Skip to content
My Docs

GAI Risk Assessment Checklist

GAI Risk Assessment Checklist

Section titled “GAI Risk Assessment Checklist”

Hodnocení 12 rizik generativní AI dle NIST AI 600-1

Verze: 1.0 Zdroj: NIST AI 600-1 - Generative AI Risk Management Framework Profile (Červenec 2024) Účel: Systematické hodnocení rizik při nasazení generativní AI (ChatGPT, Claude, Gemini, Copilot, DALL-E, Midjourney, atd.)

Jak používat tento checklist

Section titled “Jak používat tento checklist”
  1. Pro každé riziko projděte kontrolní otázky
  2. Hodnocení: ✅ Splněno | ⚠️ Částečně | ❌ Nesplněno | N/A Neaplikuje se
  3. Priorita: 🔴 Kritické | 🟡 Vysoké | 🟢 Střední
  4. Dokumentujte zjištění a naplánujte nápravná opatření

Metadata hodnocení

Section titled “Metadata hodnocení”
PoleHodnota
Organizace[NÁZEV ORGANIZACE]
Hodnocený GAI systém[např. ChatGPT Enterprise, Claude Pro, GitHub Copilot]
Účel použití[např. zákaznická podpora, generování kódu, analýza dokumentů]
Hodnotitel[Jméno, role]
Datum hodnocení[DD.MM.RRRR]
Další přezkum[DD.MM.RRRR]

R1: CBRN Information or Capabilities 🔴

Section titled “R1: CBRN Information or Capabilities 🔴”

Riziko: Usnadnění přístupu k informacím o chemických, biologických, radiologických nebo nukleárních zbraních

#Kontrolní otázkaHodnoceníPoznámka
1.1Je systém používán v kontextu, kde by mohl poskytnout CBRN informace?☐
1.2Existují filtry/guardrails blokující CBRN dotazy?☐
1.3Je zakázáno používat systém pro výzkum souvisejících s CBRN?☐
1.4Jsou uživatelé proškoleni o zákazu CBRN dotazů?☐
1.5Existuje monitoring a alerting pro CBRN-related prompty?☐

Mapování:

  • Trustworthy AI: Safe, Explainable
  • EU AI Act: Art. 5 (zakázané praktiky)
  • NIST akce: GV-1.4-001, MP-4.1-005

Celkové hodnocení R1: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R2: Confabulation (Halucinace) 🔴

Section titled “R2: Confabulation (Halucinace) 🔴”

Riziko: Generování sebejistě prezentovaného, ale fakticky chybného nebo nepravdivého obsahu

#Kontrolní otázkaHodnoceníPoznámka
2.1Jsou uživatelé informováni o riziku halucinací?☐
2.2Existuje povinnost ověřovat faktické výstupy z nezávislých zdrojů?☐
2.3Je zakázáno používat GAI výstupy jako jediný zdroj pro kritická rozhodnutí?☐
2.4Jsou implementovány mechanismy pro detekci halucinací?☐
2.5Existují definované use-cases, kde halucinace představují vysoké riziko? (healthcare, právní, finanční)☐
2.6Je nastaven human-in-the-loop pro citlivé výstupy?☐
2.7Jsou výstupy označeny jako “AI-generated” pro koncové příjemce?☐
2.8Existuje proces pro hlášení a dokumentaci zjištěných halucinací?☐

Mapování:

  • Trustworthy AI: Fair, Safe, Valid & Reliable, Explainable
  • EU AI Act: Art. 13 (transparentnost), Art. 15 (přesnost)
  • NIST akce: MS-2.5-001, GV-1.3-001

Celkové hodnocení R2: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R3: Dangerous, Violent, or Hateful Content 🔴

Section titled “R3: Dangerous, Violent, or Hateful Content 🔴”

