COREDO

Praxe COREDO potvrzuje: otázka «kdo nese odpovědnost za chyby umělé inteligence» už není akademická diskuse. Je to každodenní manažerský úkol související s odpovědností za AI, souladem s předpisy, smlouvami a pojištěním, který určuje náklady kapitálu, rychlost uvedení na trh a strategickou odolnost.

Proč správní rada odpovídá za umělou inteligenci?

Naše zkušenost v COREDO ukázala, že i „mírné“ incidenty, jako třeba chybné doporučení AI v prodeji, vedou k nákladným přepracováním procesů a přehodnocení smluvních závazků. Přidejte k tomu otázky jurisdikce při přeshraničních chybách AI a pochopíte, proč společnosti s evropským, asijským a blízkovýchodním provozním záběrem budují jednotnou architekturu odpovědnosti za autonomní systémy a jejich dodavatele.

Regulační rámec Evropy, Asie a SNS

V EU byl přijat AI Act, který zavádí rizikově orientovaný přístup a uvádí konkrétní role odpovědných osob pro vysoce rizikové systémy (požadavky EU AI Act na odpovědné osoby). Regulace AI v EU je úzce spjata s GDPR a odpovědností při automatizovaných rozhodnutích, včetně práva na vysvětlení a administrativních práv subjektů. Regulační orgány pro umělou inteligenci v Evropě se opírají o koordinaci s EDPB a ENISA, zatímco národní agentury vydávají odvětvové průvodce a vytvářejí regulační sandboxy pro AI.

V Asii je regulační prostředí roztříštěné, ale obecně se zpřísňují požadavky na algoritmickou průhlednost, kontrolu zkreslení a bezpečnost dat. Země, kde tým COREDO aktivně působí, například Singapur, prosazují modely měkké regulace s přísnými standardy zásady privacy by design a audity. V SNS pozorujeme směřování k harmonizaci s mezinárodními normami ISO, principy OECD AI Principles a doporučeními UNESCO pro etiku AI.

Přísná vs nedbalost: odpovědnost výrobce a dodavatele

Právníkům jsou obvyklé dvě základní konstrukce: přísná odpovědnost vs odpovědnost za nedbalost u AI. Při přísné (výrobní) odpovědnosti za vady modelu jde o přítomnost vady a příčinnou souvislost; při nedbalosti jde o prokázání porušení standardu řádné péče. V evropské logice může výrobní odpovědnost za vady modelu a právní základy přísné odpovědnosti za výrobek postihnout jak výrobce AI, tak integrátora, pokud vada vznikla v důsledku modifikace nebo nesprávné integrace.

Zodpovědnost dodavatele modelů a rámce odpovědnosti pro platformy jako poskytovatele služeb se vyostřují, když jsou používány open source modely. licenční podmínky open source modelů a právní posouzení open AI APIs a integrací třetích stran vyžadují pečlivou certifikaci dodavatelského řetězce: kontrolu původu (provenance), model cards, datasheety datasetů a bezpečnostní expertízu kódu a analýzu původu modelu.

Rizika ve smlouvách: odškodnění a SLA/SLO

Řešení vyvinuté v COREDO vždy začíná mapováním rizik na smluvní mechanismy řízení rizika AI. Smluvní převedení odpovědnosti za AI vyžaduje vícestupňová ujednání: odškodnění (indemnification) za porušení IP a porušení důvěrnosti, ujednání o nevyužívání dat pro doladění, záruky (warranties) o shodě se standardy a bezpečností, jasná omezení odpovědnosti (limitation of liability) s carve‑outy pro úmysl a hrubou nedbalost.

• Odškodnění (indemnity) a smluvní ujednání v dohodách s dodavateli AI stanovují krytí nároků týkajících se zaujatosti, bezpečnosti, úniků a vad. Je důležité určit, kdo nese odpovědnost za škodu způsobenou AI klientovi, když model funguje jako součást komplexního řešení.
• Modelová SLA a SLO pro obchodní aplikace určují cílové úrovně přesnosti, latence, dostupnosti a metrik kvality dat. Prověrka dodavatele AI a bezpečnostní SLA zahrnují požadavky na šifrování, řízení přístupu, logování a dobu odezvy na incidenty.
• Jak rozdělit odpovědnost mezi zákazníkem a dodavatelem AI? Pomocí matice «kdo spravuje data/trénink/deployment/monitoring» a přiřazení rizik ke zónám kontroly. Pro generativní modely přidejte postupy řízení rizik při používání generativního AI: filtry obsahu, watermarking, politika pro deepfakes a human‑in‑the‑loop pro citlivá rozhodnutí.
• Šablony smluv s best practices pro nákup AI řešení zahrnují ustanovení o regulatorních změnách (change‑in‑law), povinnost vést audit trail, poskytovat evidence balíčky a spolupracovat při kontrolách.

Jak zabudovat kontrolu do inženýrství

Kompliance a Due Diligence pro dodavatele AI začíná hodnocením dodavatele podle standardů a certifikace AI (ISO/IEC 23894, ISO/IEC 27001 a národní standardy), stejně jako souladu s GDPR. Regulační požadavky na audit modelů, audity algoritmů a prokázání řádné péče vyžadují dokumentaci v celém řetězci: od dat po nasazení.

