Překryvy a synergie regulací
Společné inventáře, odpovědnosti a důkazy mohou omezit duplicitní práci. Přínos závisí na existujících opatřeních a skutečné působnosti; tento průvodce neslibuje naměřenou procentní úsporu ani pevnou dobu dosažení souladu s pěti regulacemi.
Co lze sdílet a co zůstává specifické
| Proces | Společný základ | Samostatné právní podmínky |
|---|---|---|
| Řízení rizik | Registr aktiv/systémů, vlastníci a sledování nápravy | AI Act čl. 9 u relevantních poskytovatelů high-risk; NIS2 čl. 21; ICT rámec DORA; GDPR rizika pro lidi |
| Incidenty | Příjem, časové záznamy, důkazy, eskalace a náprava | Oznamovatelnost, příjemci a běh lhůt každého předpisu — viz níže |
| Správa dat | Původ dat, přístupy, klasifikace a retenční plán | GDPR účel/titul; Data Act práva k osobním i neosobním datům; AI Act čl. 10 podle působnosti |
| Dokumentace | Jeden prostor s verzí, rozsahem, vlastníkem a odkazy na důkazy | Záznamy GDPR čl. 30 s omezenými výjimkami; příloha IV pro relevantní poskytovatele high-risk; smlouvy/aktiva DORA |
| Vzdělávání | Matice rolí, praktická výuka, záznamy a revize | Kontextová opatření AI gramotnosti, relevantní kybernetické povinnosti a ochrana údajů; jeden certifikát nedokládá vše |
| Dodavatelé | Registr smluv, kritičnost služby, prověření a plán odchodu | GDPR zpracovatelské smlouvy; AI role; NIS2 řetězec; DORA čl. 30 a dohled nad označenými kritickými poskytovateli |
| Testování a audit | Kalendář důkazů, náprava a nezávislá revize, kde je třeba | Příslušná cesta posouzení shody AI; vhodné testy všech ICT systémů/aplikací podporujících zásadní nebo důležité funkce alespoň ročně dle čl. 24 odst. 6 DORA mimo mikropodniky; zohledněte režim čl. 16 a TLPT určených subjektů; ověřování bezpečnosti podle rizik a národních pravidel |
Hlášení incidentů: různé spouštěče a hodiny
| Režim | Spouštěč a hlavní postup |
|---|---|
| GDPR čl. 33–34 | Správce hlásí úřadu bez zbytečného odkladu a pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné riziko pro práva a svobody lidí. Zpracovatel oznamuje správci bez zbytečného odkladu. Při vysokém riziku se bez zbytečného odkladu informují dotčené osoby, s výjimkami čl. 34. Správce dokumentuje každé porušení zabezpečení osobních údajů. |
| NIS2 čl. 23 | U téhož významného incidentu včasné varování bez zbytečného odkladu nejpozději do 24 hodin od zjištění, oznámení do 72 hodin, závěrečná zpráva do měsíce od oznámení. Zvláštní pravidla platí pro služby vytvářející důvěru a pokračující incidenty. Použijte národní příjemce a implementační/přechodná pravidla. Zpráva v 72 hodinách není konečná. |
| DORA / nařízení 2025/301 | Závažný ICT incident: prvotní oznámení co nejdříve, nejvýše do čtyř hodin od klasifikace, nejpozději 24 hodin od zjištění; při klasifikaci pozdější než 24 hodin do čtyř hodin od klasifikace. Průběžná zpráva do 72 hodin od prvotního oznámení; závěrečná do měsíce od průběžné nebo poslední aktualizované průběžné zprávy. Průběžná zpráva se podává i bez změny stavu; aktualizace bez zbytečného odkladu a vždy po obnovení pravidelných činností. Výjimky pro víkendy/svátky a jejich vyloučení posuďte podle čl. 5 odst. 3–6; zpoždění oznamte úřadu s důvody nejpozději v příslušné lhůtě. |
| AI Act čl. 73 | Závažné incidenty relevantních poskytovatelů high-risk: obecně ihned po zjištění příčinné souvislosti nebo její rozumné pravděpodobnosti, nejpozději do 15 dnů od zjištění incidentu. Zvláštní dvoudenní a při úmrtí desetidenní případy i omezení čl. 73 odst. 9–10 (rovnocenné hlášení dle jiného práva a MDR/IVDR) posuďte zvlášť. Zavádějící subjekty mají vlastní oznamovací povinnosti čl. 26 odst. 5. Tyto high-risk povinnosti nepřiřazujte všem uživatelům GPAI API a nezaměňujte čl. 73 s čl. 62. |
Česká transpozice NIS2: § 15 ZoKB rozlišuje vyšší a nižší režim. U vyššího se hlásí incident ve stanoveném rozsahu s původem v kybernetickém prostoru, u něhož nelze do 24 hodin vyloučit úmyslné zavinění; nižší navíc vyžaduje významný dopad na regulovanou službu. Vyšší režim hlásí Úřadu, nižší Národnímu CERT. Prvotní hlášení dle § 16 je bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu. Navazující fáze dle § 16 odst. 3 jsou podmíněny § 15 odst. 2 nebo významným dopadem na kybernetický prostor státu dle § 16 odst. 2: oznámení bez zbytečného odkladu do 72 hodin od zjištění incidentu (u vymezených služeb vytvářejících důvěru do 24 hodin od zjištění), průběžná zpráva na žádost a závěrečná do 30 dnů od oznámení. Pokračuje-li incident, zpráva o pokroku následuje bez zbytečného odkladu po uplynutí této lhůty a závěrečná do 30 dnů od vyřešení. Posuďte také zvláštní digitální režim § 18 a počátek povinnosti dle § 15 odst. 4 / § 71; měsíční lhůtu směrnice nepřepisujte jako českých 30 dnů bez tohoto rozlišení.