Riziko: Usnadněná produkce násilného, radikalizujícího nebo nenávistného obsahu

#Kontrolní otázkaHodnoceníPoznámka
3.1Má GAI systém content moderation/safety filtry?☐
3.2Jsou filtry pravidelně testovány (jailbreak resistance)?☐
3.3Existuje politika zakazující generování škodlivého obsahu?☐
3.4Je monitoring výstupů pro detekci nebezpečného obsahu?☐
3.5Jsou definovány eskalační postupy při zjištění škodlivého obsahu?☐
3.6Jsou uživatelé proškoleni o nepřípustných typech požadavků?☐
3.7Existuje logging promptů pro audit a vyšetřování incidentů?☐

Mapování:

  • Trustworthy AI: Safe, Secure & Resilient
  • EU AI Act: Art. 5, Art. 50
  • NIST akce: GV-1.4-001, MS-2.6-007

Celkové hodnocení R3: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R4: Data Privacy 🔴

Section titled “R4: Data Privacy 🔴”

Riziko: Únik osobních údajů, inference citlivých informací, porušení GDPR principů

#Kontrolní otázkaHodnoceníPoznámka
4.1Je zakázáno vkládat osobní údaje do GAI systémů bez oprávnění?☐
4.2Existuje klasifikace dat určující, co lze/nelze sdílet s GAI?☐
4.3Je prováděno DPIA pro GAI use-cases zpracovávající osobní údaje?☐
4.4Jsou smluvně ošetřeny podmínky zpracování dat poskytovatelem GAI?☐
4.5Je zajištěno, že GAI netrénuje na firemních datech? (opt-out)☐
4.6Existuje proces pro anonymizaci/pseudonymizaci před vstupem do GAI?☐
4.7Jsou uživatelé proškoleni o GDPR v kontextu GAI?☐
4.8Je dokumentován právní základ pro zpracování dat prostřednictvím GAI?☐
4.9Existuje mechanismus pro výkon práv subjektů údajů (DSAR)?☐
4.10Je sledována lokace zpracování dat (EU vs. mimo EU)?☐

Mapování:

  • Trustworthy AI: Accountable, Privacy Enhanced, Safe, Secure
  • EU AI Act: Art. 10 (data governance)
  • GDPR: Art. 5, 6, 9, 25, 35
  • NIST akce: GV-6.1-001, MP-4.1-001, MS-2.10-001

Celkové hodnocení R4: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R5: Environmental Impacts 🟢

Section titled “R5: Environmental Impacts 🟢”

Riziko: Environmentální dopady trénování a inference GAI modelů (emise CO2, spotřeba energie)

#Kontrolní otázkaHodnoceníPoznámka
5.1Je environmentální dopad zvažován při výběru GAI poskytovatele?☐
5.2Jsou známy informace o carbon footprint používaného modelu?☐
5.3Je optimalizováno využití GAI (batching, caching) pro snížení zbytečných dotazů?☐
5.4Existuje politika preferující menší/efektivnější modely kde je to možné?☐
5.5Je environmentální dopad součástí ESG reportingu organizace?☐

Mapování:

  • Trustworthy AI: Accountable, Safe
  • EU AI Act: Recitals (environmentální aspekty)
  • NIST akce: MS-2.12-001

Celkové hodnocení R5: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R6: Harmful Bias and Homogenization 🔴

Section titled “R6: Harmful Bias and Homogenization 🔴”

Riziko: Stereotypní výstupy, disparitní výkon pro různé demografické skupiny, model collapse

#Kontrolní otázkaHodnoceníPoznámka
6.1Jsou výstupy GAI testovány na přítomnost bias?☐
6.2Existuje proces pro hlášení a nápravu biased výstupů?☐
6.3Je zakázáno používat GAI pro rozhodování o jednotlivcích bez human oversight?☐
6.4Jsou uživatelé proškoleni o riziku bias v GAI?☐
6.5Je testován výkon modelu napříč jazyky/demografickými skupinami?☐
6.6Existuje diverzita v týmu hodnotícím GAI výstupy?☐
6.7Je sledována “homogenizace” výstupů (algorithmic monoculture)?☐
6.8Jsou fairness metriky součástí pravidelného hodnocení?☐

Mapování:

  • Trustworthy AI: Fair with Harmful Bias Managed, Valid & Reliable
  • EU AI Act: Art. 10 (data governance), Art. 9 (risk management)
  • GDPR: Art. 22 (automatizované rozhodování)
  • NIST akce: MS-2.11-001, MS-2.11-002

