Od roku 2016 rozvíjím COREDO jako partnera podnikatelů, pro které jsou technologie, finance a právo jednotným ekosystémem růstu. Během té doby tým COREDO realizoval desítky projektů v EU, ve Velké Británii, v Singapuru, v Dubaji, v Česku, na Slovensku, na Kypru a v Estonsku, přičemž registroval právnické osoby, získával finanční licence a budoval AML‑struktury. Dnes vidím klíčovou výzvu pro ty, kteří zavádějí algoritmická doporučení: právní odpovědnost za chyby AI ve financích se rozděluje mezi několika účastníky a jurisdikcemi, a pravidla se mění rychleji než plány IT týmů.
Mapa regulace: co se mění
regulace AI‑poradců v EU se stala systematickou: Evropský zákon o AI (AI Act), MiFID II, DORA a metodické dopisy ESMA/EBA formují požadavky na vysvětlitelnost, provozní odolnost a řízení modelového rizika. V praxi to znamená: každá platforma s automatickými investičními doporučeními spadá pod test „vysokého rizika“, potřebuje dokumentaci modelu, záznamy rozhodnutí, postupy validace modelu a human‑in‑the‑loop pro kritické zásahy. Praxe COREDO potvrzuje: tam, kde klient předem implementoval vysvětlitelnost a protokolování, je riziko nároků ze strany regulátora výrazně nižší.
Velká Británie se řídí principem «same risk, same regulation» prostřednictvím FCA, kladouc důraz na řízení střetu zájmů, testy na zkreslení (bias) a dokumentování předpokladů modelu. V Estonsku a na Kypru regulátoři uplatňují MiFID II a místy – lokální vysvětlení pro robo‑poradenství. V Česku a na Slovensku se centrální banky zaměřují na provozní riziko a přístupy DORA. Tým COREDO přizpůsobuje licenční balíčky a interní politiky s ohledem na tyto nuance, aby registrace finančních poradců s AI proběhla bez právních mezer.
Kdo odpovídá za rozhodnutí AI‑poradce
Komerční odpovědnost dodavatele AI‑řešení vychází ze smlouvy: záruky funkčnosti, strop odpovědnosti pro škody (cap), vyloučení nepřímých ztrát a odškodnění za žaloby týkající se IP a únik dat. Produktová odpovědnost (product liability) však může vzniknout mimo smlouvu, pokud je prokázána vada softwaru. V kontraktech stanovujeme rozdělení: vina výrobce vs vina uživatele při chybě AI s návazností na zóny kontroly, data, parametry, prostředí, aktualizace.
Člověk v řetězci (human‑in‑the‑loop) a právní důsledky se redukují na otázku: čí jednání bylo spouštěčem ztráty. Pokud rozhraní jednoznačně vyžadovalo potvrzení investičního doporučení člověkem, a potvrzení bylo dáno bez kontroly, odpovědnost se přesouvá na osobu, která rozhodla. Tam, kde systém vykonává doporučení automaticky, regulátor očekává posílená opatření pro vysvětlitelnost (explainability), upozorňování (alerting) a limity rizik.
Práva a povinnosti depozitářů při radách AI ve fondech (UCITS/AIFMD) zůstávají klasické: úschova aktiv a dohled nad dodržováním investičního mandátu. Pokud AI vede k odchylce od limitů, depozitář je povinen signalizovat a blokovat porušení, jinak vzniká společná odpovědnost s investičním správcem.
Smluvní architektura: rizika předem
Smluvní odpovědnost při zavádění AI‑poradce není jeden bod, ale systém. Považuji za základní čtyři bloky: omezení odpovědnosti a výhrady ve smlouvě o AI (liability cap, exclusion of indirect/ consequential damages, warranty disclaimers), smlouva o přizpůsobení AI a rozdělení rizik (transfer of liability při změnách), řízení dodavatelů a právní odpovědnost dodavatelů (flow‑down povinností), a také SLA a KPI pro AI‑služby.
