Smernica o umelej inteligencii pre firmy: obsah a šablóna

Smernica o AI (AI policy) je zdokumentovaný vnútorný predpis schválený vedením spoločnosti, ktorý určuje, ako sa AI vo firme smie používať a ako nie. Vymedzuje rozsah pôsobnosti, povolené a zakázané používanie, ochranu údajov a dôvernosť, schválené nástroje, označovanie obsahu vytvoreného AI, zodpovednosti, školenia a dôsledky porušení. Podľa ISO/IEC 42001:2023 je na základe klauzuly 5.2 a opatrenia A.2.2 z prílohy A povinným dokumentom a tvorí rámec pre všetky merateľné ciele v oblasti AI.

• Povinnosť, nie nadštandard: Bez zdokumentovanej smernice o AI schválenej vedením spoločnosti nie je certifikácia podľa ISO 42001 možná (klauzula 5.2 / opatrenie A.2.2).
• Konkrétna namiesto frázovitej: Všeobecná smernica („AI používame zodpovedne“) je podľa audítorskej praxe 2024-2026 jednou z najčastejších výhrad. Musí sa dať overiť bod po bode a vymáhať.
• Začlenená, nie izolovaná: Musí byť zladená s existujúcimi smernicami o informačnej bezpečnosti, ochrane údajov, etike a HR (opatrenie A.2.3).

Načo slúži smernica o AI a kde ju ukotvuje ISO 42001

Klauzula 5.2 normy ISO/IEC 42001 vyžaduje, aby vrcholové vedenie zaviedlo zdokumentovanú smernicu o AI, ktorá zodpovedá účelu organizácie, poskytuje rámec pre ciele v oblasti AI a obsahuje záväzok k plneniu uplatniteľných požiadaviek a k neustálemu zlepšovaniu. Opatrenie A.2.2 z prílohy A to posilňuje a požaduje zdokumentovanú smernicu o AI. A.2.3 vyžaduje zladenie s ostatnými firemnými smernicami, A.2.4 pravidelné preskúmanie.

Logika je kaskádová: smernica (5.2) dáva rámec pre merateľné ciele v oblasti AI (6.2), ktoré sa ďalej sledujú prostredníctvom monitorovania (9.1) a preskúmania manažmentom (9.3). Smernica bez nadväzujúcich merateľných cieľov zostáva bez účinku a pri audite bude predmetom výhrady.

Povinný obsah smernice o AI

Smernica o AI, ktorá v regióne DACH obstojí, pokrýva podľa praxe ISO 42001 nasledujúce stavebné prvky. Dajú sa priamo použiť ako osnova na odškrtávanie.

Povolené a zakázané používanie

Pre každodennú prácu je to najdôležitejšia časť. Pre AI agentov by smernica mala výslovne stanoviť stupne autonómie (len na čítanie, odporúčanie, konanie so schválením, autonómne konanie), ďalej hranice používania nástrojov, pravidlá eskalácie a human-in-the-loop a diverzifikáciu poskytovateľov modelov. Negatívny zoznam začína praktikami zakázanými podľa čl. 5 EU AI Act, napríklad rozpoznávaním emócií na pracovisku, sociálnym bodovaním a manipulatívnymi technikami, ktoré môžu spôsobiť značnú ujmu (zakázané od 2. februára 2025). Nariadenie (EÚ) 2026/1744 (Digital Omnibus) dopĺňa čl. 5 o ďalšie zákazy: týkajú sa napríklad systémov AI, ktoré bez súhlasu vytvárajú realistické intímne zobrazenia identifikovateľných osôb, a vytvárania materiálu zobrazujúceho sexuálne zneužívanie detí. K tomu pribúdajú vlastné zákazy, napríklad žiadne autonómne právne poradenstvo alebo žiadne autonómne personálne rozhodnutia bez ľudskej kontroly (HITL). Rozhodujúce je tu opatrenie A.9.4: ak firma nasadí agenta mimo zamýšľaného účelu, ktorý stanovil poskytovateľ, a systém sa tým stane vysokorizikovým, firma sa podľa čl. 25 EU AI Act sama stáva poskytovateľom. Potom preberá povinnosti poskytovateľa podľa čl. 16 vrátane posudzovania zhody.

