Právní povinnosti fintech firem v roce 2025

Fintech startupy i etablované finanční firmy v roce 2025 čelí zásadním změnám regulatorního prostředí. Evropská unie reaguje na rozvoj inovací v platebních službách, kybernetických hrozeb, umělé inteligence i kryptoaktiv novými předpisy, které zavádějí nové povinnosti a přísnější dohled. Klíčovými změnami jsou připravovaná směrnice PSD3 (Payment Services Directive 3) upravující oblast plateb, dále DORA (Digital Operational Resilience Act) zaměřená na digitální bezpečnost finančních institucí, a AI Act regulující využití umělé inteligence. Kromě toho vstupují v platnost i další regulace – například nová pravidla proti praní peněz (AML) a Nařízení o trzích s kryptoaktivy (MiCA). Neplnění těchto povinností může vést k vysokým sankcím (pokuty v milionech eur, odebrání licencí aj.)​ a značným reputačním i obchodním rizikům. Tento článek detailně rozebírá nové požadavky a nabízí doporučení, jak se na změny připravit. Zároveň upozorňuje na možnosti spolupráce s advokátní kanceláří ARROWS při implementaci a zajištění souladu s těmito předpisy.

​Autor článku: ARROWS advokátní kancelář (JUDr. Jakub Dohnal, Ph.D., LL.M., office@arws.cz, +420 245 007 740)

PSD3 – Nová éra platebních služeb a ochrany spotřebitele

Co je PSD3? Připravovaná Směrnice o platebních službách 3 (PSD3) představuje evoluci stávající PSD2 s cílem dále posílit bezpečnost plateb a práva uživatelů​. Evropská komise zveřejnila návrh v červnu 2023 a očekává se, že legislativa bude finalizována do roku 2024–2025​. PSD3 je doprovázena také novým nařízením o platebních službách (PSR) a iniciativou otevřených financí (FIDA). Hlavním cílem je modernizovat rámec pro digitální platby – „evoluce, nikoli revoluce“ oproti PSD2​. Novinky reagují na rozvoj fintech inovací i nové typy podvodů a problémů, které se objevily od zavedení PSD2 v roce 2018​.

Klíčové změny a nové povinnosti

PSD3 přináší řadu zpřísnění a vylepšení:

• Posílení boje proti podvodům: Budou zavedeny robustnější mechanismy prevence podvodů, včetně možnosti poskytovatelů plateb sdílet informace o podvodech napříč trhem​. Dále se zpřísní požadavky na silné ověření klienta (SCA) – rozšíření jeho použití na více scénářů a upřesnění výjimek​. Nově se například plánuje ověřování jména příjemce proti číslu účtu před provedením platby, aby se zabránilo podvodům typu “špatný účet” – tzv. kontrola IBAN vs. jméno majitele​. Také techničtí poskytovatelé služeb (Third-Party Providers) ponesou větší odpovědnost za zabezpečení – pokud banka deleguje ověřování identity na třetí stranu, bude tato třetí strana nově odpovídat za splnění SCA požadavků​.

• Větší práva a ochrana spotřebitelů: Spotřebitelé získají větší kontrolu nad svými daty a platbami. PSD3 zavede přehledné „dashboardy“ pro správu souhlasů – zákazník uvidí, jaké firmy mají přístup k jeho platebním údajům, a bude moci snadno přístupy odvolat​. Rozšíří se také informační povinnost – výpisy z účtů budou přehlednější a např. poplatky u bankomatů transparentnější​. Zpřísní se pravidla pro neoprávněné transakce – poskytovatelé plateb budou moci odmítnout vrácení peněz jen ve výjimečných případech podezření na podvod ze strany klienta. Celkově směrnice rozšíří refundační práva obětí podvodů a omezí výjimky, kdy banka nemusí vracet odcizené prostředky​.

• Rovné podmínky pro banky a fintechy: PSD3 se snaží srovnat podmínky na trhu plateb – nebankovní poskytovatelé platebních služeb získají lepší přístup do klíčových platebních systémů (např. karetních schémat) za nediskriminačních podmínek​. Provozovatelé systémů nebudou moci neodůvodněně odmítat připojení licencovaných fintechů​. Tím se podpoří konkurenční prostředí a inovace. Zároveň se sjednotí licence pro platební instituce a instituce elektronických peněz – e-money instituce budou začleněny jako zvláštní kategorie platební instituce, místo dosavadního paralelního režimu​. To zjednoduší strukturu dohledu i pro samotné firmy (odpadne duplicita licencí).

• Otevřené bankovnictví a finance: Nové předpisy odstraňují překážky v rozvoji Open Bankingu. Banky budou muset poskytovat standardizovaná API pro sdílení dat s třetími stranami, čímž se zjednoduší napojení fintech aplikací​. Zanikne povinnost tzv. fallback rozhraní – banky již nebudou muset provozovat duplicitní přístupy pro data​. Zákazníci budou moci bezpečně sdílet své finanční údaje s fintechy, kteří mají licenci AISP/PISP, a těžit z inovativních služeb. Paralelně s PSD3 se chystá i nařízení FIDA (Financial Data Access) podporující open finance, tedy sdílení dat i mimo bankovní účty (např. investice, pojištění) prostřednictvím nového typu licencovaných zprostředkovatelů přístupu k finančním datům (tzv. FISP)​. To vše má urychlit digitalizaci finančních služeb v EU.

