Jak má vypadat audit AI systémů podle AI Actu od srpna 2026?

Kdo je povinen audit provést a jaké systémy to dotýká

Poskytovatelé a uživatelé systémů zařazených do kategorie vysokého rizika nese povinnost auditovat dle AI Actu od 2. srpna 2026. Mezi dotčené oblasti patří zdravotnictví (diagnostika, plánování léčby), personalistika a nábor (filtrování životopisů, hodnocení zaměstnanců), vzdělávání (přijímací testy, hodnocení studentů), finanční služby (kreditní skórování, pojistné), kritická infrastruktura (správa sítí, doprava) a věřené orgány (biometrie, prediktivní policování). Firmy, které takové systémy vyvíjejí nebo nasazují, by měly audit zahájit s několikatměsíčním předstihem · povinnost platí bez ohledu na velikost firmy, pokud systém ovlivňuje práva fyzických osob.

Doporučený harmonogram · jak stihnout srpen 2026

Klíčovým datem je 2. srpen 2026. Pro dříve nasazené systémy počítejte s přechodnými dobami dle nařízení · konkrétní termín pro váš systém ověřte v právním posouzení. Doporučený ilustrativní rozpis: s předstihem několika měsíců by mělo být hotové mapování všech AI systémů ve firmě a jejich klasifikace rizika. Duben až květen 2026 je čas na doplnění chybějící dokumentace (datové sady, metriky, lidský dohled). Červen 2026 sluší k internímu pre-auditu a nápravě zjištěných nedostatků. Před termínem by měl být připraven balíček pro posouzení shody. Zpoždění o jeden měsíc reálně znamená riziko pokuty a zakázání provozu systému na trhu EU.

Co audit v praxi obsahuje · dokumentace, testování, riziková analýza

Audit podle AI Actu není jen kontrola kódu, ale strukturovaný proces s pěti povinnými pilíři. Prvním pilířem je technická dokumentace podle přílohy IV · popis architektury, datových zdrojů, trénovacích metod, verzování modelů a předpokládaného životního cyklu. Druhým pilířem je systém řízení rizik podle článku 9 · identifikace nebezpečí, odhad pravděpodobnosti a dopadu, opatření zmírnění a zbytkové riziko. Třetím pilířem je testování a validace · měření přesnosti, robustness, fairness a driftu modelu na reprezentativních českých datech (např. kreditní skórování testované na datech ČNB registru dluhů). Čtvrtým pilířem je lidský dohled a transparentnost podle článku 50 · evidence, že operátor rozumí výstupům, může zásahnout a uživatel je informován o interakci s AI. Pátým pilířem je plán po-provozního monitorování a evidence incidentů · jak bude firma sledovat výkonnost v reálu a hlásit závažné incidenty do 15 dnů úřadu. V auditech CIAD se ukazuje, že nejčastějším důvodem neúspěchu je chybějící evidence verzování dat a modelů.

Výběr auditorského týmu · interní vs. externí, certifikace, reference

Firma si může audit provést interním týmem, ale musí prokázat nezávislost (žádný vývojář neaudituje vlastní kód) a odbornost (prokazatelná praxe s AI governance, znalost norem řady ISO/IEC 42001). Externí auditoři nabízejí vyšší důvěryhodnost u notifikovaných instancí a regulatorů. Kritéria výběru: reference z alespoň dvou auditů vysokorizikových systémů v EU, znalost českého právního prostředí (GDPR, zákon o kybernetické bezpečnosti), certifikace lead auditorské role (např. ISO 19011), kapacita dokončit audit v řádu týdnů. Orientační cena externího auditu pro jeden systém se v praxi pohybuje v řádu stovek tisíc Kč podle složitosti modelu a objemu dat. Interní audit stojí méně přímých nákladů, ale vyžaduje odebrat seniorní vývojáře z vývoje na několik týdnů. Hybridní model · interní příprava dokumentace, externí finální audit · se osvědčuje u firem s 50 až 200 zaměstnanci.

