Stručná odpověď
Český poskytovatel spotřebitelského úvěru může při ověřování informací použít automatizovaný model. Model však nezbavuje věřitele povinnosti důkladně posoudit úvěruschopnost z nezbytných, spolehlivých, dostatečných a přiměřených údajů. Pokud žádost odmítne kvůli automatizovanému zpracování nebo vyhledávání v úvěrové databázi, musí spotřebitele informovat o výsledku a použité databázi.
Ne každé použití algoritmu je „výhradně automatizovaným rozhodnutím“ podle článku 22 GDPR. Tento režim nastává, když rozhodnutí proběhne bez skutečného lidského zásahu a má právní nebo podobně významný účinek. Takové rozhodnutí je v zásadě zakázáno, ledaže je nezbytné pro smlouvu, povoleno právem s odpovídajícími zárukami nebo založeno na výslovném souhlasu. V příslušných případech má člověk právo na lidský zásah, vyjádření svého stanoviska a napadení výsledku a podle článku 15 také na smysluplné informace o použité logice, významu a předpokládaných důsledcích.
Soudní dvůr EU potvrdil, že i skóre vytvořené externí úvěrovou agenturou může samo představovat automatizované rozhodnutí, jestliže se o ně banka při rozhodnutí silně opírá. Vysvětlení nemá být jen vzorec nebo obecný popis: musí srozumitelně popsat skutečně použitý postup, hlavní principy a údaje. AI Act od 2. srpna 2026 přidává za určitých podmínek právo na vysvětlení role vysoce rizikového AI systému; hlavní povinnosti pro přílohové high-risk systémy byly novelou odloženy na 2. prosince 2027. Od 20. listopadu 2026 přinese nová směrnice o spotřebitelském úvěru ještě výslovnější práva na lidský zásah, vysvětlení a přezkum.
Co dnes dovoluje český zákon o spotřebitelském úvěru
Zákon č. 257/2016 Sb. automatizaci výslovně připouští jako jeden ze způsobů ověření informací. Spotřebitel poskytuje úplné a pravdivé údaje a věřitel je ověřuje přiměřeně situaci. Automatizovaný model je nástroj, nikoli náhrada zákonného úsudku.
„Tyto informace je [...] povinen ověřit způsobem přiměřeným dané situaci, včetně možnosti využití automatizovaných modelů, a je-li to nutné, též použitím nezávisle ověřitelných údajů.“
—
Podle § 86 musí být posouzení důkladné a založené na informacích přiměřených povaze, délce, výši a rizikovosti úvěru. Věřitel porovnává příjmy, výdaje, majetek, závazky a plnění dosavadních dluhů. Jestliže systém vytvoří skóre z neaktuálních, chybných nebo nepřiměřených proměnných, samotná technická existence modelu zákonnou povinnost nesplní.
České rozhodnutí předsedkyně ÚOOÚ UOOU-00313/19-23 se netýkalo automatického scoringu, ale je pro úvěrová data prakticky významné. Úřad odmítl dlouhodobé uchovávání širokého spektra údajů žadatelů bez mechanismu zajišťujícího jejich přesnost. Příjem, počet dětí, výdaje a dluhy se mění; starý profil může vést k nesprávné nabídce i chybnému hodnocení. Jde o konkrétní připomínku, že zásady přesnosti, účelového omezení a minimalizace platí i před samotným algoritmickým rozhodnutím.
Co musí věřitel sdělit po zamítnutí
§ 89 vytváří zvláštní českou informační povinnost. Věřitel musí oznámit zamítnutí bez zbytečného odkladu. Pokud bylo příčinou automatizované zpracování nebo výsledek databáze podle § 88, sdělí také tento výsledek a použitou databázi.
„[...] pokud je důvodem neposkytnutí výsledek automatizovaného zpracování údajů, nebo vyhledávání v databázi podle § 88 odst. 1, poskytovatel spotřebitele vyrozumí o tomto výsledku a o použité databázi.“
—
Toto oznámení není nutně úplným vysvětlením modelu podle GDPR. Jde o první vrstvu: spotřebitel se má dozvědět, že žádost byla zamítnuta na základě automatizovaného výsledku nebo databázového nálezu. Další rozsah informací a právo na přezkum závisí zejména na článcích 13 až 15 a 22 GDPR a na konkrétní roli algoritmu.