• Další změny: Balíček PSD3/PSR obsahuje řadu dílčích úprav – např. upřesnění definic (co je platební účet, kdo je agregátor informací aj.)​, úpravy existujících výjimek z regulace (např. omezení „omezené sítě“ – poukázky použitelné jen v úzce vymezených provozovnách)​, povinnost poskytovat alternativní mimosoudní řešení sporů pro klienty, zákaz jednostranného zvyšování platebních limitů ze strany poskytovatele apod.​. V souhrnu PSD3 zkrátka upevní bezpečnost, inovace a důvěru v oblasti plateb – jedná se o posun k integrovanějšímu a pro spotřebitele vstřícnějšímu platebnímu ekosystému​.

Dopady, sankce a doporučení

PSD3 pravděpodobně nabude účinnosti až po roce 2025 (po transpozici do národních zákonů, která potrvá ~18 měsíců od schválení)​. Firmy v platebním sektoru však již nyní musí začít s přípravami, protože na dosažení souladu budou mít zřejmě jen cca 18–24 měsíců​. Je nezbytné provést gap analýzu – porovnat současné procesy s novými požadavky (např. aktualizovat systémy SCA, připravit mechanismus ověřování jména příjemce, upravit smlouvy s technickými poskytovateli apod.). Neplnění budoucích povinností by podléhalo sankcím obdobně jako PSD2 – pokuty a v krajním případě až odebrání licence platební instituce​. Regulátoři (např. ČNB) budou mít posílené pravomoci vynucovat jednotná pravidla.

Doporučení pro fintechy: aktivně sledovat legislativní vývoj PSD3, zapojit se do odborných diskusí a začít připravovat interní projekty na implementaci změn. Využít lze i konzultací s odborníky na platební regulaci, kteří pomohou vyložit nové požadavky v předstihu.

Fintechy, které se na změny včas adaptují, získají konkurenční výhodu – jednak předejdou sankcím, ale také posílí důvěru zákazníků v bezpečnost a transparentnost svých služeb​.

DORA – Digitální operační odolnost a kyberbezpečnost

Od 17. ledna 2025 vstupuje v účinnost Nařízení o digitální provozní odolnosti finančního sektoru (DORA)​. Toto přímo účinné nařízení EU zásadně mění přístup ke kybernetické bezpečnosti a odolnosti bank, pojišťoven, investičních společností, fintech podniků a dalších finančních institucí v celé EU. DORA reaguje na skutečnost, že finance jsou stále závislejší na IT technologiích a externích poskytovatelích ICT služeb (cloud, software apod.), což je činí zranitelnými vůči kyberútokům a výpadkům​. Cílem je zajistit, aby finanční sektor vydržel i závažné provozní narušení – typicky hackerský útok, selhání cloudu, systémovou chybu apod. – aniž by došlo k ohrožení klientů či stability trhu.

Napište si o e-book Advokáti radí, jak ušetřit miliony ZDE 

Koho se týká

Nařízení DORA se vztahuje na širokou skupinu “finančních entit” (celkem 20 typů), mezi něž patří banky, platební instituce, instituce elektronických peněz, investiční podniky, obchodníci s cennými papíry, správci fondů, pojišťovny, poskytovatelé krypto-služeb a mnoho dalších​. Spadají sem tedy i fintech firmy, které mají některou z těchto licencí (např. platební společnosti, obchodní platformy, crowdfundingové platformy regulované EU atd.).

DORA se navíc nepřímo dotýká i dodavatelů ICT služeb pro finanční sektor – kritičtí dodavatelé (např. velcí cloudoví provozovatelé) budou podléhat registraci a dohledu ze strany EU, a finanční instituce musí s dodavateli uzavřít smlouvy obsahující požadovaná ujednání o ICT rizicích.

Požadavky DORA

Nařízení zavádí jednotný rámec ICT risk managementu a digitální odolnosti postavený na pěti pilířích:

• Řízení ICT rizik: Každá finanční instituce musí zavést komplexní systém správy ICT rizik – od strategie, přes politiky a postupy, až po technická opatření​. DORA stanoví principy, že řízení ICT rizik má být součástí celkové strategie řízení rizik firmy a podléhat dohledu vedení. Prakticky to znamená např. pravidelně vyhodnocovat kybernetická rizika, přijmout kontrolní opatření (firewally, antiviry, řízení přístupů atd.), mít zajištěné zálohy dat a plány obnovy provozu pro případ havárie. Vrcholové vedení (board) bude přímo odpovědné za řízení digitálních rizik.

• Incident management a oznamování incidentů: DORA vyžaduje zavedení postupů pro detekci a řešení kybernetických incidentů. Každá instituce musí klasifikovat incidenty podle závažnosti a hlásit významné incidenty dozorovým orgánům (typicky do 72 hodin od zjištění vážného incidentu). To znamená povinnost mít interní hlásicí linku, vést záznamy o všech incidentech a včas informovat regulátora i případně klienty o narušení, pokud k němu dojde​. Cílem je umožnit rychlou reakci a zabránit šíření problému do dalších částí finančního systému.

• Digitální provozní odolnost – testování: Firmy musí pravidelně testovat svou schopnost odolat kybernetickým hrozbám. Testovací programy odolnosti mají zahrnovat základní testy (např. penetrační testy IT systémů) a pro větší instituce i pokročilé testování jako jsou tzv. Threat-Led Penetration Testing (TLPT), simulující sofistikované útoky​. Tyto pokročilé testy se budou provádět každé 3 roky s účastí externích certifikovaných testerů a pod dohledem regulátorů. Výsledky testů musí instituce využít k nápravě zjištěných slabin.

