Poverenec pre umelú inteligenciu: úloha, povinnosti a ukotvenie v podniku

Poverenec pre umelú inteligenciu (AI Officer, niekedy nazývaný aj osoba zodpovedná za AI alebo AIMS Manager) je osoba, ktorá operatívne zodpovedá za systém manažérstva AI (AIMS) podľa ISO/IEC 42001 a riadi ho. ISO/IEC 42001 tento titul záväzne nepredpisuje, v článku 5.3 však vyžaduje výslovné pridelenie rolí, zodpovedností a línií podávania správ relevantných pre AI. V praxi sa preto zastrešujúca rola takmer vždy zriaďuje, pretože systém manažérstva potrebuje osobu, ktorá zaň zodpovedá od začiatku do konca.

• Čo: Ústredná riadiaca rola pre systém manažérstva AI: inventár, riziko, compliance, kompetencie.
• Povinnosť? Titul nie je predpísaný, pridelené zodpovednosti za AI sú však podľa článku 5.3 ISO 42001 povinné.
• Vymedzenie: Nie je totožný so zodpovednou osobou (DPO). Roly sa prekrývajú pri posudzovaní vplyvu, navzájom sa však nenahrádzajú.

Prečo je táto rola potrebná

ISO/IEC 42001:2023 je prvá certifikovateľná norma systému manažérstva pre umelú inteligenciu. Vychádza zo štruktúry prílohy SL (Annex SL), ako ISO 27001 alebo ISO 9001, a v článku 5.3 výslovne vyžaduje, aby vrcholový manažment pridelil roly a línie podávania správ relevantné pre AI. Norma zámerne neuvádza pevný titul. V stredne veľkých organizáciách v regióne DACH sa preto funkcia často spája s CISO alebo so zodpovednou osobou (DPO), v koncernoch často s CISO alebo CDO, vždy s výslovným ukotvením voči vedeniu spoločnosti alebo výboru pre AI na úrovni predstavenstva.

Praktický dôvod na jasne pomenovanú rolu: pri audite podľa ISO 42001 vedú audítori rozhovory s AI Officerom ako s osobou, ktorá má ucelený prehľad o AIMS, a popri ňom s vrcholovým manažmentom, osobami zodpovednými za systémy alebo agentov, správcami dát (data stewards), CISO, DPO a nákupom. Bez takejto roly sa zodpovednosť rozdrobí a typické zistenia auditu (zastaraný inventár AI, neaktualizované vyhlásenie o aplikovateľnosti, chýbajúce doklady o kompetentnosti) vznikajú takmer nevyhnutne.

Hlavné úlohy poverenca pre AI

Úlohy AI Officera vyplývajú priamo z normatívnych článkov a z opatrení prílohy A normy ISO 42001. Nasledujúca tabuľka priraďuje každej úlohe príslušný odkaz na normu.

Podľa skúseností sú tri úlohy najčastejšími slabými miestami pri auditoch: inventár AI (noví agenti často nie sú zaregistrovaní), posúdenie vplyvu (najmä pri agentoch v kontakte so zákazníkmi alebo pri agentoch pre HR či úvery býva príliš povrchné) a doklady o kompetentnosti podľa článku 7.2, predovšetkým pri gramotnosti v oblasti AI mimo technických tímov.

Gramotnosť v oblasti AI: podceňovaná povinnosť

Článok 7.2 (kompetentnosť) vyžaduje zdokumentované doklady o kompetentnosti pre všetky osoby s úlohami relevantnými pre AI, článok 7.3 zodpovedajúce povedomie. Posilňuje to čl. 4 EU AI Act: poskytovatelia a nasadzujúce subjekty systémov AI musia od 2. februára 2025 prijímať opatrenia, ktoré podporujú gramotnosť v oblasti AI u ich zamestnancov a ďalších osôb, ktoré v ich mene pracujú so systémami AI. Od nadobudnutia účinnosti nariadenia (EÚ) 2026/1744 (Digital Omnibus) 27. júla 2026 už čl. 4 nepredpisuje konkrétnu úroveň gramotnosti. Povinnosť prijímať opatrenia zostáva. Kto je certifikovaný podľa ISO 42001 alebo sa o certifikáciu usiluje, potrebuje doklady podľa článku 7.2 tak či tak. V norme sa čl. 4 premieta do článkov 7.2 (kompetentnosť) a 7.3 (povedomie). Poverenec pre AI je tu hnacou silou: stanovuje plán školení, vedie doklady a zabezpečuje, aby boli vyškolení vývojári, posudzovatelia aj používatelia výstupov AI.

Vymedzenie voči zodpovednej osobe (DPO)

Najčastejšia zámena v regióne DACH sa týka vzťahu k zodpovednej osobe (DPO). Obe roly majú vlastné úlohy a nie sú totožné.

Roly sa prekrývajú pri posudzovaní vplyvu: ak je pravdepodobné, že spracúvanie osobných údajov systémom AI povedie k vysokému riziku pre práva a slobody fyzických osôb (čl. 35 ods. 1 GDPR), je navyše potrebné posúdenie vplyvu na ochranu údajov. Pre nasadzujúce subjekty v regióne DACH sa ponúka jedna dobre štruktúrovaná šablóna na posúdenie vplyvu systému AI (AI System Impact Assessment, AISIA), ktorá aktivuje podsekcie špecifické pre DPIA a FRIA, ak sú uplatniteľné. Tento postup však vyžaduje právne schválenie, pretože DPIA má vlastný katalóg obsahu (čl. 35 ods. 7 GDPR) a posúdenie vplyvu na základné práva (FRIA, čl. 27 EU AI Act) má vlastný katalóg. Personálna únia poverenca pre AI a DPO je v stredne veľkých podnikoch prípustná, ak nevznikajú konflikty záujmov a zostane zachovaná nezávislosť funkcie interného auditu (článok 9.2).