Praxe COREDO potvrzuje: právní riziko se snižuje, když jsou technické procesy transparentní. K tomu zavádíme:

• Algoritmickou průhlednost a vysvětlitelnost: model cards, datasheets for datasets, metriky vysvětlitelnosti (SHAP, LIME, counterfactuals) a nástroje interpretability a ladění modelů (model debugging).
• Kontrolu verzování modelů a provenience: neměnné registry artefaktů, přístup založený na rolích a audit změn modelů, přísná politika tagování dat a proměnných (features).
• Logování rozhodnutí a audit trail pro AI plus forensic logging pro vyšetřování příčin chyb; to je základ pro ochranu v sporech a pro regulační výkaznictví.
• Algoritmickou zaujatost a metriky spravedlnosti (fairness), pravidelné testování robustnosti a adversariální testování, a také red teaming a stresové testování modelů.
• Kontrolu driftu modelu a monitoring výkonu, KRI a SLO, externí validace a benchmarkování modelů, peer review modelů a nezávislý technický audit.
• MLOps praktiky pro řízené riziko a srovnání DevOps vs MLOps pro stabilitu modelů: pipeline pro replikovatelnost, kontrola dat, testování před releasem.
• Nástroje kontroly kvality dat a validace dat, kontrola kvality dat při přeshraničních přenosech a správa dat (data governance).
• Compliance by design a dokumentace AI rozhodnutí, privacy by design a posouzení dopadu na ochranu soukromí (privacy impact assessment), a také algoritmické posouzení dopadu (AIA) pro vysoce rizikové systémy.

Kde jsou chyby AI v AML/KYC obzvlášť nákladné?

V platebních a úvěrových službách se otázka „kdo nese odpovědnost za chybné algoritmické rozhodnutí ve financích“ řeší na průsečíku bankovního dohledu, AI Act a GDPR. regulační požadavky na vysvětlení rozhodnutí při poskytování úvěrů nutí provozovatele prokazovat vysvětlitelnost, sledovatelnost a absenci diskriminace.

Odpovědnost za chyby AI v systémech AML a KYC se týká i chyb typu false positives/false negatives. Řízení incidentů false positives a false negatives vyžaduje lidský dohled a člověka v rozhodovací smyčce, jasné eskalační postupy a protokolování. Automatizace AML, chyby a regulatorní odpovědnost vedou k pokutám a příkazům, pokud provozovatel nedokáže prokázat řádnou péči a adekvátnost algoritmů.

Pojištění a připravenost na žaloby

Kdo nese odpovědnost za škodu způsobenou AI klientovi, se často určuje podle toho, jak je společnost připravena na incident. Provozní plán reakce na incidenty AI by měl zahrnovat scénáře vypnutí modelu, návrat k ručním postupům, hlášení regulátorům a komunikaci se zákazníky. Forenzní logování a úplné záznamy rozhodnutí snižují náklady na znalecké posudky a urychlují vyrovnání.

pojištění rizik AI: další opora. V praxi strukturováme krytí pomocí:

• Pojišťovací produkty: kyberpojištění pro úniky a bezpečnostní incidenty; pojištění profesionální odpovědnosti a technické E&O pro profesní odpovědnost, vady softwaru a služeb.
• kritéria výběru pojištění pro AI: geografie rizika, typ řešení (generativní/klasifikační), objemy dat, přítomnost člověka v rozhodovacím procesu, historie incidentů, požadavky regulátorů.
• Stanovení výše pojistného pro rizika AI závisí na zralosti MLOps, kvalitě logování, externích auditech a dostupnosti certifikací.

Role představenstva: strategie

Ekonomika škálování AI zesiluje důsledky chyb modelu: systémové riziko při masovém používání stejných modelů může vést k současným výpadkům u mnoha klientů. Metriky odolnosti modelu při škálování, řízení technického dluhu a riziko akumulace při rozvoji modelů, a také externí validace a benchmarking se stávají strategickými KPI.

Jak COREDO rozděluje a nese riziko

• EU, Licencování platebního ústavu. Klient zaváděl scoring s využitím AI. Zavedli jsme interpretovatelnost na bázi SHAP a kontrafaktuálních scénářů, provedli posouzení dopadu na soukromí (privacy impact assessment) a algoritmické hodnocení dopadů (AIA), vypracovali model cards a datasheets pro datové sady. Smluvně jsme zajistili odškodnění za diskriminaci a omezili odpovědnost klienta při dodržení SLA/SLO a postupů human‑in‑the‑loop. Regulátor schválil model v rámci regulatory sandboxu, a následná registrace a oznámení regulátorům o rizikových systémech proběhly bez připomínek.
• Singapur, fintech poskytovatel AML/KYC. Systém generoval vysokou míru false positives. Tým COREDO zavedl řízení incidentů false positives a false negatives, posílil kontrolu driftu a adversariální testy. V dohodách jsme zajistili záruku kvality modelu od dodavatele a postupy pro rychlý downgrade verze. Výsledek – snížení provozních nákladů a potvrzení souladu s požadavky národního úřadu.
• Dubaj, platforma doporučení a reklama. Úkolem bylo kontrolovat soulad reklamních doporučení, manipulací a regulovat deepfaky. Naše řešení zahrnovalo watermarking, obsahovou politiku a ujednání o právu dodavatele vypnout generativní obsah v případě rizik v oblasti compliance. To umožnilo platformě vyhnout se stížnostem spotřebitelů a zajistit právo na vysvětlení při moderaci.
• Velká Británie, HR automatizace na open-source modelech. Provedli jsme právní analýzu licenčních podmínek open-source modelů a třetích integrací, zavedli metriky fairness a nezávislé peer review. Smluvně jsme stanovili rozdělení odpovědnosti mezi zadavatelem a dodavatelem AI, včetně záruk (warranties) a omezení odpovědnosti (limitation of liability), a také due diligence checklistu pro AI‑dodavatele s požadavky na audit trail a řízení dat (data governance).

