ISO/IEC 27090, EN 18286 a IEEE 2863: tři nové normy pro správu AI roku 2026 v přehledu

Tři normy za tři dny: proč je říjen 2026 pro správu AI důležitý

Mezi 14. a 16. říjnem 2026 vstoupily v platnost hned tři normy pro správu AI: ISO/IEC 27090:2026 vyšla 14. října, EN 18286:2026 byla téhož dne zveřejněna v Úředním věstníku EU jako první harmonizovaná norma podle aktu EU o umělé inteligenci (AI Act) a IEEE 2863-2026 následovala 16. října. Tři organizace, tři pohledy, jedno téma: jak mohou organizace vyvíjet a provozovat AI bezpečně, v souladu s předpisy a odpovědně?

Pro organizace, které AI vyvíjejí nebo používají, stojí za pozornost všechny tři. Pokrývají různé úrovně – technologii, regulaci a organizaci – a navzájem se spíše doplňují, než aby si konkurovaly. Tento článek vysvětluje, co normy obsahují, na koho se vztahují a co je třeba udělat nyní.

Tři normy v přehledu

ISO/IEC 27090:2026 – Kybernetická bezpečnost systémů AI

ISO/IEC 27090:2026 je první mezinárodní norma, která se celá věnuje bezpečnostním hrozbám pro systémy AI. Její plný název zní Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Vypracoval ji výbor ISO/IEC JTC 1/SC 27, který stojí i za ISO/IEC 27001. Záznam normy na webu ISO

Důraz leží na ochraně systémů AI, nikoli na využití AI k obraně proti jiným útokům. Norma popisuje, které útoky jsou specifické pro modely, trénovací data a pracovní postupy AI, jak je odhalit a jak jim čelit v celém životním cyklu. Patří k nim:

• Otrávení dat (data poisoning): zmanipulovaná trénovací data, která mění chování modelu
• Exfiltrace modelu: vytěžení modelu pomocí zdánlivě legitimních dotazů
• Úhybné útoky (evasion), membership inference, inverze modelu a přímé otrávení modelu
• Prompt injection a také citlivé nebo škodlivé výstupy modelu

ISO/IEC 27090 se zabývá i průřezovými tématy, jako je modelování hrozeb, red teaming, zero trust, bezpečnost dodavatelského řetězce, logování a monitoring a také to, jak modely a ochranná opatření v čase zastarávají. Jejím vůdčím principem je ochrana do hloubky (defence in depth): několik vrstev ochrany, protože některé útoky na AI se obtížně odhalují. Vysvětlení ISO 27090 od ISO

Důležité rozlišení: ISO/IEC 27090 je soubor pokynů, nikoli certifikovatelná norma s požadavky. Doplňuje existující ISMS podle ISO/IEC 27001 a systém řízení AI podle ISO/IEC 42001 o bezpečnostní aspekty specifické pro AI. Pro bezpečnostní týmy je přirozeným vstupním bodem, jak začlenit rizika AI do stávajících procesů. Více se dočtete v článcích ISO 27090 vysvětlená pro týmy bezpečnosti AI a ISO 27090 a ISO 42001 srozumitelně.

EN 18286:2026 – Systém managementu kvality pro akt EU o umělé inteligenci

EN 18286:2026 je první harmonizovaná norma podle aktu EU o umělé inteligenci – a tedy ta ze tří, která má největší právní váhu. CEN a CENELEC vydaly normu Artificial intelligence – Quality management system for EU AI Act regulatory purposes v červenci 2026. Dne 14. října 2026 ji Evropská komise zveřejnila v Úředním věstníku EU prováděcím rozhodnutím (EU) 2026/2274.

Právě toto zveřejnění je rozhodujícím krokem. Podle článku 40 aktu o AI požívají poskytovatelé, kteří uplatňují harmonizovanou normu zveřejněnou v Úředním věstníku, předpokladu shody s požadavky, na něž se norma vztahuje. Konkrétně jde o článek 17: poskytovatelé vysoce rizikových systémů AI musí provozovat zdokumentovaný systém managementu kvality. Podle aktualizovaného harmonogramu se tato povinnost uplatňuje od 2. prosince 2027 u vysoce rizikových systémů uvedených v příloze III a od 2. srpna 2028 u vysoce rizikových systémů v regulovaných výrobcích podle přílohy I. Harmonogram aktu o AI od Evropské komise EN 18286 tuto povinnost převádí do auditovatelných požadavků, mezi které patří:

• Řízení návrhu a vývoje
• Řízení rizik a správa dat
• Dokumentace a záznamy
• Monitorování po uvedení na trh a řešení incidentů

Organizace by měly mít na paměti tři věci. Za prvé: uplatnění normy zůstává dobrovolné; shodu lze prokázat i jinak – jen bez předpokladu shody. Za druhé: předpoklad shody se vztahuje pouze na požadavky, které norma skutečně pokrývá, nikoli na celý akt o AI. Za třetí: ISO/IEC 42001 ji nenahrazuje. Mezinárodní norma pro systémy řízení AI je sice certifikovatelná, není však harmonizovanou normou a předpoklad shody nezakládá. Organizace, které již systém podle 42001 provozují, mají dobrý základ, musí však své procesy namapovat na EN 18286. Nemko Digital k EN 18286

Další harmonizované normy pro řízení rizik, kvalitu dat, transparentnost, lidský dohled a kybernetickou bezpečnost se připravují, zatím však zveřejněny nebyly. EN 18286 je v současnosti jediným odkazem na akt o AI v Úředním věstníku. Jak klasifikovat své případy použití AI podle aktu o AI, se dočtete v článku Akt EU o umělé inteligenci: klasifikujte své případy použití a naplánujte důkazy.