Náklady a faktory ovlivňující cenu auditu

Celkové náklady na dodržení AI Actu se skládají z přímých auditorských poplatků, interních zdrojů a případných úprav systémů. Orientačně: pro jednosystémovou firmu (např. HR startup s filtrováním životopisů) se celkové náklady typicky pohybují od vyšších statisíců po nízké miliony Kč (externí audit, interní příprava, úpravy modelu a dokumentace). U korporace s více rizikovými systémy jde o jednotky milionů Kč ročně v prvních letech, později méně na udržování. Mezi faktory zvyšující cenu patří více než 3 verze modelu ročně, absence verzování dat, nutnost re-trénování pro fairness, absence stávajícího ISMS (ISO 27001). Naopak faktory snižující cenu: stávající certifikace ISO 27001/9001, automatizované MLOps pipeline, jednotný katalog modelů, předchozí DPIA podle GDPR.

Co se stane, když audit neprojdete · sankce a nápravná opatření

Pokud notifikovaná instance nebo dozorový orgán zjistí nesplnění požadavků, vystaví nařízení k nápravě s lhůtou obvykle 30 až 60 dnů. V této lhůtě musí firma odstranit nedostatky, dodat doplňkovou dokumentaci a předložit důkaz nápravy. Při opakovaném porušení nebo vážném riziku pro zdraví a bezpečnost může úřad nařídit dočasné zakázání nasazení systému na trhu EU · co pro SaaS firmu znamená okamžitou ztrátu příjmů z celého EHP. Pokuta do 15 mil. EUR nebo 3 % konsolidovaného ročního obratu (což je vyšší) se uplatňuje při úmyslném nebo opakovaném porušení, falešné deklaraci shody nebo odmítnutí spolupráce. Dohled budou v ČR vykonávat příslušné národní orgány · s koordinační rolí se počítá u ČTÚ ve spolupráci s ÚOOÚ. Ilustrativní scénář: firma, která nemá hotovou technickou dokumentaci pro diagnostický AI v nemocnici, může dostat nařízení k nápravě v řádu týdnů a pokutu ve statisících až milionech Kč podle závažnosti.

Jak audit integrovat do stávajících procesů a vyhnout se duplikaci práce

Nejefektivnější je navázat audit AI Actu na existující rámec GDPR (DPIA), kybernetické bezpečnosti (NIS2, ISO 27001) a řízení kvality (ISO 9001). Konkretní kroky: Rozšiřte stávající registr zpracování o pole pro AI systém, jeho rizikovou třídu a odpovědnou osobu. Použijte stávající proces řízení změn pro verzování modelů a dat · přidejte povinné pole pro metriky fairness a driftu. Integrujte evidenci incidentů AI do stávajícího ticketovacího systému (Jira, ServiceNow) s novou kategorií „AI incident“ a SLA 15 dnů pro hlášení úřadu. Školení personálu: kombinujte povinné GDPR školení s moduliem „lidský dohled nad AI“ (2 hodiny pro operátory, 4 hodiny pro manažery). Vytvořte unit testy pro automatizovanou kontrolu datových driftů a fairness metrik v CI/CD pipeline · to nahradí ruční kontroly při pravidelných re-auditech ročně. Firma, která toto udělá systematicky, může náklady na opakovaný audit v dalších letech výrazně snížit.

Co to znamená: Pokud vaše firma vyvíjí nebo používá AI v zdravotnictví, financích, personalistice, vzdělávání nebo kritické infrastruktuře, měli byste mít k termínu účinnosti hotovou technickou dokumentaci, provedené posouzení shody a nastavené po-provozní monitorování. Začněte mapováním systémů s předstihem, vyberte auditorský tým včas a počítejte s náklady v řádu statisíců až nízkých milionů Kč na systém. Zpoždění rizikuje pokutou do 15 mil. EUR a zakázáním provozu. Nejlépe integrujte povinnosti do stávajících procesů GDPR, ISO 27001 a NIS2, abyste se vyhnuli duplikaci práce a snížili dlouhodobé náklady.