• Řízení rizik třetích stran (ICT third-party): DORA klade důraz na rizika spojená s dodavateli IT. Finanční instituce musí pečlivě vybírat a monitorovat své ICT poskytovatele, zejména ty kritické. Mají být zavedeny klíčové smluvní požadavky – ve smlouvách s dodavateli ICT se povinně ujedná dostupnost služeb, ochrana dat, kyberbezpečnostní opatření, právo auditů a informace o incidentech​. Regulátoři navíc mohou vyžadovat informace o těchto smlouvách a v krajním případě nařídit ukončení smlouvy s dodavatelem, který představuje nadměrné riziko.

• Sdílení informací o hrozbách: Nařízení podporuje bezpečnou výměnu informací o kybernetických hrozbách a zranitelnostech mezi finančními institucemi​. To není povinnost, ale možnost – firmy se mohou zapojit do komunit sdílení threat intelligence, což jim pomůže lépe čelit aktuálním útokům.

Hlavní rizika a sankce

DORA nastavuje laťku kybernetické odolnosti vysoko a regulátoři budou nekompromisně vyžadovat dodržování. Neplnění povinností může vést k velmi citelným postihům. Dohledové orgány (v ČR ČNB, na úrovni EU Evropské orgány dohledu) mohou za porušení DORA udělovat pokuty – např. v některých státech až do výše 10 % ročního obratu firmy nebo 5 mil. EUR​. Jedná se tedy o sankce srovnatelné s nejpřísnějšími pokutami dle GDPR či bankovních regulací.

Kromě pokut hrozí také omezení či zákaz činnosti v případě závažného a opakovaného porušování (např. pokud by fintech opakovaně ignoroval zásadní bezpečnostní slabiny, může přijít o povolení poskytovat své služby)​. Rizika neplnění nejsou jen regulatorní – v prostředí finančnictví může jeden vážný kybernetický incident způsobit výpadek služby, únik dat klientů a nenávratné poškození pověsti. Zvláště fintech startupy, které si teprve budují důvěru na trhu, by takový otřes mohly jen těžko ustát. Jak uvádí zpráva Latvijas Banka, slabá kybernetická bezpečnost může vést nejen k únikům dat a narušení provozu, ale i ke ztrátě licence a ohrožení stability celého finančního systému​.

Jak se připravit

Do ledna 2025 by každá fintech společnost měla provést důkladný audit své ICT bezpečnosti a procesů. Doporučuje se vypracovat interní DORA readiness posouzení: zkontrolovat, zda existují formální rámce pro řízení ICT rizik, krizové plány, pravidla pro outsourcing IT atd. Pokud ne, je třeba je urychleně doplnit. Nutné je také vyškolit personál – nejen IT odborníky, ale i vedení a ostatní zaměstnance o jejich rolích při zvládání kyber incidentů.

Investice do technologií

Fintechy by měly zvážit zavedení pokročilých bezpečnostních nástrojů (SIEM pro monitorování sítí, systém detekce průniků, vícefaktorovou autentizaci apod.), pokud je dosud nevyužívají. Důležité je navázat komunikaci s klíčovými dodavateli IT a aktualizovat smlouvy podle požadavků DORA – např. doplnit ujednání o hlášení incidentů, souhlasu s audity a testy obnovy.

Testování odolnosti by nemělo zůstat jen na papíře – již v předstihu provádějte penetrační testy a cvičné scénáře kybernetických útoků, abyste odhalili slabá místa. Vedení společnosti by pak mělo být pravidelně informováno o stavu ICT rizik. A konečně, sledujte metodiky a pokyny, které k DORA vydává Evropský orgán pro bankovnictví (EBA) a další – DORA je komplexní a některé detaily upřesní až technické standardy (RTS). Zapojení právních a bezpečnostních expertů do přípravy na DORA je rozumnou investicí – pomohou prioritizovat opatření tak, aby firma splnila povinnosti včas a efektivně.

AI Act – Regulace umělé inteligence ve fintechu

Co je AI Act?

Evropská unie jako první na světě zavádí ucelený právní rámec pro umělou inteligenci. AI Act (Akt o umělé inteligenci) je připravované nařízení EU, které má zajistit, že nasazování AI bude bezpečné, transparentní a v souladu se základními právy. Návrh již schválil Evropský parlament (v roce 2023) a finální podoba se očekává v průběhu 2024. Některé povinnosti začínají platit už od 2. února 2025 – v tento den vstoupí v účinnost zákaz nejnebezpečnějších praktik AI​. AI Act zavádí přístup založený na posouzení rizika: rozlišuje systémy AI do čtyř kategorií podle míry rizikovosti – zakázané, vysoce rizikové, omezené a nízkorizikové​.

• Zakázané AI praktiky: Absolutní zákaz platí pro AI systémy, které vážně ohrožují hodnoty a práva. Příklady zahrnují např. tzv. sociální scoring lidí na základě jejich chování (známkování občanů), systémy masového biometrického sledování na veřejnosti nebo AI, která podprahově manipuluje lidským chováním​. Fintech sektor se těmto praktikám většinou vyhýbá, přesto je třeba dát pozor např. na použití AI, která by diskriminovala klienty. Tyto zakázané aplikace jsou od února 2025 zcela nepřípustné a jejich nasazení by vedlo k drakonickým pokutám (viz níže).

