Regulačná architektúra EÚ po Omnibuse
AI Act, CADA a nová geometria prístupu na európsky trh
Čo sa v lete 2026 skutočne zmenilo v AI Act a v novom Cloud and AI Development Act — a čo z toho vyplýva pre vedenie firmy, ktorá chce na európskom trhu pôsobiť dlhodobo.
Leto 2026 prekreslilo plán, s ktorým väčšina korporátnych compliance tímov počítala na najbližšie dva roky.
Nariadenie (EÚ) 2026/1744, takzvaný Digital Omnibus on AI, nadobudlo účinnosť 27. júla 2026, šesť dní pred pôvodným termínom pre vysokorizikové systémy. O sedem týždňov skôr, 3. júna 2026, Komisia predložila návrh Cloud and AI Development Act (CADA), ktorý je ťažiskom balíka European Technological Sovereignty Package. Prvý krok odsunul termín. Druhý presunul ťažisko európskej digitálnej politiky z ochrany práv smerom ku kontrole infraštruktúry.
Obe zmeny treba čítať spolu. Vynútiteľnosť sa reálne nezmenšila, len sa presunula inam — z kalendára Prílohy III smerom ku GPAI modelom a k podmienkam prístupu na trh cez verejné obstarávanie. Nasledujúci text sa venuje tomu, kam presne, a čo to znamená pre firmu, ktorá chce na európskom trhu pôsobiť dlhodobo.
„Vynútiteľnosť sa nezmenšila. Len sa presunula inam.“
Súčasný stav implementácie AI Act: od legislatívneho textu k trhovej realite
1.1 Čo sa v júli 2026 skutočne stalo
Nariadenie (EÚ) 2024/1689 nadobudlo platnosť 1. augusta 2024 a jeho fázovanie od začiatku počítalo s tým, že do augusta 2026 bude existovať funkčný ekosystém harmonizovaných noriem, notifikovaných osôb a personálne obsadených národných dozorných orgánov. Tento predpoklad sa nenaplnil. Komisia formálne potvrdila významné omeškanie prác CEN‑CENELEC JTC 21 vo svojom vykonávacom rozhodnutí z 23. júna 2025 (C(2025)3871) a nestihla ani vlastný zákonný termín — 2. február 2026 — na vydanie usmernení k článku 6 o klasifikácii vysokorizikových systémov.
Legislatívna odpoveď prišla vo forme Omnibusu. Po neúspešnom trialógu 28. apríla, politickej dohode zo 6. – 7. mája, hlasovaní Parlamentu 16. júna a finálnom schválení Radou 29. júna vyšlo nariadenie v úradnom vestníku 24. júla 2026.
Nová časová os a to, čo sa neposunulo:
Sankčný rámec zostal nedotknutý: až 35 mil. EUR alebo 7 % globálneho obratu za zakázané praktiky, 15 mil. EUR alebo 3 % za ostatné porušenia, vrátane povinností GPAI podľa čl. 101.
1.2 Inštitucionálne trenie: kde vzniká reálne riziko
Vzniká dvojrýchlostná vynútiteľnosť. Dohľad nad GPAI je centralizovaný v AI Office, ktorý má technický personál, prístup k modelom a od augusta 2026 aj právomoc požadovať dokumentáciu, nariadiť zmierňujúce opatrenia, obmedziť dostupnosť modelu a ukladať pokuty. Omnibus jeho postavenie ešte posilnil. Dohľad nad systémami naopak zostáva rozdrobený medzi národné orgány trhového dozoru, z ktorých viaceré členské štáty dodnes neurčili alebo nedofinancovali.
Praktický dôsledok: riziko nie je rovnomerne rozložené. Poskytovateľ frontier modelu čelí kompetentnému, technicky vyzbrojenému a centrálne koordinovanému regulátorovi. Enterprise deployer v členskom štáte s neobsadeným dozorom čelí najmä riziku sekundárnemu — zo sporov, obstarávania a zmluvných reťazcov, nie z priamej inšpekcie.
1.3 GPAI a mýtus auditovateľnosti tréningových dát
Kódex postupov pre GPAI z 10. júla 2025 má tri kapitoly: Transparentnosť, Autorské práva a Bezpečnosť (posledná len pre modely so systémovým rizikom nad prahom 10²⁵ FLOP). Podpis je dobrovoľný, no v praxi funguje ako preferovaná cesta k preukázaniu zhody; nepodpísaní poskytovatelia musia zhodu preukázať „inými primeranými prostriedkami“, čo znamená viac žiadostí o informácie.