Kontrolní seznam prověrky: kroky zavedení

Чтобы минимизировать юридический риск ИИ и ускорить интеграцию, рекомендую последовательность, которую команда COREDO отточила на разных рынках:

1. Классификация риска и регуляторный маршрут
   • Určete kategorii rizika podle AI Act a příslušné pokyny regulátorů (EDPB, ENISA, národní agentury).
   • Zkontrolujte potřebu registrace/oznámení či účasti v regulačním sandboxu.
2. Данные и IP
   • Proveďte mapování dat, řízení práv třetích stran v trénovacích datech, ochranu IP a rizika úniku obchodního tajemství.
   • Omezte přeshraniční přenosy, zajistěte privacy by design, DPIA a kontrolujte podmínky používání dat dodavatelem.
3. Модель и инженерия
   • Zavedení MLOps: verzování, KRI, monitorování driftu, testy robustnosti a adversariální testování, red teaming, interpretovatelnost.
   • Připravte modelové karty, datasheety, auditní stopu, forenzní logování, nástroje řízení přístupu a přístup založený na rolích.
4. Люди и процессы
   • Zajistěte lidský zásah (human-in-the-loop) tam, kde rozhodnutí ovlivňuje práva subjektů.
   • Školte personál, zaveďte certifikáty kompetencí a playbook pro incidenty.
5. Контракты и страхование
   • Nastavte ujednání o odškodnění, záruky, omezení odpovědnosti, SLA/SLO a doložky change-in-law.
   • Vyberte pojistné produkty (cyber, professional indemnity, tech E&O) a vypočítejte prémie s ohledem na zralost kontrol.
6. Отчётность и аудит
   • Připravte požadavky na testovací dokumentaci a vykazování pro regulátory.
   • Zaveďte pravidelné peer review a nezávislý technický audit, zajistěte externí validaci a benchmarking.
7. Споры и резервы
   • Zhodnoťte modely kompenzace poškozeným, metodiky výpočtu finančního rizika a rezerv pro žaloby.
   • Naplánujte zdroje pro právní spory a komunikační strategii.

COREDO urychluje a chrání inovace

Naše zkušenosti v COREDO ukazují: podnik potřebuje partnera, který propojuje licencování, mezinárodní registraci a dodržování předpisů týkajících se AI do jedné společné roadmapy. Pro společnosti vstupující do EU, Česka, Slovenska, Kypr, Estonska, Velké Británie, Singapuru a Dubaje budujeme infrastrukturu, která vydrží prověrky a umožní škálování.

• Registrace a licencování. Doprovázíme licence pro platební, forexové a kryptoslužby, s ohledem na osvědčené postupy zavádění AI ve finančních službách a lokální očekávání regulátorů.
• Smluvní architektura. Vypracováváme právní mechanismy rozdělení rizik v ekosystému AI, včetně osvědčených šablon smluv, odškodňovacích ustanovení, záruk a SLA/SLO.
• Technický compliance. Zavádíme compliance by design: auditní stopu, vysvětlitelnost, správu dat, AIA/DPIA, kontrolu provenience, nástroje pro regulační monitoring a automatizaci compliance.
• Pojištění a finanční plánování. Nastavujeme pojistné krytí a pomáháme odhadnout náklady chyby umělé inteligence, systémové riziko a návratnost investic (ROI) s ohledem na kontrolní opatření.
• Korporátní dohled. Pomáháme představenstvům nastavit politiku generativní AI, etické standardy a vzdělávací programy, včetně role výborů a KPI pro udržitelnost modelů.
• Regulatorní interakce. Podporujeme projekty v regulačních pískovištích, organizujeme registrace a oznámení, připravujeme reporting a komunikaci s dozorem.

Závěry

odpovědnost za chyby AI: to není stop‑faktor, ale říditelná veličina. Když máte jasné rozdělení rolí mezi výrobcem AI, dodavatelem modelů, integrátorem a zákazníkem, když smlouvy pokrývají klíčová rizika a inženýrské prostředí zajišťuje vysvětlitelnost, auditní stopu a odolnost, snižujete pravděpodobnost sporů a zrychlujete inovace.

Od roku 2016 rozvíjím COREDO jako partnera podnikatelů, pro které jsou technologie, finance a právo jednotným ekosystémem růstu. Během té doby tým COREDO realizoval desítky projektů v EU, ve Velké Británii, v Singapuru, v Dubaji, v Česku, na Slovensku, na Kypru a v Estonsku, přičemž registroval právnické osoby, získával finanční licence a budoval AML‑struktury. Dnes vidím klíčovou výzvu pro ty, kteří zavádějí algoritmická doporučení: právní odpovědnost za chyby AI ve financích se rozděluje mezi několika účastníky a jurisdikcemi, a pravidla se mění rychleji než plány IT týmů.

Mapa regulace: co se mění

regulace AI‑poradců v EU se stala systematickou: Evropský zákon o AI (AI Act), MiFID II, DORA a metodické dopisy ESMA/EBA formují požadavky na vysvětlitelnost, provozní odolnost a řízení modelového rizika. V praxi to znamená: každá platforma s automatickými investičními doporučeními spadá pod test „vysokého rizika“, potřebuje dokumentaci modelu, záznamy rozhodnutí, postupy validace modelu a human‑in‑the‑loop pro kritické zásahy. Praxe COREDO potvrzuje: tam, kde klient předem implementoval vysvětlitelnost a protokolování, je riziko nároků ze strany regulátora výrazně nižší.