Kdy se použije článek 22 GDPR
Článek 22 chrání před rozhodnutím založeným výhradně na automatizovaném zpracování včetně profilování, které má právní účinky nebo člověka obdobně významně ovlivňuje. Automatické zamítnutí úvěru je typický významný účinek. Naopak analytický nástroj, jehož výstup kvalifikovaný pracovník skutečně ověří, zpochybní a může změnit, nemusí splnit podmínku „výhradně“ automatizovaného rozhodnutí.
“The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects [...] or similarly significantly affects him or her.”
—
Formální potvrzení pracovníkem však nestačí, pokud ve skutečnosti nemá pravomoc, podklady nebo čas výsledek změnit. Posuzuje se skutečný proces a rozhodující váha skóre, nikoli interní název kroku „ruční kontrola“.
Výhradně automatizované významné rozhodnutí je možné pouze v některé z výjimek článku 22 odst. 2: je nezbytné pro uzavření nebo plnění smlouvy, dovoluje je právo Unie nebo členského státu s vhodnými ochrannými opatřeními, nebo vychází z výslovného souhlasu. „Nezbytné“ je přísnější než pohodlné či levnější. U smluvní nezbytnosti a výslovného souhlasu GDPR stanoví alespoň právo na lidský zásah, vyjádření vlastního stanoviska a napadení rozhodnutí. Zákonné povolení musí samo obsahovat odpovídající záruky.
Zákon č. 110/2019 Sb. doplňuje vnitrostátní institucionální a procesní rámec ochrany osobních údajů, včetně působnosti ÚOOÚ a sankcí. Nevytváří však obecnou českou výjimku, která by věřitelům sama dovolovala výhradně automatizované zamítání úvěrů mimo podmínky GDPR.
Kdy se i externí skóre považuje za rozhodnutí
Ve věci SCHUFA, C‑634/21, vytvořila úvěrová agentura pravděpodobnostní hodnotu a banka se o ni při žádosti silně opírala. Soudní dvůr odmítl mezeru, v níž by agentura tvrdila, že nerozhoduje, a banka, že skóre pouze přebírá. Jestliže skóre hraje určující roli, může už jeho automatizované vytvoření naplnit článek 22.
“The automated establishment [...] of a probability value [...] constitutes ‘automated individual decision-making’ [...] where a third party [...] draws strongly on that probability value.”
—
Pro českého věřitele z toho plyne, že odpovědnost nelze obejít nákupem hotového skóre. Je třeba zjistit, kdo stanoví účel a prostředky zpracování, kdo dokáže opravit vstupní data a zda banka výstup skutečně přezkoumává. Žadatel má mít praktickou cestu k oběma částem řetězce, nikoli být posílán mezi registrem a bankou bez odpovědi.
Jak podrobné musí být vysvětlení
Články 13 a 14 GDPR vyžadují předem informovat o existenci příslušného automatizovaného rozhodování a poskytnout smysluplné informace o použité logice, významu a předpokládaných důsledcích. Článek 15 dává odpovídající právo na přístup. Zahrnuje také osobní údaje použité jako vstupy a možnost ověřit jejich přesnost.
V rozsudku Dun & Bradstreet Austria, C‑203/22, Soudní dvůr vysvětlil, že osoba má dostat popis postupu a principů skutečně použitých k vytvoření výsledku. Složitý matematický vzorec nestačí; není ale nutné předat úplný algoritmus nebo každý technický krok. Srozumitelné může být vysvětlení hlavních proměnných a toho, jak by změna údaje vedla k jinému výsledku.
“Those requirements cannot be satisfied either by the mere communication of a complex mathematical formula [...] or by the detailed description of all the steps in automated decision-making.”