Do SLA zařazujeme metriky nejen dostupnosti, ale i výkonu modelu: tracking error, drawdown thresholds, znalosti o tréninku (data freshness SLAs), explainability latency a čas na human review. Praxe COREDO potvrzuje: takové KPI pomáhají před regulátorem ukázat Due Diligence a strukturovat postupy incident‑reakce.
Smlouvy o přizpůsobení AI a rozdělení rizik zohledňují použití open‑source a pretrained models (transfer learning). Pokud open‑source komponent způsobí licenční konflikt nebo zranitelnost, dodavatel by měl nést odškodnění a povinnost k rychlé nápravě. Pro klienty s mezinárodním rozsahem přidáváme zákaz neoprávněného transfer learningu na datech klienta a upravujeme práva k modelovým artefaktům.
Automatizace AML a řízení shody
Odpovědnost za porušení AML při doporučeních AI vzniká nejčastěji v tocích automatizovaného KYC, monitoringu transakcí a sankčního screeningu. regulátoři EU se opírají o rámce AMLD, v Asii o srovnatelné akty a pokyny centrálních bank; na některých trzích v Africe je to méně formalizované, ale lokální rizika jsou vysoká kvůli nekvalitním seznamům a omezeným zdrojům dat. Tým COREDO buduje kontrolu kvality dat a procesy eskalace, aby garbage‑in garbage‑out nebyl příčinou pokuty.
Řízení rizik modelů: dokumentace
Validace modelu (model validation) a související právní ochrana. Budujeme tři linie obrany: vývoj s unit‑ a integration‑testy, nezávislá validace (backtesting, stresové testy, kalibrace) a audit výboru pro modely. Metody modelového rizika zahrnují VAR testy, hodnocení posunu výkonu a kalibraci pravděpodobností pro úvěrové a tržní modely. Takový okruh zajišťuje kauzální souvislost (causation) ve váš prospěch, když je vyžadováno forenzní ML.
regulační požadavky na vysvětlitelnost (explainability) AI se liší, ale trend je jasný: dokumentujte features, omezení, použitelnost a kontrafaktuální vysvětlení (counterfactual analysis). V investičních doporučeních místní regulátoři požadují srozumitelné odůvodnění (rationale), i když jde o složitý ensemblový model. Řešení vyvinuté v COREDO zaznamenává cestu rozhodnutí a skóre důvěry, což snižuje spory o předvídatelnosti a mezích odpovědnosti za nepředvídaná doporučení.
Technická auditovatelnost: logování, auditní stopa a replikace rozhodnutí – náš povinný blok. Doporučujeme neměnné záznamy (immutable logs), verzování modelů a sad dat, hashování artefaktů a časové razítkování. To vytváří možnost prokazování činů při incidentu a pomáhá rozlišit chybu softwaru od nesprávné interpretace dat.
Testování na adversariální útoky a právní bezpečnostní povinnosti přecházejí do popředí: data poisoning, prompt injection v generativních komponentách a obcházení omezení. Spojujeme požadavky ISO 27001, řízení přístupu podle rolí (role‑based access control), rozdělení povinností (Dev/ML/SOC) a podepsaná schválení nasazení. Naše zkušenost v COREDO ukázala: formální change‑management záznamy často vyřeší spor o vinu dávno před soudem.
Správa dat (Data governance) zahrnuje provenance, lineage, consent a retention, včetně důvěrnosti a přeshraničního přenosu osobních údajů (režimy podobné GDPR). Pro open banking a API‑připojení k AI‑poradcům platí omezení rámců PSD2/OB: souhlas klienta, bezpečnost kanálů a jasné rozdělení odpovědnosti mezi TPP, bankou a platformou.
Právní důsledky incidentů
Přímá škoda a ušlý zisk z chyb AI‑poradce se oceňují podle metodik pro vyčíslení škody, které zohledňují VAR, drawdown, tracking error a tržní kontext. Přísnost důkazní základny vyžaduje prokázat kauzalitu: bez forenzního ML a kontrafaktuální analýzy je obtížné ukázat, že právě algoritmus způsobil ztrátu. Klienty na to připravujeme dopředu: modelové karty, verze dat a replikace experimentů.
