Jak vést registr AI dokumentace, verzí a odpovědných vlastníků?

Jeden registr pro nástroje i jejich dokumentaci

Registr AI ve firmě funguje nejlépe jako jedna evidence, která zároveň eviduje nasazené nástroje i jejich dokumentaci, verze a vlastníky. Když tyto dva pohledy vedou oddělené seznamy, obvykle se postupem času rozejdou: seznam nástrojů se aktualizuje při nákupu, dokumentace při auditu, a nikdo nehlídá, že spolu obě evidence stále souhlasí. Jeden záznam k jednomu nástroji, se všemi poli na jednom místě, tomuto rozjíždění zabraňuje a zároveň odpovídá na obě běžné otázky najednou: které AI systémy firma vlastně používá, a co o nich máme zdokumentováno a kdo za to odpovídá.

Proč evidence nástrojů a dokumentace patří k sobě

Otázka, zda firma nějaký nástroj vůbec používá, a otázka, jaká dokumentace a jaká verze k němu patří, spolu úzce souvisí: nová verze nástroje může znamenat novou dokumentaci, nově zpracovávané údaje nebo nového vlastníka, a bez jednoho záznamu tyto změny nikdo nespojí. Typickým selháním je, že IT oddělení vede tabulku nástrojů kvůli licencím, zatímco dokumentaci k tomu, jak se nástroj používá, spravuje tým, který jej zavedl; při dotazu, kdo je vlastníkem nebo jaká data nástroj zpracovává, se pak musí procházet dva zdroje, které se navzájem neaktualizují. Sloučení do jednoho registru neznamená, že evidenci musí vést jediný člověk pro celou firmu; znamená to, že existuje jedna sdílená struktura záznamu, do které různí vlastníci zapisují svoji část. Podobný problém řeší i evidence nástrojů se skrytým, neschváleným použitím, jejichž hlavním rizikem je právě to, že v žádném registru vůbec nejsou.

Jak vzniká záznam, když někdo zavede nástroj

Záznam v registru vzniká ve chvíli, kdy tým nebo jednotlivec začne nástroj používat pro firemní účel; čekat na formální nákupní objednávku nebo na příští audit znamená, že nástroj běží měsíce mimo evidenci. Kritéria, podle kterých se nástroj vůbec vybírá, řeší samostatný článek jak vybrat AI nástroj pro firmu; tento text navazuje až ve chvíli, kdy je nástroj v provozu. V praxi zakládání záznamu funguje jen tehdy, pokud je stejně snadné jako samotné zavedení nástroje: krátký formulář nebo jedna tabulka s předvyplněnými poli funguje lépe než víceúrovňové schvalování, které od vyplnění odrazuje. Vlastník nástroje, tedy osoba nebo role odpovědná za jeho používání v dané agendě, založí základní záznam sám při zavedení a doplní zbylá pole, jakmile jsou známa: verzi dokumentace, typ zpracovávaných dat a datum první kontroly. Pokud firma nástroj získá akvizicí, převodem agendy nebo díky jinému oddělení, které jej už používalo, záznam přebírá a doplňuje ten, kdo za danou agendu nově odpovídá.

Udržování registru v čase

Registr založený jednou a dál needitovaný ztrácí hodnotu rychleji než registr, který vůbec neexistuje, protože stále vypadá důvěryhodně, i když už neodpovídá realitě. Udržování má dva spouštěče: pravidelný, předem daný termín kontroly u každého záznamu, a okamžitou aktualizaci při konkrétní události, jako je nová verze nástroje, změna vlastníka, rozšíření o nový typ zpracovávaných dat nebo ukončení používání. Bez jmenovaného vlastníka celého registru, tedy role odpovědné za to, že jednotlivé záznamy skutečně procházejí svou kontrolou, se tato údržba typicky provádí jen před auditem nebo po incidentu. Pravidelná revize registru se dobře pojí s širším ověřováním provozu, jak popisuje audit AI systémů. Součástí každého záznamu by mělo být i to, jak se nástroj vyřazuje: kdo rozhoduje o ukončení používání, co se stane s daty, která zpracovával, a jak se odstraní udělené přístupy.

Artefakt: pole registru a postup údržby

Registr má dvě části: pole, která obsahuje každý záznam, a postup, který určuje, kdy a kým se záznam kontroluje.