—
Obchodní tajemství není důvodem k úplnému odmítnutí. Pokud požadované informace zahrnují chráněné údaje třetích osob nebo obchodní tajemství, správce je podle rozsudku poskytne příslušnému dozorovému úřadu nebo soudu, který práva vyváží a určí rozsah přístupu.
Co přidává AI Act v srpnu 2026
AI Act řadí systémy určené k hodnocení úvěruschopnosti fyzických osob nebo stanovení jejich kreditního skóre do přílohy III mezi vysoce rizikové, s výjimkou systémů používaných k odhalování finančních podvodů. Článek 86 dává dotčené osobě za stanovených podmínek právo získat jasné a smysluplné vysvětlení role AI systému v rozhodovacím procesu a hlavních prvků rozhodnutí. Použije se jen tam, kde takové právo neposkytuje jiné unijní právo; u scoringu se proto bude překrývat s GDPR.
Načasování je neobvyklé. Obecné datum použitelnosti AI Actu bylo 2. srpna 2026 a článek 86 není mezi ustanoveními výslovně odloženými v článku 113. Nařízení (EU) 2026/1744 však odložilo oddíly 1 až 3 kapitoly III pro systémy podle článku 6 odst. 2 a přílohy III až na 2. prosince 2027. K tomuto datu se tak posunuly hlavní povinnosti týkající se klasifikace, řízení rizik, dat, dokumentace, transparentnosti a lidského dohledu. Při kontrole konkrétního systému je nutné oddělit současné právo na vysvětlení od budoucího plného balíku high-risk povinností.
Co se změní 20. listopadu 2026
Směrnice (EU) 2023/2225 měla být provedena do vnitrostátního práva do 20. listopadu 2025, ale prováděcí opatření se mají použít od 20. listopadu 2026. Její článek 18 odst. 8 je širší a pro spotřebitele přehlednější: pokud posouzení úvěruschopnosti zahrnuje automatizované zpracování osobních údajů, spotřebitel může požadovat lidský zásah, jasné a srozumitelné vysvětlení včetně logiky, rizik, významu a dopadu, vyjádřit stanovisko a požádat o přezkum posouzení i rozhodnutí o úvěru.
K rozhodnému datu tohoto článku ještě tato nová aplikační fáze nezačala. Pro dnešní spor je proto nutné vycházet z aktuálního českého zákona, GDPR, AI Actu a judikatury; nové směrnicové minimum se stane prakticky rozhodným od listopadu 2026 podle českých prováděcích pravidel.
Jak má žadatel výsledek napadnout
Žadatel by měl písemně požádat věřitele, zda rozhodnutí proběhlo výhradně automatizovaně, jaké hlavní údaje a proměnné byly použity, jaký měly význam a jak lze dosáhnout skutečného lidského přezkumu. Současně je vhodné požadovat přístup k osobním údajům a opravu chybných vstupů. Nestačí žádat zdrojový kód; účelnější je požadovat srozumitelné důvody konkrétního výsledku.
Věřitel by měl uchovat verzi modelu, vstupy, výstup, důvod rozhodnutí a auditní stopu lidského zásahu. Přezkoumávající pracovník musí mít pravomoc výsledek změnit a přístup k podkladům. Pokud správce žádost o přístup nebo nápravu nevyřídí, lze se obrátit na ÚOOÚ; podle povahy spotřebitelského sporu může být relevantní také finanční arbitr nebo soud.
Závěr
Automatizovaný scoring je v českém úvěrovém procesu dovolený nástroj, nikoli právně neprůhledné veto. Český zákon vyžaduje řádné posouzení a oznámení automatizovaného důvodu zamítnutí. GDPR omezuje výhradně automatizovaná významná rozhodnutí a dává práva na informace, lidský zásah a napadení; rozsudky SCHUFA a Dun & Bradstreet tato práva vztahují přímo na kreditní skóre a konkrétní vysvětlení. AI Act a od listopadu 2026 nová úvěrová úprava ochranu dále rozšiřují, ale s odlišnými daty použitelnosti.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.