Veřejné reportování a zveřejňování používání AI vůči investorům se postupně stává tržním standardem. V několika projektech COREDO jsme připravovali části politiky týkající se etiky AI, kde jsme zaznamenávali poctivost, nepřítomnost diskriminace a vysvětlitelnost (explainability) – to snižovalo reputační riziko při incidentech.
Pojištění a finanční záruky
pojištění rizik chyb AI (pojištění odpovědnosti za AI) doplňuje pojištění profesní odpovědnosti (pojištění profesní odpovědnosti) a kybernetické pojištění (kybernetické pojištění). Pojišťovny se dívají na zralost řízení rizik modelu, přítomnost zapojení člověka do procesu, logy a pravidelné validace. Doporučuji vytvářet pojistné klauzule s požadavky na oznámení, právo regresu a koordinaci řešení sporů.
Rozdělení odpovědnosti v případech COREDO
Praktický případ: odpovědnost při chybné prognóze likvidity. Platforma v EU vydala doporučení k rebalancování, aniž by zohlednila lokální clearingová okna; vznikl dočasný nedostatek likvidity. Tým COREDO provedl forenzní ML, prokázal drift modelu kvůli zastaralému feedu a inicioval přezkum SLA u poskytovatele dat. Odpovědnost rozdělili: poskytovatel feedu uhradil přímou škodu v rámci stropu, správcovská společnost převzala provozní náklady a přehodnotila mechanismus lidského zásahu.
Případ AML: automatizovaný KYC přehlédl sankční indikátor klienta v Asii. Během analýzy příčiny jsme odhalili otravu dat (data poisoning); externí databáze přiřadila nesprávný štítek. Řešení vyvinuté v COREDO zahrnovalo neměnné záznamy a varovné koridory, proto regulátor hodnotil náležitou péči (due diligence) pozitivně. Kompenzace byla omezena na administrativní opatření, dodavatel dat přijal odškodnění za chybu.
Drift modelu na novém trhu: expanze do Dubaje vedla ke zvýšení chyb v posuzování vhodnosti (suitability). Trvali jsme na postupném nasazení (staged rollout), kontrolním období s lidským dohledem (human-in-the-loop) a limitech pro automatické provádění. Po třech týdnech se metriky stabilizovaly; to ilustruje analýzu nákladů a přínosů zavedení lidského dohledu (human-in-the-loop) ke snížení odpovědnosti.
Registrace AI-poradce a Licencování: v Singapuru klient získal licenci za podpory COREDO, zavedením pravidel transparentnosti algoritmů, auditu dodavatelů a postupů vysvětlitelnosti. V EU je obdobná služba strukturována podle MiFID II s důrazem na posouzení vhodnosti (suitability) a DORA-kontroly; pro Estonsko jsme připravili lokální politiky a zprávy pro FSA.
Od myšlenky k udržitelné praxi
Due diligence při zavádění AI:
- Regulační mapa: AI Act, MiFID II, DORA, režimy podobné GDPR, MAS, SFC.
- Hodnocení právních rizik používání AI pro správu kapitálu: licence, hranice automatizace, open banking/API.
- Prověrka dodavatele: certifikáty, SOC zprávy, historie incidentů, politika proti zkreslení.
- Smluvní architektura: stropy odpovědnosti, náhrady škody, vyloučení záruk, rozhodčí doložky, volba práva.
Návrh korporátního řízení AI:
- Výbor pro modely, nezávislé ověřování, periodické přezkoumání, modelové karty.
- Logování, verzování, neměnný auditní záznam, blockchainové razítka.
- Řízení přístupu: RBAC, rozdělení povinností, role SOC/DevOps.
- Politiky etiky AI, řízení střetu zájmů a veřejné zveřejnění.
Smluvní šablony a vyjednávací pozice:
- SLA a KPI: dostupnost, drift, vysvětlitelnost, latence, lidské přezkoumání.
