---
title: "Prehľad ovládacích prvkov prílohy A normy ISO 42001"
description: "Príloha A normy ISO/IEC 42001:2023 je normatívny katalóg 38 referenčných ovládacích prvkov v 9 oblastiach kontroly (A.2. A.10), z ktorých si organizácie vyberajú na základe rizík prostredníctvom vyhlásenia o aplikovateľnosti (SoA). Prvky siahajú od politiky AI cez roly, zdroje, životný cyklus a správu dát až po používanie a tretie strany."
locale: "sk"
canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/iso-42001-system-manazerstva-ai/annex-a-controls-iso-42001"
category: "AI agenti"
topic: "ISO 42001 (systém manažérstva AI)"
updated: "2026-07-29T08:22:35.961Z"
source: "Blck Alpaca e.U., blckalpaca.at"
---

# Prehľad ovládacích prvkov prílohy A normy ISO 42001

Príloha A normy ISO/IEC 42001:2023 je normatívny katalóg 38 referenčných ovládacích prvkov v 9 oblastiach kontroly (A.2. A.10), z ktorých si organizácie vyberajú na základe rizík prostredníctvom vyhlásenia o aplikovateľnosti (SoA). Prvky siahajú od politiky AI cez roly, zdroje, životný cyklus a správu dát až po používanie a tretie strany.

## Klucove body

- Príloha A obsahuje 38 referenčných ovládacích prvkov v 9 oblastiach kontroly (A.2 až A.10) a je normatívne začlenená prostredníctvom vyhlásenia o aplikovateľnosti (SoA), nie je plošne povinná.
- Každý ovládací prvok sa vo vyhlásení o aplikovateľnosti (SoA) označí ako aplikovateľný alebo neaplikovateľný - s odôvodnením na základe rizík pre zahrnutie AJ vylúčenie; plošné odôvodnenia typu n/a sú najčastejším auditným nálezom.
- Príloha B poskytuje pre každý ovládací prvok informatívne usmernenie k implementácii - presne to, čo audítori používajú ako meradlo toho, čo je "dostatočne dobré".
- Pre prevádzkovateľov agentov sú najkritickejšími ovládacími prvkami A.4.2 (register AI/agentov), A.6.2.8 (logovanie udalostí) a A.5.2. A.5.5 (posúdenie vplyvu).
- Viaceré ovládacie prvky sa prekrývajú s povinnosťami EU AI Act (napr. A.6.2.8 s čl. 12 logovanie, A.8.2 s čl. 13 transparentnosť) a s GDPR/DSGVO - integrovaná implementácia šetrí námahu.
- ISO 42001 certifikuje systém manažérstva (AIMS/KIMS), nie jednotlivé systémy AI ani agentov.

Príloha A normy ISO/IEC 42001:2023 je normatívny katalóg **38 referenčných ovládacích prvkov v 9 oblastiach kontroly (A.2 až A.10)**, z ktorého si organizácie prostredníctvom [vyhlásenia o aplikovateľnosti (SoA)](/sk/vedomosti/ai-agenti/iso-42001-system-manazerstva-ai/iso-42001-zertifizierung-ablauf) na základe rizík vyberajú pre ne relevantné opatrenia. Ovládacie prvky pokrývajú celý oblúk od rámca politiky [AI](/sk/slovnik/ai) cez roly, zdroje, životný cyklus a správu dát až po zodpovedné používanie a vzťahy s tretími stranami.

Príloha A pritom funguje ako príloha A normy ISO/IEC 27001 v spojení s ISO 27002: každá oblasť kontroly má cieľ ("To …") a zoznam ovládacích prvkov, ktoré spoločne tento cieľ dosahujú. Príslušné usmernenie k implementácii sa nachádza v informatívnej prílohe B.