• Vysoce riziková AI: Sem spadá AI využívaná v citlivých oblastech, kde může ovlivnit bezpečnost nebo základní práva lidí​. Pro fintech je klíčové, že systémy pro posuzování úvěruschopnosti (credit scoring) jsou explicitně jmenovány jako vysoce rizikové AI​. Dále např. AI pro nábor zaměstnanců, hodnocení pojištění, detekci podvodů nebo sledování transakcí pro účely AML mohou být posouzeny jako vysoce rizikové. Požadavky na vysoce rizikovou AI jsou velmi přísné – vývojář či poskytovatel takového systému musí splnit řadu povinností před uvedením na trh: zavést systematický management rizik AI, zajistit špičkovou kvalitu vstupních dat (aby nedocházelo k biasům či chybám), vypracovat technickou dokumentaci a průvodce k použití, zajistit lidský dohled nad provozem systému, garantovat přesnost, spolehlivost a kybernetickou bezpečnost AI systému a po uvedení na trh provádět monitoring jeho fungování​. Poskytovatel vysoce rizikové AI také musí systém registrovat v databázi EU a zajistit certifikaci (tzv. posouzení shody, často formou CE označení) před použitím. Organizace, které nasazují (deplojují) vysoce rizikovou AI od jiných dodavatelů, mají o něco mírnější povinnosti – musí hlavně AI používat k legitimním účelům, školit obsluhu, monitorovat výstupy a v případě zjištění závažných závad informovat dodavatele či úřady​. Importéři a distributoři AI mají obdobnou odpovědnost ověřit, že produkty splňují požadavky a nesou certifikaci​. Prakticky to znamená, že fintech, který využívá např. externí AI pro scoring klientů, musí kontrolovat, že dodavatel má AI Act compliance vyřešenou – jinak riziko přechází i na fintech.

• Omezené a nízké riziko: Do kategorie omezeného rizika spadají AI nástroje, které mohou interagovat s člověkem a potenciálně způsobit pouze menší míru rizika či možné klamání uživatele. Typickým příkladem jsou chatboti nebo generátory deepfake obsahu​. Tyto systémy nebudou zakázány, ale mají povinnost transparentnosti – uživatel musí být upozorněn, že komunikuje s AI nebo že obsah byl vytvořen AI. Do nízkorizikové (minimální riziko) kategorie pak spadají všechny ostatní AI aplikace, u nichž se neukládají žádné zvláštní povinnosti (plně je však samozřejmě nadále regulují obecné zákony typu GDPR, spotřebitelské právo, atd.​). V praxi sem spadne většina běžných fintech AI, které např. analyzují data pro interní účely, obchodní strategie apod., pokud neovlivňují přímo zákazníka či systémová rizika.

Na koho se můžete obrátit?

Enforcement a sankce

Dohled nad dodržováním AI Act bude probíhat na úrovni členských států (určí se národní “dozorový úřad” pro AI, v ČR to pravděpodobně bude Úřad pro ochranu osobních údajů či nový orgán) ve spolupráci s nově vznikajícím Evropským úřadem pro AI.

Na rozdíl od GDPR zde neplatí princip vedoucího dozorového úřadu – firma působící ve více zemích EU může čelit paralelním kontrolám v různých státech. Sankce za nedodržení budou odstupňovány podle závažnosti: nejvyšší pokuty až do výše 30 mil. EUR nebo 6–7 % z celosvětového ročního obratu (co je vyšší) hrozí za porušení zákazu zakázaných praktik AI​. To je ještě přísnější postih, než má GDPR (max 4 % obratu). Pro ostatní vážná porušení povinností (např. u vysoce rizikových AI – chybějící dokumentace, nezajištění dohledu apod.) budou pokuty do 20 mil. EUR nebo 4 % obratu​. A za méně závažná provinění či administrativní pochybení (např. poskytnutí nepravdivých informací úřadům) až 10 mil. EUR či 2 % obratu​. Tyto částky jasně signalizují, že regulátor bere AI velmi vážně.

Fintechům, které by nasadily AI systém porušující pravidla, tedy hrozí nejen finanční pokuta, ale i zákaz provozování takové technologie. Kromě toho lze očekávat výrazný reputační dopad – podobně jako u GDPR by zveřejnění, že firma neoprávněně experimentovala s “nebezpečnou” AI, mohlo odradit klienty i investory.

Co mají fintechy dělat už nyní

Ačkoli většina povinností (zejména pro high-risk AI) začne fakticky platit zřejmě až v roce 2026 (AI Act bude obsahovat přechodná období cca 2–3 roky)​, rok 2025 je ideální čas na přípravu. Doporučené kroky:

• Identifikovat použití AI ve firmě – zmapujte, jaké AI systémy používáte či vyvíjíte (interně i dodavatelsky). U každého posuďte, zda spadá do záběru AI Act (tj. je-li “systémem AI” dle definice, což zahrnuje většinu software využívající strojové učení, expertní systémy apod.).

• Klasifikovat rizikovost: U identifikovaných AI nástrojů si předběžně zařaďte, do které kategorie by spadaly. Zvláštní pozornost věnujte, jestli některý není vysoce rizikový dle příloh AI Act – pro fintech typicky scoring úvěrů, AML monitoring transakcí, robo-advisory ve financích apod. U těchto připravte plán splnění budoucích požadavků.

• Zavést zásady AI governance: Již nyní se vyplatí nastavit interní pravidla pro vývoj a používání AI (etické zásady, postupy testování na bias, schvalování nasazení AI vedením apod.). Tyto AI policy pomohou firmě plynule přejít do regulovaného režimu. Určete odpovědnou osobu za oblast AI compliance.