Velká Británie se řídí principem «same risk, same regulation» prostřednictvím FCA, kladouc důraz na řízení střetu zájmů, testy na zkreslení (bias) a dokumentování předpokladů modelu. V Estonsku a na Kypru regulátoři uplatňují MiFID II a místy – lokální vysvětlení pro robo‑poradenství. V Česku a na Slovensku se centrální banky zaměřují na provozní riziko a přístupy DORA. Tým COREDO přizpůsobuje licenční balíčky a interní politiky s ohledem na tyto nuance, aby registrace finančních poradců s AI proběhla bez právních mezer.

Kdo odpovídá za rozhodnutí AI‑poradce

Komerční odpovědnost dodavatele AI‑řešení vychází ze smlouvy: záruky funkčnosti, strop odpovědnosti pro škody (cap), vyloučení nepřímých ztrát a odškodnění za žaloby týkající se IP a únik dat. Produktová odpovědnost (product liability) však může vzniknout mimo smlouvu, pokud je prokázána vada softwaru. V kontraktech stanovujeme rozdělení: vina výrobce vs vina uživatele při chybě AI s návazností na zóny kontroly, data, parametry, prostředí, aktualizace.

Člověk v řetězci (human‑in‑the‑loop) a právní důsledky se redukují na otázku: čí jednání bylo spouštěčem ztráty. Pokud rozhraní jednoznačně vyžadovalo potvrzení investičního doporučení člověkem, a potvrzení bylo dáno bez kontroly, odpovědnost se přesouvá na osobu, která rozhodla. Tam, kde systém vykonává doporučení automaticky, regulátor očekává posílená opatření pro vysvětlitelnost (explainability), upozorňování (alerting) a limity rizik.

Práva a povinnosti depozitářů při radách AI ve fondech (UCITS/AIFMD) zůstávají klasické: úschova aktiv a dohled nad dodržováním investičního mandátu. Pokud AI vede k odchylce od limitů, depozitář je povinen signalizovat a blokovat porušení, jinak vzniká společná odpovědnost s investičním správcem.

Smluvní architektura: rizika předem

Smluvní odpovědnost při zavádění AI‑poradce není jeden bod, ale systém. Považuji za základní čtyři bloky: omezení odpovědnosti a výhrady ve smlouvě o AI (liability cap, exclusion of indirect/ consequential damages, warranty disclaimers), smlouva o přizpůsobení AI a rozdělení rizik (transfer of liability při změnách), řízení dodavatelů a právní odpovědnost dodavatelů (flow‑down povinností), a také SLA a KPI pro AI‑služby.

Do SLA zařazujeme metriky nejen dostupnosti, ale i výkonu modelu: tracking error, drawdown thresholds, znalosti o tréninku (data freshness SLAs), explainability latency a čas na human review. Praxe COREDO potvrzuje: takové KPI pomáhají před regulátorem ukázat Due Diligence a strukturovat postupy incident‑reakce.

Smlouvy o přizpůsobení AI a rozdělení rizik zohledňují použití open‑source a pretrained models (transfer learning). Pokud open‑source komponent způsobí licenční konflikt nebo zranitelnost, dodavatel by měl nést odškodnění a povinnost k rychlé nápravě. Pro klienty s mezinárodním rozsahem přidáváme zákaz neoprávněného transfer learningu na datech klienta a upravujeme práva k modelovým artefaktům.

Automatizace AML a řízení shody

Odpovědnost za porušení AML při doporučeních AI vzniká nejčastěji v tocích automatizovaného KYC, monitoringu transakcí a sankčního screeningu. regulátoři EU se opírají o rámce AMLD, v Asii o srovnatelné akty a pokyny centrálních bank; na některých trzích v Africe je to méně formalizované, ale lokální rizika jsou vysoká kvůli nekvalitním seznamům a omezeným zdrojům dat. Tým COREDO buduje kontrolu kvality dat a procesy eskalace, aby garbage‑in garbage‑out nebyl příčinou pokuty.

Řízení rizik modelů: dokumentace

Validace modelu (model validation) a související právní ochrana. Budujeme tři linie obrany: vývoj s unit‑ a integration‑testy, nezávislá validace (backtesting, stresové testy, kalibrace) a audit výboru pro modely. Metody modelového rizika zahrnují VAR testy, hodnocení posunu výkonu a kalibraci pravděpodobností pro úvěrové a tržní modely. Takový okruh zajišťuje kauzální souvislost (causation) ve váš prospěch, když je vyžadováno forenzní ML.

regulační požadavky na vysvětlitelnost (explainability) AI se liší, ale trend je jasný: dokumentujte features, omezení, použitelnost a kontrafaktuální vysvětlení (counterfactual analysis). V investičních doporučeních místní regulátoři požadují srozumitelné odůvodnění (rationale), i když jde o složitý ensemblový model. Řešení vyvinuté v COREDO zaznamenává cestu rozhodnutí a skóre důvěry, což snižuje spory o předvídatelnosti a mezích odpovědnosti za nepředvídaná doporučení.

Technická auditovatelnost: logování, auditní stopa a replikace rozhodnutí – náš povinný blok. Doporučujeme neměnné záznamy (immutable logs), verzování modelů a sad dat, hashování artefaktů a časové razítkování. To vytváří možnost prokazování činů při incidentu a pomáhá rozlišit chybu softwaru od nesprávné interpretace dat.

