. riadenie rizík AI

Tieto tri pojmy sa prekrývajú, no pokrývajú rôzne oblasti: správa stanovuje pravidlá, riadenie rizík odhaľuje, čo by sa mohlo pokaziť, a súlad s predpismi zabezpečuje dodržiavanie pravidiel.

Prečo je súlad AI s predpismi dôležitý

Dosiahnutie súladu AI s predpismi obmedzuje vaše riziko pokút, chráni súkromie ľudí, ktorých údaje vaša AI spracúva, a umožňuje vašej organizácii v prípade auditu zdokladovať, ako používa systémy AI.

• Regulačné sankcie: Podľa aktu EÚ o AI môže používanie zakázanej praktiky AI, napríklad odvodzovania emócií zamestnancov na pracovisku, stáť až 35 miliónov € alebo 7 % celosvetového ročného obratu. Poskytovateľom a nasadzujúcim subjektom môžu za porušenie aktu hroziť pokuty až do výšky 15 miliónov € alebo 3 %.
• Ochrana údajov: Na systém AI, ktorý spracúva osobné údaje, sa vzťahujú zákony o ochrane údajov, napríklad GDPR v EÚ. Týka sa to aj trénovacích dát, promptov a výstupov obsahujúcich osobné údaje.
• Pripravenosť na audit: Záznamy o tom, ktoré systémy AI používate, kto ich schválil a ako ich monitorujete, vám umožnia zodpovedať sa regulačným orgánom, audítorom a zákazníkom.

Hlavné riziká, ktoré rieši súlad AI s predpismi

Súlad AI s predpismi rieši päť hlavných rizík: algoritmickú zaujatosť, nedostatočnú vysvetliteľnosť, halucinácie v regulovaných procesoch, ochranu súkromia a únik dát a tieňovú AI.

Zväčšiť

Tu sú prejavy hlavných rizík a príklady kontrolných opatrení, ktoré ich držia na uzde:

• Algoritmická zaujatosť: Model reprodukuje vzorce zo svojich trénovacích dát, ktoré znevýhodňujú určité skupiny. Nástroj na nábor zamestnancov môže napríklad hodnotiť uchádzačov nižšie na základe zástupného ukazovateľa veku alebo etnickej príslušnosti, ako je rok ukončenia štúdia alebo PSČ. Audity zaujatosti, ktoré porovnávajú výsledky naprieč demografickými skupinami, pomáhajú tieto vzorce odhaliť.
• Nedostatočná vysvetliteľnosť: Organizácia nedokáže ukázať, ako model dospel k rozhodnutiu. Ak veriteľ nevie vysvetliť, prečo model zamietol úver, nemôže výsledok obhájiť. Organizácie tomu predchádzajú dokumentovaním vstupov modelu a rozhodovacej logiky a výberom modelov so sledovateľnými výstupmi.
• Halucinácie v regulovaných procesoch: Nástroj generatívnej AI s istotou tvrdí niečo nepravdivé. Advokát môže napríklad požiadať nástroj AI o judikatúru na podporu argumentu a dostať odkazy na súdne rozhodnutia, ktoré neexistujú. Takéto chyby sa podarí zachytiť, ak sa pri každom výstupe vyžadujú zdroje a overí ich kvalifikovaná osoba.
• Ochrana súkromia a únik dát: Dôverné informácie alebo informácie o zákazníkoch sa dostanú do nástroja mimo kontroly organizácie. Zamestnanec môže napríklad vložiť záznamy o zákazníkoch do verejného nástroja AI, ktorý uchováva vstupy na trénovanie budúcich modelov. Riziko znižuje používanie výlučne schválených nástrojov so zmluvnými obmedzeniami týkajúcimi sa trénovania a uchovávania dát.
• Tieňová AI: Zamestnanci používajú nástroje AI, ktoré organizácia neschválila alebo o ktorých nemá prehľad. V prieskume Compliance Week z roku 2026 uviedlo 42 % účastníkov, že zamestnanci používajú AI bez riadenia. Medzi možné riešenia patria zoznam schválených nástrojov v kombinácii s rýchlym procesom schvaľovania nástrojov AI a webové brány.

Kľúčové rámce pre súlad AI s predpismi

Súlad AI s predpismi vychádza zo záväzných rámcov správy AI, ako je akt EÚ o AI, a z dobrovoľných rámcov, ako sú NIST AI Risk Management Framework a ISO/IEC 42001, ktoré organizáciám pomáhajú záväzné rámce dodržiavať.

Akt EÚ o AI

Akt EÚ o AI (nariadenie (EÚ) 2024/1689) uplatňuje pri regulácii AI prístup založený na riziku: niektoré praktiky sú úplne zakázané, na vysokorizikové systémy sa vzťahujú prísne obmedzenia, zatiaľ čo pre ostatné platia len mierne pravidlá transparentnosti. Vzťahuje sa na poskytovateľov a nasadzujúce subjekty kdekoľvek, ak sa „výstup vytvorený systémom AI používa v Únii“.

