Banky a poisťovne majú z umelej inteligencie oprávnené obavy: kam idú dáta, kto zodpovedá za výstup a čo na to povie dohľad. Zároveň majú veľa rutinných procesov s dokumentmi a textom, kde jazykové modely dokážu ušetriť čas. Text je pre architektov, CTO a compliance tímy, ktorí rozhodujú, čo sa dá urobiť hneď a kde prvý pilot radšej nezačínať. Opisuje stav k októbru 2026 a nie je právnym poradenstvom. Konkrétne použitie posúďte s vlastným právnym a compliance útvarom.

Čo z AI Act platí k októbru 2026

Nariadenie (EÚ) 2024/1689 (AI Act) nadobudlo účinnosť 1. augusta 2024 a uplatňuje sa postupne. Harmonogram zmenilo nariadenie (EÚ) 2026/1744, takzvaný Digital Omnibus o AI. Komisia ho navrhla 19. novembra 2025, v Úradnom vestníku vyšlo 24. júla 2026 a účinné je od 27. júla 2026. Namiesto pôvodne navrhovaného posunu viazaného na dostupnosť technických noriem stanovilo pevné dátumy.

  • Od 2. februára 2025: zakázané praktiky podľa čl. 5, napríklad sociálne bodovanie alebo rozpoznávanie emócií na pracovisku, a AI gramotnosť podľa čl. 4. Omnibus povinnosť gramotnosti zmiernil: poskytovatelia a nasadzujúce subjekty majú prijať opatrenia na dosiahnutie dostatočnej úrovne AI gramotnosti u svojich ľudí, povinnosť však nezaručuje konkrétnu úroveň u jednotlivca.
  • Od 2. augusta 2025: povinnosti poskytovateľov modelov na všeobecné účely (GPAI), teda tých, ktorí modely vyvíjajú a uvádzajú na trh. Na banky a poisťovne, ktoré model len používajú, sa tieto povinnosti priamo nevzťahujú.
  • Od 2. augusta 2026: transparentnosť podľa čl. 50, okrem iného povinnosť zabezpečiť, aby človek vedel, že komunikuje s AI systémom, ak to nie je zrejmé. Strojovo čitateľné označovanie generovaného obsahu majú systémy uvedené na trh pred týmto dátumom zaviesť do 2. decembra 2026.
  • Od 2. decembra 2027 (pôvodne od 2. augusta 2026): povinnosti pre vysokorizikové systémy podľa prílohy III, kam patria aj bankové a poisťovacie použitia opísané nižšie. Pre AI zabudovanú do regulovaných výrobkov podľa prílohy I je to 2. august 2028.

Odklad nie je dôvod čakať. Vysokorizikový systém, ktorý chcete prevádzkovať v roku 2028, sa navrhuje a obstaráva teraz, a záznamy, dokumentácia či ľudský dohľad sa do hotového riešenia dopĺňajú ťažko a draho.

Poskytovateľ, alebo nasadzujúci subjekt

Povinnosti podľa AI Act závisia od vašej úlohy. Poskytovateľ systém vyvíja alebo si ho dá vyvinúť a uvádza ho na trh či do prevádzky pod vlastným menom. Nasadzujúci subjekt ho používa vo vlastnej činnosti. Banka, ktorá kúpi hotový nástroj na hodnotenie bonity, je spravidla nasadzujúci subjekt. Ak si však postaví vlastný systém nad cudzím jazykovým modelom a prevádzkuje ho pod svojím menom, je poskytovateľom tohto systému, aj keď model nevyvinula.

Podľa čl. 25 sa nasadzujúci subjekt stáva poskytovateľom vysokorizikového systému aj vtedy, keď naň dá svoje meno, podstatne ho upraví alebo zmení účel bežného systému tak, že sa z neho stane vysokorizikový. Typickým príkladom je všeobecný asistent schválený na prácu s textom, ktorý sa začne používať na predbežné posudzovanie žiadostí o úver. Preto má každé nové použitie prejsť schválením, nielen nový nástroj.

Ktoré použitia v banke a poisťovni sú vysokorizikové

Príloha III v bode 5 uvádza dve finančné použitia: hodnotenie úverovej bonity fyzických osôb alebo určenie ich kreditného skóre, s výslovnou výnimkou pre systémy na odhaľovanie finančných podvodov, a posudzovanie rizika a stanovenie ceny vo vzťahu k fyzickým osobám v životnom a zdravotnom poistení. Neživotné poistenie, napríklad poistenie vozidiel alebo majetku, ani úvery právnickým osobám v tomto bode nie sú. Pre obe odvetvia je rovnako dôležitý bod 4: nábor a výber uchádzačov a rozhodnutia o pracovnom vzťahu vrátane hodnotenia výkonu zamestnancov.

