ISO/IEC 27090, EN 18286 a IEEE 2863: tri nové normy pre riadenie AI v roku 2026 v skratke

Tri normy za tri dni: prečo je október 2026 pre riadenie AI dôležitý

Medzi 14. a 16. októbrom 2026 nadobudli účinnosť naraz tri normy pre riadenie AI: ISO/IEC 27090:2026 bola publikovaná 14. októbra, EN 18286:2026 bola v ten istý deň uverejnená v Úradnom vestníku EÚ ako prvá harmonizovaná norma podľa aktu EÚ o umelej inteligencii (AI Act) a IEEE 2863-2026 nasledovala 16. októbra. Tri organizácie, tri pohľady, jedna téma: ako môžu organizácie vyvíjať a prevádzkovať AI bezpečne, v súlade s predpismi a zodpovedne?

Pre organizácie, ktoré AI vyvíjajú alebo používajú, stoja za pozornosť všetky tri. Pokrývajú rôzne úrovne – technológiu, reguláciu a organizáciu – a navzájom sa skôr dopĺňajú, než by si konkurovali. Tento článok vysvetľuje, čo normy obsahujú, na koho sa vzťahujú a čo treba urobiť teraz.

Tri normy v skratke

ISO/IEC 27090:2026 – Kybernetická bezpečnosť systémov AI

ISO/IEC 27090:2026 je prvá medzinárodná norma, ktorá sa celá venuje bezpečnostným hrozbám pre systémy AI. Jej úplný názov znie Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Vypracoval ju výbor ISO/IEC JTC 1/SC 27, ktorý stojí aj za ISO/IEC 27001. Záznam normy na webe ISO

Dôraz sa kladie na ochranu systémov AI, nie na využitie AI na obranu pred inými útokmi. Norma opisuje, ktoré útoky sú špecifické pre modely, trénovacie dáta a pracovné postupy AI, ako ich odhaliť a ako im čeliť počas celého životného cyklu. Patria k nim:

• Otrávenie dát (data poisoning): zmanipulované trénovacie dáta, ktoré menia správanie modelu
• Exfiltrácia modelu: vyťaženie modelu pomocou zdanlivo legitímnych dopytov
• Únikové útoky (evasion), membership inference, inverzia modelu a priame otrávenie modelu
• Prompt injection, ako aj citlivé alebo škodlivé výstupy modelu

ISO/IEC 27090 sa zaoberá aj prierezovými témami, ako sú modelovanie hrozieb, red teaming, zero trust, bezpečnosť dodávateľského reťazca, logovanie a monitorovanie, ako aj to, ako modely a ochranné opatrenia časom zastarávajú. Jej hlavným princípom je ochrana do hĺbky (defence in depth): viacero vrstiev ochrany, pretože niektoré útoky na AI sa ťažko odhaľujú. Vysvetlenie ISO 27090 od ISO

Dôležité rozlíšenie: ISO/IEC 27090 je usmernenie, nie certifikovateľná norma s požiadavkami. Dopĺňa existujúci ISMS podľa ISO/IEC 27001 a systém manažérstva AI podľa ISO/IEC 42001 o bezpečnostné aspekty špecifické pre AI. Pre bezpečnostné tímy je prirodzeným vstupným bodom na začlenenie rizík AI do existujúcich procesov. Viac sa dočítate v článkoch ISO 27090 vysvetlená pre tímy bezpečnosti AI a ISO 27090 a ISO 42001: vysvetlenie rozdielov.

EN 18286:2026 – Systém manažérstva kvality pre akt EÚ o umelej inteligencii

EN 18286:2026 je prvá harmonizovaná norma podľa aktu EÚ o umelej inteligencii – a teda tá z troch, ktorá má najväčšiu právnu váhu. CEN a CENELEC publikovali normu Artificial intelligence – Quality management system for EU AI Act regulatory purposes v júli 2026. Dňa 14. októbra 2026 ju Európska komisia uverejnila v Úradnom vestníku EÚ vykonávacím rozhodnutím (EÚ) 2026/2274.