Povinnosti podľa aktu EÚ o AI závisia od úlohy organizácie:

• Subjekty, ktoré vyvíjajú vysokorizikový systém AI alebo ho uvádzajú na trh pod vlastným menom (poskytovatelia), musia vykonať posudzovanie zhody, umiestniť označenie CE, zaregistrovať systém, viesť technickú dokumentáciu a monitorovať ho po uvedení na trh.
• Subjekty, ktoré používajú systém vytvorený niekým iným (nasadzujúce subjekty), musia dodržiavať pokyny poskytovateľa, poveriť dohľadom osoby, ktoré majú „potrebnú spôsobilosť, odbornú prípravu a právomoc“, uchovávať logy aspoň šesť mesiacov a informovať pracovníkov a ďalšie osoby, ktorých sa rozhodnutia systému týkajú.

Zväčšiť

Akt sa zavádza postupne. Pravidlá týkajúce sa zakázaných praktík, gramotnosti v oblasti AI a AI na všeobecné účely sa uplatňujú od roku 2025, zatiaľ čo povinnosti pre vysokorizikové systémy začnú platiť 2. decembra 2027 a v prípade AI zabudovanej do výrobkov, na ktoré sa vzťahujú právne predpisy EÚ o bezpečnosti výrobkov, 2. augusta 2028.

EN 18286:2026 o systémoch manažérstva kvality je prvou európskou normou, ktorá podporuje akt. Pri poskytovateľoch, ktorí ju dodržiavajú, sa predpokladá, že spĺňajú požiadavku aktu na systém manažérstva kvality.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), zverejnený v januári 2023, je dobrovoľný americký rámec postavený na štyroch funkciách: Govern (správa), Map (mapovanie), Measure (meranie) a Manage (riadenie).

Jeho profil pre generatívnu AI, vydaný v júli 2024, uplatňuje tento rámec na riziká generatívnej AI.

ISO/IEC 42001

ISO/IEC 42001 je medzinárodná norma pre systémy manažérstva AI a pokrýva zásady, roly a procesy, ktoré riadia zodpovedný vývoj a používanie AI. Certifikácia je dobrovoľná a udeľujú ju nezávislé certifikačné orgány, nie samotná organizácia ISO.

Certifikát sa vzťahuje na systém manažérstva organizácie, nie na konkrétny produkt AI.

Americké a odvetvové pravidlá, ktoré sa vzťahujú na AI

V USA neexistuje jednotný federálny zákon o AI. Pravidlá pochádzajú od miest a štátov a z existujúcich zákonov a predpisov, ktoré sa vzťahujú na AI.

Napríklad zákon štátu Colorado SB26-189, ktorý nadobudne účinnosť 1. januára 2027, upravuje technológie automatizovaného rozhodovania a zákony o ochrane súkromia, ako sú California Consumer Privacy Act (CCPA) alebo HIPAA, sa uplatňujú vždy, keď AI spracúva chránené údaje.

Ako vybudovať program súladu AI s predpismi

Vybudovanie programu súladu AI s predpismi zahŕňa šesť krokov: zinventarizujte svoje systémy AI, klasifikujte ich podľa rizika, priraďte kontrolné opatrenia k platným pravidlám, určte vlastníkov, zdokumentujte každý systém a monitorujte ho pomocou záznamov, ktoré môže audítor skontrolovať.

Zväčšiť

Každý z nasledujúcich krokov končí záznamom, ktorý vytvára:

1. Zinventarizujte všetky systémy AI. Uveďte systémy, ktoré vaša organizácia vyvíja, kupuje alebo používa, vrátane funkcií AI v existujúcom softvéri a nástrojov, ktoré si zamestnanci osvojili bez schválenia. Zaznamenajte, čo každý z nich robí, kto ho používa a s akými dátami pracuje.
   Výstup: Inventár AI.
2. Klasifikujte každý prípad použitia podľa rizika. Ohodnoťte každý systém podľa škody, ktorú by mohol spôsobiť, pomocou schémy, ako sú úrovne rizika podľa aktu EÚ o AI. Napríklad nástroj, ktorý stanovuje poistné životného poistenia, je podľa aktu vysokorizikový, zatiaľ čo nástroj na zhrnutie interných porád nie.
   Výstup: Register rizík.
3. Priraďte kontrolné opatrenia k platným pravidlám. Uveďte zákony, normy a interné zásady, ktoré sa vzťahujú na každý systém, a kontrolné opatrenie, ktoré spĺňa jednotlivé požiadavky na súlad. Zdokumentovaná ľudská kontrola napríklad pomáha splniť požiadavky aktu EÚ o AI na ľudský dohľad nad vysokorizikovými systémami aj požiadavku NIST AI RMF na zdokumentované procesy ľudského dohľadu.
   Výstup: Mapa kontrolných opatrení.
4. Určte vlastníkov a body ľudského dohľadu. Pre každý systém určte vlastníka a rozhodnite, kde jeho výstup skontroluje človek. Napríklad právne a compliance oddelenie zodpovedá za povinnosti, bezpečnostné oddelenie za technické kontrolné opatrenia, vlastníci z biznisu za svoje prípady použitia a celkovú zodpovednosť nesie jeden vedúci pracovník. Zabezpečte, aby o tom vedeli ľudia v celej organizácii, a nastavte jasné komunikačné kanály.
   Výstup: Určení vlastníci pre každý systém.
5. Zdokumentujte každý systém. Zaznamenajte účel, trénovacie dáta, testovanie a známe obmedzenia každého systému vo formátoch, ako sú karty modelov a posúdenia vplyvu. Poskytovatelia vysokorizikových systémov musia tiež pripraviť technickú dokumentáciu podľa prílohy IV aktu EÚ o AI.
   Výstup: Súbor dokumentácie systému.
6. Monitorujte, zaznamenávajte a uchovávajte dôkazy. Logy od začiatku navrhnite ako dôkazy pre audit, aby ukazovali, čo systém urobil a kto to skontroloval. Akt EÚ o AI vyžaduje, aby vysokorizikové systémy počas celej svojej životnosti automaticky zaznamenávali udalosti. Auditná stopa by mala zachytávať:
   • Používaný model a jeho verziu
   • Vstupy a výstupy alebo ich definovanú vzorku
   • Dáta na trénovanie alebo dolaďovanie
   • Body ľudskej kontroly a ich výsledky
   • Akcie, ktoré agent vykonal, a oprávnenia, ktoré použil
   • Ako dlho sa každý záznam uchováva

Výstup: Záznamy z monitorovania a auditná stopa.

Špecializované nástroje na zabezpečenie súladu AI s predpismi, ako sú IBM watsonx.governance a OneTrust AI Governance, môžu prevziať časti tohto programu vrátane inventára AI, posúdení rizík vo vzťahu k aktu EÚ o AI a dokumentácie.

Ako schvaľovať nástroje AI, ktoré môžu zamestnanci používať

Pred schválením nástroja AI skontrolujte štyri veci:

• Prístup k dátam: Ktoré súbory, systémy a pripojené znalostné databázy môže nástroj čítať a či obsahujú osobné údaje, ktoré by mohol odhaliť.
• Trénovanie na vstupoch: Či dodávateľ používa prompty, súbory alebo výstupy na trénovanie svojich modelov a či to vaša zmluva s dodávateľom zakazuje.
• Uchovávanie: Ako dlho dodávateľ uchováva prompty, súbory a históriu konverzácií a či môžete túto dobu skrátiť.
• Hosting a prenosy: Kde dodávateľ ukladá a spracúva dáta vrátane prenosov mimo vášho regiónu.

Kontrolné opatrenia na zabezpečenie súladu pre agentov AI

Agenti AI potrebujú viac kontrolných opatrení ako nástroje na chatovanie, pretože o svojich krokoch rozhodujú sami a konajú prostredníctvom pridelených nástrojov a oprávnení. Na uzde ich udržia tri kontrolné opatrenia:

• Prístup s minimálnymi oprávneniami: Agentovi poskytnite len tie nástroje a oprávnenia, ktoré jeho úloha vyžaduje. Nadmerná autonómia (Excessive Agency), keď agent môže robiť viac, než si jeho úloha vyžaduje, patrí podľa OWASP Top 10 for LLM Applications 2026 medzi najväčšie bezpečnostné riziká.
• Log každej akcie: Zaznamenávajte každé volanie nástroja, sprístupnené dáta a použité oprávnenia, aby bolo možné dohľadať, čo agent urobil a pre koho.
• Ľudské schválenie akcií s vysokým dopadom: Vyžadujte, aby človek potvrdil kroky, ktoré odosielajú dáta mimo organizácie, presúvajú peniaze alebo sa nedajú vrátiť späť.

Ako sa AI využíva pri zabezpečovaní súladu s predpismi

Tímy pre compliance a riadenie rizík využívajú AI na monitorovanie kontrolných opatrení, posudzovanie rizík, sledovanie regulačných zmien, kontrolu dokumentov a triedenie upozornení na finančnú trestnú činnosť.

V prieskume Compliance Week z roku 2026, do ktorého sa zapojilo 193 lídrov v oblasti compliance, etiky, rizík a auditu, viac ako 83 % uviedlo, že AI používajú, a takmer 40 % uviedlo, že ju ich spoločnosti nasadili na posudzovanie a monitorovanie rizík.