Čl. 6 ods. 3 pripúšťa, že systém z prílohy III nie je vysokorizikový, ak vykonáva úzku procedurálnu alebo prípravnú úlohu a podstatne neovplyvňuje výsledok rozhodnutia. Ak však profiluje fyzické osoby, je vysokorizikový vždy. Poskytovateľ, ktorý sa výnimky dovoláva, musí svoje posúdenie zdokumentovať a systém zaregistrovať.

Povinnosti nasadzujúceho subjektu pri vysokorizikovom použití

Ľudský dohľad podľa čl. 14 je jedna z povinností, nie ich súhrn. Poskytovateľ má systém navrhnúť tak, aby ho človek vedel pochopiť, rozpoznať sklon nekriticky preberať výstup, výstup nepoužiť alebo systém zastaviť. Nasadzujúci subjekt má podľa čl. 26 okrem iného:

  • používať systém podľa návodu poskytovateľa a dohľad zveriť ľuďom s potrebnou kompetenciou, školením, právomocou a podporou,
  • zabezpečiť, aby vstupné dáta, ktoré má pod kontrolou, boli relevantné a dostatočne reprezentatívne vzhľadom na účel,
  • monitorovať prevádzku a riziká a závažné incidenty hlásiť poskytovateľovi a orgánu dohľadu,
  • uchovávať automaticky generované záznamy najmenej šesť mesiacov, pričom finančné inštitúcie ich vedú ako súčasť dokumentácie podľa sektorových predpisov,
  • pred nasadením na pracovisku informovať zástupcov zamestnancov a dotknutých zamestnancov,
  • informovať ľudí, o ktorých systém rozhoduje alebo pomáha rozhodovať, a informácie od poskytovateľa využiť pri posúdení vplyvu na ochranu údajov.

Pri hodnotení bonity a oceňovaní v životnom a zdravotnom poistení k tomu pribúda posúdenie vplyvu na základné práva podľa čl. 27, ktoré môže nadväzovať na DPIA, a podľa čl. 86 právo dotknutej osoby na vysvetlenie úlohy AI v rozhodnutí. Pri finančných inštitúciách sa monitorovacia povinnosť považuje za splnenú dodržaním pravidiel vnútorného riadenia zo sektorových predpisov a orgánom dohľadu nad trhom je podľa čl. 74 ods. 6 východiskovo orgán finančného dohľadu.

GDPR, DORA a pravidlá outsourcingu

AI Act GDPR nenahrádza. Ak rozhodnutie s právnymi alebo podobne závažnými účinkami vzniká výlučne automatizovaným spracúvaním, platí čl. 22 GDPR. Súdny dvor EÚ v rozsudku SCHUFA (C-634/21, december 2023) uviedol, že už samotný výpočet skóre môže byť takým rozhodnutím, ak od neho rozhodnutie veriteľa rozhodujúcou mierou závisí. Pracovník, ktorý výstup len formálne potvrdí, preto problém nerieši. Smernica (EÚ) 2023/2225 o zmluvách o spotrebiteľskom úvere, ktorá sa má uplatňovať od 20. novembra 2026, navyše dáva spotrebiteľovi pri automatizovanom posudzovaní bonity právo žiadať ľudský zásah. Systematické hodnotenie osôb vrátane profilovania je typický dôvod na posúdenie vplyvu na ochranu údajov (DPIA) podľa čl. 35 GDPR, a to ešte pred pilotom s osobnými údajmi.

Nariadenie (EÚ) 2022/2554 (DORA) sa uplatňuje od 17. januára 2025 a jazykový model poskytovaný ako cloudová služba je IKT služba tretej strany. Patrí do registra informácií aj do posúdenia rizika pred uzavretím zmluvy a zmluva musí obsahovať náležitosti podľa čl. 30 vrátane regiónov spracúvania a ukladania dát s oznámením zmeny vopred, prístupu k dátam a ich vrátenia pri skončení a súčinnosti s orgánmi dohľadu. Ak služba podporuje kritickú alebo dôležitú funkciu, pribúdajú neobmedzené práva auditu, testovanie kontinuity a prechodné obdobie pri ukončení.

Na služby mimo IKT platia v bankách usmernenia EBA k outsourcingu z roku 2019. Nové usmernenia EBA k riziku tretích strán pre ne-IKT služby zo septembra 2026 ich nahradia, keď sa začnú uplatňovať (dátum zatiaľ nie je stanovený). Pre poisťovne vydala EIOPA v auguste 2025 stanovisko k riadeniu AI, ktoré pre systémy mimo zakázaných a vysokorizikových vykladá existujúce sektorové predpisy.

