AI Act, CRA, reforma CEMAC: jak z nahromaděných předpisů udělat jediný akční plán

Regulatorní kalendář z července 2026 připomíná výtah celé dekády. Dne 2. srpna nabývá účinnosti další etapa evropského nařízení o umělé inteligenci: povinnosti transparentnosti podle článku 50 (označování generovaného obsahu, konverzační systémy, deepfakes) a sankční pravomoci Komise vůči obecným modelům, s pokutami až do výše 15 milionů eur nebo 3 % celosvětového obratu.

O tři týdny dříve, 13. července, zveřejnila agentura ENISA model sebehodnocení kybernetické odolnosti malých a středních podniků, sladěný s nařízením Cyber Resilience Act: pět hodnocených oblastí, od řízení po životní cyklus produktu, nástroj ke stažení, zařazení do vyspělosti základní, střední nebo pokročilé. A v Librevillu otevírala COBAC nabídky v rámci mezinárodního výběrového řízení na revizi svých organizačních předpisů a přípravu jednotného bankovního zákona pro šest zemí CEMAC, který má nahradit rámec vycházející z úmluv z let 1990 a 1992.

Agentura od té doby upřesnila samotný mechanismus hlášení: list a dva postupné návody k jednotné platformě, zveřejněné v červenci 2026 a aktualizované 31. července, přestože platforma zatím nebyla spuštěna. Spuštěna má být 11. září, tedy přesně v den, kdy povinnost začne platit. Praktický důsledek pro výrobce lze shrnout v jedné větě: účet EU Login, který otevírá přístup, lze vytvořit už nyní, zkušební období si však objednat nelze.

Tři regulátoři, tři geografie, tři témata. Z pohledu generálního ředitelství jde o tři nové projekty, které se přidávají k těm již existujícím: NIS2, CSRD, EUDR, podle odvětví. Je to to, čemu útvary compliance se stále rostoucí únavou říkají nahromadění.

Vůči každému novému textu je institucionální reflex vždy stejný: vyhrazený projekt, vyhrazený odpovědný pracovník, vyhrazená poradenská firma, vyhrazená tabulka. Tento reflex má svou logiku, protože každý text má svého regulátora a své vlastní sankce. Má však především cenu, kterou si málokterá organizace spočítá.

První cenou je redundance: tytéž týmy odpovídají třikrát na tytéž otázky, jen s mírně odlišnou formulací. Kdo je odpovědný za tento systém? Kde je inventář? Jak řešíte incidenty? Bezpečnostní ředitel průmyslového středního podniku může strávit podstatnou část roku vyplňováním dotazníků, které se ze dvou třetin překrývají.

Druhou cenou je nesoulad: tři oddělené projekty vytvoří tři oddělené stavy, které se rychle rozcházejí. Generální ředitelství dostává tři úrovně závažnosti, tři rozpočty, tři harmonogramy, bez způsobu, jak je vzájemně porovnat. A třetí cenou je strategická ztráta: při neustálém honění jednotlivých termínů organizace nikdy nevybuduje základ, který by jí umožnil zvládnout ten další.

Přečtěme si přesto tři červencové signály očima praktika. AI Act především vyžaduje inventář systémů umělé inteligence a jejich využití, jasné řízení, prokazatelnou dokumentaci. CRA, tak jak jej rozvádí model agentury ENISA, hodnotí řízení, správu rizik, zpracování zranitelností, životní cyklus produktů, odborné kompetence. Budoucí obezřetnostní rámec CEMAC bude, podobně jako všechny rámce odvozené od Basel, vyžadovat řízení rizik, zdokumentované postupy, prokazatelnou vnitřní kontrolu.

