Jak má vypadat audit AI systémů podle AI Actu?
Obsah · 7 kapitol
STRUČNÁ ODPOVĚĎ
AI Act neukládá firmám obecnou povinnost nechat si auditovat systémy AI. U vysoce rizikových systémů vyžaduje od poskytovatele posouzení shody podle článku 43, systém řízení kvality podle článku 17 a monitorování po uvedení na trh podle článku 72; posouzení shody u většiny oblastí přílohy III probíhá interní kontrolou, oznámený subjekt se zapojuje hlavně u biometrie. Zavádějící subjekt podle článku 26 sleduje provoz a uchovává záznamy. Požadavky na vysoce rizikové systémy a povinnosti podle článků 17 a 26 se po novele nařízením (EU) 2026/1744 použijí od 2. prosince 2027, u přílohy I od 2. srpna 2028; články 43 a 72 mají formálně obecné datum 2. srpna 2026, prakticky ale navazují na tuto klasifikaci. Dobrovolný interní audit je užitečný dřív: ověří soupis nástrojů, zakázané praktiky, AI gramotnost a transparentnost, které platí už teď.
Co AI Act ukládá místo „auditu“
Slovo audit nařízení jako obecnou povinnost nepoužívá. U vysoce rizikových systémů ukládá tyto kontrolní mechanismy:
| Mechanismus | Kdo ho dělá | Co obsahuje | Ustanovení |
|---|---|---|---|
| Posouzení shody | Poskytovatel, u biometrie a některých výrobků s oznámeným subjektem | Ověření, že systém splňuje požadavky článků 9 až 15, před uvedením na trh nebo do provozu. | čl. 43, přílohy VI a VII |
| Systém řízení kvality | Poskytovatel | Písemné postupy pro návrh, vývoj, testování, správu dat, řízení rizik a hlášení incidentů, přiměřené velikosti firmy; po novele výslovně i u malých podniků se střední tržní kapitalizací. | čl. 17 |
| Monitorování po uvedení na trh | Poskytovatel | Průběžný sběr a vyhodnocování údajů o fungování systému po celou dobu životnosti. | čl. 72 |
| Sledování provozu a záznamy | Zavádějící subjekt | Používání podle návodu, lidský dohled, kontrola vstupních dat, uchovávání záznamů nejméně šest měsíců, hlášení rizik a závažných incidentů. | čl. 26 |
| Posouzení dopadu na základní práva | Některé zavádějící subjekty | Veřejné orgány, soukromé subjekty poskytující veřejné služby, hodnocení úvěruschopnosti a ceny životního a zdravotního pojištění. | čl. 27 |
Klasifikace a požadavky na vysoce rizikové systémy včetně článků 17 a 26 se po novele nařízením (EU) 2026/1744 použijí od 2. prosince 2027 u přílohy III a od 2. srpna 2028 u přílohy I. Články 43 a 72 stojí mimo odložené oddíly, takže se formálně použijí od 2. srpna 2026, prakticky je ale nelze plnit dřív, než se na systém použijí požadavky, jejichž splnění ověřují.
Co má obsahovat interní audit už teď
Dobrovolný interní audit nebo nezávislé ověření dává smysl dřív, protože část AI Actu už platí. Rozumný rozsah:
- Soupis systémů AI a role firmy u každého z nich: poskytovatel, nebo zavádějící subjekt.
- Zakázané praktiky podle článku 5, platí od 2. února 2025.
- AI gramotnost podle článku 4: opatření podle rolí a jejich evidence.
- Transparentnost podle článku 50, platí od 2. srpna 2026: upozornění u chatbotů, označování deepfaků, strojové označení výstupů u vlastních generátorů.
- Klasifikace podle článku 6 a přílohy III: které použití je vysoce rizikové a zda platí výjimka podle článku 6 odst. 3.
- Připravenost na rok 2027 u vysoce rizikových použití: dokumentace od dodavatele, lidský dohled, záznamy, informování zaměstnanců.