**Tri rýchle odpovede:**

- **Koľko?** 9 oblastí kontroly, 38 ovládacích prvkov. Odlišné počítania (39, 42 ovládacích prvkov; 10 domén) vznikajú konvenciami počítania; kanonické číslo je 9/38.
- **Povinné?** Nie plošne - výber sa robí na základe rizík cez SoA. Každý ovládací prvok sa označí ako aplikovateľný alebo neaplikovateľný, oboje s odôvodnením.
- **Na čo dôležité?** Príloha A je operatívne jadro, v ktorom správa AI v klauzule 8 (Operation) konkrétne pristáva - a je centrálnym základom pre vzorkovanie (sampling) pri audite.

## Prehľad 9 oblastí kontroly

Nasledujúca tabuľka zhŕňa všetky oblasti kontroly prílohy A s cieľom a typickým príkladom opatrenia.

| Oblasť kontroly | Cieľ | Príklad opatrenia |
| --- | --- | --- |
| A.2 Policies related to AI | Zdokumentovaná, manažmentom schválená politika AI, zosúladená s ostatnými smernicami (security, ochrana údajov, etika, HR) | Smernica AI s verziovaním, definovanými stupňami autonómie a zakázanými use-cases |
| A.3 Internal organisation | Jasné roly AI, oddelenie funkcií a kanál na hlásenie obáv | RACI matica s rolami AI, whistleblowingový/etický hlásiaci kanál |
| A.4 Resources for AI systems | Úplná dokumentácia všetkých zdrojov pre jednotlivé systémy AI (dáta, tooling, compute, personál) | Register AI/agentov: každý produkčný [agent](/sk/slovnik/agent) s účelom, ownerom, závislosťou od modelu, triedou rizika |
| A.5 Assessing impacts of AI systems | Posúdenie vplyvov na jednotlivcov, skupiny a spoločnosť | Šablóna posúdenia vplyvu plus zdokumentované, podpísané AISIA |
| A.6 AI system lifecycle | Zodpovedný návrh, validácia, prevádzka a logovanie počas životného cyklu | Stage-gates, V&V reporty, monitoringové dashboardy, event-logy |
| A.7 Data for AI systems | Riadenie obstarávania, kvality, pôvodu a prípravy dát | Záznamy o pôvode/lineage dát (data-provenance), správy o kvalite dát |
| A.8 Information for interested parties | Transparentné informácie pre používateľov a stakeholderov | Model cards, instructions for use, komunikácia o incidentoch |
| A.9 Use of AI systems | Procesy, ciele a definované používanie na určený účel | Postupy responsible-use, zdokumentované vyhlásenia o určenom použití (intended-use) |
| A.10 Third-party & customer relationships | Rozdelenie zodpovednosti v hodnotovom reťazci, povinnosti dodávateľov a zákazníkov | Register dodávateľov s due diligence AI, AI-špecifické zmluvné klauzuly |

## A.2 až A.5: Riadenie, organizácia, zdroje a vplyv

**A.2 (Policies related to AI)** zahŕňa zosúladenie politiky AI s ostatnými smernicami (A.2.2), samotnú politiku AI ako manažmentom schválené smerovanie (A.2.3) a jej pravidelné preskúmanie (A.2.4). Pre prevádzkovateľa agenta by politika AI mala explicitne pokrývať stupne autonómie (read-only / odporúčať / konať so schválením / konať autonómne), hranice používania nástrojov (tool-use), pravidlá eskalácie a human-in-the-loop, diverzitu poskytovateľov modelov a zakázané use-cases (napríklad žiadne autonómne právne poradenstvo).

**A.3 (Internal organisation)** upravuje [roly a zodpovednosti AI](/sk/vedomosti/ai-agenti/iso-42001-system-manazerstva-ai/ki-beauftragter-rolle-und-aufgaben) s oddelením funkcií (A.3.2), ako aj kanál na hlásenie obáv (A.3.3). ISO 42001 nepredpisuje pevný titul "AI Officer"; v stredne veľkých organizáciách v regióne DACH sa rola AIMS managera často kombinuje s CISO alebo zodpovednou osobou za ochranu údajov.