Použitelnost AI: odklad podle čl. 113 písm. c) pokrývá jen kapitolu III oddíly 1–3 kromě čl. 6 odst. 5. Čl. 73 do této skupiny nepatří. U každého systému ověřte také působnost čl. 2 a přechody čl. 111; stejný odklad nelze automaticky použít na čl. 26 a čl. 73.
Jeden případ může splnit několik testů. Zaznamenejte zjištění, klasifikaci a jednotlivá podání odděleně. Společný nástroj proces podporuje, sám však neprokazuje soulad.
Hranice, na kterých záleží
- DORA a NIS2: DORA je odvětvovým unijním předpisem pro finanční subjekty DORA spadající také do NIS2, podle čl. 1 odst. 2 DORA a čl. 4 NIS2. Posuďte rovnocennost dotčených povinností. Nejde o plošné vynětí financí z GDPR/Data Actu ani ICT dodavatelů z NIS2.
- AI Act a GDPR: AI high-risk automaticky neznamená GDPR DPIA ani naopak. FRIA dle čl. 27 a DPIA čl. 35 posuďte samostatně a překrývající se práci propojte. Osobní údaje v AI posuzujte podle působnosti čl. 2–3 GDPR; vysoké riziko AI není podmínkou. Nový čl. 4a AI Actu umožňuje za přísných kumulativních podmínek výjimečné zpracování zvláštních kategorií pro odhalování a nápravu zkreslení; neruší ostatní použitelné povinnosti GDPR.
- ISO a právo: Certifikace ISO/IEC 42001 se týká vymezeného systému řízení AI. Není automatickou shodou CE ani úplným souladem s AI Actem. Posouzení shody může podle zákonné cesty používat vnitřní kontrolu nebo oznámený subjekt.
- TLPT: Čl. 26 DORA se týká určených subjektů mimo mikropodniky a kategorie čl. 16 odst. 1, nejméně jednou za tři roky s možností úpravy dohledem; běžné testování a TLPT jsou odlišné povinnosti.
- Odpovědnost: Vedení má povinnosti podle čl. 20 NIS2 a čl. 5 DORA; u kategorií čl. 16 DORA se použije jeho zjednodušený rámec. Za GDPR odpovídá správce/zpracovatel; DPO radí a monitoruje. Pokuty organizace nepřenášejte plošně na zaměstnance podle názvu pozice.
- Retence: Automatické logy high-risk AI pod kontrolou relevantního provozovatele mají podle čl. 19/26 vhodnou dobu uchování, nejméně šest měsíců, pokud jiné právo nestanoví jinak. Pokud se čl. 18 použije, poskytovatel uchovává vymezené podklady deset let od uvedení systému na trh nebo do provozu; u finančních institucí zohledněte odst. 3. Osobní údaje vyžadují posouzení podle účelu; žádná z těchto dob není plošným pravidlem pro všechny prompty a firemní záznamy.
Jak změřit přínos
- Každou relevantní povinnost přiřaďte vlastníkovi, zdroji a důkazu pro převzetí.
- Sdílejte skutečně společné důkazy a zachovejte viditelné právní podmínky.
- Sledujte odpracovaný čas, opakované požadavky a nevyřešené mezery vůči doloženému výchozímu stavu.
- Před uzavřením ověřte kvalitu vzorku i reálný provoz.
Governance projekt může dodat vymezený inventář, pravidla, gap analýzu a plán nápravy. Relevantní povinnosti, implementace, testování a případná certifikace musí být specifikovány samostatně pro konkrétní dodávku.
Průvodce působností · Audit readiness
Věcná revize: 6. září 2026. Primární zdroje: AI Act, Digital Omnibus on AI, NIS2, NÚKIB: registrace a lhůty, GDPR, DORA, Data Act, DORA incident reporting.
Právní podklad českých pravidel: 264/2025 Sb..