- Návaznost na GDPR a bezpečnost: posouzení vlivu na ochranu osobních údajů, přístupová práva, únik dat do nástrojů třetích stran.
Výstupem má být seznam zjištění s vlastníkem a termínem nápravy, ne jen hodnocení souladu.
Kdy oznámený subjekt a kdy stačí interní kontrola
U oblastí přílohy III bodů 2 až 8, tedy například náboru, vzdělávání nebo úvěrů, provádí poskytovatel posouzení shody interní kontrolou podle přílohy VI. Oznámený subjekt je povinný u biometrických systémů podle bodu 1, pokud poskytovatel nepoužil harmonizované normy nebo společné specifikace v plném rozsahu. U AI ve výrobcích podle přílohy I, například ve zdravotnických prostředcích, se použije postup podle příslušného výrobkového předpisu.
Oznamujícím orgánem, který bude oznámené subjekty v Česku jmenovat, má být podle vládního návrhu zákona Úřad pro technickou normalizaci, metrologii a státní zkušebnictví. Stav popisuje odpověď kdo v Česku dozoruje AI Act.
Klasifikaci rozebírá odpověď které AI systémy jsou vysoce rizikové, obecně co audit AI systému je, odpověď co je audit AI systému.
Stav zdrojů a omezení
Text vychází z článků 17, 26, 27, 43 a 72 a z přílohy III nařízení (EU) 2024/1689 v konsolidovaném znění po novele nařízením (EU) 2026/1744, ověřeno k 22. září 2026. Obsah interního auditu je redakční doporučení CIAD, ne požadavek nařízení. Tato verze nahrazuje text ze 7. září 2026, který chybně uváděl obecnou povinnost auditu od srpna 2026, spojoval lidský dohled s článkem 50 a obsahoval odhady lhůt a nákladů bez opory ve zdrojích.
Časté dotazy
Musí každá firma od srpna 2026 provést audit AI?
Ne. AI Act obecnou povinnost auditu nezná. Od 2. srpna 2026 platí povinnosti transparentnosti podle článku 50, ne povinnost auditu. Požadavky na vysoce rizikové systémy se po novele nařízením (EU) 2026/1744 použijí od 2. prosince 2027 u přílohy III a od 2. srpna 2028 u přílohy I; teprve s nimi má posouzení shody co ověřovat.
Kdy je potřeba oznámený subjekt?
Podle článku 43 u vysoce rizikových systémů podle přílohy III bodů 2 až 8 provádí poskytovatel posouzení shody sám interní kontrolou podle přílohy VI. Oznámený subjekt se zapojuje u biometrických systémů podle bodu 1, pokud poskytovatel nepoužil harmonizované normy nebo společné specifikace v plném rozsahu, a u výrobků podle přílohy I podle pravidel příslušného výrobkového předpisu.
Kdo audit nebo posouzení shody provádí, poskytovatel, nebo firma, která systém používá?
Posouzení shody je povinnost poskytovatele. Firma, která systém jen používá, posouzení shody nedělá. Má ale povinnosti podle článku 26: používat systém podle návodu, zajistit lidský dohled, hlídat vstupní data, sledovat provoz a uchovávat záznamy.
Jaká pokuta hrozí za nesplnění požadavků na vysoce rizikové systémy?
Porušení povinností poskytovatelů podle článku 16 nebo zavádějících subjektů podle článku 26 spadá do článku 99 odst. 4 s horní hranicí 15 milionů eur nebo 3 % celosvětového ročního obratu. U malých a středních podniků a malých podniků se střední tržní kapitalizací se použije nižší z obou hodnot.
ZDROJE A OVĚŘENÍ
- Nařízení (EU) 2024/1689, článek 43 Posuzování shody
- Nařízení (EU) 2024/1689, článek 17 Systém řízení kvality
- Nařízení (EU) 2024/1689, článek 72 Monitorování po uvedení na trh
- Nařízení (EU) 2024/1689, článek 26 Povinnosti zavádějících subjektů
- Nařízení (EU) 2026/1744, kterým se mění nařízení (EU) 2024/1689