Přeskočit na obsah

Přehled regulací pro management

Pro vedení organizace: nejprve určete, které povinnosti se vás týkají, kdo je vlastní a jaké důkazy chybějí. Níže uvedené regulace neplatí všechny pro každou firmu. Řada povinností již platí; odklad části high-risk pravidel AI Actu není obecným odkladem AI governance.

Pět regulací k posouzení

RegulaceCo určuje působnostPraktický výstup
AI ActDefinice systému/modelu, role, určený účel, vazba na EU a výjimky čl. 2; u high-risk čl. 6 a přílohy I/IIIInventář, zdůvodněná klasifikace a seznam povinností pro každou roli
NIS2 / český zákonKonkrétní služba, typ subjektu, velikost včetně vazeb na jiné podniky a zvláštní výjimky; česká pravidla vyššího/nižšího režimuZáznam o posouzení regulované služby, režimu a termínech
GDPRVěcná a územní působnost čl. 2–3, konkrétní zpracování a role správce/zpracovatele; nikoli občanství lidíÚčely, právní základy, záznamy zpracování a postupy práv subjektů
Data ActRole uživatele, držitele/příjemce dat, výrobce a poskytovatele související služby nebo služby zpracování dat; konkrétní kapitola a výjimkyMapa datových práv, přístup k datům a smluvní/technický plán změny poskytovatele
DORAVyjmenované finanční subjekty čl. 2 a výjimky; zvláštní rámec dohledu nad kritickými ICT poskytovateli po určení dle čl. 31; běžné ICT smlouvy mají povinnosti i bez tohoto určeníICT rámec, registr smluv, reporting a plán testování podle použitelného režimu

Rozhodnutí, která udělat nyní

  1. Potvrďte působnost a role. Zmapujte AI, regulované služby, osobní údaje, cloudové smlouvy a připojené výrobky. Integrace AI API může představovat dodávaný systém AI; role poskytovatele nevyžaduje trénování vlastního modelu.
  2. Vyřešte aktuální požadavky. Čl. 4 vyžaduje kontextová opatření podporující rozvoj AI gramotnosti u relevantních zaměstnanců a osob obsluhujících AI jménem organizace. Certifikát z kurzu může doložit školení, nikoli soulad celé organizace. Ověřte zákazy čl. 5 a relevantní transparentnost čl. 50.
  3. Zkontrolujte provozní povinnosti, které již platí. České ohlášení NIS2 a registrační termíny, práva subjektů a incidenty podle GDPR, případně DORA. Určení působnosti neodkládejte na konec roku 2026.
  4. Naplánujte práci na konkrétních high-risk systémech. Kapitola III oddíly 1–3 kromě čl. 6 odst. 5 se pro čl. 6 odst. 2 / přílohu III použijí od 2. 12. 2027, pro čl. 6 odst. 1 / přílohu I od 2. 8. 2028. Tento odklad se nevztahuje automaticky na všechny high-risk články; samostatně posuďte působnost, čl. 2 odst. 2 a 13 a přechody čl. 111. Určete povinnosti poskytovatele/zavádějícího subjektu, cestu posouzení shody a případnou FRIA/DPIA.
  5. Schvalte měřitelný plán nápravy. Přidělte vlastníky, kapacity a důkazy přijetí výstupů. Generické šablony jsou výchozí podklad; zavedená opatření vyžadují údržbu.

Přehled pro vedení — vyplňte podle vlastních důkazů

Jde o prázdnou plánovací šablonu, nikoli naměřenou připravenost, zákaznickou případovou studii nebo odhad pravděpodobnosti incidentu.

PoleZáznam
Subjekt, služba/systém a odpovědná osobaDoplnit
Relevantní povinnost a primární zdrojDoplnit
Zákonný spouštěč a termínDoplnit
Existující důkazy a mezeraDoplnit
Náprava a důkazy pro převzetíDoplnit
Rozpočet a schválený rozsah dodávkyDoplnit
Datum revize a rozhodnutíDoplnit

Procento vyplněného checklistu nevydávejte za právní soulad. Před použitím skóre určete jmenovatel, vyloučené položky a kvalitu důkazů. Náklady odhadujte ze skutečného rozsahu; maximální zákonná pokuta není očekávaná ztráta ani zaručená návratnost investice.

Další čtení

Věcná revize: 6. září 2026. Primární zdroje: AI Act, Digital Omnibus on AI, NIS2, NÚKIB: registrace a lhůty, GDPR, DORA, Data Act.