**A.4 (Resources for AI systems)** vyžaduje dokumentáciu zdrojov (A.4.2), dátových (A.4.3), toolingových (A.4.4), systémových/compute (A.4.5) a personálnych zdrojov (A.4.6). Pre nasadzujúce subjekty agentov je **A.4.2 [register AI/agentov](/sk/sluzby/integracia-ai-agenta)** - zoznam každého produkčného agenta s účelom, ownerom, závislosťami od modelu, dátovými zdrojmi a triedou rizika. Je to najdôležitejší artefakt pre vzorkovanie (sampling) pri audite.

**A.5 (Assessing impacts of AI systems)** definuje proces posúdenia vplyvu (A.5.2), jeho dokumentáciu (A.5.3), ako aj posúdenie vplyvov na jednotlivcov (A.5.4) a na skupiny a spoločnosť (A.5.5). Tieto štyri ovládacie prvky sú operatívnou kotvou pre sprievodnú normu ISO/IEC 42005:2025 a funkčne sa prekrývajú - bez toho, aby ich nahrádzali - s DSFA podľa DSGVO/GDPR (čl. 35) a s FRIA podľa [EU AI Act](/sk/slovnik/eu-ai-act) (čl. 27).

## A.6 až A.10: Životný cyklus, dáta, informácie, používanie, tretie strany

**A.6 (AI system lifecycle)** je najrozsiahlejšia oblasť: od cieľov životného cyklu (A.6.1.2) cez zodpovedný návrh (A.6.1.3), špecifikáciu požiadaviek (A.6.2.2), dokumentáciu návrhu (A.6.2.3), verifikáciu a validáciu (A.6.2.4), deployment (A.6.2.5), prevádzku a monitoring (A.6.2.6), technickú dokumentáciu (A.6.2.7) až po [**logovanie udalostí](/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/observability-stack-fuer-agents) (A.6.2.8)**. Tento posledný ovládací prvok zavádza explicitnú povinnosť logovania, ktorá funkčne beží paralelne s čl. 12 EU AI Act (logovanie pre vysokorizikovú AI) - a je to v nasadeniach agentov najčastejšie nedostatočne doložený ovládací prvok, pretože sa väčšinou logujú len volania nástrojov (tool-calls), no nie vstupy modelu, reasoning-traces ani udalosti human-override.

**A.7 (Data for AI systems)** zakotvuje správu dát: dáta pre vývoj a zlepšovanie (A.7.2), obstarávanie (A.7.3), kvalitu (A.7.4), proveniencia/pôvod (A.7.5) a príprava (A.7.6). A.7 je kotvou pre krížový odkaz na sériu ISO/IEC 5259 a koncepčne sa orientuje na čl. 10 EU AI Act. Dôležité: aj pri čistom používaní foundation modelov od tretích strán zostáva A.7 aplikovateľný - zachytáva dáta pre retrieval/RAG, [prompt](/sk/slovnik/prompt)-templates a evaluačné dátové sady.

**A.8 (Information for interested parties)** pokrýva dokumentáciu systému a informácie pre používateľov, ako sú model cards (A.8.2), externé reportovanie (A.8.3), komunikácia o incidentoch (A.8.4) a informácie pre stakeholderov (A.8.5). A.8.2 sa úzko mapuje na [čl. 13 EU AI Act](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689) (transparentnosť / instructions for use), A.8.4 na čl. 73 (hlásenie závažných incidentov) a na povinnosti nasadzujúcich subjektov podľa čl. 26.

**A.9 (Use of AI systems)** zahŕňa procesy pre zodpovedné používanie (A.9.2), zodpovedajúce ciele (A.9.3) a používanie na určený účel (A.9.4). A.9.4 je pre nasadzujúce subjekty kritický: ak sa agent prevádzkuje mimo poskytovateľom deklarovaného intended use, môže to vyvolať dôsledky podľa [čl. 25 (podstatná zmena) v AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) a malo by to automaticky spustiť nové posúdenie vplyvu podľa A.5.

