Nevědí. K vytvoření podrobného auditu vašeho webu by potřebovali mnohem víc informací, než lze vyčíst z běžné přístupných údajů na webové stránce.
Vytvořit oficiálně vypadající e‑mail, vymyslet si institut a zastrašit firmu paragrafem je dnes otázka chvíle. Problematiky týkající se hromadného zasílání podvodných nátlakových e‑mailů bude přibývat stejně tak, jako bankovních a dalších kybernetických podovodů. Konkrétně v tomto případě se navíc jedná o nekalou obchodní praktiku.
Jak to vypadá v praxi
Schéma je pokaždé podobné. Přijde e‑mail s naléhavým předmětem ve stylu „Udělal jsem si na Vás audit, vysoké riziko". Odesílatel se představí jako auditor oficiálně znějícího institutu, tvrdí, že si prošel váš web a našel porušení evropského nařízení. Pak přijde ta podstatná část - hrozba vysoké pokuty a výzva, ať si co nejdřív zavoláte, aby se to vyřešilo.
Žádný audit přitom neproběhl. Nikdo zvenčí se nemůže podívat do vašeho webu tak, aby posoudil soulad s AI Actem. Celé je to postavené na strachu z nové regulace, které většina lidí ještě pořádně nerozumí.
Tohle píšeme z vlastní zkušenosti
Několika našim klientům přišel e‑mail od Českého institutu pro AI a Data. Ve zprávě stálo, že web porušuje AI Act, konkrétně článek 50 s hrozbou pokuty až 15 milionů eur. Řešení? Nechat si od nich udělat audit a opravit chyby, přestože na webu ve skutečnosti žádné nejsou.
Rozhodli jsme se to tedy řešit a telefonicky institut kontaktovat. Zavolali jsme na telefonní číslo uvedené v e‑mailu od pana Samuela Kuševa, vedoucího auditora z daného institutu. Po telefonu nám bylo potvrzeno, že šlo o univerzální oslovení založené na předpokladu, že značná část firem webů údajně požadavky nesplňuje. Z toho vyplývá, že žádný audit dost možná ani neproběhl.
V e‑mailu přitom stojí "Pokud by byl můj audit správný, tak by Vám hrozila pokuta až do výše 15 mil. EUR či 3 % ročního obratu." Po telefonu jsme se snažili zjistit, zda audit skutečně existuje a jaké jsou na webu chyby, ale nedostalo se nám jasné odpovědi.
Kdyby existoval skutečný problém, očekávali bychom jasný popis zjištěných nedostatků a transparentní metodiku auditu.
Podle čeho takový e‑mail poznáte
- Nesedí domény a jména. V případě, který jsme řešili, se odesílatel podepisoval jako Český institut pro AI a Data s webem ciad.cz, jenže samotný e‑mail dorazil z adresy na doméně ciadteam.cz. Seriózní organizace komunikuje z jedné konzistentní domény. Když se jméno v podpisu, adresa odesílatele a web v patičce liší, je to jasný signál.
- Straší vás nesprávnou pokutou. Částka 15 milionů eur (nebo 3 % obratu) v AI Actu existuje, ale týká se vysoce rizikových systémů a porušení technických povinností, ne běžné transparenční povinnosti z článku 50.
- Tlačí na okamžitou akci. Naléhavý předmět, výzva „hned mi zavolejte". Cílem je, abyste jednali ze strachu a nestihli si nic ověřit. Žádný oficiální institut vám nikdy nevolá s tím, že máte do večera zaplatit nebo si objednat opravu.
- Nabízí placené řešení problému, který sami našli. To je jádro celé lsti - vytvoří domnělý problém a hned na něj prodávají lék.
Není to jen otravný email. Je to za hranou zákona
Taková zpráva je nátlaková a nese znaky nekalého a klamavého jednání - uměle vytváří tlak a strach, aby z vás dostala peníze za vymyšlený problém. A nechodí jednotlivě. Tyhle e‑maily se rozesílají hromadně a plošně na stovky firem. Přitom rozesílat nevyžádaná obchodní sdělení bez souhlasu příjemce zákon zakazuje. Za čárou je tedy už samotný způsob, jakým vás osloví - natož co je obsahem.
Co je AI Act a článek 50 doopravdy
Článek 50 ukládá povinnosti hlavně tam, kde do hry vstupuje umělá inteligence znatelně a přímo. Poskytovatel chatbota musí zařídit, aby člověk poznal, že si píše se strojem, a ne s živým člověkem. Kdo zveřejňuje tzv. deepfake nebo uměle vygenerovaný obsah, měl by to označit. Rozlišuje se přitom mezi poskytovatelem systému a tím, kdo ho nasazuje - a na každého padají jiné povinnosti.
Co dělat, když vám taková zpráva přijde
Nevolejte na čísla v e‑mailu a na nic neklikejte. Nepřeposílejte peníze ani si neobjednávejte žádný audit. Pokud si nejste jistí, jestli se vás AI Act vůbec týká, zeptejte se někoho, komu důvěřujete - svého dodavatele webu, IT partnera nebo právníka.