Práve toto uverejnenie je rozhodujúcim krokom. Podľa článku 40 aktu o AI požívajú poskytovatelia, ktorí uplatňujú harmonizovanú normu uverejnenú v Úradnom vestníku, predpoklad zhody s požiadavkami, na ktoré sa norma vzťahuje. Konkrétne ide o článok 17: poskytovatelia vysokorizikových systémov AI musia prevádzkovať zdokumentovaný systém manažérstva kvality. Podľa aktualizovaného harmonogramu sa táto povinnosť uplatňuje od 2. decembra 2027 na vysokorizikové systémy uvedené v prílohe III a od 2. augusta 2028 na vysokorizikové systémy v regulovaných výrobkoch podľa prílohy I. Časová os aktu o AI od Európskej komisie EN 18286 túto povinnosť pretavuje do auditovateľných požiadaviek, medzi ktoré patria:

• Riadenie návrhu a vývoja
• Riadenie rizík a správa dát
• Dokumentácia a záznamy
• Monitorovanie po uvedení na trh a riešenie incidentov

Organizácie by mali mať na pamäti tri veci. Po prvé: uplatnenie normy zostáva dobrovoľné; zhodu možno preukázať aj inak – len bez predpokladu zhody. Po druhé: predpoklad zhody sa vzťahuje iba na požiadavky, ktoré norma skutočne pokrýva, nie na celý akt o AI. Po tretie: ISO/IEC 42001 ju nenahrádza. Medzinárodná norma pre systémy manažérstva AI je síce certifikovateľná, nie je však harmonizovanou normou a predpoklad zhody nezakladá. Organizácie, ktoré už systém podľa 42001 prevádzkujú, majú dobrý základ, musia však svoje procesy namapovať na EN 18286. Nemko Digital k EN 18286

Ďalšie harmonizované normy pre riadenie rizík, kvalitu dát, transparentnosť, ľudský dohľad a kybernetickú bezpečnosť sa pripravujú, zatiaľ však uverejnené neboli. EN 18286 je v súčasnosti jediným odkazom na akt o AI v Úradnom vestníku. Ako klasifikovať svoje prípady použitia AI podľa aktu o AI, sa dočítate v článku Akt EÚ o umelej inteligencii: klasifikujte prípady použitia a naplánujte dôkazy.

IEEE 2863-2026 – Organizačné riadenie AI

IEEE 2863-2026 začína o úroveň vyššie: otázkou, ako môže organizácia ako celok riadiť AI zodpovedne. IEEE Recommended Practice for Organizational Governance of Artificial Intelligence publikovala IEEE Standards Association 16. októbra 2026 – po viac ako šiestich rokoch vývoja (začiatok projektu vo februári 2020, schválenie radou v júni 2026). Stránka normy na webe IEEE SA

Norma sa obracia na riadiaci orgán organizácie – vrcholový manažment, predstavenstvo alebo dozornú radu – a skladá sa z troch stavebných prvkov:

1. Princípy riadenia, ktorým by mal orgán dávať prednosť
2. Procesy, ktoré tieto princípy uvádzajú do praxe
3. Prípadové štúdie konkrétnych aplikácií AI, ktoré ukazujú, ako procesy napĺňajú princípy – vrátane toho, ako riešiť konflikty medzi princípmi

Kľúčové témy, ktoré IEEE uvádza, siahajú od zodpovednosti, transparentnosti, vysvetliteľnosti a ľudského dohľadu cez ochranu súkromia, bezpečnosť a nediskrimináciu až po udržateľnosť a blahobyt. Na strane procesov ide o audit, red teaming, reakciu na incidenty, dohľad nad životným cyklom, riadenie hodnotového reťazca, budovanie kompetencií a zapojenie zainteresovaných strán.