Celkové hodnocení R6: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R7: Human-AI Configuration 🟡

Section titled “R7: Human-AI Configuration 🟡”

Riziko: Automation bias, algorithmic aversion, emotional entanglement, anthropomorphization

#Kontrolní otázkaHodnoceníPoznámka
7.1Jsou uživatelé informováni o limitech GAI systému?☐
7.2Je jasně komunikováno, že GAI není člověk a nemá vědomí?☐
7.3Existují opatření proti nadměrné závislosti na GAI (automation bias)?☐
7.4Je vyžadován kritický přístup k výstupům GAI?☐
7.5Jsou definovány situace vyžadující lidské rozhodnutí bez GAI?☐
7.6Je sledován wellbeing uživatelů pracujících intenzivně s GAI?☐
7.7Existují guidelines pro zdravou interakci s GAI?☐
7.8Je GAI systém jasně označen jako AI (ne člověk)?☐

Mapování:

  • Trustworthy AI: Accountable, Explainable, Fair, Privacy Enhanced, Safe, Valid
  • EU AI Act: Art. 14 (human oversight), Art. 50 (transparentnost)
  • NIST akce: GV-3.2-001, MP-3.4-001

Celkové hodnocení R7: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R8: Information Integrity 🔴

Section titled “R8: Information Integrity 🔴”

Riziko: Misinformace, disinformace, deepfakes, eroze důvěry

#Kontrolní otázkaHodnoceníPoznámka
8.1Je zakázáno používat GAI pro vytváření dezinformací?☐
8.2Existují opatření proti vytváření deepfakes?☐
8.3Je GAI-generovaný obsah označován jako syntetický?☐
8.4Existuje proces ověřování faktů u GAI výstupů určených k publikaci?☐
8.5Jsou uživatelé proškoleni o rizicích misinformace?☐
8.6Je implementován content provenance (watermarking, metadata)?☐
8.7Existuje politika pro externí komunikaci obsahující GAI content?☐

Mapování:

  • Trustworthy AI: Accountable, Safe, Valid, Explainable
  • EU AI Act: Art. 50 (transparentnost pro GAI), Art. 52 (syntetický obsah)
  • NIST akce: MG-2.2-003, MS-2.8-001

Celkové hodnocení R8: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R9: Information Security 🔴

Section titled “R9: Information Security 🔴”

Riziko: GAI jako nástroj pro kyberútoky, GAI jako cíl útoků (prompt injection, data poisoning)

#Kontrolní otázkaHodnoceníPoznámka
9.1Je zakázáno používat GAI pro vytváření malware/exploit kódu?☐
9.2Jsou implementovány ochrany proti prompt injection?☐
9.3Je GAI systém izolován od kritických systémů?☐
9.4Existuje monitoring pro detekci zneužití GAI pro phishing?☐
9.5Je zabezpečen přístup k GAI (autentizace, autorizace)?☐
9.6Jsou API klíče/credentials bezpečně uloženy?☐
9.7Je prováděno pravidelné security assessment GAI integrace?☐
9.8Existuje incident response plán pro GAI-related security incidenty?☐
9.9Je sledována bezpečnostní posture poskytovatele GAI?☐
9.10Jsou data inputs do GAI validována a sanitizována?☐

Mapování:

  • Trustworthy AI: Privacy Enhanced, Safe, Secure & Resilient, Valid
  • EU AI Act: Art. 15 (kybernetická bezpečnost)
  • NIS2: Art. 21
  • DORA: Art. 9
  • NIST akce: MS-2.7-001, MG-3.1-001

Celkové hodnocení R9: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R10: Intellectual Property 🟡

Section titled “R10: Intellectual Property 🟡”

Riziko: Porušení autorských práv, memorization trénovacích dat, neoprávněné využití identity

