MAP: kontext a použití AI

Jak identifikovat, dokumentovat a klasifikovat AI systémy a jejich rizika

NIST AI RMF funkce: MAP Oddíly tohoto návodu: MP-1 až MP-5

Jde o vlastní uspořádání návodu, nikoli oficiální kategorie nebo podkategorie NIST. Například inventář je výslovně v GOVERN 1.6; MAP 2 se věnuje kategorizaci a MAP 3 schopnostem, účelu, přínosům a nákladům. Přesné identifikátory ověřujte v prameni NIST.

1. Přehled funkce MAP

MAP funkce slouží k pochopení kontextu, ve kterém AI systémy operují, a k identifikaci souvisejících rizik.

Cíle MAP

Cíl	Popis
Kontext	Pochopit intended use a operational context
Stakeholdeři	Identifikovat všechny dotčené strany
Rizika	Zmapovat potenciální rizika a dopady
Klasifikace	Kategorizovat systémy dle rizikovosti
Dokumentace	Zaznamenat podklady a zdůvodnění posouzení

2. MP-1: Intended Purpose & Context

2.1 Definice intended use

Pro každý AI systém zdokumentujte:

## AI SYSTEM: [Název]

### 1. Primární účel
- Co systém dělá?
- Jaký business problém řeší?
- Jaká je cílová metrika úspěchu?

### 2. Intended users
- Kdo bude systém používat?
- Jaká je jejich úroveň AI literacy?
- Jaký mají přístup k výsledkům?

### 3. Intended beneficiaries
- Kdo benefituje z výstupů systému?
- Jsou to stejné osoby jako users?

### 4. Operational context
- V jakém prostředí bude systém nasazen?
- Jaké jsou časové/prostorové omezení?
- Jaká je kritičnost systému?

### 5. Known limitations
- Co systém NEDĚLÁ?
- Jaké jsou známé edge cases?
- Jaké jsou performance hranice?

### 6. Misuse potential
- Jak by mohl být systém zneužit?
- Jaká preventivní opatření jsou na místě?

2.2 Context mapping

3. MP-2: Stakeholder identification

3.1 Kategorie stakeholderů

Kategorie	Popis	Příklady
AI Actors	Ti, kdo vyvíjejí/nasazují AI	Developers, Operators
Direct Users	Ti, kdo přímo používají AI	Zaměstnanci, Zákazníci
Affected Individuals	Ti, na které AI dopadá	Subjekty rozhodnutí
Affected Communities	Širší komunity dotčené AI	Demografické skupiny
Oversight Bodies	Ti, kdo dohlížejí	Regulátoři, Auditors

3.2 Stakeholder matrix

Stakeholder	Zájem	Vliv	Engagement strategie
End users	Vysoký	Střední	Informovat, vzdělávat
Affected individuals	Vysoký	Nízký	Transparentnost, práva
Regulátoři	Střední	Vysoký	Compliance, reporting
Management	Vysoký	Vysoký	Rozhodování, governance
Data subjects	Vysoký	Nízký	Informování a uplatnění práv podle GDPR

Matice je příklad; zájem, vliv a způsob zapojení určete podle kontextu. Souhlas je pouze jedním z možných právních základů, nikoli výchozím požadavkem každého zpracování.

3.3 Impact na stakeholdery

Pro každou skupinu stakeholderů vyhodnoťte:

Dopad	Otázky	Závažnost
Ekonomický	Ovlivňuje finance, zaměstnání?
Zdravotní	Může způsobit fyzickou/psychickou újmu?
Právní	Ovlivňuje právní postavení?
Sociální	Ovlivňuje sociální status, reputaci?
Autonomie	Omezuje svobodu rozhodování?

4. MP-3: AI System Inventory

4.1 Inventura - template

# AI SYSTEM INVENTORY

## System ID: AI-2025-XXX

### Basic Information
| Field | Value |
|-------|-------|
| Name | |
| Description | |
| Department | |
| Status | ☐ Development ☐ Testing ☐ Production ☐ Retired |

### Classification
| Field | Value |
|-------|-------|
| Type | ☐ Internal ☐ Third-party ☐ Embedded |
| Category | ☐ ML Model ☐ GAI ☐ Rule-based ☐ Hybrid |
| Internal risk rating and reasoning | |
| AI Act purpose and organisational role | |
| AI Act assessment: Articles 5 and 6, applicable duties including Article 50 | |
| Relevant provisions, evidence and application dates | |