Medzi bežné prípady použitia AI v oblasti compliance patria:

• Nepretržité monitorovanie súladu a zhromažďovanie dôkazov: AI vykonáva kontroly a zhromažďuje dôkazy o tom, že fungujú (napr. omeškané bezpečnostné prehliadky zariadení v závode).
• Posudzovanie a prioritizácia rizík: AI zoraďuje obchodné jednotky alebo tretie strany podľa rizika (napr. dodávateľov s novými sankciami alebo rizikom súdnych sporov).
• Monitorovanie regulačných zmien: AI sleduje publikácie regulačných orgánov a zhŕňa zmeny (napr. revidované usmernenie proti úplatkárstvu, ktoré znižuje limit pre dary v pravidlách pre výdavky).
• Kontrola dokumentov a zásad: AI porovnáva zmluvy a zásady s požiadavkami (napr. dodávateľské zmluvy bez doložky o práve na audit).
• Preverovanie z hľadiska finančnej trestnej činnosti: AI triedi upozornenia z monitorovania transakcií a preverovania zákazníkov (napr. zhody mien so sankčnými zoznamami, pri ktorých sa ukáže, že ide o inú osobu).

AI používaná na zabezpečenie súladu potrebuje rovnakú správu ako iné systémy AI. Ako v októbri 2026 uviedol britský úrad Financial Conduct Authority, „firmy zodpovedajú za systémy AI, ktoré vyvíjajú, obstarávajú a nasadzujú – vrátane ich výstupov a výsledkov“, a varoval, aby sa ľudská kontrola nestala „formalitou na ‚odškrtnutie políčka‘“.

V praxi môžu nástroje AI zvládať rutinné úlohy, ako je zhromažďovanie dôkazov alebo označovanie regulačných zmien, nie však rozhodnutia, s ktorými sa spája právna zodpovednosť, napríklad rozhodnutie, či nahlásiť podozrivú činnosť, alebo ako navrhnúť zásady.

Nástroje na kontrolu údajov v Perplexity Enterprise

Perplexity Enterprise poskytuje správcom nástroje na kontrolu trénovania na vstupoch, prístupu k údajom a ich uchovávania:

• Žiadne trénovanie na vašich údajoch: Perplexity nikdy nepoužíva podnikový obsah na trénovanie svojich modelov AI a zmluvy s externými poskytovateľmi modelov im zakazujú na ňom trénovať.
• Riadenie prístupu: SSO, SCIM a oprávnenia na základe rolí určujú, kto môže nahrávať súbory a zdieľať odpovede.
• Uchovávanie a protokoly auditu: Súbory priložené k reláciám sa odstránia po siedmich dňoch. Organizácie s 50 alebo viac miestami alebo aspoň jedným miestom Enterprise Max si môžu nastaviť aj uchovávanie relácií a dostávať protokoly auditu o aktivite používateľov.
• Certifikácie: Perplexity má certifikáciu SOC 2 Type II, spĺňa požiadavky nariadenia GDPR a prácu s chránenými zdravotnými informáciami umožňuje iba na základe podpísanej zmluvy Business Associate Agreement.

Ak si chcete tieto nástroje kontroly podrobne prejsť, kontaktujte náš obchodný tím a dohodnite si personalizovanú ukážku.

Často kladené otázky

Čo je súlad s predpismi EÚ o AI?

Súlad s predpismi EÚ o AI znamená plnenie povinností podľa aktu EÚ o umelej inteligencii, ktoré zodpovedajú vašej role (poskytovateľ alebo nasadzujúci subjekt) a úrovni rizika každého systému. Povinnosti sa uplatňujú postupne, pričom povinnosti pre vysokorizikové systémy začínajú platiť 2. decembra 2027.

Čo je AI v súlade so zákonom HIPAA?

AI v súlade so zákonom HIPAA je nástroj používaný v rámci ochranných opatrení zákona HIPAA pre chránené zdravotné informácie. Ak dodávateľ tieto informácie uchováva alebo spracúva, Ministerstvo zdravotníctva a sociálnych služieb USA vyžaduje, aby bola najprv podpísaná zmluva Business Associate Agreement.

Vzťahuje sa akt EÚ o umelej inteligencii na americké spoločnosti?

Áno. Akt o umelej inteligencii sa vzťahuje na americké spoločnosti, ktoré uvádzajú systémy AI na trh EÚ, a na tie, ktorých výstupy AI sa používajú v EÚ.

Môže AI nahradiť pracovníkov pre dodržiavanie predpisov?

AI nemôže nahradiť pracovníkov pre dodržiavanie predpisov. Organizácie zodpovedajú za svoju prácu a technológie AI môžu robiť chyby, preto musia pracovníci pre dodržiavanie predpisov výstupy AI naďalej dôkladne preverovať a schvaľovať.