Tu treba byť triezvy: šablóna súhrnu tréningového obsahu pracuje na úrovni kategórií dát (web, licencované, syntetické), nie jednotlivých datasetov. Firma, ktorá dúfala, že jej regulácia dodá nástroj na due diligence autorských práv u upstream dodávateľa, dostane dokument s podstatne nižšou informačnou hodnotou. Reálny audit tréningových dát ostáva mimo dosahu deployera a čiastočne aj samotného regulátora.
1.4 Pripravenosť na vysokorizikový režim
Odklad na december 2027 nemení podstatu úlohy. Najťažšou časťou nikdy nebola šablóna technickej dokumentácie, ale kompletná inventarizácia a klasifikácia AI systémov naprieč organizáciou, vrátane interne vyvinutých a nakúpených riešení. Táto práca sa odkladom nezjednodušuje.
Osobitnú pozornosť si zaslúži režim nespätnej účinnosti. Systémy uvedené na trh pred novými termínmi ostávajú mimo plného vysokorizikového režimu, kým nedôjde k podstatnej zmene. To vytvára dva protichodné efekty naraz: krátkodobú úľavu a dlhodobú architektonickú pascu, keďže väčší release, zmena účelu alebo významný retraining môžu spustiť hodiny odznova — a to práve v okamihu, keď na to produktová roadmapa nebude pripravená.
Exekutívy zvyknú uvažovať v kategórii „sme len používateľ, riziko nesie dodávateľ“. AI Act to tak nevidí. Fine‑tuning nad určitou mierou, uvedenie modelu pod vlastnou značkou, zmena zamýšľaného účelu alebo podstatná modifikácia integrovaného systému môžu deployera preklopiť do postavenia poskytovateľa — so všetkými povinnosťami vrátane posudzovania zhody. Ide o jedno z najčastejšie podceňovaných rizík pri integrácii AI systémov tretej strany a hranica medzi deployerom a poskytovateľom si zaslúži pozornosť pri každom väčšom release či zmene účelu použitia.
Nástup CADA: strategický obrat v priemyselnej politike EÚ
2.1 Genéza a zmena paradigmy
CADA (COM(2026) 502, procedúra 2026/0138(COD), právny základ čl. 114 ZFEÚ) je priamym pokračovaním Draghiho diagnózy európskej konkurencieschopnosti a AI Continent Action Plan. Verejná konzultácia prebehla od apríla do júla 2025, samotný návrh Komisia prijala 3. júna 2026.
Predchádzajúca generácia digitálnych predpisov — GDPR, DSA, AI Act — mala ťažisko v ochrane práv, transparentnosti a riadení rizík. Ťažiskom CADA je konkurencieschopnosť, kapacita a strategická autonómia. Regulácia tu prestáva byť brzdou a stáva sa nástrojom priemyselnej politiky.
2.2 Tri osi návrhu
Výskum, vývoj a inovácie
Podpora ďalšej generácie cloudových a AI technológií, previazanie na AI factories a AI gigafactories, prednostný prístup k financovaniu pre strategické projekty.
Kapacita
Cieľ minimálne strojnásobiť kapacitu dátových centier v EÚ v horizonte 5 – 7 rokov. Najtvrdší limit: povoľovacie konanie, energia a voda zostávajú v národnej a lokálnej kompetencii.
Autonómia
Union Assurance Levels (UAL) — štvorstupňová škála viazaná na verejné obstarávanie, upravená v čl. 16 návrhu.
Úroveň 1 stojí na sebahodnotení a štandardnej kybernetickej bezpečnosti. Úroveň 4 predpokladá plné vlastníctvo a kontrolu subjektom EÚ, personál s bezpečnostnou previerkou, zákaz prenosu inferenčných dát mimo EÚ a validovaný audit treťou stranou. Rodokmeň je jasný — francúzsky SecNumCloud a Cloud Sovereignty Framework DG DIGIT; to, čo neprešlo v zablokovanej schéme EUCS, sa vracia ako priamo účinné právo.
2.3 Politická realita a prognóza
Odpor je organizovaný a vecný. Priemyselné združenia namietajú, že kritériá úrovní 3 a 4 sú fakticky uzavretím trhu podľa sídla a vlastníckej štruktúry, že mechanizmus pridružených krajín podľa čl. 18 nastavuje latku, ktorú dnes nespĺňa žiadna technologicky vyspelá krajina vrátane samotnej EÚ, a že možnosť rozšíriť posudzovanie suverenity delegovanými aktmi na súkromné subjekty v sektoroch NIS2 podľa čl. 31 prekračuje pôvodný zámer.