Ochrana údajov a schválené nástroje

Smernica musí upravovať, ktoré údaje smú prúdiť do promptov, do systémov na vyhľadávanie (retrieval) alebo do trénovacích údajov. Schválené nástroje sa uvádzajú spolu s poskytovateľom; opatrenie A.10.3 počíta so zdokumentovanou due diligence týkajúcou sa certifikácií (ISO 27001, SOC 2 Type II, ISO 42001), úrovne ochrany údajov, ďalších sprostredkovateľov a pravidiel ukončovania podpory modelov. Zastaraný zoznam nástrojov alebo nevedený register poskytovateľov patria k najčastejšie vytýkaným bodom.

Označovanie obsahu vytvoreného AI

Transparentnosť je kľúčový princíp z prílohy C.2. Opatrenie A.8.2 vyžaduje systémovú dokumentáciu a informácie pre používateľov: model cards, návody na použitie (Instructions for Use), vyjadrenia o schopnostiach a obmedzeniach. To sa zhoduje s čl. 13 EU AI Act (transparentnosť a poskytovanie informácií nasadzujúcim subjektom). Čl. 13 však platí len pre vysokorizikové systémy a upravuje transparentnosť a poskytovanie návodu na použitie nasadzujúcim subjektom, nie označovanie obsahu. Označovanie upravuje čl. 50, ktorý sa uplatňuje od 2. augusta 2026. Poskytovatelia musia ľudí upozorniť, že komunikujú so systémom AI, ak to nie je zrejmé, a syntetický zvukový, obrazový, video a textový obsah označiť v strojovo čitateľnom formáte. Nasadzujúce subjekty musia pri deep fake zverejniť, že obsah bol umelo vytvorený, a označiť texty vytvorené AI, ktoré sa zverejňujú s cieľom informovať verejnosť o záležitostiach verejného záujmu. Táto povinnosť odpadá, ak text prešiel ľudskou alebo redakčnou kontrolou a redakčnú zodpovednosť nesie fyzická alebo právnická osoba. Pre generatívne systémy AI, ktoré boli na trhu už pred 2. augustom 2026, platí pre označovanie prechodné obdobie do 2. decembra 2026. Smernica by mala upravovať, kedy a ako sa označuje obsah vytvorený AI alebo s podporou AI.

Školenie a gramotnosť v oblasti AI

Klauzula 7.2 (kompetencia) a 7.3 (povedomie) vyžadujú dôkazy, že zamestnanci s aktívnymi rolami v oblasti AI sú vyškolení. To nadväzuje na čl. 4 EU AI Act (gramotnosť v oblasti AI). Od zmeny nariadením (EÚ) 2026/1744, ktoré nadobudlo účinnosť 27. júla 2026, ukladá čl. 4 poskytovateľom a nasadzujúcim subjektom povinnosť prijať opatrenia na podporu gramotnosti v oblasti AI svojich zamestnancov. Konkrétnu úroveň gramotnosti zaručiť nemusia. Plán školení v smernici tieto opatrenia dokumentuje. Pri nasadeniach agentov je práve tento dôkaz častou slabinou, pretože kompetencia sa mimo čisto technických tímov často nepreukazuje.

ISO 42001 a EU AI Act: most

ISO 42001 nie je harmonizovaná norma a nezakladá predpoklad zhody s EU AI Act. Považuje sa však za najsilnejší organizačný základ pre prípravu na AI Act. Pre smernicu sú relevantné najmä štyri články: čl. 4 (gramotnosť v oblasti AI) pokrývajú klauzuly 7.2/7.3, čl. 13 (transparentnosť a informácie pre nasadzujúce subjekty vysokorizikových systémov) opatrenia A.8.2 a A.8.5. Čl. 5 (zakázané praktiky) patrí do negatívneho zoznamu, čl. 50 (upozornenie na interakciu s AI, označovanie syntetického obsahu a deep fake) do časti o označovaní. Záväzok dodržiavať príslušné predpisy (GDPR, EU AI Act, odvetvová regulácia) patrí výslovne do textu.