### Data
| Field | Value |
|-------|-------|
| Training data sources | |
| Inference data types | |
| Contains PII? | ☐ Yes ☐ No |
| Special categories (GDPR Art. 9)? | ☐ Yes ☐ No |

### Technical
| Field | Value |
|-------|-------|
| Model type/architecture | |
| Hosting | ☐ On-premise ☐ Cloud ☐ Hybrid |
| Integration points | |

### Governance
| Field | Value |
|-------|-------|
| Pre-deployment review date | |
| Last review date | |
| Next review date | |
| DPIA required? | ☐ Yes ☐ No |
| DPIA completed? | ☐ Yes ☐ No ☐ N/A |

4.2 Kategorizace AI systémů

Dle typu

Kategorie	Popis	Příklady
ML/DL Models	Statistické modely	Churn prediction, Image classification
Generative AI	Modely generující obsah	ChatGPT, Claude, DALL-E
Rule-based systems	Expertní systémy, decision trees	Business rules engines
Robotic Process Automation	Automatizace procesů	UiPath, Power Automate
Embedded AI	AI v produktech	Smart devices, Vehicles

Pravidlové systémy ani RPA nejsou automaticky systémy AI podle AI Actu. U každého použití posuďte definici v čl. 3 bodě 1.

Dle deployment modelu

Model	Kontrola dat	Kontrola modelu	Příklady
Vlastní vývoj	Široká, v mezích práv a povinností	Široká, podle použitých komponent	In-house ML
Fine-tuned	Podle dat, přístupu a smlouvy	Podle základního modelu a nasazení	Fine-tuned LLM
API/SaaS	Podle role, účelu a smlouvy	Omezená na dostupné rozhraní a konfiguraci	Externí modelové API
Embedded	Podle role a účelu výrobku/systému	Podle možností integrace a dodavatele	AI v produktech

5. MP-4: Risk Identification

5.1 EU AI Act klasifikace

Účel a role: odlište model a systém, zamýšlené použití a roli firmy. Vlastní aplikace nad API může znamenat roli poskytovatele systému.
Zakázané praktiky: projděte přesné podmínky a výjimky čl. 5. Například ne každé hodnocení osob je zakázaný social scoring a zákaz rozpoznávání emocí v práci má vymezené výjimky. Použijte aktuální znění včetně odlišných lhůt novelizovaných ustanovení.
Vysoké riziko přes výrobek: posuďte čl. 6 odst. 1 a přílohu I — bezpečnostní komponentu či výrobek a požadavek posouzení shody třetí stranou; zohledněte i zvláštní pravidla čl. 6 odst. 1a–1c.
Vysoké riziko přes použití: posuďte konkrétní oblasti přílohy III podle čl. 6 odst. 2, včetně podmínek čl. 6 odst. 3 a povinného zdůvodnění, pokud se uplatní výjimka. Systém z přílohy III provádějící profilování fyzických osob je vždy vysoce rizikový. Poskytovatel, který využije výjimku podle čl. 6 odst. 3, musí posouzení zdokumentovat před uvedením na trh nebo do provozu a podléhá registraci podle čl. 49 odst. 2. Samotný název odvětví nestačí.
Další povinnosti: samostatně prověřte čl. 50 podle konkrétní interakce či obsahu, případné povinnosti GPAI a ostatní předpisy. Transparentnost může platit souběžně s jinými požadavky.

Závěr musí obsahovat podklad, roli, relevantní povinnost, časovou použitelnost a otevřené otázky. Podrobný postup uvádí průvodce klasifikací; aktualizace jsou v časové ose.

5.2 NIST Risk categories

12 kategorií rizik dle NIST AI 600-1 (pro GAI): Priority v následující tabulce jsou příkladem interního hodnocení, nikoli ratingem NIST; určete je podle kontextu.

#	Riziko	Příklady	Priorita
R1	CBRN	Informace o zbraních	Critical
R2	Confabulation	Halucinace, nepravdy	Critical
R3	Dangerous Content	Škodlivý obsah	Critical
R4	Data Privacy	Únik osobních údajů	Critical
R5	Environmental	Carbon footprint	Medium
R6	Harmful Bias	Diskriminace	Critical
R7	Human-AI Config	Automation bias	High
R8	Information Integrity	Dezinformace	Critical
R9	Information Security	Kyberútoky	Critical
R10	Intellectual Property	Copyright	High
R11	Obscene Content	CSAM, NCII	Critical
R12	Value Chain	Supply chain rizika	High

6. MP-5: Impact Assessment

6.1 AI Impact Assessment (AIIA)

Tato AIIA je obecná pracovní šablona. Nenahrazuje případné zákonné posouzení základních práv podle čl. 27 AI Actu ani DPIA podle čl. 35 GDPR; každé má vlastní podmínky a obsah.

