Governance zní jako slovo, které si firma pořídí až spolu s compliance manažerem a vlastním právním oddělením. Skrývají se za ním přitom tři obyčejné otázky: kdo za rozhodnutí AI odpovídá, kde všude firma nástroj používá a co se o tom dozví člověk, kterého se to týká. Firma s dvaceti lidmi na ně musí umět odpovědět stejně jako korporace s dvaceti tisíci.
Stačí k tomu tři pravidla zapsaná na papíře. Tlustou směrnici si můžete odpustit. Rozdíl mezi zapsaným pravidlem a pravidlem v hlavě HR ředitelky se ukáže ve chvíli, kdy se poprvé zeptá kandidát, zaměstnanec nebo kontrolní orgán.
Tři pravidla, která stačí mít na papíře
Základní stavební kameny AI governance popisují dva mezinárodní rámce: NIST AI Risk Management Framework amerického Národního institutu pro standardy a technologie z roku 2023 a OECD AI Principles, mezivládní standard aktualizovaný v květnu 2024. Oba se shodnou na tom, že governance stojí na odpovědnosti, dohledatelnosti a transparentnosti. Objem povinné dokumentace ale žádný z nich nepředepisuje.
- Někdo musí za rozhodnutí AI odpovídat. NIST ve funkci Govern požaduje, aby firma role a odpovědnosti za řízení rizik AI sepsala a srozumitelně je předala celému týmu. Novou pozici kvůli tomu zakládat nemusíte, stačí agendu přiřadit majiteli firmy, vedoucímu IT nebo HR ředitelce a říct to nahlas. Zkuste se zeptat tří kolegů, kdo hlídá, že nástroj na screening životopisů dělá, co má. Tři různé odpovědi znamenají, že problém už máte.
- Použití AI se musí dát dohledat. OECD řadí sledovatelnost a systematické řízení rizik přímo pod princip odpovědnosti. Dohledat se mají data, procesy i rozhodnutí za celý životní cyklus systému. Pro HR z toho plyne jednoduchý závěr: firma by měla vědět, jaký nástroj se kde používá, kdo ho spustil, k jakému rozhodnutí vedl a jestli si po něm někdo výsledek zkontroloval. Bohatě stačí sdílená tabulka, do které se dá nahlédnout i za půl roku.
Kandidáti a zaměstnanci musí vědět, že se AI používá. Právní opora pro to existuje už dnes, bez ohledu na časování AI Actu. GDPR v článku 13 ukládá informovat uchazeče o automatizovaném rozhodování a v článku 22 mu dává právo na lidský zásah. Obě ustanovení míří přesně vzato jen na rozhodnutí založená výhradně na automatizovaném zpracování a s podstatným dopadem na člověka, takže screening, do kterého recruiter skutečně sahá, pod ně obvykle nespadá. Praktický závěr zůstává stejný: věta v inzerátu nebo v interní komunikaci, že se při náboru používá automatizovaný nástroj, a funkční adresa, kam se dá napsat o přehodnocení. Odkaz na osmistránkové zásady ochrany osobních údajů tuhle roli nesplní.
Sedmibodový checklist, který zvládne HR samo
Na audit od externí konzultační firmy nemusíte čekat. Následujících sedm bodů projde HR sama a má smysl vracet se k nim jednou za čtvrt roku, protože nástroje se mění a lidé, kteří je používají, taky.
- Máme jmenovanou osobu, která odpovídá za AI nástroje v HR, a ví o tom celý tým.
- Víme, které AI nástroje opravdu používáme. Screening životopisů, hodnocení výkonu, chatbot pro nábor, cokoli, co ovlivňuje rozhodnutí o člověku. Seznam existuje písemně a najde ho i někdo mimo tým náboru.
- Máme jednoduchý záznam o použití: kdy se nástroj spustil, k čemu vedl a jestli si výsledek někdo zkontroloval. Sdílená tabulka splní účel stejně dobře jako software za desítky tisíc.
- Kandidáti a zaměstnanci vědí, že se AI používá. Věta v inzerátu, v interní komunikaci nebo ve smluvní dokumentaci unese víc než odstavec v obecných zásadách zpracování údajů. U náborových chatbotů navíc od 2. srpna 2026 platí článek 50 AI Actu, který žádný odklad nezrušil. Povinnost říct člověku, že mluví se strojem, leží na dodavateli nástroje, takže si při výběru ověřte, že to jeho chatbot skutečně dělá.
- Existuje reálná cesta k lidskému přezkoumání, tedy konkrétní e-mail nebo jméno člověka, kterému se dá napsat, a jistota, že opravdu odpoví.