IEEE 2863-2026 – Organizační správa AI

IEEE 2863-2026 začíná o úroveň výš: otázkou, jak může organizace jako celek řídit AI odpovědně. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence vydala IEEE Standards Association 16. října 2026 – po více než šesti letech vývoje (zahájení projektu v únoru 2020, schválení radou v červnu 2026). Stránka normy na webu IEEE SA

Norma se obrací na řídicí orgán organizace – vrcholové vedení, představenstvo nebo dozorčí radu – a skládá se ze tří stavebních kamenů:

1. Principy správy, kterým by měl orgán dávat přednost
2. Procesy, které tyto principy uvádějí do praxe
3. Případové studie konkrétních aplikací AI, které ukazují, jak procesy principy naplňují – včetně toho, jak řešit konflikty mezi principy

Klíčová témata, která IEEE uvádí, sahají od odpovědnosti, transparentnosti, vysvětlitelnosti a lidského dohledu přes ochranu soukromí, bezpečnost a nediskriminaci až po udržitelnost a blahobyt. Na straně procesů jde o audit, red teaming, reakci na incidenty, dohled nad životním cyklem, řízení hodnotového řetězce, budování kompetencí a zapojení zainteresovaných stran.

Jako Recommended Practice formuluje IEEE 2863 doporučení, nikoli certifikovatelné požadavky. Její hodnota spočívá v propojení abstraktních etických principů s konkrétními rozhodovacími procesy na úrovni vedení. Popisuje také, jak se organizace vypořádávají s externími nástroji správy: regulací, profesními normami, kodexy chování a veřejnými očekáváními ohledně odpovědné AI.

Jak do sebe tři normy zapadají

Tři normy se zabývají třemi úrovněmi, které se v praxi překrývají:

Přirozeným společným základem je ISO/IEC 42001. Systém řízení AI poskytuje strukturu, do níž lze zasadit principy správy (IEEE 2863), regulatorní požadavky na systém managementu kvality (EN 18286) i bezpečnostní opatření (ISO/IEC 27090). EN 18286 je strukturálně sladěná s ISO/IEC 42001, aniž by ji nahrazovala; ISO/IEC 27090 odkazuje na 42001 jako na rámec řízení; IEEE 2863 popisuje úroveň správy nad ním. Kdo se třemi normami zabývá odděleně, vybuduje tytéž procesy třikrát – kdo je chápe jako vrstvy jednoho systému, ušetří práci a vyhne se rozporům.

Co by organizace měly udělat nyní

Priority závisí na vaší roli v hodnotovém řetězci AI:

• Poskytovatelé vysoce rizikové AI v EU: pořiďte si EN 18286 a proveďte analýzu mezer vůči svému stávajícímu systému managementu kvality. Pokud již pracujete podle ISO 9001, ISO 13485 nebo ISO/IEC 42001, můžete prvky aktu o AI začlenit, mapování však musíte zdokumentovat.
• Bezpečnostní týmy: inventarizujte systémy AI – včetně těch pořízených od třetích stran. Ujasněte si, odkud pocházejí data a modely, rozšiřte modelování hrozeb o útoky specifické pro AI a ověřte, jak by bylo podezřelé chování modelu odhaleno a řešeno. ISO/IEC 27090 poskytuje kontrolní seznam.
• Vrcholové vedení a dozorčí rady: použijte IEEE 2863 jako rámec pro mandát ke správě AI – stanovte principy, přidělte odpovědnosti, definujte linie reportingu a o kompromisech rozhodujte výslovně.
• Všichni: sledujte další harmonizované normy. EN 18286 je začátek; budou následovat normy pro řízení rizik, kybernetickou bezpečnost a logování.

ISO/IEC 27090 a EN 18286 jsou placené – ISO/IEC 27090 v ISO Store, EN 18286 u národních normalizačních orgánů (v Německu u DIN Media). IEEE 2863 je bezplatně dostupná prostřednictvím IEEE GET Program, případně ji lze koupit nebo k ní získat přístup v rámci předplatného u IEEE SA.

Závěr

Říjen 2026 znamená ve správě AI posun od principů k auditovatelným normám. ISO/IEC 27090 konkretizuje bezpečnost AI, EN 18286 dává aktu EU o umělé inteligenci první harmonizovanou normu s předpokladem shody a IEEE 2863 ukotvuje správu AI na úrovni vedení. Kdo zná všechny tři, může bezpečnost, compliance a odpovědnost řešit jako jeden systém – místo tří samostatných projektů.

Zdroje

• ISO/IEC 27090:2026 – záznam v katalogu a ISO/IEC 27090 explained (ISO)
• Prováděcí rozhodnutí (EU) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16. října 2026)
• IEEE 2863-2026 – stránka normy (IEEE SA)