Ako Recommended Practice formuluje IEEE 2863 odporúčania, nie certifikovateľné požiadavky. Jej hodnota spočíva v prepojení abstraktných etických princípov s konkrétnymi rozhodovacími procesmi na úrovni vedenia. Opisuje tiež, ako sa organizácie vyrovnávajú s externými nástrojmi riadenia: reguláciou, profesijnými normami, kódexmi správania a verejnými očakávaniami týkajúcimi sa zodpovednej AI.

Ako do seba tri normy zapadajú

Tri normy sa zaoberajú tromi úrovňami, ktoré sa v praxi prekrývajú:

Prirodzeným spoločným základom je ISO/IEC 42001. Systém manažérstva AI poskytuje štruktúru, do ktorej možno začleniť princípy riadenia (IEEE 2863), regulačné požiadavky na systém manažérstva kvality (EN 18286) aj bezpečnostné opatrenia (ISO/IEC 27090). EN 18286 je štrukturálne zosúladená s ISO/IEC 42001 bez toho, aby ju nahrádzala; ISO/IEC 27090 odkazuje na 42001 ako na rámec manažérstva; IEEE 2863 opisuje úroveň riadenia nad ním. Kto sa tromi normami zaoberá oddelene, vybuduje tie isté procesy trikrát – kto ich chápe ako vrstvy jedného systému, ušetrí prácu a vyhne sa rozporom.

Čo by mali organizácie urobiť teraz

Priority závisia od vašej úlohy v hodnotovom reťazci AI:

• Poskytovatelia vysokorizikovej AI v EÚ: zaobstarajte si EN 18286 a vykonajte analýzu medzier voči svojmu existujúcemu systému manažérstva kvality. Ak už pracujete podľa ISO 9001, ISO 13485 alebo ISO/IEC 42001, môžete prvky aktu o AI začleniť, mapovanie však musíte zdokumentovať.
• Bezpečnostné tímy: inventarizujte systémy AI – vrátane tých, ktoré sú obstarané od tretích strán. Ujasnite si, odkiaľ pochádzajú dáta a modely, rozšírte modelovanie hrozieb o útoky špecifické pre AI a overte, ako by sa podozrivé správanie modelu odhalilo a riešilo. ISO/IEC 27090 poskytuje kontrolný zoznam.
• Vrcholový manažment a dozorné rady: použite IEEE 2863 ako rámec pre mandát na riadenie AI – stanovte princípy, prideľte zodpovednosti, definujte línie reportingu a o kompromisoch rozhodujte výslovne.
• Všetci: sledujte ďalšie harmonizované normy. EN 18286 je začiatok; budú nasledovať normy pre riadenie rizík, kybernetickú bezpečnosť a logovanie.

ISO/IEC 27090 a EN 18286 sú platené – ISO/IEC 27090 v ISO Store, EN 18286 u národných normalizačných orgánov (v Nemecku u DIN Media). IEEE 2863 je bezplatne dostupná prostredníctvom IEEE GET Program, prípadne ju možno kúpiť alebo k nej získať prístup v rámci predplatného u IEEE SA.

Záver

Október 2026 znamená v riadení AI posun od princípov k auditovateľným normám. ISO/IEC 27090 konkretizuje bezpečnosť AI, EN 18286 dáva aktu EÚ o umelej inteligencii prvú harmonizovanú normu s predpokladom zhody a IEEE 2863 ukotvuje riadenie AI na úrovni vedenia. Kto pozná všetky tri, môže bezpečnosť, compliance a zodpovednosť riešiť ako jeden systém – namiesto troch samostatných projektov.

Zdroje

• ISO/IEC 27090:2026 – záznam v katalógu a ISO/IEC 27090 explained (ISO)
• Vykonávacie rozhodnutie (EÚ) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16. októbra 2026)
• IEEE 2863-2026 – stránka normy (IEEE SA)