A. Pole jednoho záznamu

Pole	Co obsahuje
Název nástroje a dodavatel	jak se nástroj interně nazývá a kdo jej provozuje
Účel použití	k jaké agendě nebo procesu nástroj slouží
Vlastník	osoba nebo role odpovědná za používání a aktualizaci záznamu
Zpracovávaná data	jaký typ dat nástroj vidí, včetně toho, zda jde o osobní údaje
Dokumentace a verze	odkaz na aktuální dokumentaci a číslo nebo datum verze nástroje
Datum poslední kontroly	kdy byl záznam naposledy ověřen jako aktuální
Postup vyřazení	kdo rozhoduje o ukončení používání a co se stane s daty a přístupy

B. Postup údržby

Krok údržby	Kdy nastává	Kdo jej provádí
Založení záznamu	při prvním firemním použití nástroje	vlastník nástroje
Pravidelná kontrola	v intervalu, který si vlastník stanoví podle rizika nástroje	vlastník nástroje
Aktualizace při změně	při nové verzi, novém vlastníkovi nebo nových zpracovávaných datech	vlastník nástroje
Vyřazení záznamu	při ukončení používání nástroje	vlastník nástroje a správce registru
Souhrnná revize	napříč všemi záznamy v pravidelném cyklu za celou firmu	správce registru

Vztah k evidenci schválených nástrojů

Tento registr se liší od evidence, která rozhoduje, jaké nástroje smí zaměstnanci vůbec používat a k jakému účelu; ta funguje jako samostatný schvalovací seznam s vlastním procesem žádosti a rozhodnutí. Registr popsaný v tomto článku naopak eviduje nástroje po jejich zavedení, bez ohledu na to, kterým procesem byly schváleny, a soustředí se na dokumentaci, verze a vlastnictví namísto rozhodnutí o tom, zda nástroj smí vůbec existovat. Menší firma může obě evidence časem propojit do jednoho místa; oddělené vedení na začátku ale usnadňuje rozlišit otázku schválení od otázky správy.

Co registr podporuje podle AI Actu a co neřeší sám

Vedení podobné evidence patří mezi praktiky, které obecně podporují plnění povinností podle aktu o umělé inteligenci, protože řada z nich vyžaduje, aby firma věděla, jaké systémy provozuje, v jaké roli, a měla o nich dokumentaci. Základní pojmy aktu, včetně rolí poskytovatele a zavádějícího subjektu, vysvětluje článek co je AI Act. Konkrétní rozsah povinností se ale liší podle role firmy u daného systému a podle rizikové kategorie, do které systém spadá; samotné vedení registru tento rozdíl nezruší a bez dalšího posouzení neznamená, že firma všechny své povinnosti plní. Harmonogram, podle kterého jednotlivé povinnosti aktu postupně nabývají účinnosti, se navíc v čase mění, takže datum poslední kontroly v registru má i tuto funkci: připomenout, že je čas ověřit, zda se pro daný systém něco nezměnilo. Podobnou logiku, byť pro jiný účel, firmy často už znají z požadavku článku 30 GDPR na záznamy o činnostech zpracování osobních údajů; registr AI nástrojů tento požadavek nenahrazuje, ale staví na stejném principu jednoho centrálního přehledu místo roztříštěných poznámek u jednotlivých vlastníků. Posouzení, do jaké kategorie konkrétní nástroj spadá a jaké konkrétní povinnosti z toho plynou, patří právníkovi nebo internímu compliance týmu; tento článek popisuje jen evidenci, která jim pro takové posouzení poskytuje podklady.

Stav zdrojů a omezení

Čtyři citované zdroje byly ověřeny 5. 8. 2026. Nařízení (EU) 2024/1689 a harmonogram Evropské komise popisují obecnou strukturu povinností podle aktu o umělé inteligenci; text z nich čerpá jen obecné tvrzení, že role a riziková kategorie ovlivňují rozsah povinností, a nepoužívá je k výkladu aktuálního znění článku 4, který upravuje jinou otázku, totiž AI gramotnost. Funkce Govern v NIST AI RMF podporuje myšlenku jmenované odpovědnosti a dokumentace, aniž předepisuje konkrétní pole registru uvedená v artefaktu výše, což je návrh CIAD. Odkaz na článek 30 GDPR slouží jako analogie k už zavedené praxi evidence a není tvrzením, že vedení tohoto registru je právně rovnocenné záznamům o zpracování osobních údajů. Vedení registru samo o sobě nezaručuje soulad s AI Actem ani s GDPR; konkrétní rozsah povinností pro daný nástroj a posouzení, zda jsou splněny, patří právníkovi nebo pověřenci pro ochranu osobních údajů.