Poznámka: Tento príspevok slúži na odbornú orientáciu a nenahrádza právne poradenstvo. Konkrétne povinnosti, odkazy na články a lehoty treba v jednotlivom prípade právne preskúmať.

Šablóna: osnova smernice o AI na odškrtávanie

```
Smernica o AI [firma], verzia x.y, schválenie [dátum/vedenie spoločnosti]

1. Účel a rozsah pôsobnosti

• zahrnuté systémy AI/agenti a oblasti
  
• rola: poskytovateľ / nasadzujúci subjekt / oboje
  

2. Hlavné princípy (ľudský dohľad, transparentnosť, férovosť, ochrana údajov, bezpečnosť, robustnosť)
3. Roly a zodpovednosti (vedenie, AI Officer/manažér AIMS, vlastníci opatrení)
4. Povolené používanie

• stupne autonómie podľa prípadu použitia
  
• hranice používania nástrojov, eskalácia/HITL
  

5. Zakázané používanie (negatívny zoznam: všetky praktiky zakázané podľa čl. 5 EU AI Act, napr. rozpoznávanie emócií na pracovisku, sociálne bodovanie; k tomu vlastné zákazy, napr. autonómne personálne/právne rozhodnutia)
6. Ochrana údajov a dôvernosť (prípustné údaje v promptoch/pri vyhľadávaní)
7. Schválené nástroje a poskytovatelia (+ due diligence poskytovateľov A.10.3)
8. Označovanie obsahu vytvoreného AI (AI Act čl. 50, transparentnosť, model cards, návody na použitie)
9. Posúdenie rizika a vplyvu (záväzok)
10. Školenie a gramotnosť v oblasti AI (plán, interval)
11. Porušenia a vymáhanie (dôsledky, kanál na nahlasovanie)
12. Záväzok dodržiavať právo (GDPR, EU AI Act) a neustále sa zlepšovať
13. Rytmus revízií, správa verzií, podpisy schválenia
    ```

Praktický príklad: merateľné ciele a potvrdenia o školení

Smernica začne pôsobiť až prostredníctvom merateľných cieľov podľa klauzuly 6.2. Firma z regiónu DACH s 500 až 2 000 zamestnancami konkretizuje svoju smernicu napríklad takto:

• Kompetencia (klauzula 7.2 + AI Act čl. 4): „Všetci zamestnanci s aktívnou rolou v oblasti AI absolvujú raz ročne školenie zamerané na gramotnosť v oblasti AI; potvrdenie o absolvovaní má 100 % z nich.“
• Transparentnosť: „100 % vysokorizikových agentov má do Q3 aktuálnu model card a inštrukčný list pre používateľov.“
• Pokrytie: „100 % AI agentov v produkčnej prevádzke je do 14 dní po spustení (go-live) zaregistrovaných v inventári AI a zaradených do rizikovej triedy.“

Takéto ciele robia smernicu auditovateľnou a uzatvárajú medzeru medzi deklaráciou a dôkazom, presne tam, kde všeobecné smernice zlyhávajú.

Pre agentúry a B2B

Pre marketingové agentúry je smernica o AI relevantná dvojnásobne: interne ako dôkaz vlastnej kompetencie podľa čl. 4 AI Act, externe ako signál dôvery v pitchoch a výberových konaniach. Klienti kótovaní v indexoch DAX, SMI a ATX sa v RFP čoraz častejšie pýtajú na riadenie AI (AI governance). Pre osoby s rozhodovacou právomocou v B2B je smernica prvým, nákladovo nenáročným krokom k certifikácii ISO 42001 (podľa nášho odhadu približne 50 000 až 150 000 EUR a 9-12 mesiacov pre firmu s 500 až 2 000 zamestnancami, stav 2026): dá sa vytvoriť za štyri až osem týždňov vo fáze tvorby súboru smerníc a kladie základ pre procesy rizika, vplyvu a životného cyklu. Pomáhame s tvorbou smernice o AI, ktorú možno overiť bod po bode a vymáhať, a s jej napojením na merateľné ciele, bez fráz a so zreteľom na auditovateľnosť.