Testování na adversariální útoky a právní bezpečnostní povinnosti přecházejí do popředí: data poisoning, prompt injection v generativních komponentách a obcházení omezení. Spojujeme požadavky ISO 27001, řízení přístupu podle rolí (role‑based access control), rozdělení povinností (Dev/ML/SOC) a podepsaná schválení nasazení. Naše zkušenost v COREDO ukázala: formální change‑management záznamy často vyřeší spor o vinu dávno před soudem.

Správa dat (Data governance) zahrnuje provenance, lineage, consent a retention, včetně důvěrnosti a přeshraničního přenosu osobních údajů (režimy podobné GDPR). Pro open banking a API‑připojení k AI‑poradcům platí omezení rámců PSD2/OB: souhlas klienta, bezpečnost kanálů a jasné rozdělení odpovědnosti mezi TPP, bankou a platformou.

Právní důsledky incidentů

Přímá škoda a ušlý zisk z chyb AI‑poradce se oceňují podle metodik pro vyčíslení škody, které zohledňují VAR, drawdown, tracking error a tržní kontext. Přísnost důkazní základny vyžaduje prokázat kauzalitu: bez forenzního ML a kontrafaktuální analýzy je obtížné ukázat, že právě algoritmus způsobil ztrátu. Klienty na to připravujeme dopředu: modelové karty, verze dat a replikace experimentů.

Veřejné reportování a zveřejňování používání AI vůči investorům se postupně stává tržním standardem. V několika projektech COREDO jsme připravovali části politiky týkající se etiky AI, kde jsme zaznamenávali poctivost, nepřítomnost diskriminace a vysvětlitelnost (explainability) – to snižovalo reputační riziko při incidentech.

Pojištění a finanční záruky

pojištění rizik chyb AI (pojištění odpovědnosti za AI) doplňuje pojištění profesní odpovědnosti (pojištění profesní odpovědnosti) a kybernetické pojištění (kybernetické pojištění). Pojišťovny se dívají na zralost řízení rizik modelu, přítomnost zapojení člověka do procesu, logy a pravidelné validace. Doporučuji vytvářet pojistné klauzule s požadavky na oznámení, právo regresu a koordinaci řešení sporů.

Rozdělení odpovědnosti v případech COREDO

Praktický případ: odpovědnost při chybné prognóze likvidity. Platforma v EU vydala doporučení k rebalancování, aniž by zohlednila lokální clearingová okna; vznikl dočasný nedostatek likvidity. Tým COREDO provedl forenzní ML, prokázal drift modelu kvůli zastaralému feedu a inicioval přezkum SLA u poskytovatele dat. Odpovědnost rozdělili: poskytovatel feedu uhradil přímou škodu v rámci stropu, správcovská společnost převzala provozní náklady a přehodnotila mechanismus lidského zásahu.

Případ AML: automatizovaný KYC přehlédl sankční indikátor klienta v Asii. Během analýzy příčiny jsme odhalili otravu dat (data poisoning); externí databáze přiřadila nesprávný štítek. Řešení vyvinuté v COREDO zahrnovalo neměnné záznamy a varovné koridory, proto regulátor hodnotil náležitou péči (due diligence) pozitivně. Kompenzace byla omezena na administrativní opatření, dodavatel dat přijal odškodnění za chybu.

Drift modelu na novém trhu: expanze do Dubaje vedla ke zvýšení chyb v posuzování vhodnosti (suitability). Trvali jsme na postupném nasazení (staged rollout), kontrolním období s lidským dohledem (human-in-the-loop) a limitech pro automatické provádění. Po třech týdnech se metriky stabilizovaly; to ilustruje analýzu nákladů a přínosů zavedení lidského dohledu (human-in-the-loop) ke snížení odpovědnosti.

Registrace AI-poradce a Licencování: v Singapuru klient získal licenci za podpory COREDO, zavedením pravidel transparentnosti algoritmů, auditu dodavatelů a postupů vysvětlitelnosti. V EU je obdobná služba strukturována podle MiFID II s důrazem na posouzení vhodnosti (suitability) a DORA-kontroly; pro Estonsko jsme připravili lokální politiky a zprávy pro FSA.

Od myšlenky k udržitelné praxi

Due diligence při zavádění AI:

• Regulační mapa: AI Act, MiFID II, DORA, režimy podobné GDPR, MAS, SFC.
• Hodnocení právních rizik používání AI pro správu kapitálu: licence, hranice automatizace, open banking/API.
• Prověrka dodavatele: certifikáty, SOC zprávy, historie incidentů, politika proti zkreslení.
• Smluvní architektura: stropy odpovědnosti, náhrady škody, vyloučení záruk, rozhodčí doložky, volba práva.

Návrh korporátního řízení AI:

• Výbor pro modely, nezávislé ověřování, periodické přezkoumání, modelové karty.
• Logování, verzování, neměnný auditní záznam, blockchainové razítka.
• Řízení přístupu: RBAC, rozdělení povinností, role SOC/DevOps.
• Politiky etiky AI, řízení střetu zájmů a veřejné zveřejnění.

Smluvní šablony a vyjednávací pozice:

• SLA a KPI: dostupnost, drift, vysvětlitelnost, latence, lidské přezkoumání.
• Smluvní mechanismy přenosu odpovědnosti a náhrady škody od dodavatele, přenos povinností na subdodavatele.
• Omezení odpovědnosti: stropy, vyloučení ušlého zisku, carve‑outs pro úmysl a únik dat.
• Mezinárodní dohody a výběr jurisdikce; rozhodčí doložky a vyšší moc při chybách AI služeb.