Môj odhad je nasledovný: politický princíp — odstupňovanie verejného cloudového trhu podľa suverenity — považujem za rozhodnutý. Otvorená je kalibrácia, nie smer. Realistický scenár je finálne prijatie na konci roka 2027 a operatívna aplikácia v horizonte 2028 – 2029. Kľúčovým bodom, ktorý treba v trialógoch sledovať, nie je výška kritérií, ale to, či zostanú v texte nariadenia, alebo sa presunú do delegovaných aktov — zdanlivo procedurálna otázka, ktorá rozhoduje o tom, kto drží pero nad operatívnou definíciou suverenity.
Dopyt sa formuje skôr než samotné právo — verejní obstarávatelia už dnes preberajú logiku UAL do tendrových podmienok, pretože rámec DG DIGIT reálne funguje. Zmluvy uzatvorené v rokoch 2026 – 2027 siahnu priamo do obdobia aplikácie CADA, takže otázka, na akú úroveň suverenity sa firma pripravuje, sa oplatí riešiť skôr, než trialóg formálne skončí. Dodatočné dopĺňanie suverenity do hotovej architektúry je spravidla podstatne nákladnejšie než premyslené nastavenie od začiatku.
Regulačná skladačka: synergia a trenie medzi AIA, CADA, DORA a NIS2
3.1 Mapa prekrytí
Európsky digitálny acquis prestal byť súborom paralelných predpisov a stal sa systémom s prekrývajúcimi sa vrstvami. Pre technologickú firmu, a najmä pre finančný sektor, vzniká kumulatívny tlak v štyroch bodoch:
Hlásenie incidentov
AI Act, NIS2, DORA a GDPR — štyri režimy, štyri lehoty, štyria adresáti, jedna udalosť.
Riadenie rizík tretích strán
DORA, NIS2, AI Act a perspektívne CADA — štyri pohľady na ten istý zoznam dodávateľov.
Riadenie rizík ako proces
Čl. 9 AI Act, IKT rámec DORA a NIS2 majú odlišnú terminológiu a takmer identickú štruktúru.
Odchod a prenositeľnosť
Data Act, DORA a CADA smerujú k odstráneniu vendor lock‑in z troch rôznych právnych titulov.
3.2 Normalizačná vrstva ako skutočné bojisko
Harmonizované normy CEN‑CENELEC sú hlavnou cestou k prezumpcii zhody podľa čl. 40 AI Act. Nový termín december 2027 treba čítať ako zadný doraz previazaný na pripravenosť normalizačného ekosystému, nie ako komfortnú rezervu. Podstatná časť toho, čo bude znamenať „zhoda“, sa dnes píše v technických výboroch, nie v Parlamente.
Extrateritoriálny dopad a strategický vstup na trh EÚ
4.1 Bruselský efekt 2.0
Prvá generácia bruselského efektu fungovala cez normy: globálna firma prijala prísnejší európsky štandard, pretože prevádzkovať dva režimy súčasne bolo drahšie než jeden. Druhá generácia funguje inak — nevyvažuje pravidlá, ale podmieňuje prístup k infraštruktúre. AI Act určuje, čo môžete uviesť na trh. CADA určuje, kde a pod čou kontrolou to musí bežať.
Rozsah pôsobnosti podľa čl. 2 AI Act je nastavený široko: vzťahuje sa na poskytovateľov uvádzajúcich systémy na trh EÚ bez ohľadu na miesto usadenia, a to aj keď sa výstup systému len používa v Únii. Pri GPAI sa povinnosť viaže na model, nie na aplikáciu.
4.2 Štrukturálny konflikt, ktorý sa nedá vyjednať
Jadro problému pre amerických hyperscalerov nie je regulačná nevôľa, ale kolízia právnych poriadkov. Pokiaľ poskytovateľ podlieha americkému CLOUD Act a FISA 702, nemôže sám o sebe garantovať imunitu voči mimoeurópskemu prístupu k dátam. Treba zdôrazniť, čo návrh nerobí: nezakazuje americkým poskytovateľom pôsobiť v Európe a neobmedzuje súkromný sektor v nakupovaní cloudu. Riziko je sústredené v obstarávaní.
4.3 Ázijskí hráči: iné riziko, rovnaká expozícia
Rozsah pôsobnosti AI Act a logika CADA nerozlišujú kontinent pôvodu. Poskytovateľ modelu so sídlom v Tokiu, Soule, Singapure či Šen‑čene je v pôsobnosti nariadenia za rovnakých podmienok ako americký hyperscaler — akonáhle je výstup jeho systému použitý v Únii.
