Prohlubující se propast mezi politikou v oblasti AI a jejím prosazováním v praxi

AI nemá jednotný soubor pravidel

AI se napříč odvětvími a aplikacemi zavádí rychleji, než mohou dozrát zásady a rámce správy potřebné k jejímu dohledu. Historicky se aplikace AI řídily především stávajícími předpisy na ochranu spotřebitele a soukromí a předpisy pro konkrétní odvětví, spolu s interními zásadami jednotlivých společností. Vlády nyní zavádějí požadavky specifické pro AI, ty jsou však roztříštěné a často jen omezeně určují, jak by systémy měly skutečně fungovat. Společnosti tak musí sladit externí požadavky s vlastní tolerancí vůči riziku, cíli produktů a provozní realitou.

EU nyní aktivně vymáhá některá ustanovení Aktu o umělé inteligenci, zatímco federální politika USA výslovně upřednostňuje méně zatěžující celostátní rámec a Executive Order 14365 usiluje o omezení rozporných požadavků jednotlivých států. Ty přitom v roce 2025 předložily více než 1 000 opatření souvisejících s AI. Každý z těchto orgánů vytyčuje jiný cíl a úkol sladit jejich požadavky připadá společnostem, které systémy vyvíjejí a zavádějí.

Stanovení regulačních požadavků je však jen částí problému. S tím, jak se AI nasazuje ve stále větším počtu aplikací a kontextů, musí společnosti převádět obecné požadavky a interní zásady do provozních kontrol a jednotlivých rozhodnutí AI. Žádný regulační rámec nedokáže předvídat každou aplikaci, kontext ani nutnost kompromisů. Organizace proto musí propojit závazné požadavky a interní zásady s chováním systému, měřitelnými výsledky a auditem či přezkumem. Podobný přístup zastává také NIST AI Risk Management Framework, který klade důraz na průběžné měření a řízení, nikoli na to, aby se správa systémů považovala za samostatné cvičení v oblasti dodržování předpisů. Požadavky směřují dolů a důkazy putují zpět nahoru: regulační orgány a vedení mohou stanovit požadované výsledky, organizace však musí doložit, zda je jejich systémy skutečně dosahují.

Většina praktické odpovědnosti za správu AI tak spočívá na organizacích, které tyto systémy zavádějí.

Největší problémy se správou systémů vznikají při jejich zavádění

Předpisy a rámce správy obecně stanovují zásady, povinnosti a požadované výsledky. Produkční systémy je však musí převést do jednotlivých rozhodnutí — a právě při tomto převodu začíná být správa složitá. Zásada může požadovat, aby systém předcházel diskriminaci, chránil uživatele, zajišťoval transparentnost nebo umožňoval smysluplný lidský přezkum. Provozní systém však musí odpovídat na mnohem konkrétnější otázky: při jakém prahu zasáhne, na základě jakých důkazů a s jakou mírou jistoty, kdy je nutný lidský přezkum, co se zaznamenává a co se stane, když si systém není jistý?

Regulační orgány už odpovědi na tyto otázky očekávají. FTC, DOJ, CFPB a EEOC společně uvedly, že budou u automatizovaných systémů uplatňovat své stávající pravomoci. To znamená, že se společnost dříve či později někdo zeptá, jak její systém rozhoduje.

Představme si platformu, která má jasně stanovený zákaz obtěžování. Zpráva obsahující vulgarity může být mezi přáteli neškodným škádlením, zatímco zdánlivě nevinná zpráva může být součástí dlouhodobé kampaně namířené proti jinému uživateli. Systém musí určit, jaký kontext dokáže spolehlivě využít, kolik důkazů stačí k zásahu a jaký zásah je vhodný: zprávu zablokovat, odesílatele varovat, předat případ k lidskému přezkumu, nebo nezasáhnout. Snížení prahu detekce může zachytit více škodlivého chování, zároveň však může potlačit legitimní komunikaci. Požadavek na lidský přezkum může zlepšit úsudek, ale také zásah zpozdit. Žádné z těchto rozhodnutí není stanoveno obecnou zásadou zakazující obtěžování, dohromady však určují, jak se tento zákaz skutečně uplatňuje.

Žádný dokument se zásadami tyto kompromisy předem nevyřeší, takže je někdo ve společnosti musí posoudit, zdokumentovat a znovu vyhodnocovat. Tento člověk fakticky vytváří zásady bez ohledu na to, zda to odpovídá jeho místu v organizační struktuře.