Struktura AIIA:

# AI IMPACT ASSESSMENT

## 1. System Overview
- System ID:
- Purpose:
- Owner:

## 2. Stakeholder Analysis
| Stakeholder | Positive Impact | Negative Impact | Mitigation |
|-------------|-----------------|-----------------|------------|
| | | | |

## 3. Rights & Freedoms Impact
| Right/Freedom | Impact Level | Justification | Safeguards |
|---------------|--------------|---------------|------------|
| Privacy | | | |
| Non-discrimination | | | |
| Human dignity | | | |
| Freedom of expression | | | |

## 4. Risk Assessment
| Risk | Likelihood | Severity | Score | Mitigation |
|------|------------|----------|-------|------------|
| | L/M/H | L/M/H | | |

## 5. Proportionality
- Is AI necessary for this purpose?
- Are there less invasive alternatives?
- Is the benefit proportional to the risk?

## 6. Safeguards
| Safeguard | Implementation | Status |
|-----------|----------------|--------|
| Human oversight | | |
| Appeal mechanism | | |
| Transparency notice | | |

## 7. Conclusion
☐ Approved - proceed with safeguards
☐ Approved with conditions
☐ Not approved - unacceptable risk

## 8. Review and approval
| Role | Name | Date | Opinion or decision |
|------|------|------|---------------------|
| AI Owner | | | |
| DPO, where relevant: advice | | | |
| Legal, where relevant | | | |
| Accountable decision-maker | | | |

Pověřenec (DPO), pokud je určen, poskytuje poradenství a monitoruje soulad; jeho stanovisko nepřenáší odpovědnost správce za zpracování ani není univerzálním schvalovacím podpisem.

6.2 DPIA Integration

Kdy je potřeba DPIA: před zahájením zpracování, které pravděpodobně představuje vysoké riziko pro práva a svobody osob. Článek 35 GDPR zahrnuje například rozsáhlé systematické vyhodnocování osobních aspektů založené na automatizovaném zpracování, na němž stojí rozhodnutí s právními nebo obdobně významnými účinky, rozsáhlé zpracování zvláštních kategorií údajů a rozsáhlé systematické monitorování veřejně přístupných prostor. Prověřte i relevantní seznamy dozorového úřadu.

AIIA + DPIA kombinace:

7. Implementační checklist

Časy a fáze jsou orientační interní plán, nikoli lhůty NIST nebo právních předpisů. Rozsah a prioritu posouzení přizpůsobte riziku; zákonné povinnosti určete samostatně.

Fáze 1: Inventura (Týden 1-2)

Identifikovat všechny AI systémy v organizaci
Pro každý systém vyplnit základní inventární kartu
Kategorizovat dle typu (ML/GAI/Rule-based)
Identifikovat ownery

Fáze 2: Klasifikace (Týden 3-4)

Pro každý systém provést EU AI Act klasifikaci
Identifikovat high-risk systémy
Mapovat na NIST risk kategorie (pro GAI)
Prioritizovat dle rizikovosti

Fáze 3: Impact Assessment (Týden 5-8)

Provést AIIA pro prioritní systémy podle interního hodnocení; samostatně určit případné zákonné posouzení dopadů
Provést DPIA kde vyžadováno
Identifikovat stakeholdery a dopady
Navrhnout mitigační opatření

Fáze 4: Dokumentace (Ongoing)

Centralizovat inventuru
Nastavit review cyklus
Integrovat s change management
Automatizovat kde možné

8. Nástroje a šablony

Nástroj	Účel	Lokace
AI Inventory Template	Evidence AI systémů	`/templates/open/`
Risk Classification Checklist	EU AI Act klasifikace	`/templates/open/`
GAI Risk Assessment	12 GAI rizik	`/templates/open/assessments/`
DPIA Template	Data protection assessment	`/templates/open/assessments/`

Pokračujte na MEASURE pro implementaci MEASURE funkce.

AI-Native Entry Framework | CC BY-NC-SA 4.0