Situácia sa napriek tomu líši v dvoch smeroch. Politická debata okolo extrateritoriality sa doteraz sústredila takmer výlučne na americký CLOUD Act a FISA 702, zatiaľ čo ázijské jurisdikcie zostávali mimo centra pozornosti bruselských trialógov — čo môže vytvárať falošný pocit nižšieho rizika, hoci viaceré ázijské právne poriadky majú vlastné režimy kontroly cezhraničného toku dát. Existujúce nástroje regulačného zbližovania, ako sú rozhodnutia o primeranosti ochrany osobných údajov voči Japonsku či Kórei, sa navyše týkajú GDPR, nie CADA — primeranosť podľa GDPR neznamená automaticky vyššiu úroveň suverenity podľa Union Assurance Levels, ktorá posudzuje vlastníctvo, kontrolu a personál.
Riziko pre ázijských poskytovateľov tak nie je nižšie než pre amerických — je len menej viditeľné, keďže zatiaľ nestálo v centre politickej diskusie.
4.4 Strategická dilema
Mimoeurópsky hráč — americký, ázijský či iný — stojí pred voľbou, ktorú nemožno donekonečna odkladať:
Jednotný globálny produkt
s európskym compliance obalom — nižšie náklady, ale strop na úrovni UAL 1 – 2 a vylúčenie z citlivého segmentu.
Európsky architektonický variant
prevádzková entita pod kontrolou EÚ, lokalizovaná správa kľúčov, previerkovaný personál, dáta bez odlivu — vyššie náklady, ale prístup k celému trhu vrátane najlukratívnejšieho verejného a regulovaného segmentu.
Rozhodnutie o architektúre je v skutočnosti rozhodnutím o tom, aký trh si firma dokáže adresovať, a robí sa prakticky raz — dodatočná zmena je nákladná. Podiel verejného sektora a subjektov v pôsobnosti NIS2/DORA na európskom pipeline je pritom často lepším vodidlom pre toto rozhodnutie než čisto technická úvaha o architektúre, keďže práve tam sa najskôr prejaví rozdiel medzi UAL úrovňou 1 – 2 a úrovňou 3 – 4.
4.5 Trust‑as‑a‑Service: prečo je to obchodný model, nie náklad
V enterprise predaji dnes najviac času zaberajú nie funkcie produktu, ale bezpečnostné a regulačné dotazníky. Firma, ktorá príde s hotovým dokumentačným balíkom, skracuje obstarávací cyklus o mesiace — a to je v regulovaných odvetviach fakticky vstupenka na trh.
Druhý efekt je globálny: európska zhoda funguje ako pečiatka kvality akceptovaná ďaleko za hranicami Únie. Tretí efekt je najdôležitejší strategicky: dokumentačná a dôkazová vrstva sa buduje roky a nedá sa jednoducho kúpiť. Vzniká tak konkurenčná priekopa (moat) postavená na dôkazoch, nie na funkcionalite.
„Rigorózna zhoda v EÚ nie je náklad. Je to globálna pečiatka kvality, ktorá otvára dvere k enterprise klientom.“
Odklad neznamená amnestiu. Znamená presun ťažiska.
Vynútiteľnosť voči GPAI je od augusta 2026 reálna, transparenčné povinnosti bežia a decembrové termíny roku 2026 sú bližšie, než sa na prvý pohľad zdá. Súbežne sa formuje druhá vrstva európskeho režimu, ktorá už nebude regulovať to, čo model robí, ale kto ho prevádzkuje a pod čou jurisdikciou.
Firmy, ktoré túto dvojitú logiku pochopia teraz, budú mať do roku 2028 dokumentačnú a architektonickú prevahu, ktorú konkurencia nedobehne. Ostatné budú v roku 2028 vysvetľovať predstavenstvu, prečo sú vylúčené z tendrov, o ktorých existencii vedeli už od roku 2026.
Dokument vychádza z právneho stavu k 24. augustu 2026. Nariadenie (EÚ) 2024/1689 v znení nariadenia (EÚ) 2026/1744 je platné a účinné právo. CADA (COM(2026) 502) je návrh v riadnom legislatívnom postupe a jeho obsah sa môže v trialógoch podstatne zmeniť. Hodnotenia budúceho vývoja sú odborným odhadom autora, nie právnym stanoviskom.
JUDr. Mgr. Ivan Liška, PhD.
Senior executive expert na digitálnu transformáciu a umelú inteligenciu, ktorý roky pôsobil ako člen European AI Board, Digital Decade Board a OECD Digital Policy Committee a viedol tvorbu národných digitálnych stratégií a legislatívy vrátane zákona o umelej inteligencii.
Potrebujete tento rámec preložiť do konkrétnych krokov pre vašu organizáciu?
Úvodná konzultácia s Dr. Liškom ukáže, kde vaša organizácia stojí a aký je najbližší krok v príprave na AI Act a CADA.