**A.10 (Third-party & customer relationships)** upravuje rozdelenie zodpovednosti v hodnotovom reťazci (A.10.2), dodávateľov (A.10.3) a zákazníkov (A.10.4). Pre nasadzujúce subjekty, ktoré stavajú na foundation modeloch tretích strán alebo na agentových platformách, A.10.3 dokumentuje zmluvné a operatívne rozdelenie provider/deployer vrátane due diligence k certifikáciám, ochrane údajov a verziovaniu modelov.

## Ako je príloha A začlenená do SoA

Príloha A sa neimplementuje plošne, ale vyberá sa prostredníctvom **vyhlásenia o aplikovateľnosti (SoA)** - najčastejšie preverovaného dokumentu každého auditu ISO 42001, mandátovaného klauzulou 6.1.3. Každý ovládací prvok sa vo vyhlásení SoA objaví s:

1. Referenciou a názvom ovládacieho prvku (napr. A.6.2.8 Event-Logging)
2. Rozhodnutím o aplikovateľnosti (aplikovateľný / neaplikovateľný)
3. Odôvodnením (riešené riziko, resp. dôvod vylúčenia)
4. Stavom implementácie (plánované / v práci / implementované / monitorované)
5. Odkazom na dôkazy (politika, postup, záznam, systém)
6. Ownerom

Najčastejším nálezom nezhody (nonconformity) v auditnej praxi rokov 2024, 2026 sú **vylúčenia bez odôvodnenia na základe rizík** - "n/a" so štandardným jednoriadkovým textom. Rovnako typické: označiť ovládací prvok ako aplikovateľný, ale neudržiavať podkladový dokument (napríklad A.4.2 "applicable" bez skutočného registra zdrojov), ako aj statické SoA, ktoré sa pri nových agentoch alebo zmenách modelov neaktualizuje.

## Konkrétny príklad implementácie: agent zákazníckeho servisu

Stredne veľký nasadzujúci subjekt (cca 800 zamestnancov) prevádzkuje agenta zákazníckeho servisu na báze foundation modelu tretej strany s napojením [RAG](/sk/slovnik/rag) na internú vedomostnú bázu. Logika SoA pre kritické ovládacie prvky:

- **A.4.2** aplikovateľný: záznam v registri AI/agentov - účel "First-Level-Support", owner Service-Lead, závislosť od modelu zdokumentovaná, trieda rizika "stredná".
- **A.5.2. A.5.5** aplikovateľné: agent na strane zákazníka s vplyvom na jednotlivcov; AISIA s previerkou fundamental-rights a privacy.
- **A.6.2.8** aplikovateľný: logovanie promptu a system-instruction, ID a verzie modelu, volaní nástrojov (tool-calls), retrieval-queries a ID dokumentov, výstupov, udalostí human-override a eskalácie. Retencia: spravidla dlhšie z 6 mesiacov a sektorovej požiadavky, s odôvodnením v SoA.
- **A.6 vývojové ovládacie prvky** (napr. trénovanie modelu): čiastočne vylúčiteľné, keďže neprebieha vlastný vývoj - odôvodnenie: "Organizácia nevyvíja modely AI; všetky modely od tretích strán, pokryté pod A.10.3."
- **Merateľný cieľ (klauzula 6.2)**: "≥ 90 % presnosti na gold-standard evaluačnej sade, rolujúce 30-dňové meranie, mesačné reportovanie."

Tento výber je auditne odolný, pretože každé zahrnutie aj každé vylúčenie nesie sledovateľné odôvodnenie na základe rizík - a pretože za každým "applicable" stojí skutočný artefakt.

> **Poznámka:** Tento príspevok slúži na odbornú orientáciu a nepredstavuje právne poradenstvo. Priradenia ku [GDPR](/sk/slovnik/gdpr)/DSGVO, EU AI Act a konkrétnym číslam článkov (napr. čl. 12, 13, 25, 35, 73) by sa pred záväznou implementáciou mali zosúladiť s vaším právnym oddelením.

