Na výklad povinností, určení role a smlouvy je advokát. Na to, jak se AI systém chová a kudy z něj mohou odejít data, je auditor AI. Na AI gramotnost podle článku 4 je školení podle rolí. Níže je rozdíl v pěti osách, pořadí kroků a otevřeně i to, co z toho CIAD nedělá.
Každá profese odpovídá na jinou otázku a žádná nenahradí ty ostatní.
| Osa | Advokát | Auditor AI | Školení AI |
|---|---|---|---|
| Otázka, na kterou odpovídá | Co pro nás z AI Actu plyne právně a kdo za co odpovídá? | Jak se náš AI systém chová a kudy z něj mohou odejít data? | Umějí lidé s AI pracovat bezpečně podle své role? |
| Typický výstup | Právní stanovisko, úprava smluv a interních předpisů, zastoupení. | Doložené nálezy se závažností a nápravný plán s vlastníkem a termínem. | Osnova, evidence účasti a pravidla práce s AI podle rolí. |
| Vazba na AI Act | Určí vaši roli (poskytovatel, nebo zavádějící subjekt) a z ní plynoucí povinnosti. | AI Act obecný audit neukládá. Technické nálezy jsou podklad pro rozhodnutí. | Článek 4 žádá opatření na podporu AI gramotnosti, nepředepisuje jednotný kurz ani certifikaci. |
| Kdy dává smysl | Smlouvy s dodavateli AI, nejasná role, kontrola, spor, odpovědnost za škodu. | Před nasazením AI nad citlivými daty, po větší změně nebo po bezpečnostním incidentu jako ověření opatření. | Lidé AI používají v práci a firma chce doložit přijatá opatření. |
| Co neumí | Systém sám neprověří. Vykládá to, co mu o něm popíšete. | Neřekne, co z nálezů plyne právně, a soulad nepotvrdí. | Nezjistí, jestli systém sám není děravý, a právní posouzení nenahradí. |
Když platí víc bodů z různých sloupců, potřebujete víc profesí. To je běžný stav, ne chyba.
Kdo začne smlouvou nebo kurzem dřív, než ví, jaké AI ve firmě běží, řeší správnou věc na špatném místě.
Zjistěte, jaké AI nástroje a systémy se ve firmě skutečně používají a kdo je dodal. Bez toho nikdo neví, co posuzovat.
U každého systému určete, jestli jste poskytovatel, nebo zavádějící subjekt, a jestli nejde o vysoce rizikové použití. Tady začíná práce advokáta.
Systémy nad citlivými daty nechte prověřit. Nálezy dají advokátovi i vedení podklad, který se nedá jen odhadnout.
Školení podle rolí a pravidla práce s AI. Evidence účasti a osnova slouží jako doklad přijatých opatření. Článek 4 platí od 2. února 2025, proto tenhle krok může běžet souběžně s ostatními.
Pět otázek pro každého dodavatele, nás nevyjímaje. Pokud váháte, jestli potřebujete audit, nebo penetrační test, rozdíl popisuje stránka Audit, nebo penetrační test.
Auditor, který vám zároveň dodává AI systém nebo licence, hodnotí vlastní práci. Zeptejte se, od koho bere peníze.
Co se prověří, čím a s jakým pověřením. Nabídka bez rozsahu prací se nedá porovnat ani zkontrolovat.
Ke každému nálezu důkaz, závažnost a krok nápravy. Výstup, který je jen export ze skeneru, audit není.
Technický audit soulad s AI Actem nepotvrzuje. Certifikát podle nařízení vydává jen oznámený subjekt u vysoce rizikových systémů. Obecný „certifikát AI Act“ pro firmu nařízení nezná.
Opakovaná kontrola po opravě ukáže, jestli opatření zabralo. Bez ní zůstane audit seznamem.
Audit a školení. Právní služby ne. Právní stránku v CIAD hlídá advokát se specializací na právo IT, výklad vaší konkrétní situace ale patří vašemu advokátovi. Nejde o právní stanovisko ani automatické potvrzení souladu.
Prompt injection, jailbreaky, RAG, agentní smyčky, oprávnění a cesty k nechtěnému odhalení dat.
Den práce s AI na vlastních úlohách týmu, pravidla podle rolí, osnova a evidence účasti.