ROI a snížení soudních rizik:

• Metriky dopadu chyb: VAR, drawdown, tracking error v KPI týmu rizik.
• Kontinuální validace, monitorování driftu a vysvětlitelnost jako úspora na budoucích žalobách.
• Human‑in‑the‑loop na kritických prahových hodnotách: analýza nákladů a přínosů ve srovnání s expozicí odpovědnosti.
• Pojišťovací řešení: správné sladění professional indemnity, cyber a AI liability.

Specifické otázky, na které se zapomíná

Odpovědnost za zaujatost a diskriminaci v doporučeních AI není jen otázka etiky, ale i právní riziko. Regulátoři očekávají testy na bias, úpravy dat a dokumentování fairness‑metrik. V jednom z projektů tým COREDO zavedl pravidelné bias‑audity jako součást SLA s dodavatelem.

Odpovědnost při používání otevřených modelů (open‑source) v poradci: oblast zvýšené pozornosti. Právní rámec product liability ve vztahu k finančnímu softwaru s AI je v EU diskutován čím dál častěji; rozumná strategie – jasně oddělit „tak jak jsou“ komponenty a vaši záruku integrace.

Vliv místní legislativy v Asii na přeshraniční AI‑řešení se projevuje v požadavcích na lokalizaci dat, periodických auditorských kontrolách a dodatečných souhlasích. Zde COREDO pomáhá vybrat strukturu skupinové politiky, která obstojí jak proti režimům podobným GDPR, tak asijským pravidlům.

Role firemního právníka

Technická auditovatelnost a nástroje pro Forensic ML jsou předem připravenou platformou pro obhajobu. Doporučujeme vytvářet soubor předpokladů, verzí, testovacích případů a kontrafaktických scénářů vhodných pro právně akceptovatelné posouzení modelů. Takový přístup umožňuje nejen vyhrávat spory, ale také se poučit z incidentů.

Co dělat dnes: kontrolní seznam

• Proveďte gap‑analýzu podle AI Act, MiFID II, DORA, MAS/SFC a místních AML předpisů.
• Zaveďte řízení rizik modelu: výbor, validace, monitorování driftu, vysvětlitelnost.
• Znovu přezkoumejte smlouvy: limity odpovědnosti (caps), odškodnění, vyloučení záruk, SLA podle metrik modelu, arbitráž a volba práva.
• Nastavte neměnitelné záznamy, řízení přístupu podle rolí, rozdělení povinností a postupy reakce na incidenty s oznámeními.
• Přehodnoťte pojistné krytí: pojištění odpovědnosti za AI, profesní odpovědnost a kyberpojištění se sladěnými podmínkami.
• Aktualizujte veřejná prohlášení o používání AI, aby očekávání klientů odpovídala skutečnosti.

Závěry

Inteligentní poradci mění finanční odvětví, ale spolu s příležitostmi přicházejí právní a provozní povinnosti. Odpovědnost platformy za algoritmická doporučení, odpovědnost správcovské společnosti při automatických radách a smluvní odpovědnost při zavádění AI‑konzultanta jsou zvládnutelné kategorie rizik, pokud se správně vybuduje architektura procesu a smluv.

Pokud připravujete vstup na nové trhy v EU, ve Spojeném království, v Singapuru, v Dubaji, na Kypru, v Estonsku, v Česku nebo na Slovensku, nebo budujete finanční AI‑službu s mezinárodní odpovědností: pojďme probrat praktický plán. Zaručuji, že každý řádek kódu a každý bod smlouvy budou pracovat ve prospěch vaší odolnosti a předvídatelnosti výsledku, a praxe COREDO potvrzuje: je to dosažitelné.

Od roku 2016 rozvíjím COREDO jako partnera podnikatelů a investorů, pro které jsou při vstupu na mezinárodní trhy důležité přesnost, rychlost a předvídatelnost. Za tuto dobu tým COREDO realizoval stovky projektů v Evropě, Asii a zemích SNS: od registrace společností v EU, v Česku, na Slovensku, na Kypru a v Estonsku až po zakládání struktur ve Spojeném království, v Singapuru a v Dubaji. Prošli jsme celý cyklus doprovodu transakcí: investice a M&A, získání finančních licencí (krypto, forex, platební služby a e‑money), nastavení AML/KYC, a také investiční a technický due diligence IT startupu.

V tomto článku jsem shromáždil praxi předinvestiční prověrky, kterou začleňujeme do komplexní podpory klientů. Mým úkolem je poskytnout vám metodiku, která šetří měsíce, snižuje nejistotu a posiluje vyjednávací pozici. Příklady a nástroje jsou založeny na reálných projektech COREDO: bez zbytečné teorie, s důrazem na prakticky použitelné výsledky.

Potřebuje IT startup důkladnou prověrku?

Řídím se principem „měř dvakrát, řež jednou“. To znamená, že před podpisem SPA/SSA nebo SAFE je třeba prověřit IP, cap table, regulační omezení, ARR/MRR a technologické riziko na úrovni architektury, DevOps a bezpečnosti dat. Tím vzniká jistota, že integrace proběhne bez šoku pro tým a zákazníky, a že jurisdikční a daňová část nepřivede do potíží.