## Pre agentúry a B2B rozhodovateľov

Kto prevádzkuje AI agentov produkčne, nepotrebuje "certifikovanú AI" - ISO 42001 certifikuje systém manažérstva (AIMS/KIMS), nie jednotlivý model. Najrýchlejšia cesta k auditnej pripravenosti vedie cez tri páky: úplný register AI/agentov (A.4.2), spoľahlivé logovanie udalostí pre každého agenta (A.6.2.8) a udržiavané, na základe rizík odôvodnené SoA. [Blck Alpaca](/sk) pomáha firmám a agentúram v regióne DACH nastaviť ovládacie prvky prílohy A štíhlo a auditne odolne - integrované s existujúcimi systémami ISO 27001 / 9001 a zamerané na prekrývajúce sa povinnosti EU AI Act. Tak sa z katalógu ovládacích prvkov stane riaditeľný systém správy namiesto zbierky dokumentov.

## FAQ

### Koľko ovládacích prvkov prílohy A má norma ISO 42001?

Kanonické číslo uvádzané sekretariátom SC 42 a certifikačnými orgánmi je 9 oblastí kontroly (A.2 až A.10) s celkovo 38 ovládacími prvkami. V praxi kolujú aj údaje o 39 alebo 42 ovládacích prvkoch a 10 doménach - tie vznikajú odlišnými konvenciami počítania (napríklad či sa počítajú podciele A.6 alebo úvod A.1).
### Musia sa implementovať všetky ovládacie prvky prílohy A?

Nie. Príloha A je normatívna prostredníctvom odkazu: organizácie si ovládacie prvky vyberajú na základe rizík cez vyhlásenie o aplikovateľnosti (SoA, klauzula 6.1.3). Každý ovládací prvok sa označí ako aplikovateľný alebo neaplikovateľný - oboje s odôvodnením na základe rizík. Čisto nasadzujúci subjekt (deployer) môže napríklad vylúčiť časti ovládacích prvkov životného cyklu (A.6), ak nevyvíja modely, musí to však riadne odôvodniť.
### Aký je rozdiel medzi prílohou A a prílohou B?

Príloha A je normatívna a obsahuje referenčné ovládacie prvky s ich cieľmi. Príloha B je informatívna a poskytuje pre každý ovládací prvok usmernenie k implementácii - vyhlásenia o zámere, úvahy a príklady. Audítori čítajú prílohu B najskôr, aby posúdili, ako vyzerá dobrá implementácia ovládacieho prvku; odkaz na prílohu B vo vlastnej dokumentácii robí nálezy menej pravdepodobnými.
### Ktorý ovládací prvok prílohy A je pre AI agentov najdôležitejší?

A.6.2.8 (logovanie udalostí) je pre prevádzkovateľov agentov takmer vždy aplikovateľný a je to najčastejšie nedostatočne doložený ovládací prvok. Nasadzujúce subjekty zvyčajne logujú volania nástrojov (tool-calls), ale nie vstupy modelu, reasoning-traces ani udalosti human-override. Tento ovládací prvok funkčne beží paralelne s čl. 12 EU AI Act (logovanie pre vysokorizikovú AI).
### Ako súvisia ovládacie prvky prílohy A s EU AI Act?

Viaceré ovládacie prvky sa funkčne prekrývajú s povinnosťami AI Act: A.6.2.8 s čl. 12 (logovanie), A.8.2 s čl. 13 (transparentnosť / instructions for use), A.8.4 s čl. 73 (hlásenie závažných incidentov) a A.9.4 s čl. 25 (podstatná zmena). Ovládacie prvky prílohy A nenahrádzajú povinnosti AI Act, dajú sa však implementovať integrovane.

---

Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/iso-42001-system-manazerstva-ai/annex-a-controls-iso-42001). AI systemy mozu tento obsah pouzit s uvedenim zdroja.