- Smluvní mechanismy přenosu odpovědnosti a náhrady škody od dodavatele, přenos povinností na subdodavatele.
- Omezení odpovědnosti: stropy, vyloučení ušlého zisku, carve‑outs pro úmysl a únik dat.
- Mezinárodní dohody a výběr jurisdikce; rozhodčí doložky a vyšší moc při chybách AI služeb.
ROI a snížení soudních rizik:
- Metriky dopadu chyb: VAR, drawdown, tracking error v KPI týmu rizik.
- Kontinuální validace, monitorování driftu a vysvětlitelnost jako úspora na budoucích žalobách.
- Human‑in‑the‑loop na kritických prahových hodnotách: analýza nákladů a přínosů ve srovnání s expozicí odpovědnosti.
- Pojišťovací řešení: správné sladění professional indemnity, cyber a AI liability.
Specifické otázky, na které se zapomíná
Odpovědnost za zaujatost a diskriminaci v doporučeních AI není jen otázka etiky, ale i právní riziko. Regulátoři očekávají testy na bias, úpravy dat a dokumentování fairness‑metrik. V jednom z projektů tým COREDO zavedl pravidelné bias‑audity jako součást SLA s dodavatelem.
Odpovědnost při používání otevřených modelů (open‑source) v poradci: oblast zvýšené pozornosti. Právní rámec product liability ve vztahu k finančnímu softwaru s AI je v EU diskutován čím dál častěji; rozumná strategie – jasně oddělit „tak jak jsou“ komponenty a vaši záruku integrace.
Vliv místní legislativy v Asii na přeshraniční AI‑řešení se projevuje v požadavcích na lokalizaci dat, periodických auditorských kontrolách a dodatečných souhlasích. Zde COREDO pomáhá vybrat strukturu skupinové politiky, která obstojí jak proti režimům podobným GDPR, tak asijským pravidlům.
Role firemního právníka
Technická auditovatelnost a nástroje pro Forensic ML jsou předem připravenou platformou pro obhajobu. Doporučujeme vytvářet soubor předpokladů, verzí, testovacích případů a kontrafaktických scénářů vhodných pro právně akceptovatelné posouzení modelů. Takový přístup umožňuje nejen vyhrávat spory, ale také se poučit z incidentů.
Co dělat dnes: kontrolní seznam
- Proveďte gap‑analýzu podle AI Act, MiFID II, DORA, MAS/SFC a místních AML předpisů.
- Zaveďte řízení rizik modelu: výbor, validace, monitorování driftu, vysvětlitelnost.
- Znovu přezkoumejte smlouvy: limity odpovědnosti (caps), odškodnění, vyloučení záruk, SLA podle metrik modelu, arbitráž a volba práva.
- Nastavte neměnitelné záznamy, řízení přístupu podle rolí, rozdělení povinností a postupy reakce na incidenty s oznámeními.
- Přehodnoťte pojistné krytí: pojištění odpovědnosti za AI, profesní odpovědnost a kyberpojištění se sladěnými podmínkami.
- Aktualizujte veřejná prohlášení o používání AI, aby očekávání klientů odpovídala skutečnosti.
Závěry
Inteligentní poradci mění finanční odvětví, ale spolu s příležitostmi přicházejí právní a provozní povinnosti. Odpovědnost platformy za algoritmická doporučení, odpovědnost správcovské společnosti při automatických radách a smluvní odpovědnost při zavádění AI‑konzultanta jsou zvládnutelné kategorie rizik, pokud se správně vybuduje architektura procesu a smluv.
Pokud připravujete vstup na nové trhy v EU, ve Spojeném království, v Singapuru, v Dubaji, na Kypru, v Estonsku, v Česku nebo na Slovensku, nebo budujete finanční AI‑službu s mezinárodní odpovědností: pojďme probrat praktický plán. Zaručuji, že každý řádek kódu a každý bod smlouvy budou pracovat ve prospěch vaší odolnosti a předvídatelnosti výsledku, a praxe COREDO potvrzuje: je to dosažitelné.