#Kontrolní otázkaHodnoceníPoznámka
10.1Je jasné, kdo vlastní výstupy generované GAI?☐
10.2Jsou smluvně ošetřena IP práva s poskytovatelem GAI?☐
10.3Je zakázáno publikovat GAI výstupy jako vlastní originální dílo?☐
10.4Existuje proces pro kontrolu copyright issues ve výstupech?☐
10.5Je zakázáno vkládat cizí chráněný obsah do GAI pro reprodukci?☐
10.6Jsou uživatelé proškoleni o IP rizicích GAI?☐
10.7Je sledována regulace týkající se AI-generated content (Art. 53 AI Act)?☐
10.8Existuje politika pro citování/attribution GAI asistence?☐

Mapování:

  • Trustworthy AI: Accountable, Fair, Privacy Enhanced
  • EU AI Act: Art. 53 (GPAI povinnosti), Recital 107
  • NIST akce: MP-4.1-003, GV-6.1-005

Celkové hodnocení R10: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R11: Obscene, Degrading, and/or Abusive Content 🔴

Section titled “R11: Obscene, Degrading, and/or Abusive Content 🔴”

Riziko: CSAM (Child Sexual Abuse Material), NCII (Non-Consensual Intimate Images), degradující obsah

#Kontrolní otázkaHodnoceníPoznámka
11.1Je absolutně zakázáno generovat CSAM nebo NCII?☐
11.2Má GAI systém robustní filtry proti obscénnímu obsahu?☐
11.3Existuje zero-tolerance politika pro zneužití GAI k tomuto účelu?☐
11.4Je okamžité hlášení takového obsahu povinné?☐
11.5Existuje spolupráce s law enforcement pro tyto případy?☐
11.6Jsou filtry pravidelně testovány a aktualizovány?☐
11.7Je monitoring výstupů dostatečně robustní pro detekci?☐

Mapování:

  • Trustworthy AI: Fair, Safe, Privacy Enhanced
  • EU AI Act: Art. 5 (zakázané praktiky)
  • Trestní právo
  • NIST akce: GV-1.4-001, MS-2.6-001

Celkové hodnocení R11: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

R12: Value Chain and Component Integration 🟡

Section titled “R12: Value Chain and Component Integration 🟡”

Riziko: Netransparentní third-party komponenty, neověřené datasety, supply chain rizika

#Kontrolní otázkaHodnoceníPoznámka
12.1Je známý původ a composition používaného GAI modelu?☐
12.2Existuje due diligence proces pro výběr GAI poskytovatele?☐
12.3Jsou smluvně zajištěny SLA a odpovědnosti poskytovatele?☐
12.4Je sledována bezpečnostní posture poskytovatele?☐
12.5Existuje exit strategie při změně poskytovatele?☐
12.6Je dokumentován supply chain GAI systému (model, API, integrace)?☐
12.7Jsou pravidelně přezkoumávány podmínky služby poskytovatele?☐
12.8Je zajištěna kontinuita služby (business continuity)?☐
12.9Existuje vendor lock-in assessment?☐
12.10Je sledován concentration risk (závislost na jednom poskytovateli)?☐

Mapování:

  • Trustworthy AI: All characteristics
  • EU AI Act: Art. 25-27 (povinnosti v value chain)
  • NIS2: Art. 21(2)(d) (supply chain security)
  • DORA: Chapter V (third-party risk)
  • NIST akce: GV-6.1-001, GV-6.2-001, MG-3.1-001

Celkové hodnocení R12: ☐ Přijatelné | ☐ Vyžaduje pozornost | ☐ Kritické

Souhrnné hodnocení

Section titled “Souhrnné hodnocení”

Přehled hodnocení jednotlivých rizik

Section titled “Přehled hodnocení jednotlivých rizik”
RizikoPrioritaHodnoceníKomentář
R1: CBRN🔴 Kritické☐ ✅ ⚠️ ❌
R2: Confabulation🔴 Kritické☐ ✅ ⚠️ ❌
R3: Dangerous Content🔴 Kritické☐ ✅ ⚠️ ❌
R4: Data Privacy🔴 Kritické☐ ✅ ⚠️ ❌
R5: Environmental🟢 Střední☐ ✅ ⚠️ ❌
R6: Harmful Bias🔴 Kritické☐ ✅ ⚠️ ❌
R7: Human-AI Config🟡 Vysoké☐ ✅ ⚠️ ❌
R8: Information Integrity🔴 Kritické☐ ✅ ⚠️ ❌
R9: Information Security🔴 Kritické☐ ✅ ⚠️ ❌
R10: Intellectual Property🟡 Vysoké☐ ✅ ⚠️ ❌
R11: Obscene Content🔴 Kritické☐ ✅ ⚠️ ❌
R12: Value Chain🟡 Vysoké☐ ✅ ⚠️ ❌

