Právní riziko umělé inteligence: CISO chrání dokumentace i smlouvy

Kybernetičtí lídři v organizacích, takzvaní CISO, se stále častěji ocitají v situaci, kdy za rozhodnutí a výstupy systémů umělé inteligence mohou nést právní i osobní odpovědnost. Podle materiálu s názvem „3 Frameworks to Protect CISOs & Orgs Against AI Liability lze těmto rizikům do značné míry předejít, pokud se organizace soustředí na tři základní oblasti: důslednou dokumentaci, transparentnost a smluvní vyjednávání s dodavateli AI.

Východiskem celého přístupu je poznání, že nasazení umělé inteligence se už neomezuje na experimenty technologických týmů. Nástroje využívající AI vstupují do bezpečnostních procesů, zákaznické podpory, analýzy dat i rozhodování o lidech, a tím se rozšiřuje okruh situací, v nichž může dojít k újmě. Pokud se něco pokazí, zajímá regulátory, partnery i soudy především to, zda organizace jednala s odbornou péčí. Právě tuto péči je třeba umět prokázat.

První z oblastí, dokumentace, tak slouží především jako důkazní opora. Bezpečnostní ředitelé by podle zdroje měli systematicky zaznamenávat, jaké systémy umělé inteligence organizace používá, k čemu slouží, jaká rizika byla při jejich zavádění identifikována a jaká opatření byla přijata. Důležité je rovněž uchovávat záznamy o tom, kdo a na jakém základě schválil konkrétní nasazení. Dobře vedená dokumentace dokládá, že rozhodnutí nebyla ukvapená ani nahodilá, a v případě sporu může výrazně posílit pozici CISO i celé organizace. Naopak absence záznamů se snadno vyloží jako nedbalost.

Druhou oblastí je transparentnost. Týká se jak vztahu k vlastnímu vedení a zaměstnancům, tak komunikace navenek. Organizace by měla být schopna srozumitelně vysvětlit, kde a jak využívá umělou inteligenci, jaká data do systémů vstupují a jaké mají tyto nástroje limity. Pro CISO to znamená také otevřeně informovat vrcholové vedení o rizicích, která s sebou nasazení AI nese, a nenechávat je jen v technických zprávách. Pokud je vedení o rizicích prokazatelně informováno a přesto se rozhodne pokračovat, přesouvá se část odpovědnosti na úroveň, která o takových krocích skutečně rozhoduje. Transparentnost tak chrání nejen reputaci firmy, ale i samotného bezpečnostního lídra.

Třetí oblastí jsou smlouvy s dodavateli AI. Mnoho organizací využívá hotová řešení třetích stran, jejichž vnitřní fungování samy plně nekontrolují. Právě proto je podle zdroje zásadní, aby se podmínky odpovědnosti řešily už při vyjednávání kontraktu. Smlouva by měla jasně určovat, kdo za co ručí, jak se naloží s daty, jaké záruky dodavatel poskytuje a jak bude řešena situace, kdy systém selže nebo způsobí škodu. Kdo tyto otázky nechá otevřené, riskuje, že se v krizové chvíli ocitne bez opory a že dopady ponese sám. Aktivní vyjednávání proto patří k nejúčinnějším preventivním nástrojům.

Všechny tři oblasti spolu úzce souvisejí a vzájemně se doplňují. Dokumentace poskytuje důkazy, transparentnost vytváří důvěru a ověřitelnost, smlouvy rozdělují odpovědnost mezi organizaci a jejího dodavatele. Pokud některý z těchto pilířů chybí, oslabují se i ostatní. Například sebelepší smlouva má omezenou hodnotu, jestliže organizace nedokáže doložit, jak s dodaným nástrojem skutečně nakládala.

Materiál zdůrazňuje, že jde o praktický a dosažitelný postup, nikoli o složitou právní konstrukci dostupnou jen největším firmám. Základem je disciplína a včasnost: záznamy je třeba vést průběžně, nikoli dodatečně po vzniku problému, a komunikaci s vedením a dodavateli nastavit dříve, než se umělá inteligence stane součástí klíčových procesů. Zdroj výslovně nepřináší konkrétní jména, data ani statistiky, soustředí se na obecný rámec.

Pro české organizace a jejich bezpečnostní ředitele z toho plyne jednoduché poučení. Odpovědnost spojenou s umělou inteligencí nelze zcela vyloučit, ale lze ji výrazně omezit důslednou dokumentací, transparentností a pečlivě vyjednanými smlouvami s dodavateli. Kdo tyto kroky podcení, vystavuje se riziku, že v případě incidentu bude muset čelit otázkám, na které nebude umět doložit odpověď.