Co odpovědný přístup k AI skutečně vyžaduje

Pokud lidé, kteří systém zavádějí, fakticky vytvářejí jeho zásady, nelze odpovědný přístup k AI chápat jen jako prohlášení o záměru. Musí se totiž promítnout do každodenního chování systému. To znamená průběžně řídit, jak se AI používá, vyhodnocuje a opravuje, nikoli pouze schválit zásady nebo provést úvodní hodnocení. V praxi jsou nejdůležitější tři zásady, z nichž každá vyplývá z výše popsaných kompromisů:

• Rozsah správy by měl odpovídat závažnosti možných důsledků. Systém AI, který doporučuje texty, schvaluje půjčku, upozorňuje na bezpečnostní hrozbu nebo pomáhá při lékařském rozhodování, s sebou nese zcela odlišná rizika. Organizace musí podle možných důsledků určit, kde jsou namístě přísnější kontroly, přezkum a dohled.
• Samotná přesnost nestačí. Různé chyby mají různé náklady. Falešně pozitivní výsledek při moderování může potlačit legitimní projev, zatímco chyba při poskytování úvěrů, ve zdravotnictví nebo v oblasti bezpečnosti může mít mnohem závažnější důsledky. Správa musí zohledňovat skutečný dopad rozhodnutí v praxi, nejen výkon modelu.
• Nezbytné je průběžné vyhodnocování a zpětná vazba. Zamítnutí doporučení, odvolání, incidenty, okrajové případy i následné výsledky by měly být součástí průběžného vyhodnocování.

Praktický rámec pro interní řízení AI

Uplatnění těchto zásad v praxi vyžaduje, aby řízení bylo součástí způsobu, jakým se systémy AI navrhují, nasazují a spravují. Zvlášť důležité jsou čtyři postupy:

• Od samého začátku považujte požadavky na řízení za požadavky na produkt a systém. Kontrolní mechanismy zajišťující soulad, které se zavádějí až po nasazení, bývají nákladné a nepružné. Ochranu soukromí, transparentnost, auditovatelnost a mechanismy přezkumu lze do systému začlenit mnohem snáz, než je do něj později dodatečně zapracovat.
• Vytvořte auditovatelný řetězec od zásad k rozhodnutí. Organizace by měly být schopny propojit požadavek, kterým se řídí, nebo interní zásadu s uplatněným kontrolním mechanismem a výsledným rozhodnutím. Potřebují také důkazy, které umožní toto rozhodnutí vyhodnotit.
• Jasně určete odpovědné osoby a jejich odpovědnost. Stanovte, kdo odpovídá za zásady, kdo určuje přijatelné riziko a kdo sleduje výkonnost. Někdo by měl mít také pravomoc zasáhnout, pokud se systém chová mimo stanovené meze.
• Vybudujte sdílenou a přizpůsobitelnou infrastrukturu pro řízení. Kontrolní mechanismy pro práci s daty, auditní stopy, nastavitelné zásady, pracovní postupy přezkumu a měření by měly podporovat různé regulatorní požadavky a způsoby využití. Kontrolní mechanismy a prahové hodnoty by měly být přizpůsobitelné podle jurisdikce, aplikace a míry rizika, aby organizace mohly reagovat na měnící se požadavky, aniž by musely své systémy budovat znovu.

Řízení musí fungovat v praxi

Regulace může stanovit povinnosti a zásady, společnosti je však stále musí převést do systémů, které ve velkém měřítku přijímají skutečná rozhodnutí. Interní řízení se tak stává provozní odpovědností, nejen úkolem v oblasti souladu s předpisy. Každá společnost, která ve velkém měřítku nasazuje AI, už prostřednictvím prahových hodnot, pravidel přezkumu a postupů eskalace fakticky vytváří vlastní pravidla; jedinou otevřenou otázkou je, zda to dělá záměrně.

Regulační orgány budou nadále určovat, jakých výsledků chtějí dosáhnout, a ne vždy se shodnou. Společnost proto musí rozhodnout, jak tato očekávání promění v kontrolní mechanismy, a následně důkazy doložit, že tyto mechanismy fungují. Společnosti, které už nyní vytvoří jasné rozdělení odpovědnosti, měřitelné kontrolní mechanismy, auditovatelnost a přizpůsobitelnou infrastrukturu, budou na pokračující vývoj regulace lépe připraveny.

S tímto problémem jsem se setkal z několika úhlů pohledu: v oblasti kybernetické bezpečnosti, při vytváření rizikových modelů a nyní při provozování systémů AI ve velkém měřítku. Ve všech těchto případech platí podobné poučení: rámec funguje pouze tehdy, lze-li jej převést do jasných rozhodnutí, měřit v praxi a zlepšovat, když se v reálném světě projeví jeho nedostatky.