NIST AI RMF a evropská regulace

Co mapování poskytuje

NIST AI RMF je dobrovolná metodika řízení rizik. AI Act, GDPR, DORA a český zákon o kybernetické bezpečnosti stanoví povinnosti v konkrétním rozsahu. Jedno opatření může podpořit více povinností, ale tematická shoda není právní ekvivalence ani certifikace.

Začněte účelem AI systému, svou rolí a použitelnými předpisy. Teprve potom vybírejte kontroly a důkazy. NIST Playbook se nepoužívá jako povinný seznam, který se musí celý odškrtnout.

Čtyři funkce a použitelné podklady

Funkce NIST AI RMF	Praktická otázka	Příklady podkladů
GOVERN	Kdo rozhoduje a nese odpovědnost?	Vlastníci systémů, pravidla, řízení dodavatelů, rozhodnutí o rizicích
MAP	V jakém kontextu může vzniknout škoda?	Inventář, účel, dotčené osoby, závislosti, předběžné posouzení dopadů
MEASURE	Jak zjistíme, zda systém plní očekávání?	Testovací data a metriky, výsledky, omezení a nejistota
MANAGE	Co uděláme s poznaným rizikem?	Nápravná opatření, provozní kontrola, incidentní postup a rozhodnutí o změně

GOVERN prostupuje ostatními funkcemi. Nejde o čtyři jednorázové fáze, po jejichž dokončení je systém automaticky bezpečný. NIST AI 600-1 používá GV, MP, MS a MG jako prefixy úplných identifikátorů akcí, například GV-1.1-001. Vlastní označení oddílu návodu jako MP-1 samo o sobě takovým úplným identifikátorem není; ověřte přesný pramen.

Tematické souvislosti s předpisy

Oblast	Příklady právních ustanovení	Hranice použitelnosti
Řízení AI rizik	AI Act čl. 9 a 17	Zejména vysokorizikové systémy a jejich poskytovatelé; prověřit roli a datum použitelnosti
Data a dokumentace AI systému	AI Act čl. 10 a 11, příloha IV	Požadavky na vysoce rizikové systémy AI při zohlednění role a data použitelnosti; dokumentace musí odpovídat konkrétnímu systému a obecná firemní politika ji nenahrazuje
Lidský dohled a technické požadavky	AI Act čl. 14 a 15	Vysoce rizikové systémy AI: dohled, přesnost, robustnost a kybernetická bezpečnost; posuďte roli, kontext a datum použitelnosti a zdůvodněte metriky
Ochrana osobních údajů	GDPR čl. 5, 24, 25, 28, 32 a 35	Právní základ, role a pravděpodobné riziko konkrétního zpracování
Kybernetická bezpečnost	Směrnice NIS2 čl. 20, 21 a 23 a zákon č. 264/2025 Sb.	Regulovaná služba, režim povinností a lhůty podle českého práva
Digitální odolnost financí	DORA kapitoly II–IV a kapitola V oddíl I	Dotčené finanční subjekty, proporcionalita a konkrétní prováděcí pravidla. Kapitola V oddíl II samostatně stanoví dohled nad poskytovateli služeb IKT z řad třetích stran určenými jako kritičtí podle čl. 31; tyto role nejsou zaměnitelné
Incidenty	GDPR čl. 33–34, AI Act čl. 73, NIS2 čl. 23, DORA čl. 19	Různí adresáti, spouštěcí události, prahy a lhůty; jeden obecný časový limit nestačí

Poskytovatel systému podle AI Actu, správce podle GDPR a regulovaný subjekt podle kybernetického práva nejsou zaměnitelné role. Organizace může plnit více rolí současně.

Jak sestavit vlastní matici

Pro každý relevantní požadavek evidujte právní zdroj a jeho verzi, důvod působnosti, použitelnou lhůtu, odpovědnou osobu, opatření a důkaz. Nakonec zaznamenejte, kdo důkaz přezkoumal a co zůstává otevřené.

Příklad: u náborového nástroje nestačí řádek „fairness test hotov“. Potřebujete znát účel a roli firmy, posouzení vysokého rizika, metodu měření, reprezentativnost skupin, nejistotu a postup při zjištěném dopadu. Současně posuďte ochranu osobních údajů a zapojení člověka.

Technická zkouška může poskytnout důkaz pro část požadavku. Nenahrazuje právní posouzení, schválení rizika, provozní proces ani případné posouzení shody.

Jak hodnotit pokrok

Měřte dostupnost a kvalitu důkazů, funkčnost kontrol a uzavřené nedostatky. Zralost firmy nelze odvodit z toho, že používá software nebo má soubor politik.

Názvy Partial, Risk Informed, Repeatable a Adaptive patří k Tiers v NIST Cybersecurity Framework. NIST výslovně odlišuje Tiers od maturity levels. Nejde o skórovací stupně NIST AI RMF. Ani cyklus Plan–Do–Check–Act není žebříčkem certifikace organizace.

Navazující průvodci

Ověřeno 6. 9. 2026: NIST AI RMF 1.0, NIST Playbook, NIST CSF — vysvětlení Tiers, AI Act, GDPR, NIS2, DORA.