- Víme, kdo u dodavatele umí vysvětlit, jak nástroj rozhoduje. Když na otázku, podle čeho přesně nástroj skóruje kandidáty, nikdo odpovědět nedokáže, berte to jako varovný signál.
- Namátkově kontrolujeme vzorek rozhodnutí, abychom věděli, jestli nástroj i po půl roce provozu dělá to, co má.
Žádný z těch bodů nevyžaduje právníka na plný úvazek ani nový software. Vyžadují jediné: aby si je někdo vytiskl, prošel s týmem a zapsal výsledek. Ideálně tenhle týden, dokud je to pořád jenom administrativa.
Kdy stačí interní pravidlo a kdy zavolat právníka
Většina z toho je věc interního nastavení. Firma si řekne pravidlo, zapíše ho a dodržuje ho, právník u toho být nemusí.
Právník patří do hry ve třech konkrétních situacích.
1. Když firma nasazuje nástroj, který rozhoduje o podmínkách pracovního poměru, o ukončení smlouvy nebo o přidělování úkolů. Přesně tyhle případy řadí AI Act mezi vysoce rizikové systémy a povinnosti kolem nich se budou zpřísňovat. Stojí za to mít právní pohled na to, co přesně firma s dodavatelem podepisuje.
2. Když kandidát nebo zaměstnanec formálně napadne rozhodnutí AI a žádá vysvětlení nebo nápravu. Od té chvíle jde o právní spor, ne o interní proceduru.
3. Když si firma není jistá, jestli nástroj, který koupila, spadá pod přísnější kategorii rizika. Odhadem se tahle otázka řešit nedá.
Přesné termíny se mezitím usadily. Novela AI Actu, nařízení (EU) 2026/1744 přezdívané Digital Omnibus on AI, vyšla 24. července 2026 v Úředním věstníku EU a účinnosti nabyla 27. července 2026. Povinnosti pro vysoce rizikové systémy podle přílohy III, tedy i pro nábor a hodnocení zaměstnanců, tím dostaly nové datum 2. prosince 2027. Kdo potřebuje detailní časovou osu i přehled toho, co se neodložilo, najde je v článku „Termín, který měl definovat srpen pro HR, se posunul“. Tenhle text řeší, co si zapsat na papír už dnes.
Firma, která si tohle nastaví dřív, než přijde první stížnost, vede pak úplně jiný rozhovor než firma, která to dohání až po ní.
Zdroje
- NIST (National Institute of Standards and Technology). AI Risk Management Framework (AI RMF 1.0), leden 2023.
- NIST AI Resource Center (AIRC). Playbook k funkci Govern, subkategorie GOVERN 2.1.
- OECD. OECD AI Principles, aktualizace z května 2024, princip 1.5 Accountability.
- Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR), články 13 a 22, k informační povinnosti a automatizovanému rozhodování.
- Pracovní skupina WP29 (nyní Evropský sbor pro ochranu osobních údajů). Pokyny k automatizovanému individuálnímu rozhodování a profilování (WP251rev.01), český překlad ÚOOÚ.
- Evropská komise. Transparency obligations under Article 50 of the AI Act, FAQ.
- Rada Evropské unie, tisková zpráva Artificial Intelligence: Council gives final green light to simplify and streamline rules, 29. června 2026.
- Nařízení Evropského parlamentu a Rady (EU) 2026/1744 ze dne 8. července 2026, kterým se mění nařízení (EU) 2024/1689 (Digital Omnibus on AI). Úřední věstník EU, L 2026/1744, 24. 7. 2026.
Shrnutí článku
AI governance není výsada korporací s právním oddělením. Firmě s AI nástroji v HR stačí tři zapsaná pravidla: jmenovaná osoba odpovědná za AI, dohledatelný přehled toho, kde se nástroje používají a k čemu vedly, a jasná informace pro kandidáty i zaměstnance včetně cesty k lidskému přezkoumání. Rámce NIST AI RMF a OECD AI Principles se shodují, že governance stojí na odpovědnosti, dohledatelnosti a transparentnosti. Právníka je potřeba ve třech situacích: při nasazení vysoce rizikového nástroje, při formálním napadení rozhodnutí AI a při nejistotě ohledně kategorie rizika. Zbytek zvládne HR samo.
Adam Homola
Editor in chief, Benefit pro HR
Adama dlouhodobě fascinuje, jak věci fungují - lidé, týmy i celé organizace. Svůj zájem o lidské procesy propojuje s technologiemi, zejména s AI, kterou vnímá jako nástroj. Píše, edituje a kurátorsky vybírá obsah opřený o data a evidence-based přístup; jeho cílem je srozumitelně převádět komplexní témata do praxe HR a managementu. Dlouhodobě se věnuje digitální tvorbě a se zaujetím sleduje, jak technologický pokrok ovlivňuje práci i životy lidí.
