Posledný júlový týždeň to ešte vyzeralo ako vzdialená byrokracia. Dnes je to realita: 31. októbra 2026 vypršal termín, do ktorého musela každá významná banka pod priamym dohľadom Európskej centrálnej banky odovzdať akčný plán proti kybernetickým hrozbám poháňaným umelou inteligenciou. Ide o prvý konkrétny, tvrdý dátum, ktorý európsky bankový dohľad spojil priamo s AI.
Čo presne ECB požaduje
Základom je list SSM-2026-0301, ktorý 7. júla 2026 rozoslalo bankové dohliadacie rameno ECB generálnym riaditeľom všetkých významných inštitúcií. Podpísala ho Claudia Buch, predsedníčka dohliadacej rady. Obsah je priamočiary:
- Každá banka musí svojmu spoločnému dohliadaciemu tímu (Joint Supervisory Team) predložiť akčný plán v oblasti IKT a kybernetickej bezpečnosti zacielený na hrozby z AI.
- Termín odovzdania bol práve dnes, 31. októbra 2026.
- Odovzdanie nie je koniec procesu: dohľad s každou bankou plán bilaterálne preberie a bude sledovať jeho plnenie.
- ECB následne spraví horizontálnu analýzu všetkých plánov naprieč sektorom a závery vráti bankám späť.
Aby mali tímy priestor, ECB zároveň posunula každoročný zber dotazníka IT rizika zo septembra 2026 na február 2027.
Prečo sa to deje práve teraz
List je explicitný v zdôvodnení: AI modely dokážu identifikovať zraniteľnosti a generovať funkčné exploity rýchlosťou, ktorá skracuje čas medzi objavením chyby a jej zneužitím. ECB zdôrazňuje, že nejde o úplne nové riziká, ale o zásadné zrýchlenie a rozšírenie rozsahu už existujúcich — dlhodobý posun v krajině hrozieb, nie výkyv spojený s jedným konkrétnym nástrojom.
V ten istý deň, 7. júla, zverejnil aj Európsky výbor pre systémové riziká (ESRB) varovanie pred „systémovými kybernetickými rizikami vychádzajúcimi z frontier AI modelov“. Bankový list naň priamo nadväzuje — dohľad teda netlačí na banky izolovane, ale v rámci koordinovaného kroku európskych inštitúcií.
Čo to znamená pre banky u nás
List cieli na významné inštitúcie pod priamym dohľadom ECB — medzi ne patria aj skupiny pôsobiace na slovenskom trhu, ktorých materské banky dohľad spadajú. Praktické dôsledky sa prejavia v troch rovinách:
- Bezpečnostné tímy dostali nový reportingový režim. Plán nie je formulár, ale dokument, ku ktorému sa dohľad vráci a bude ho s bankou rozoberať.
- DORA beží paralelne. Zákonné lehoty na hlásenie závažných incidentov (4 hodiny, 24 hodín, 72 hodín a jeden mesiac) sa AI listom nemenia — banky ich musia dodržiavať súbežne.
- Tlak sa preleje aj na dodávateľov. Banky, ktoré nakupujú AI nástroje od tretích strán, budú musieť v plánoch vysvetliť, ako tieto závislosti riadia.
Širší obraz: regulácia sa posúva od zásad k termínom
Európska AI regulácia sa doteraz javila hlavne ako horizontálna legislatíva — AI Act s jeho postupnými účinnosťami. ECB ukazuje iný model: sektorový dohľad, konkrétny adresát, konkrétny dátum. Nie „budeme diskutovať o pravidlách“, ale „do konca októbra ukážte plán“.
Podobný prístup — rýchle, sektorovo šité požiadavky namiesto čakania na veľký zákon — možno čakať aj v ďalších kritických oblastiach, od energetiky po zdravotníctvo. Dnešný termín je preto dôležitý aj mimo bankovníctva: je to prvá ozajstná skúška toho, či európske inštitúcie dokážu AI riziká preložiť do jazyka, ktorému firmy rozumejú najlepšie — do kalendára s deadlines.
Otázka znie, čo príde po plánoch. Ak horizontálna analýza ECB odhalí spoločné slabiny — napríklad pri AI dodávateľoch alebo testovaní modelových rizík — logickým ďalším krokom sú sektorovo záväzné minimá. Banky, ktoré dnes odovzdali papierový plán bez reálnej obsluhy, to zistia pri bilaterálnych rozhovoroch prvé.
