What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

Řízení umělé inteligence

Jak vytvořit auditní stopu AI: 7fázový řetězec důkazů AI™

Můj drahý Cortezi
6. října 2026

Jak vytvořit auditní stopu AI | Řetězec důkazů AI™

Jak vytvořit auditní stopu AI: 7stupňový řetězec důkazů AI™ pro malé firmy

Zásady pro umělou inteligenci říkají, co by se mělo stát. Auditní záznam dokazuje, co se stalo.

Krátká odpověď: Auditní záznam AI je sada záznamů, které umožňují někomu mimo váš tým rekonstruovat, jak byl systém AI schválen, jaká data používá, jak byl testován, kdo ho uvedl do provozu a jak se od té doby choval. AI Evidence Chain™ je sedmistupňový rámec RaaSify.AI pro budování tohoto záznamu: Obchodní záměr, Data, Sestavení, Validace, Nasazení, Monitorování a Reakce na incidenty.

Většina pokynů k auditním záznamům umělé inteligence je určena pro společnosti s týmem platformy. Hovoří o neměnných úložištích protokolů, kryptografických hashech a korelačních ID. To je užitečné, pokud vytváříte produkty umělé inteligence. Nepomůže to firmě se 40 zaměstnanci, která provozuje Microsoft Copilot, ChatGPT a funkce umělé inteligence v rámci svého softwaru pro HR a CRM.

Tato příručka je určena právě pro tuto společnost. Zahrnuje, co bude auditor, regulační orgán nebo zákazník požadovat, sedm fází, které budou testovat, kde se obvykle přeruší auditní záznamy a jak ověřit, zda by vaše záznamy obstály při zpochybňování.

Co je auditní záznam umělé inteligence?

Auditní záznam umělé inteligence je zdokumentovaný důkaz uchovávaný po celou dobu životnosti systému umělé inteligence, který odpovídá na pět otázek:

Co systém dělá a proč ho používáme?
Jaká data se do nich shromažďují a můžeme je používat?
Jak byl konfigurován a testován, než se na něj lidé začali spoléhat?
Kdo to schválil a kdo je zodpovědný za kontrolu jeho výstupů?
Co se od té doby stalo, včetně toho, kdy se něco pokazilo?

Auditní záznam je širší než protokol. Protokol zaznamenává události uvnitř systému. Auditní záznam také zaznamenává lidská rozhodnutí související s ním: schválení, potvrzení testu, měsíční kontrolu, následná opatření po incidentu.

Společnost může mít kompletní protokoly a stále nemít žádnou auditní stopu, protože nikdo nemůže prokázat, kdo rozhodl, že je systém vhodný k použití.

Proč politika v oblasti umělé inteligence nestačí?

Politika je prohlášení o záměru. Regulační orgány, auditoři a zákazníci testují důkazy o tom, že byla politika dodržována.

Otázka obvykle zní takto: „Ukažte mi, jak tento systém umělé inteligence rozhoduje, a dokažte, že ho monitorujete.“ Dokument s pravidly na to nemůže odpovědět. Datované schválení, záznam o zkoušce a záznamy z přezkumu za tři měsíce ano.

Tuto otázku si kladou tři skupiny:

Regulátory. Zákon EU o umělé inteligenci vyžaduje technickou dokumentaci, vedení záznamů, lidský dohled a monitorování vysoce rizikových systémů umělé inteligence. Pro samostatné vysoce rizikové systémy platí tyto povinnosti od 2. prosince 2027, poté, co digitální omnibus o umělé inteligenci posunul datum z 2. srpna 2026.
Auditoři. Norma ISO/IEC 42001 je norma pro systémy managementu. Certifikace se opírá o zdokumentované informace, interní audit a přezkoumání managementem, nikoli pouze o danou politiku.
Zákazníci. Větší zákazníci a partneři se začínají ptát, jak řídíte umělou inteligenci, než ji podepíší. Sebevědomá odpověď musí něco doložit.

Dodatečný čas není pauza. Je to okno pro shromáždění důkazů dříve, než si o ně někdo požádá.

Co je to AI Evidence Chain™?

Řetězec důkazů AI Evidence Chain™ je sedmistupňový rámec pro správu a řízení umělé inteligence, který vytvořila Ma Cherie Cortez, PhD, zakladatelka RaaSify.AI. Vytváří sledovatelný záznam po celou dobu životnosti systému umělé inteligence, takže každé rozhodnutí podporované umělou inteligencí lze obhájit před regulačním orgánem, auditorem nebo správní radou.

Říká se tomu řetězec, protože každá fáze závisí na té předchozí. Monitorovací zpráva má malý význam, pokud nikdo nedokáže prokázat, k čemu byl systém schválen. Jeden chybějící článek přeruší veškerou stezku.

Sedm fází je:

Obchodní záměr. Proč každý systém umělé inteligence existuje, k čemu se používá, kdo ho vlastní a kdo ho schválil. To zahrnuje všechny používané systémy, včetně stínové umělé inteligence a funkcí umělé inteligence v softwaru, za který již platíte.
Data. Jaká data jsou zdrojem pro každý systém, odkud pocházejí (původ dat) a zda je jejich použití zákonné a vhodné.
Vytvořit. Jak byl systém sestaven nebo nakonfigurován a záznam o této konfiguraci.
Validace. Jak byl systém testován na přesnost, zkreslení a bezpečnost před spuštěním, s výsledky, které můžete ukázat.
Nasazení. Kdo schválil spuštění, za jakých podmínek a jaké byly zavedeny ochranné prvky a lidský dohled.
Monitorování. Jak se sleduje chování v reálném světě po spuštění a kdo ho kontroluje.
Reakce na incident. Co se stane, když systém způsobí problém: kdo jedná, komu je to řečeno a co je zaznamenáno.

Většina organizací dokáže v rozhovoru popsat několik z těchto fází. Jen velmi málo z nich dokáže předložit důkazy pro všech sedm. Tuto mezeru mezi znalostí o správě a řízení a schopností ji prokázat uzavírá auditní stopa.

Kde se obvykle končí auditní záznamy umělé inteligence?

Každá fáze odpovídá na jednu otázku, kterou může položit auditor, regulační orgán nebo zákazník. Tabulka ukazuje danou otázku a jak typicky vypadá mezera v malé firmě.

Řetězec důkazů AI Evidence Chain™ mapuje každou fázi na příslušné články zákona EU o umělé inteligenci, ustanovení normy ISO/IEC 42001 a funkce rámce pro řízení rizik v oblasti umělé inteligence NIST, takže jedna sada důkazů slouží všem třem. Toto mapování ustanovení po ustanoveních, aplikované na vaše vlastní systémy, je to, co poskytuje audit AI Evidence Chain™.

Jak se vytváří auditní stopa pro umělou inteligenci?

Auditní záznam umělé inteligence sestavujete systém po systému, a to tak, že pro každou ze sedmi fází postupně vytváříte důkazy. Stručně řečeno:

Vyberte si jeden systém. Začněte se systémem umělé inteligence, který nejvíce ovlivňuje vaše zákazníky nebo zaměstnance.
Zaznamenejte si obchodní záměr. Proč systém existuje, kdo ho vlastní a kdo ho schválil.
Sledujte data. Co dovnitř patří, odkud to pochází a zda to smíte použít.
Zdokumentujte stavbu. Jak je systém konfigurován a co se změnilo od spuštění.
Uschovejte si doklad o ověření. Jak to bylo testováno, než se na to lidé spoléhali.
Zaznamenejte rozhodnutí o nasazení. Kdo schválil spuštění, za jakých podmínek a kdo dohlíží na výstup.
Sledujte a reagujte. Zkontrolujte, jak se systém chová v daném rytmu, a zaznamenejte si, co se stane, když se něco pokazí.

Pak to zopakujte pro další systém. To, co se v každém kroku považuje za dostatečný důkaz, závisí na rizikové úrovni systému a na tom, která pravidla se na vás vztahují. Většina úsudku se odvíjí od něj.

Může malá firma vybudovat auditní záznam pro umělou inteligenci bez týmu pro dodržování předpisů?

Ano. Malá firma k zahájení nepotřebuje oddělení pro dodržování předpisů ani platformu pro logování. Potřebuje tři věci: určeného vlastníka pro každý systém umělé inteligence, jedno místo, kde se záznamy nacházejí, a měsíční kontrolu, která skutečně probíhá. Tyto klíčové ukazatele výkonnosti (KPI) pro správu a řízení umělé inteligence dávají této kontrole něco, co lze měřit.

Než cokoli vytvoříte, zjistěte si, kde se nacházíte. Vezměte si jeden systém umělé inteligence, který nejvíce ovlivňuje vaše zákazníky nebo zaměstnance, a odpovězte na sedm otázek, jednu pro každou fázi:

Můžete uvést, kdo to schválil a proč to firma používá?
Víte, jaká data se do něj ukládají a zda je smíte takto používat?
Mohl byste ukázat, jak je dnes nakonfigurován a co se od uvedení na trh změnilo?
Existuje záznam o tom, jak byl testován, než se na něj lidé začali spoléhat?
Je za kontrolu výstupu zodpovědná jmenovaná osoba?
Zkontroloval někdo, jak se chová v posledních třech měsících?
Pokud by to zítra způsobilo problém, ví všichni, co mají dělat a kam se to zaznamená?

Každé „ne“ je přerušený článek v řetězci. Většina firem jich najde několik. Mnohé také najdou více AI, než očekávaly: organizace po provedení řádné inventury obvykle objeví o 30–40 % více systémů AI, než si myslely, že je mají.

Jak poznáte, že vaše auditní stopa AI funguje?

Spusťte šestiměsíční test. Vyberte si jedno rozhodnutí s podporou umělé inteligence z doby před šesti měsíci a zkuste ho rekonstruovat pouze ze záznamů, aniž byste se kohokoli ptali, co si pamatuje.

Měli byste být schopni prokázat, jaký systém byl použit, jak byl v dané době konfigurován, jaká data měl k dispozici, kdo jej pro dané použití schválil, kdo zkontroloval výstup a zda se poté něco pokazilo. Každá otázka, na kterou nedokážete ze záznamu odpovědět, je nefunkční odkaz.

Pět chyb zničí většinu stezek:

Nákup nástroje před provedením inventury. Platforma pro logování nemůže zaznamenávat systémy, o kterých nikdo neví.
Uchovávání důkazů ve schránkách a hlavách. Pokud schválení existuje v e-mailu jedné osoby, s jejím odchodem také zmizí.
Ukládají se pouze testy, které prošly. Neúspěšné testy a následné opravy jsou nejsilnějším důkazem toho, že validace byla skutečná.
Pohled na umělou inteligenci dodavatele jako na problém dodavatele. Podle zákona EU o umělé inteligenci má společnost, která používá vysoce rizikový systém, své vlastní povinnosti jako provozovatel, včetně lidského dohledu, monitorování a vedení protokolů.
Udělám to jednou. Stezka, která končí v den spuštění, dokazuje, že systém byl v den spuštění řízen.

Často kladené otázky

Co je to AI Evidence Chain™?

AI Evidence Chain™ je sedmistupňový rámec společnosti RaaSify.AI pro vytváření auditovatelných důkazů o správě a řízení umělé inteligence. Fáze jsou obchodní záměr, data, sestavení, validace, nasazení, monitorování a reakce na incidenty. Vytvořila jej Ma Cherie Cortez, PhD, a je registrovanou ochrannou známkou (reg. č. BOIP 1551399).

Jaký je rozdíl mezi auditní stopou umělé inteligence a protokolováním umělé inteligence?

Protokolování zaznamenává, co se uvnitř systému stalo. Auditní záznam také zaznamenává rozhodnutí, která lidé v souvislosti s ním učinili: proč byl systém přijat, kdo jej schválil, jak byl testován a co bylo uděláno po incidentu. Záznamy jsou jedním ze vstupů do fáze monitorování. Nepředstavují celou auditní záznam.

Potřebuje malá firma auditní záznam s využitím umělé inteligence?

Ano, pokud umělá inteligence ovlivňuje rozhodnutí o lidech, jako je nábor, poskytování úvěrů nebo zákaznický servis, nebo pokud se zákazník, investor, partner nebo člen představenstva zeptá, jak spravujete umělou inteligenci. Právní povinnosti podle zákona EU o umělé inteligenci závisí na rizikové úrovni každého systému a na tom, zda jste jeho poskytovatelem nebo nasaditelem. U nástrojů s nižším rizikem se stále vyplatí vést základní evidenci, protože ji ukážete, když se vás někdo zeptá.

Jak dlouho by měly být záznamy o AI uchovávány?

U vysoce rizikových systémů podle zákona EU o umělé inteligenci musí být automaticky generované protokoly uchovávány po dobu nejméně šesti měsíců (článek 19 pro poskytovatele, článek 26(6) pro provozovatele). Poskytovatelé musí uchovávat technickou dokumentaci po dobu 10 let (článek 18). Jiné zákony, smlouvy a odvětvová pravidla mohou vyžadovat delší dobu. Protokoly často obsahují osobní údaje, takže doba uchovávání musí být rovněž v souladu s právními předpisy o ochraně osobních údajů.

Potřebuji software k vytvoření auditní stopy umělé inteligence?

Ne. Pro firmu s hrstkou nástrojů umělé inteligence stačí tabulka a sdílená složka. Platformy pro správu a řízení si vyplatí svou cenu, když máte mnoho systémů, několik týmů nebo systémy, které si sami vytvoříte. Rozhodněte se po inventuře, až budete vědět, co máte.

Potřebuji konzultanta k vytvoření auditní stopy pro umělou inteligenci?

Ne vždy. Pokud používáte několik málo nástrojů umělé inteligence s nízkým rizikem a někdo ve firmě má čas se touto prací zabývat, můžete začít sami. Externí pomoc se vyplatí, když umělá inteligence ovlivňuje rozhodnutí o lidech, když zákazník, auditor nebo regulační orgán požaduje důkazy, když čelíte termínu nebo když nikdo ve firmě nedokáže posoudit, co se považuje za dostatečný důkaz. Posouzení s pevným rozsahem obvykle stačí k zjištění, ve kterém případu se nacházíte.

Mám se přizpůsobit zákonu EU o umělé inteligenci, normě ISO/IEC 42001 nebo rámcové metrice pro správu umělé inteligence (NIST AI RMF)?

Dělají různé úkoly. Zákon EU o umělé inteligenci (AI Act) je zákon pro organizace, které poskytují nebo používají systémy umělé inteligence v EU. Norma ISO/IEC 42001 je certifikovatelná norma pro systémy řízení. NIST AI RMF je dobrovolný rámec od Národního institutu pro standardy a technologie USA. Systém AI Evidence Chain™ se vztahuje na všechny tři, takže jedna sada důkazů může sloužit pro tu, která se na vás vztahuje.

Kdy se uplatňují povinnosti týkající se vysokého rizika podle zákona EU o umělé inteligenci?

Samostatné vysoce rizikové systémy uvedené v příloze III musí splnit požadavky do 2. prosince 2027. Vysoce riziková umělá inteligence zabudovaná do regulovaných produktů podle přílohy I musí splnit požadavky do 2. srpna 2028. Oba termíny byly v roce 2026 posunuty v rámci digitálního souhrnného dokumentu o umělé inteligenci. Toto zpoždění se nevztahuje na zakázané praktiky, povinnosti týkající se modelu umělé inteligence pro všeobecné účely ani na obecná pravidla transparentnosti.

Kde byste měli začít?

Začněte se sedmiotázkovou samokontrolou a šestiměsíčním testem jednoho systému. Pokud se v nich objeví nedostatky, nebo byste raději nechali nedostatky najít za vás, udělá to audit AI Evidence Chain™.

Jedná se o čtyřtýdenní posouzení vašich systémů umělé inteligence s pevným rozsahem ve všech sedmi fázích, mapovaných na zákon EU o umělé inteligenci, normu ISO/IEC 42001 a NIST AI RMF. Obdržíte kompletní inventář umělé inteligence, zprávu o nedostatcích po jednotlivých fázích a plán nápravy s prioritami. Není povinnost pokračovat i poté.

Pokud už víte, že stezka musí být postavena v určitém termínu, 90denní sprint správy a řízení ji vybuduje. Pokud existuje a je třeba ji každý měsíc udržovat při životě, pak se jedná o správu a řízení AI jako službu.

Rezervujte si schůzku s hodnocením auditu AI Evidence Chain™

O autorovi

Ma Cherie Cortez, PhD, je zakladatelkou RaaSify.AI a tvůrkyní platformy AI Evidence Chain™. Má 27 let zkušeností s globálním vedením v oblasti IT, včetně práce v oblasti podnikové správy a řízení umělé inteligence ve společnostech Philips, AB InBev, DLL a Lloyds Banking Group. Tyto zkušenosti nyní uplatňuje v malých a středních podnicích, které se připravují na zákon EU o umělé inteligenci a normu ISO/IEC 42001. RaaSify.AI je certifikovaným školicím partnerem EXIN.

AI Evidence Chain™ je registrovaná ochranná známka společnosti Ma Cherie Cortez, PhD. Registrační číslo BOIP: 1551399, zaregistrováno 25. srpna 2026.

Zdroje