Jinými slovy: pod odlišnou terminologií se velká část požadavků překrývá. Vědět, co organizace provozuje (inventář systémů, produktů, procesů). Vědět, kdo rozhoduje (řízení, odpovědnosti). Vědět, co se může pokazit (správa rizik). Umět reagovat (incidenty, zranitelnosti, kontinuita). Umět to doložit (dokumentace, sledovatelnost). Pět základních schopností, které každý text dále rozvádí ve své oblasti.

Právě proto, že je tento základ společný, je oddělené zpracování plýtváním: každý samostatný projekt na vlastní náklady znovu buduje inventář, mapu rizik a řízení, které sousední projekt právě zaplatil.

Alternativou není sloučit jednotlivé soulady do jednoho dokumentu, regulátoři by to ani nepřipustili. Alternativou je oddělit dvě věci, které reflex oddělených sil směšuje: základ, který se měří jednou, a regulatorní pohledy, které se odvíjejí podle textu.

Konkrétně: jednotná diagnostika vyspělosti hodnotí základní schopnosti, inventář, řízení, rizika, incidenty, dokumentaci. Každé hodnocené kritérium je vázáno na texty, kterým slouží: určitá kontrola inventáře zásobuje zároveň AI Act i CRA; určitý požadavek na řízení rizik slouží CRA i budoucímu rámci CEMAC. Měření pak odhalí to, co oddělené projekty skrývají: průsečíky, tedy jednotlivá opatření, která posouvají dva nebo tři soulady najednou.

Jde o princip křížení auditů: místo hromadění hodnocení je necháme komunikovat mezi sebou. Organizace, která se měří vůči třem referenčním rámcům se společným základem, téměř vždy zjistí, že její skutečné zpoždění se skrývá v hrstce průřezových schopností, nikoli ve třech stovkách jednotlivých požadavků.

Zbývá uspořádat akční plán. Stačí dvě kritéria, pokud se zkombinují. Nejprve termín: 2. srpen 2026 je podle výkladu již za námi nebo bezprostředně před námi, hlavní povinnosti CRA přicházejí koncem roku 2027, budoucí text CEMAC projde svým schvalovacím procesem. Poté přínos: opatření, které slouží třem textům, má při stejném úsilí trojnásobnou hodnotu opatření, které slouží jen jednomu.

Kombinace obou kritérií dává přirozené pořadí. Na prvním místě základní schopnosti s vysokým přínosem: inventář systémů umělé inteligence a softwarových produktů, řízení rizik, mechanismus hlášení incidentů. Dále specifické rozdíly podle termínu: označování transparentnosti podle článku 50 u umělé inteligence, produktové požadavky CRA, obezřetnostní úpravy, jakmile bude text CEMAC zveřejněn. Nakonec to, co může bez rizika počkat, zdokumentováno jako takové.

Toto sekvencování má politický i technický přínos zároveň: dává generálnímu ředitelství jediné rozpočtové rozhodnutí, jedinou trajektorii, místo tří soupeřících požadavků, z nichž každý se považuje za prioritní.

Takto řízené nahromadění mění svou povahu. Diagnostika základu se stává opakovaně využitelným aktivem: až přijde další text, a přijde, organizace nezačíná od nuly, ale měří rozdíl. Prezentace výsledků se podle stejných dat odvíjí pro různé příjemce: pohled AI Act pro příslušného regulátora, pohled CRA pro odběratele, kteří si jej vyžádají, obezřetnostní pohled pro dohledový orgán, souhrnný pohled pro představenstvo.

A opakované měření v čase mění soulad v trajektorii: už neříkáme „jsme v souladu“, což je neověřitelné a pomíjivé tvrzení, ale „toto je naše vyspělost, její vývoj a náš plán“, tedy datovaný a doložitelný důkaz.

Regulatorní nahromadění je realita, která nezpomalí; roztříštěnost odpovědí je naproti tomu volbou. Organizace, které zvolí opačnou cestu, měřený základ, pohledy podle textu, jediný prioritizovaný plán, nečelí menšímu počtu předpisů než ostatní. Zvládají je však lépe, a levněji.