Model prověrky COREDO: 6 okruhů

V modelu prověrek COREDO je předpokládáno šest hodnoticích okruhů, které komplexně pokrývají jak byznys, tak rizika projektu. Jeden z klíčových okruhů, právní due diligence a otázky duševního vlastnictví (IP), se soustředí na smlouvy, práva k technologiím a možné rizika, která mohou zásadně ovlivnit osud startupu.

Právní due diligence startupu a IP

Začínám IP due diligence, protože právě práva k zdrojovému kódu a značce umožňují ochránit hlavní hodnotu transakce. Žádám registr objektů: kód, knihovny, patenty, ochranné známky a domény, stejně jako smlouvy o postoupení práv (assignment agreements) se všemi zaměstnanci a dodavateli. Je důležité ujistit se, že zakladatelé měli potřebná oprávnění a že řetězec práv je čistý a neporušuje podmínky open source licencí (GPL, MIT, Apache).

Korporátní struktura a transakce

Regulační okruh AML/KYC

Finanční due diligence SaaS

Finanční KPI: zrcadla reality. Porovnávám ARR, MRR, churn, gross margin a burn multiple s modelem monetizace a smluvní základnou. Pro SaaS jsou kritické uznání příjmů a deferred revenue, správnost předplatných cyklů a slev. Často provádíme kohortovou analýzu, kontrolujeme retention a NPS, abychom viděli udržitelnost toků.

Unit economics, další ukazatel: CAC, LTV, payback period a contribution margin. Pokud CAC «sežere» LTV nebo doba návratnosti vyjde mimo rámec hypotéz, navrhuji korekční scénáře. Daňový compliance a VAT/daň z digitálních služeb v EU ovlivňují čistou ekonomiku; kontroluji registraci pro VAT, OSS/IOSS a správnost fakturace. Při opakovaných platbách jsou důležité PCI DSS, rizika chargebacků a výběr platebního poskytovatele.

Prověrka zákazníků a smluv

Technická prověrka

Technologické hodnocení je «rentgen» architektury, DevOps a bezpečnosti. Prověrka IT startupu zahrnuje audit zdrojového kódu startupu, kontrolu historie commitů a repozitáře Git, analýzu unit testů, pokrytí a CI/CD procesů, skenování kódu na zranitelnosti a SAST, stejně jako penetration test a výsledky pentest. Dívám se na governance: praktiky code‑review, branch protection rules, SBOM a řízení third‑party závislostí.

Technická prověrka: metoda COREDO

Pro hodnocení produktu a infrastruktury používáme metodiku COREDO v rámci hlubokého technického due diligence, která umožňuje předem odhalit architektonická omezení a technická rizika. Dále přejdeme k analýze architektury a škálovatelnosti: klíčovým aspektům určujícím schopnost systému růst a zvládat zátěž.

Architektura a škálovatelnost

Repozitář a vývojový kód

Kontrola Git repozitáře není jen historie commitů. Hodnotím reputaci a původ (provenance) kódu: podepsané commity, CLA (contributor license agreement), autorství a účast externích přispěvatelů. Pro posouzení technical debt používám metriky: maintainability index, cyklomatickou složitost (cyclomatic complexity) a frekvenci změn v „horkých“ souborech.

Infrastruktura DevOps a CI/CD

Přehled závislostí: SBOM a software bill of materials – se stává standardem. S tím souvisí SCA (Software Composition Analysis) a řízení licencí, aby se eliminovaly právní a zranitelné third‑party závislosti. Riziko supply chain útoku po případech jako SolarWinds není teorie; hodnotím build pipeline, přístupy a izolaci prostředí. Tajemství a správa klíčů (Vault, KMS, HSM) plus IAM, RBAC, princip least privilege a MFA jsou povinné prvky.

Zranitelnosti a bezpečnost aplikací

Šifrování dat a soulad

Zálohování, retention strategie a testování obnovy, základní věci, které se často podceňují. Porovnávám RTO a RPO, stejně jako plán obnovy po havárii (DRP). Bez pravidelného testu obnovy jsou zálohy jen drahou iluzí bezpečí.

Dodavatelé a externí závislosti

Hodnocení rizik third‑party vendorů není formalita: poskytovatelé cloudu, analytiky, PSP a poskytovatelé KYC ovlivňují dostupnost a compliance. Kontroluji DPA, SLA, sankce, právo na audit a podmínky migrace. Smlouvy o dodávce softwaru, dohody o úrovni služeb a sankce by měly být synchronizované s vašimi sliby klientům. U kritických komponent diskutujeme software escrow a podmínky uvolnění zdrojových kódů.

Případy COREDO: typické scénáře

V praxi COREDO systematizujeme typické scénáře a případy, abychom poskytli praktická vodítka pro složité přeshraniční transakce. První příklad – nákup evropského SaaS ze Slovenska fondem ze Singapuru – názorně ukazuje klíčové právní, daňové a korporační otázky, s nimiž se účastníci nejčastěji setkávají.