• Vyhodnotit dopad na byznys model: Pokud váš produkt stojí na AI (např. plně automatizované rozhodování), zvažte, zda nebude nutné zakomponovat do procesu lidský prvek (human oversight) nebo poskytnout zákazníkům možnost rozhodnutí zpochybnit. AI Act sice nezavádí přímé soukromoprávní nároky, ale vedle něj se připravuje směrnice o odpovědnosti za AI a revize směrnice o odpovědnosti za vadné produkty​, které mohou ulehčit zákazníkům vymáhání škod způsobených AI. I z tohoto hlediska je pro fintechy rozumné mít AI systémy vysvětlitelné a kontrolovatelné.

• Sledovat vývoj a konzultovat: Dění okolo AI Act je dynamické – vyplatí se sledovat aktuální informace (např. stanoviska Evropské komise k AI, výklady pojmů, případně využít nabídky konzultací s právními experty). Některé členské státy mohou zřídit inovační huby pro AI (podobně jako existují sandboxy pro fintech), čehož lze využít pro ladění řešení v souladu s regulací.

Fintech společnosti, které využívají umělou inteligenci, by měly brát AI Act jako impuls k zavedení odpovědného přístupu k AI. Nejde jen o hrozbu sankcí, ale i o konkurenční výhodu – schopnost prokázat regulatorní compliance a etický přístup k AI může být pro klienty i partnery důležitým faktorem při výběru fintech služeb.

Další regulace a česká implementace – AML, MiCA a jiné

Kromě výše zmíněných evropských předpisů vstupují v platnost i další regulační změny, které se fintech sektoru přímo dotýkají. Mezi nejvýznamnější patří nové pravidla proti praní peněz (AML/CFT) a komplexní rámec pro kryptoaktiva (MiCA). Česká republika bude tyto předpisy implementovat do svého práva a dohledové praxe.

AI tým ARROWS advokátní kanceláře

Přísnější boj proti praní peněz (AML)

V červnu 2024 byl v EU přijat balíček legislativy AML zahrnující 6. směrnici AMLD6, nařízení AMLR (jednotný přímo použitelný předpis o opatřeních proti praní peněz) a zřízení nové Evropské autority pro boj proti praní peněz (AMLA)​. Cílem je sjednotit a zpřísnit pravidla napříč členskými státy, neboť dosud byly v implementaci AML pravidel rozdíly. Pro fintechy – které často spadají mezi “povinné osoby” dle AML zákona – to znamená řadu změn:

• Jednotná pravidla due diligence: Připravované nařízení AMLR zavede podrobnější a jednotnější požadavky na identifikaci a kontrolu klienta (Customer Due Diligence) včetně rozšířených povinností u vysoce rizikových klientů​. Povinné osoby (banky, platební společnosti, poskytovatelé virtuálních měn, investiční firmy atd.) budou muset získávat více informací o skutečných majitelích, ověřovat je z nezávislých zdrojů a získávat schválení vedení při navázání vztahu s rizikovým klientem​. Také se zavádí povinnost oznamovat případné nesrovnalosti mezi údaji od klienta a zápisy v rejstříku skutečných majitelů do 30 dnů, jinak hrozí sankce až 1 mil. Kč​.

• Rozšíření okruhu povinných osob: AMLD6 přidává nové typy subjektů, které musejí plnit povinnosti proti praní peněz. Například v ČR už od 2021 mezi povinné osoby patří i realitní kanceláře či developeři, s pokutami až 10 mil. Kč za nedodržení​. Na evropské úrovni se uvažovalo dokonce o zahrnutí fotbalových klubů a dalších rizikových odvětví​. Pro fintechy je důležité, že všechny společnosti poskytující finanční služby (byť inovativní) spadají pod AML – a s nástupem kryptoregulace i crypto firmy (viz níže).

• Silnější dohled (AMLA): Od 1. 7. 2024 formálně vznikla nová evropská autorita AMLA se sídlem ve Frankfurtu​. Ta bude od roku 2025 postupně přebírat roli koordinátora dohledu nad bojem proti praní peněz v EU. Od 1. 7. 2025 získá AMLA přímé i nepřímé dozorové pravomoci nad vysoce rizikovými subjekty ve finančním sektoru​. To znamená, že některé velké nadnárodní fintechy či krypto firmy mohou být dozorovány přímo touto EU autoritou (bude vybírat subjekty, u nichž hrozí největší riziko praní peněz). AMLA bude moci vydávat metodiky, koordinovat národní regulátory a v krajním případě zasáhnout přímo proti firmě, která představuje akutní riziko​. Pro většinu českých fintechů se nicméně nemění, že primárním dohledem zůstává Finanční analytický úřad (FAÚ) a ČNB, ale lze očekávat zpřísnění kontrol a sjednocení standardů do budoucna. EU také prosazuje tvrdý přístup – například stanovila limit 10 000 EUR pro hotovostní platby v celé EU​, aby se znesnadnilo praní peněz v hotovosti.

• Sankce za porušení AML: Už současná česká legislativa umožňuje ukládat citelné pokuty – u finančních institucí až do 50 mil. Kč nebo 10 % ročního obratu (podle zákona o bankách či zákona o platebním styku) – za závažné porušení AML povinností. Nově navrhované úpravy jdou ještě dál: například se zvažovalo zvýšit postihy až na 130 mil. Kč pro finanční instituce při systémovém selhání skupiny v oblasti AML​. Kromě peněžitých pokut může dojít i k odnětí oprávnění k činnosti (zákaz podnikání) v extrémních případech​. V praxi tedy i menší fintech může být pokutován v řádu milionů korun za zanedbání identifikace klienta či nehlášení podezřelého obchodu. Šedesát procent fintechů v nedávném průzkumu uvedlo, že už v roce 2022 platili pokutu alespoň 250 000 USD za compliance pochybení​ – trend je zřejmý, regulátoři přitvrzují.

Doporučení v oblasti AML

Fintechy by měly průběžně aktualizovat své vnitřní předpisy AML podle nejnovějších rizik a pokynů. V roce 2025 je vhodné provést revizi interních postupů KYC – např. jak ověřují skutečné majitele, zda sbírají dodatečné informace u rizikových klientů, jestli sledují sankční seznamy atd. Je třeba se připravit na hloubkové kontroly – regulátor může vyžadovat detailní doložení, jak plníte povinnosti (např. záznamy o školení zaměstnanců v AML, výstupy z interních auditů). Automatizace může pomoci – nasazení RegTech nástrojů pro screening transakcí a osob, ověřování identity online apod. Fintech, který již nyní investuje do robustního AML systému, nebude mít problém splnit i přísnější požadavky do budoucna.

Důležité je též sledovat připravovanou novelu českého AML zákona (253/2008 Sb.), která do roku 2025 pravděpodobně zavede některé prvky evropské legislativy (např. povinné kontrolní osoby ve statutárních orgánech za AML, povinné oznamování nesrovnalostí v rejstříku aj. – jak ostatně navrhovalo MFČR už v minulosti​). Včasná konzultace s odborníky pomůže vyhodnotit, jestli se na váš byznys nevztahují nové povinnosti (např. pokud rozšiřujete služby do oblasti krypto, automaticky se stanete povinnou osobou dle AML zákona).

Celkově je jasný vzkaz regulátorů: AML compliance nelze podcenit – vedle hrozby sankcí je tu i riziko, že fintech zapletený do skandálu s praním peněz přijde o důvěru klientů a partnerů.

Regulace kryptoaktiv (MiCA)

Rok 2025 je také přelomový pro firmy podnikající v oblasti kryptoměn a kryptoaktiv. Nařízení EU 2023/1114 o trzích s kryptoaktivy (MiCA) zavádí vůbec první ucelenou regulaci tohoto sektoru v Evropě. MiCA bylo formálně schváleno v květnu 2023 a jeho ustanovení nabíhají ve dvou fázích: od 30. června 2024 platí pravidla pro tzv. stablecoiny (tokeny navázané na hodnotu fiat měn, oficiálně tokeny vázané na aktiva – ART a tokeny elektronických peněz – EMT), a od 30. prosince 2024 pak veškerá ostatní ustanovení, zejména regulace poskytovatelů služeb kryptoaktiv (CASP)​. Prakticky tedy od ledna 2025 podléhá kryptoprůmysl jednotným pravidlům v celé EU.

Koho se týká

Nařízení MiCA dopadá na všechny subjekty, které v EU vydávají kryptoaktiva nebo poskytují služby související s kryptoaktivy. To zahrnuje například: kryptoburzy a směnárny, provozovatele custody peněženek, platformy pro obchodování tokenů, poskytovatele poradenských služeb v krypto, ale také emitenty nových kryptoměn nebo tokenů v rámci ICO/ITO.

Netýká se pouze kryptoaktiv, která jsou už regulována jinými předpisy – např. security tokeny považované za investiční cenné papíry spadají pod zákony o kapitálovém trhu (MiFID) a MiCA se na ně nevztahuje​.

Dále MiCA neřeší unikátní NFT (non-fungible tokens) v jejich čisté podobě, pokud nejde o sériově obchodovatelné tokeny. Drtivá většina běžných kryptoměn (Bitcoin, Ethereum atd.) a souvisejících služeb však bude spadat do rámce MiCA.

Kdo vám může pomoci?

Klíčové povinnosti podle MiCA:

• Licencování poskytovatelů krypto služeb (CASP): Od 1. 1. 2025 smí v EU provozovat směnárnu, burzu, brokerské služby, úschovu kryptoměn apod. pouze subjekt s licencí CASP (Crypto-Asset Service Provider)​. Stávající firmy budou muset do určitého data získat povolení od příslušného dohlížitele (v ČR od České národní banky). Licence CASP bude jednotná a uznávaná ve všech státech EU (princip jednotného pasu). Podmínky pro získání licence zahrnují např. dostatečný kapitál, zajištění odborné způsobilosti vedení, zavedení postupů pro ochranu klientských aktiv, opatření proti kyberútokům atd.​ Firmy, které dnes působí na základě živnostenských oprávnění (typicky směnárny kryptoměn), budou muset přejít do plně regulovaného režimu – to může znamenat výrazné investice do compliance a změny struktury (jak ostatně očekává i lotyšský regulátor – MiCA může vést ke konsolidaci odvětví a zániku menších hráčů, kteří nesplní podmínky​.

• White paper při vydávání tokenů: MiCA zavádí povinnost pro každého, kdo veřejně nabízí kryptoaktiva (kromě stablecoinů) nebo je chce přijmout k obchodování na platformě, zveřejnit informační dokument – “crypto-asset white paper”​. Ten obsahuje srozumitelné informace o projektu, právech spojených s tokenem, technologii, rizicích atd., podobně jako prospekt u akcií. White paper se předkládá (pouze k notifikaci, ne ke schválení) regulátoru. Existují určité výjimky – např. pokud se token nabízí méně než 150 osobám v každém státě, nebo je celková hodnota nabídky pod 1 mil. EUR za 12 měsíců, white paper není třeba​. Pro stablecoiny (ART/EMT) platí přísnější režim – emitent musí splnit kapitálové požadavky, získat povolení a podléhá dohledu (stabilita hodnoty těchto tokenů je klíčová pro finanční systém).

• Ochrana zákazníků a tržní integrita: Poskytovatelé krypto služeb musí jednat čestně, spravedlivě a v nejlepším zájmu klientů​. MiCA například ukládá povinnost oddělit klientská kryptoaktiva od vlastních, zavést pravidla pro řešení stížností zákazníků, zveřejňovat poplatky a rizika spojená s produkty. Zakázány budou praktiky tržních manipulací a zneužívání informací na trhu kryptoaktiv – EU tím přenáší obdobu režimu pro tradiční cenné papíry (MAR) i na kryptoměny​.

• AML/CFT a řízení rizik: Krypto firmy pod MiCA budou muset plnit i požadavky AML/CFT úplně stejně jako banky​. To zahrnuje identifikaci klientů, monitoring transakcí, hlášení podezřelých transakcí FAÚ. MiCA navíc zdůrazňuje nutnost opatření pro kybernetickou bezpečnost a havarijní plány – např. custody provider musí mít dobře zabezpečené peněženky, záložní mechanismy pro případ technických výpadků apod.​

Dopady a sankce

Pro české fintechy v oblasti krypta znamená MiCA zásadní změnu “pravidel hry”. Doposud poměrně volné prostředí získává pevný rámec podobný regulovanému finančnímu trhu. Na jedné straně to zvýší důvěryhodnost odvětví (klienti budou lépe chráněni, regulátor má nástroje proti podvodným projektům), na druhé straně vzrostou náklady na soulad s regulací.

Firmy, které se nepřizpůsobí, nebudou moci legálně pokračovat – provozování krypto služeb bez licence bude nelegální a tvrdě postihováno. Sankce za porušení MiCA mohou být velmi vysoké. Regulátoři (např. ČNB) získají pravomoc udělovat pokuty až do výše 20 milionů EUR nebo 5 % celkového ročního obratu firmy, podle toho, co je vyšší​. Tyto limity pokut jsou srovnatelné s GDPR a signalizují, že EU bude vyžadovat striktní dodržování (např. pokud by někdo pokračoval v provozu neregulované burzy, hrozila by mu pokuta v řádu stovek milionů Kč). Za méně závažná porušení může MiCA stanovit nižší pokuty – některé zdroje uvádějí např. až 700 000 EUR pro fyzické osoby – odpovědné manažery​, či minimální pokuty 500 000 EUR za nelegální provoz směnárny v ČR​.

Krom finančních sankcí je zde pochopitelně i riziko trestněprávní – praní peněz přes krypto nebo podvodné ICO může vést k trestnímu stíhání odpovědných osob.

Jak se připravit na MiCA

Subjekty působící s kryptoměnami by měly neprodleně podniknout kroky k zajištění souladu. Existující kryptofirmy (směnárny, burzy) by měly zahájit proces licencování – tj. kontaktovat ČNB, seznámit se s licenčními požadavky a začít shromažďovat podklady pro žádost o povolení. Latvijas Banka avizovala, že od ledna 2025 bude připravena vydávat licence CASP​ – lze očekávat, že podobně i ČNB spustí procesy včas.

Dále je nutné upravit interní procesy: zavést potřebné směrnice (pro ochranu aktiv zákazníků, obchodování na vlastní účet, řízení střetu zájmů atd.), doplnit chybějící funkce (např. oddělení compliance, funkce pro oznamování podezření na zneužití trhu), zajistit bezpečnostní audity IT systémů. Emitenti tokenů by měli připravit vzorové white papery a mechanizmy jejich schvalování.

Je také vhodné prověřit smlouvy a ujednání s klienty – např. obchodní podmínky bude nutné aktualizovat, aby reflektovaly práva zákazníků dle MiCA (informace o rizicích, o pojištění vkladů či ne/pojištění kryptoaktiv atd.).

Pro některé projekty může implementace MiCA znamenat i strategické rozhodnutí, zda pokračovat – subjekty, které nebudou schopny dostát kapitálovým požadavkům či jiným nárokům, mohou zvažovat spojení s většími hráči (konsolidace trhu). Naopak ti, kdo se regulaci přizpůsobí včas, získají náskok a možnost legálně nabízet služby v celé EU.

Hlavní rizika neplnění povinností

Z výše popsaných regulací je zřejmé, že regulatorní laťka pro fintech v roce 2025 významně stoupá. Orgány dohledu dostávají nové nástroje a pravomoci, aby vynutily soulad s předpisy napříč EU. Souhrnně lze hlavní rizika z neplnění povinností shrnout:

• Vysoké finanční sankce: Nové předpisy umožňují udělovat pokuty v řádech milionů až desítek milionů eur, často vztažené k obratu firmy (5–10 % ročního obratu není výjimkou)​. Pro menší fintech může i pokuta v desítkách tisíc eur představovat existenční ohrožení, natož sankce v milionech. Tyto pokuty navíc mohou být kumulativní – firma působící v různých oblastech by mohla čelit sankcím za porušení více předpisů současně.

• Ztráta licence či podnikatelského oprávnění: Regulátoři budou oprávněni pozastavit nebo odejmout licenci subjektu, který hrubě či opakovaně porušuje povinnosti (např. ignoruje bezpečnostní rizika, provozuje neschválený AI systém nebo neplní nápravná opatření v AML). Zákaz činnosti je nejzazší, ale reálný postih, který by znamenal faktický konec startupu​. Zvláště v oblasti plateb a krypta je licence základním předpokladem podnikání – její ztráta firmu vyřazuje z trhu.

• Trestní a právní odpovědnost: Zanedbání povinností může vést i k osobní odpovědnosti managementu. Například v AML oblasti při úmyslném ignorování varovných signálů mohou být manažeři stíháni za legalizaci výnosů z trestné činnosti. Pokud selhání regulace povede ke škodě klientům (únik dat, finanční ztráty), mohou následovat hromadné žaloby či individuální nároky na náhradu škody. Připravovaná úprava odpovědnosti za AI může navíc přenést důkazní břemeno na vývojáře – což zvyšuje riziko, že poškození klienti uspějí v případných sporech​.

• Reputační ztráta a odliv klientů: Fintech sektor stojí na důvěře a inovacích. Pokud vyjde najevo, že firma podcenila bezpečnost (např. únikem dat kvůli nedodržení DORA) nebo nerespektovala práva klientů (např. nepřiměřeným použitím AI bez vysvětlení), může to nenávratně poškodit její reputaci. Klienti dnes citlivě vnímají ochranu svých dat a peněz – zveřejněné sankce od regulátora či negativní publicita povedou k odlivu zákazníků ke konkurenci, která je v souladu s předpisy. Také investoři a partneři budou obezřetní spolupracovat s firmou, která má „škraloup“ u dozoru.

Celkově vzato, riziko neplnění nových povinností v roce 2025 není jen teoretické – naopak, dohledové orgány v EU dávají najevo, že hodlají pravidla důsledně vymáhat. Fintech společnosti se proto musejí proaktivně postavit k compliance: vnímat regulatorní požadavky ne jako překážku, ale jako nutnou součást byznysu v oblasti financí. Kdo se nedokáže přizpůsobit, může být sankcionován tak silně, že to ohrozí samotnou existenci jeho podnikání.

Závěr a doporučení: Jak se na změny připravit

Rok 2025 přináší fintech sektoru zvýšené regulatorní nároky, ale s vhodnou přípravou je lze zvládnout a využít ve svůj prospěch.

Zde je shrnutí klíčových doporučení, jak se na nové povinnosti připravit:

• Sledujte legislativní vývoj: Mějte přehled o tom, kdy přesně vstupují v platnost jednotlivé regulace (např. DORA leden 2025, AI Act postupně 2025–26, MiCA konec 2024 atd.) a kdy končí případná přechodná období. Účastněte se odborných seminářů, čtěte oběžníky regulátorů (ČNB, FAÚ) a zapojte se do oborových asociací (Česká fintech asociace apod.), které často sdílí praktické informace. Regulace se vyvíjí – např. k AI Actu budou v letech 2025–26 vydávány prováděcí pravidla, proto buďte v obraze.

• Proveďte interní audit a gap analýzu: Zmapujte si, jak na tom vaše firma aktuálně je vůči novým požadavkům. Ideálně si pro každý předpis sestavte seznam povinností a ověřte jejich plnění. Např.: Máme formálně jmenovanou odpovědnou osobu za AML? (pokud ne, jmenujeme ji – bude to i zákonná povinnost). Uchováváme logy o ICT incidentech dle DORA? Používáme nějakou AI pro rozhodování a splňuje zásady nediskriminace? Tím identifikujete oblasti, kde je třeba doplnit procesy nebo zdokumentovat stávající praxi.

• Posilujte tým a znalosti: Zvažte, zda máte dostatečné personální kapacity pro nové compliance povinnosti. Možná bude nutné přijmout nebo vyčlenit specializovaného compliance officera (pokud jej ještě nemáte) či posílit IT bezpečnostní tým. Investujte do školení – nejen pro odborníky, ale i široce pro zaměstnance, aby chápali význam nové regulace (např. školení zaměstnanců o kyberhygieně pomůže plnit DORA, školení vývojářů o AI Act zase předchází problémům s nevhodným použitím AI).

• Vytvořte roadmapu a prioritizujte: Vedení společnosti by mělo spolu s právníky a compliance sestavit plán implementace: které úkoly je nutno splnit do kdy. Například: do Q3/2024 upravit obchodní podmínky kvůli MiCA, do konce 2024 zažádat o CASP licenci, během 2025 nasadit nové systémy pro hlášení incidentů dle DORA, atd. Ne všechny změny se dají udělat naráz – je potřeba prioritizovat podle rizika (největší rizika neplnění řešit přednostně). V plánu zohledněte i rozpočet, protože některá opatření mohou být nákladná (např. penetrační testy, nákup nového softwaru pro monitoring).

• Automatizace a technologie: Pro zvládnutí rozsahu povinností využijte moderní nástroje. Na trhu jsou dostupná RegTech řešení – například software pro průběžné sledování souladu (compliance management tools), nástroje na monitoring transakcí a sankčních seznamů (pro AML), systémy detekce anomálií (pro DORA), nebo platformy na evidenci a dokumentaci AI modelů. Tyto technologie mohou zefektivnit plnění povinností a snížit chybovost způsobenou lidským faktorem.

• Spolupráce s experty: Nemusíte na vše být sami. