AI Governance Lead vede proces, který rozhoduje, jaká použití AI firma dovolí: politiku, příjem a zařazení každého use casu podle rizika, přehled AI, která ve firmě běží, a záznam o tom, kdo co schválil. Tituly se liší od AI governance managera přes head of AI governance po responsible AI leada.
Titul budí dojem, že jde o člověka, který říká ne. Ze 14 inzerátů, ze kterých tahle stránka vychází, žádný roli nedává písemné právo AI use case zastavit a 12 z ní dělá autora politiky, kterou pak uplatňují ostatní. Než tedy někdo tuhle židli vezme, nebo ji vytvoří, užitečná otázka zní, kdo drží to ne a o co se opírá.
Kdo řekne ne, a na jakém základě
Odmítnutí potřebuje základ, který si může ověřit i někdo jiný. V inzerátech a v pravidlech za nimi se objevují tři.
Zákon. Článek 5 EU AI Actu od 2. února 2025 zakazuje seznam praktik, mezi nimi sociální scoring a rozpoznávání emocí na pracovišti, a článek 99 odst. 3 za ně stanoví pokuty až 35 milionů EUR nebo 7 % celosvětového ročního obratu, podle toho, co je vyšší. To je jediné ne, které za tebe řekne zákon. Vysoce rizikové použití, třeba AI při náboru, hodnocení úvěruschopnosti nebo ve vzdělávání, nese přísnější povinnosti. Od chvíle, kdy v červenci 2026 začal platit Digital Omnibus, nařízení (EU) 2026/1744, začínají tyhle povinnosti 2. prosince 2027 pro použití vyjmenovaná v příloze III a 2. srpna 2028 tam, kde je AI součástí regulovaného výrobku. Zařazení při příjmu use casu má smysl už teď, protože určuje, který termín se na daný use case vztahuje.
Ochota firmy nést riziko. Všechno, co zákon dovolí, je úsudek proti risk appetite, a ten se nastavuje nad governance leadem. Head of data and AI risk v AstraZeneca v Londýně eskaluje „where risks exceed agreed appetite“, tedy tam, kde riziko přesáhne dohodnutou míru. V ABN AMRO nastavuje Risk Appetite Statement pro modely ve svém rozsahu šéf AI model risku. NIST AI Risk Management Framework v bodě GOVERN 2.3 říká, že za rozhodnutí o rizicích spojených s vývojem a nasazením AI systémů odpovídá výkonné vedení organizace (NIST AI 100-1).
Validační gate. Model může ve validaci neprojít a v bankách tenhle gate drží model-risk týmy. Je to jediné místo v inzerátech, kde ne přichází i s procedurou.
Kdo ho tedy řekne? V inzerátech vede ne jednou ze dvou cest: přes validační gate model risku, nebo přes fórum, radu či jmenovaného manažera. Head of AI governance v Guardian Life připravuje podklady, aby mohla rozhodnout firemní governance fóra. Šéf AI governance v Dotmatics chystá podklady k rozhodnutí pro svou AI Governance Council. Nejjasnější větu má inzerát OpenAI na compliance program managera: „Obtain decisions from the authorized owners for legal interpretation, external representations, and risk acceptance“, tedy rozhodnutí o výkladu práva, vyjádřeních navenek a přijetí rizika si vyžádat od oprávněných vlastníků. Governance lead drží pero a záznam. Veto bývá jinde.
RACI pro rozhodnutí o AI
R dělá práci, A má poslední slovo, C se konzultuje, I je informován. Každý řádek vychází z toho, co 14 inzerátů přiděluje, a je ověřený proti funkci GOVERN v rámci NIST.
| Rozhodnutí | Governance lead | Právní | Security | Engineering | Vlastník v byznysu |
|---|---|---|---|---|---|
| Příjem use casu a stupeň rizika | R | C | C | C (podává ho) | A |
| AI politika a standardy | R | C | C | C | A (na exec fóru nebo výboru boardu) |
| Co vyžaduje zákon | C (převádí to na kontroly) | A | I | I | I |
| Schválení AI od dodavatele | R | C (smlouva) | R (bezpečnostní review) | C | A |
| Přijetí zbytkového rizika | R (dokumentuje, eskaluje) | C | C | C | A |
| Provoz kontrol a řešení incidentů | R (sleduje, reportuje) | C | R | R | A |
| Přehled AI ve firmě | A | I | C | C (hlásí, co provozuje) | I |
| Školení AI gramotnosti | R | C | C | I | A (dělá ho povinným) |
Dva sloupce chybí záměrně. Model risk, pokud ve firmě existuje, si z téhle tabulky bere řádek s validací. Mercury to rozdělení píše rovnou: „Data & AI Governance will establish enterprise governance and responsible-use standards, while Model Risk Management will retain responsibility for model inventory, tiering, validation, and model-risk oversight“, tedy governance nastavuje firemní standardy a pravidla odpovědného používání, zatímco přehled modelů, jejich zařazení, validace a dohled nad model riskem zůstávají u model risku. Interní audit potom celé nastavení testuje. Tým testování kontrol Deutsche Telekom v Brně nabírá AI experta přesně na tohle nezávislé ověření.
Governance lead má A jen v jednom řádku, u přehledu AI. Odpovídá to tomu, co zaměstnavatelé napsali.
Kde končí model risk a začíná governance
Americké bankovní dozory 17. dubna 2026 nahradily pravidla, podle kterých model-risk týmy pracovaly od roku 2011. Dopis Fedu SR 26-2 ruší a nahrazuje SR 11-7 a bulletin OCC ke stejným pravidlům říká, že generativní a agentní AI modely jsou nové, rychle se vyvíjejí, a proto do jejich rozsahu nespadají (OCC Bulletin 2026-13).
V americké bance tak copilot, agent i chatbot od dodavatele vypadnou z model-risk mašinerie a automaticky přistanou u toho, kdo vlastní AI governance. Mercury, americký fintech, jehož governance lead reportuje Chief Risk Officerovi, to řeší jednou větou v inzerátu: governance má „Coordinate with Model Risk Management to determine when an AI use case meets the definition of a model“, tedy s model riskem určit, kdy use case splňuje definici modelu. Tuhle otázku musí někdo rozhodnout jako první a vyplatí se vědět kdo, ještě než ti naběhne první agent.
Evropské banky to můžou mít jinak. Head of AI and analytics model risk v ABN AMRO v Amsterdamu vede tým zhruba osmi až deseti lidí, přes model risk reportuje CRO a pokrývá „all generative AI models“, tedy všechny modely generativní AI. Generativní AI tam má validační gate a za ním tým.
Stejná pravidla Fedu popisují, co potřebuje skutečná oponentura: lidi s odborností, nezávislostí a také s postavením a vlivem v organizaci, aby dokázali prosadit změnu (příloha SR 26-2). To je regulátor, který popisuje pravomoc. Ocituj ho, až ti někdo nabídne governance židli bez ní.
Co čtrnáct inzerátů dává governance leadovi
Čtrnáct inzerátů, přečtených 24. října 2026, vypsaly banky a fintechy, pojišťovna, farmaceutická skupina, firma se softwarem pro life science, OpenAI, dvě poradenské firmy, britský finanční úřad HMRC a servisní centrum Deutsche Telekom v Brně. Osm z nich bylo v Evropě.
- 12 po roli chce, aby psala nebo vlastnila politiku, standardy nebo provozní model.
- 0 jasně neříká, že role smí use case zastavit nebo schválit. 6 místo toho jmenuje, kdo rozhoduje.
- 2 píšou hranici černé na bílém: rozdělení s model riskem v Mercury a „authorized owners“ v OpenAI.
- 6 jmenuje EU AI Act. Z osmi evropských inzerátů jsou to čtyři.
- 6 varuje před pomalostí. Londýnský governance lead v JPMorgan má zavádět governance tak, aby se nestal úzkým hrdlem; šéf AI assurance v HMRC má podporovat odpovědné zrychlení místo zbytečného zdržování.
- 4 píšou v nějaké podobě o vlivu bez pravomoci. Dotmatics chce 15 až 20 let praxe a pak dodává, že šéf pracuje bez přímé liniové pravomoci.
Varování před pomalostí mají důvod. Ve studii IBM o únicích dat z roku 2025 hlásila únik kvůli shadow AI jedna z pěti organizací a v průzkumu KPMG z roku 2025 mezi více než 48 000 lidmi 57 % zaměstnanců přiznalo, že své používání AI skrývá. Fronta na review, která trvá měsíc, naučí lidi ji obcházet.
Reportovací linky se liší firmu od firmy. Synchrony a HMRC dávají roli pod Chief AI Officera, Mercury a ABN AMRO pod CRO, Dotmatics pod VP informační bezpečnosti, berlínský Pliant do právního a compliance oddělení, kde AI governance sdílí stůl s ochranou osobních údajů. Profesní zpráva IAPP z roku 2025 zjistila, že 50 % lidí v AI governance bývá zařazeno do týmů etiky, compliance, ochrany soukromí nebo práva.
Plat uvádí šest ze 14 inzerátů. SVP, Head of AI Governance v Synchrony má 200 000 až 330 000 USD základu, k tomu cílový bonus 25 % platu a cílovou akciovou složku 25 %. Senior manager v Mercury má ve svých největších amerických městech 225 800 až 282 300 USD, Guardian Life 152 290 až 250 195 USD a compliance role v OpenAI 216 000 až 240 000 USD plus akcie. V Evropě začíná deputy director v HMRC na 86 000 GBP a brněnský inzerát plat neuvádí vůbec, jen roční bonus a stravenky 160 Kč na pracovní den. Podle platového průzkumu IAPP z roku 2025 měly technické role v AI governance v tech sektoru medián 221 000 USD.
Co musí mít governance písemně
Bez bodů níže je židle jen poradní, ať titul říká cokoliv. Každý z nich se dá levně dohodnout před prvním incidentem a draze vybojovat po něm.
- Rozhodovací práva. Jedna stránka: co můžeš zastavit sám, co jde na fórum a kdo má poslední slovo. „Žádná produkce bez dokončeného příjmu use casu“ je férová věc, kterou může governance vlastnit celou. Na zbytek poslouží jako šablona věta OpenAI o oprávněných vlastnících. U AI produktu zapisuje stejné rozdělení do launch checklistu AI Product Manager: jedno jméno, které launch může zastavit, a jedno, které ho schválí.
- Jmenovaný vlastník rizika pro každý stupeň. Zbytkové riziko podepisuje manažer nebo vlastník v byznysu. Tvoje jméno patří na řádek, který potvrzuje, že review proběhlo.
- Hranice s model riskem. Kdo rozhoduje, jestli je use case model, a kdo validuje generativní AI a agenty. Americká banka, která to po bulletinu OCC nechá nenapsané, to tím potichu dala tobě.
- Právníci jako vykladači, s lhůtou na odpověď. Co zákon vyžaduje, říká právník. Pliant tu otázku posílá dvěma externím advokátním kancelářím; tvoje práce je zajistit, aby ji někdo položil a odpověď dorazila před termínem spuštění.
- Specialisté zůstanou specialisty. Inzerát HMRC má hotovou formulaci: role „will not replace existing specialist functions such as data protection, cyber security, legal, commercial, architecture, risk or ethics“, tedy nenahradí ochranu dat, kyberbezpečnost, právo, nákup, architekturu, risk ani etiku. Zkopíruj ji.
- Kontroly zůstanou u týmů, které je provozují. Kontroly i reakci na incidenty provozuje engineering a security, governance je sleduje. Inzerát OpenAI nechává „implementation and operation of controls with the appropriate functional owners“, tedy zavedení a provoz kontrol u příslušných vlastníků.
- Lhůta na review a rychlý pruh. Zveřejni, jak dlouho review trvá, dej interním použitím s nízkým rizikem cestu do týdne a reportuj dobu schválení vedle nálezů shadow AI. Jinak nejrychlejší cesta ve firmě povede kolem tebe.
- Spouštěč pro nábor. Senior manager v Mercury má tým postavit „eventually“, tedy časem. Navaž to „časem“ na počet use casů za kvartál. V průzkumu IAPP řeklo jen 10 ze 671 organizací, že v příštích 12 měsících nebudou potřebovat další lidi do AI governance.
Pokud navrhuješ, kam má AI governance reportovat, nebo ti někdo tu židli nabídl, koučink pro Chief AI Officery je místo, kde spolu projdeme rozhodovací práva, linku k boardu a hranici s riskem a právníky. Opírá se o 35+ fractional CTO zakázek od roku 2019.