Singapurský fond koupí slovenský SaaS

Licencovaný fintech v Estonsku

Integrace do korporátního portfolia a při fúzích a akvizicích

Kontrolní seznamy a otázky pro zakladatele a technického ředitele

Dokumenty a důkazy, které požaduji

• IP a právní: rejstřík IP, smlouvy o postoupení práv ke kódu (zaměstnanci a dodavatelé), patenty a ochranné známky, software escrow a podmínky vydání, licence open source a SCA zprávy.
• Obchodní: seznam top zákazníků, smlouvy, SLA, pokuty, exit‑klauzule, non‑compete, reference, pilotní dohody a PoC.
• Finanční: výkazy ARR/MRR/churn, uznání tržeb a odložené výnosy (deferred revenue), cohort‑analýza, unit economics (CAC, LTV, payback), ověření plateb a statistika chargebacků.
• Regulační: licence a povolení (včetně PSD2/finančních), DPA, DPIA, SCC/BCR, politika data residency, ISO27001/SOC2, PCI DSS.
• Bezpečnost a technika: zprávy SAST/DAST, výsledky pentestů, plán nápravy, SBOM, politika správy tajemství (Vault/KMS/HSM), IAM/RBAC, plány DRP a testy obnovy.
• Korporátní: cap table, opční plány (vesting, cliff), SAFE/konvertibilní noty, likvidační preference, anti‑dilution ustanovení, zápisy z jednání představenstva a akcionářů.
• Právní a compliance: probíhající/hrozící spory, komunikace s regulátory, sankční a PEP kontroly protistran, daňová compliance a DPH v EU.

Otázky pro CTO při předinvestičním auditu

• Co zkontrolovat ve zdrojovém kódu při investování do startupu: vlastnictví (ownership), pokrytí testy, složitost a závislosti.
• Jak posoudit škálovatelnost architektury SaaS projektu: cílové SLO, současná úzká místa latency/throughput, plán shardování/cacheování.
• Co zahrnuje kontrola DevOps praktik: reprodukovatelné a podepsané buildy, IaC a drift‑kontrola, politika vydávání (canary, blue‑green), post‑mortemy.
• Jak posoudit rizika používání open source: SBOM/SCA, licence GPL/MIT/Apache, proces aktualizací a uzavírání CVE.
• Jak omezit rizika při integraci cizí služby: hodnocení rizik dodavatele, SLA, právo na audit, escrow, migrace a hodnocení lock‑inu.
• Jaké záruky požadovat pro zálohování a RTO/RPO: pravidla testů obnovy, reporty, nezávislá verifikace.
• Jak ověřit soulad s GDPR a přeshraniční zpracování: DPA/DPIA, SCC/BCR, mapování dat, minimalizace a logování.

Doprovod COREDO: jak snížit riziko

Pracuji etapami s jasnými artefakty. Na začátku zaznamenáme hypotézu transakce, geografii a regulační perimetr: EU, Česko/Slovensko, Kypr/Estonsko, Velká Británie, Singapur a Dubaj: tam je praxe COREDO zvláště silná. Dále otevíráme virtuální datovou místnost a spouštíme paralelní stopy: právní, regulační/AML, finanční, komerční a technické.

Každá stopa má své výstupy: od zprávy právního due diligence startupu a IP‑mapy až po technickou matici rizik s hodnocením technologického rizika a plánem nápravy. Na výstupu – souhrnné investiční memorandum, kde jsou rizikové body propojeny s ekonomikou transakce: úprava ceny, podmínky escrow/holdback, záruky a bloky KPI. Takový přístup zkracuje vyjednávání a usnadňuje integraci po uzavření transakce.

Samostatný směr: licencování a registrace. Pokud model vyžaduje licenci (krypto, forex, platební služby), tým COREDO zajišťuje strukturování, přípravu AML/KYC politik, nastavení transakční analytiky a zastupování před regulátorem. Pro registraci právnických osob v EU, Velké Británii, Singapuru nebo Dubaji vytváříme soubor zakladatelských dokumentů, bankovní balíček a plán daňové compliance.

Jak smluvně zmírnit červené vlajky

• Neuzavřená kritická CVE a neúspěšný penetrační test (pentest). Решение: plán nápravy s termíny, escrow/holdback až do uzavření, prohlášení a záruky (reps & warranties) a právo na nezávislý re‑test.
• Chybějící smlouvy o převodu práv ke kódu u části týmu. Решение: bezodkladné postoupení (assignment), úprava cap‑table, částečná úprava ceny (price‑adjustment).
• Koncentrace zákazníků a křehké enterprise smlouvy. Решение: earn‑out, rozšířená SLA, pojištění odpovědnosti, pilotní projekty s diverzifikací.
• Slabá shoda s GDPR a absence SCC/BCR při přeshraničním přenosu. Решение: DPA/DPIA před uzavřením, kontrolované uvolnění do regionů, architektonická segmentace.
• Problémy s uznáním tržeb a odloženými příjmy (deferred revenue). Решение: restatement (oprava účetnictví), úprava ocenění, covenanty týkající se finančního výkaznictví.
• Daňová a DPH rizika. Решение: rezerva v ceně, dobrovolné nápravy, podpora po uzavření transakce (post‑closing) a registrace v režimech OSS/IOSS.

Nábor klíčového týmu podle regionů

Regionální rizika v Evropě, Asii a Africe se liší co do lokalizace, licencování a stability dodavatelů. Doporučuji předem prověřit místní regulaci a licencování v zemích přítomnosti, exportní kontrolu a omezení v oblasti kryptografie. V některých regionech je vyžadováno lokální uložení dat (data residency), což vyžaduje segmentaci infrastruktury a duplikaci DR procesů.

Závěry

Investiční due diligence startupu není soubor nesouvisejících kontrol, ale provázaný systém, ve kterém se právní, finanční, obchodní a technické bloky navzájem posilují. Když tento mechanismus funguje hladce, ocenění startupu před investicí je přesnější a struktura transakce bezpečnější. V mém přístupu hraje COREDO roli integrátora: od registrace společností a získání finančních licencí až po AML poradenství a hlubokou technickou expertízu.