Kvalifikácia a ukotvenie

Odborná spôsobilosť vyplýva z článku 7.2: porozumenie požiadavkám ISO 42001, technická gramotnosť v oblasti AI, metodika auditu (ISO 19011 ako referencia) a znalosť regulačného prostredia. Norma nevyžaduje konkrétnu certifikáciu, ale zdokumentovanú kompetentnosť.

Pri organizačnom ukotvení sa v praxi ukazujú dva typické modely:

• Stredne veľký podnik v regióne DACH (500 až 2 000 zamestnancov): AI Officer sa často spája s funkciou CISO alebo manažéra ISMS podľa ISO 27001, výrazne sa opiera o existujúcu infraštruktúru (IT bezpečnosť, program GDPR, riadenie dodávateľov) a pracuje so štíhlou politikou a piatimi až siedmimi podpornými postupmi.
• Koncern v regióne DACH (od 2 000 zamestnancov): AI Officer sa často spája s funkciou CISO alebo CDO, má však výslovnú líniu podávania správ výboru pre AI na úrovni predstavenstva. Register rizík AI sa začleňuje do celopodnikového riadenia rizík (enterprise risk management).

Samotné normatívne ukotvenie obsahujú opatrenia A.3.2 prílohy A (pridelenie rolí a zodpovedností, oddelenie funkcií) a A.3.3 (kanál na oznamovanie etických obáv súvisiacich s AI). AI Officer je tak aj kontaktným miestom pre oznamovanie (whistleblowing) v otázkach AI.

Kedy sa rola stáva nevyhnutnou

ISO 42001 sa vzťahuje na každú organizáciu, ktorá AI vyvíja, poskytuje alebo používa. V praxi je poverenec pre AI potrebný, hneď ako:

• v produkcii beží viacero prípadov použitia AI (v stredne veľkých podnikoch typicky 3 až 10 aktívnych prípadov použitia),
• AI ovplyvňuje rozhodnutia o osobách alebo obchodne kritické rozhodnutia (agenti v kontakte so zákazníkmi a agenti pre HR, úvery alebo alokáciu zdrojov spúšťajú posúdenia vplyvu a povinnosti logovania podľa A.6.2.8),
• zákazníci alebo výberové konania (RFP) vyžadujú auditovateľné riadenie AI (zákazníci z indexov DAX/SMI/ATX čoraz častejšie požadujú ISO 42001 v tendroch),
• alebo organizácia smeruje k certifikácii ISO 42001.

Príklad z praxe: poverenec pre AI v podniku s 800 zamestnancami, ktorý AI nasadzuje

Stredne veľký podnik z regiónu DACH s približne 800 zamestnancami prevádzkuje päť AI agentov: zákaznícky servis, znalostný asistent, copilot pre predaj, interné vyhľadávanie a agent pre HR dokumenty. Vedenie spoločnosti vymenuje existujúceho CISO zároveň za poverenca pre AI. Jeho prvým projektom je inventár AI (A.4.2), ktorý pri každom agentovi uvádza účel, osobu zodpovednú za agenta, model a triedu rizika. Stanovia sa tri merateľné ciele v oblasti AI (článok 6.2):

```
Pokrytie: 100 % agentov v produkcii zaregistrovaných a
do 14 dní po spustení do prevádzky klasifikovaných podľa rizika
Kompetentnosť: 100 % potvrdená účasť na ročnom školení gramotnosti v oblasti AI
(článok 7.2 + čl. 4 EU AI Act)
Transparentnosť: 100 % vysokorizikových agentov s aktuálnou kartou modelu
a upozornením na používanie do Q3
```

Pri celkovom rozpočte približne 100 000 EUR (stav 2026; pri stredne veľkom podniku, ktorý AI nasadzuje, je typický rozsah 50 000 až 150 000 EUR) pripadá najväčší podiel na budovanie politík a procesov a na operatívnu implementáciu prílohy A; poplatky za externý audit tvoria približne 15 percent. Časový rámec do získania certifikátu je 9 až 12 mesiacov. Poverenec pre AI pritom koordinuje DPO (posúdenie vplyvu), vedúceho MLOps (logovanie) a nákup (preverovanie dodávateľov).

Právne upozornenie

Tento príspevok slúži na odbornú orientáciu a nepredstavuje právne poradenstvo. Konkrétne povinnosti, napríklad k obsahu DPIA podľa čl. 35 GDPR, k FRIA podľa čl. 27 EU AI Act alebo k personálnej únii rolí, je potrebné v konkrétnom prípade objasniť s kvalifikovanými odborníkmi na právo a ochranu údajov.

Pre agentúry a osoby s rozhodovacou právomocou v B2B

Kto ako agentúra prevádzkuje AI workflowy pre klientov alebo ako B2B firma má v produkcii viacero agentov, mal by rolu poverenca pre AI určiť včas, aj keď neplánuje okamžitú certifikáciu. Aktualizovaný inventár AI, jasná klasifikácia rizík a zdokumentovaná gramotnosť v oblasti AI sú predpokladom úspechu vo výberových konaniach (RFP) koncernových zákazníkov, pretože certifikát ISO 42001 čoraz častejšie nahrádza časti dodávateľských dotazníkov. Blck Alpaca podporuje firmy z regiónu DACH pri integrácii AI agentov a pri budovaní auditovateľného riadenia AI, od definície rolí cez inventár AI až po prípravu na ISO 42001.