Zmluva pri podnikovej verzii AI nástroja

Podnikové verzie nástrojov bývajú v otázke dát výrazne lepšie ako bezplatné a veľkí poskytovatelia v dokumentácii deklarujú, že vstupy a výstupy zákazníkov nepoužívajú na trénovanie modelov. Rozhodujú však podrobnosti:

  • Trénovanie: vzťahuje sa záväzok aj na doladenie modelov, hodnotenie kvality a zlepšovanie služby? Je v zmluve, alebo len na webe?
  • Lokalita: kde sa dáta ukladajú a kde sa spracúvajú. Napríklad dokumentácia Microsoftu k modelom v Azure uvádza, že pri globálnom type nasadenia sa výzvy môžu spracúvať v ktorejkoľvek geografii, kde je model dostupný, hoci uložené dáta ostávajú vo zvolenej geografii.
  • Uchovávanie: monitorovanie zneužitia, história konverzácií, nahrané súbory a funkcie v náhľadovom režime môžu mať iné pravidlá ako samotné volanie modelu. Zistite, čo sa ukladá, ako dlho, kto k tomu má prístup a či sa to dá vypnúť.
  • Subdodávatelia a zmeny modelu: kto dáta spracúva ďalej a s akým predstihom sa dozviete o výmene modelu, ktorá môže zmeniť správanie vášho procesu.
  • Ukončenie: export promptov, konfigurácie, záznamov a výstupov vo formáte, s ktorým viete pracovať bez dodávateľa.

Ako vybrať prvý pilot

Dobrý prvý pilot má veľa opakovaní, jasne overiteľný správny výsledok a človeka, ktorý výstup kontroluje ešte pred tým, než sa prejaví navonok. Mimo prílohy III a bez rozhodovania o klientoch ostáva dosť priestoru: triedenie prichádzajúcej pošty a dokumentov, návrhy odpovedí pre zákaznícku podporu, ktoré pracovník upraví a odošle, vyhľadávanie v interných smerniciach s odkazom na zdrojový dokument a predvyplnenie formulárov z priložených dokumentov s kontrolou pred uložením. Chatbot pre klientov však podlieha transparentnosti podľa čl. 50 a analýza emócií zamestnancov v call centre by narazila na zákaz rozpoznávania emócií na pracovisku.

Pravidlá používania a metrika pilota

Pred pilotom stačí krátky interný predpis: aké kategórie údajov sa do nástroja smú vložiť a ktoré nie (napríklad osobné údaje klientov, bankové tajomstvo, interne klasifikované informácie), zoznam schválených nástrojov a firemných účtov, kto schvaľuje nové použitie a kto je za tému zodpovedný. Bez takého predpisu sa AI vo firme používa aj tak, len cez súkromné účty a bez kontroly.

Metrika sa dohodne pred štartom a meria sa voči súčasnému stavu: čas spracovania jedného prípadu, podiel výstupov prijatých bez úprav a miera chýb v náhodnej vzorke, ktorú kontroluje niekto mimo pilotného tímu. Vopred sa určí aj hranica, pod ktorou pilot končí, a jeho trvanie v týždňoch, nie mesiacoch. Ak sa chyby nedajú merať, lebo nikto nevie povedať, čo je správny výsledok, prípad nie je vhodný na prvý pilot.

Kedy nezačínať

  • Prvým projektom by bolo rozhodovanie o klientoch alebo zamestnancoch (úvery, oceňovanie v životnom a zdravotnom poistení, nábor), kde sa stretáva AI Act, čl. 22 GDPR aj sektorové pravidlá a prínos sa preukazuje najťažšie.
  • Nie je jasné, kto je vlastníkom procesu a kto zodpovedá za chybný výstup.
  • Dodávateľ nevie písomne odpovedať, kde sa dáta spracúvajú a ako dlho sa uchovávajú.
  • Dáta, ktoré model potrebuje, sú nekonzistentné a z pilota by sa stal projekt čistenia dát.

Odporúčanie

Regulované prostredie AI nezakazuje, ale vyžaduje vedieť, v akej úlohe systém používate, do akej kategórie patrí a kto za výstup zodpovedá. Začnite podporným procesom s ľudskou kontrolou výstupu, zmluvou, ktorá odpovedá na otázky o dátach, a metrikou dohodnutou vopred. Až skúsenosť z takého pilota je dobrý základ pre vysokorizikové použitie.