Osm otázek a orientační vyhodnocení, které povinnosti se vás mohou týkat, přímo v prohlížeči.
Záleží na otázce. Na výklad povinností, určení role a smlouvy je advokát. Na to, jak se konkrétní AI systém chová a kudy z něj mohou odejít data, je auditor AI. Často potřebujete obojí: nálezy z auditu jsou pro advokáta podklad, který si sám nezjistí.
Především tři profese. Advokátní kanceláře se zaměřením na IT právo a ochranu dat řeší výklad, smlouvy a zastoupení. Auditoři AI a bezpečnosti prověřují systémy technicky. Poskytovatelé školení pokrývají AI gramotnost zaměstnanců. CIAD z toho dělá audit a školení, právní služby ne. Kdo dozoruje AI Act v Česku, popisuje odpověď Kdo dozoruje AI Act v Česku.
AI Act neukládá firmám obecnou povinnost nechat si auditovat systémy AI. U vysoce rizikových systémů vyžaduje od poskytovatele posouzení shody podle článku 43, systém řízení kvality podle článku 17 a monitorování po uvedení na trh podle článku 72. Požadavky a povinnosti pro vysoce rizikové systémy se po novele nařízením (EU) 2026/1744 použijí od 2. prosince 2027 u systémů podle přílohy III a od 2. srpna 2028 u systémů podle přílohy I. Podrobně to rozebírá odpověď Jak má vypadat audit AI systémů podle AI Actu.
Školení pokrývá článek 4, tedy opatření na podporu AI gramotnosti podle role a skutečného použití AI. Je to povinnost úsilí, ne výsledku, a nařízení nepředepisuje jednotný kurz ani certifikaci. Další povinnosti, například transparentnost u chatbotů nebo požadavky na vysoce rizikové systémy, školení nepokryje. Co má školení obsahovat, rozebírá odpověď Co má obsahovat školení AI gramotnosti.
Ne. Technický audit popíše, jak systém obstojí, a doloží nálezy. Nejde o právní stanovisko ani automatické potvrzení souladu. Co z nálezů plyne právně, posoudí advokát.
Posouzení shody podle článku 43 je povinnost poskytovatele vysoce rizikového systému. U oblastí z přílohy III jde většinou o interní kontrolu podle přílohy VI. Oznámený subjekt je povinný u biometrických systémů tam, kde poskytovatel harmonizované normy nepoužil, použil jen zčásti, nebo kde zatím neexistují. U produktů podle přílohy I se postupuje podle odvětvového předpisu. Zavádějící subjekt má vlastní povinnosti, posouzení shody ale nedělá, dokud se podle článku 25 nestane poskytovatelem, třeba podstatnou změnou systému. Které systémy jsou vysoce rizikové, popisuje odpověď Vysoce rizikové AI systémy podle AI Actu.
Inventura AI nástrojů, pak určení role a rizika, technické prověření systémů nad citlivými daty a školení lidí. Bez inventury nikdo neví, co posuzovat, a bez určené role nevíte, které povinnosti se vás týkají. Školení a pravidla pro lidi mohou běžet souběžně, protože článek 4 platí už od 2. února 2025. Jak inventuru udělat, popisuje odpověď Jak zjistit, jaké AI nástroje se u nás už používají.
Ptejte se na pět věcí: jestli auditor neprodává systém, který prověřuje, jestli je rozsah písemně předem, jestli jsou nálezy doložené, jestli neslibuje razítko souladu s AI Actem a jestli ověří i nápravu. Varovné signály u nabídek rozebírá odpověď Podle čeho poznat špatného dodavatele bezpečnostního auditu.
Ne. CIAD dělá audit AI a LLM systémů, audit webů a aplikací, audit databází a dat a školení AI pro firmy. Právní stránku v CIAD hlídá advokát se specializací na právo IT, výklad vaší konkrétní situace ale patří vašemu advokátovi.
Cenu sdělujeme na poptávku. U auditu vychází z počtu a typu systémů, u školení z počtu lidí a rolí. Rozsah potvrdíme písemně předem.
Napište na office@ciad.cz, jaké AI ve firmě používáte a co vás k AI Actu trápí. Odpovíme, jestli je to práce pro audit, pro školení, nebo pro advokáta. I to je odpověď.