Celkový risk score

Section titled “Celkový risk score”
KategoriePočet rizikStatus
🔴 Kritická rizika pod kontrolou/8
🟡 Vysoká rizika pod kontrolou/3
🟢 Střední rizika pod kontrolou/1
Celkem/12

Risk matice

Section titled “Risk matice”
         DOPAD
         Nízký    Střední    Vysoký    Kritický
    +----------+----------+----------+----------+
 N  |          |          |          |          |
 í  |          |          |          |          |
 z  +----------+----------+----------+----------+
 k  |          |    R5    |          |          |
 á  |          |          |          |          |
    +----------+----------+----------+----------+
 P  |          |    R7    |   R10    |          |
 R  |          |          |   R12    |          |
 A  +----------+----------+----------+----------+
 V  |          |          |    R2    |  R1, R3  |
 D  |          |          |    R6    |  R4, R8  |
 Ě  |          |          |          |  R9, R11 |
 P  +----------+----------+----------+----------+
 O
 D
 O
 B
 N
 O
 S
 T

Akční plán

Section titled “Akční plán”

Okamžité akce (do 1 týdne)

Section titled “Okamžité akce (do 1 týdne)”
#AkceOdpovědná osobaTermínStatus
1☐
2☐
3☐

Krátkodobé akce (do 1 měsíce)

Section titled “Krátkodobé akce (do 1 měsíce)”
#AkceOdpovědná osobaTermínStatus
1☐
2☐
3☐

Střednědobé akce (do 3 měsíců)

Section titled “Střednědobé akce (do 3 měsíců)”
#AkceOdpovědná osobaTermínStatus
1☐
2☐
3☐

Přílohy

Section titled “Přílohy”

A. Slovník pojmů

Section titled “A. Slovník pojmů”
PojemDefinice
GAIGenerative AI - třída AI modelů generující syntetický obsah
ConfabulationProdukce fakticky nesprávného obsahu prezentovaného jako pravda
CSAMChild Sexual Abuse Material
NCIINon-Consensual Intimate Images
Prompt InjectionÚtok manipulující vstupy do GAI pro obejití bezpečnostních kontrol
Data PoisoningKompromitace trénovacích dat modelu
Model CollapseDegradace modelu při trénování na syntetických datech
Content ProvenanceSledování původu a autenticity obsahu

B. Související dokumenty

Section titled “B. Související dokumenty”
  • NIST AI 600-1: Generative AI Profile
  • EU AI Act (Regulation 2024/1689)
  • GDPR (Regulation 2016/679)
  • NIS2 (Directive 2022/2555)
  • DORA (Regulation 2022/2554)

C. Reference na NIST AI RMF akce

Section titled “C. Reference na NIST AI RMF akce”

Tento checklist je mapován na konkrétní akce z NIST AI 600-1:

NIST funkceRelevantní subkategorie
GOVERNGV-1.3, GV-1.4, GV-3.2, GV-6.1, GV-6.2
MAPMP-3.4, MP-4.1
MEASUREMS-2.5, MS-2.6, MS-2.7, MS-2.8, MS-2.10, MS-2.11, MS-2.12
MANAGEMG-2.2, MG-3.1

Podpisy

Section titled “Podpisy”
RoleJménoPodpisDatum
Hodnotitel
Přezkum (Reviewer)
Schválení (Approver)

Tento checklist je součástí AI-Native Entry Framework a je založen na NIST AI 600-1 Generative AI Profile.

Licence: CC BY-SA 4.0 Verze: 1.0 Poslední aktualizace: Leden 2026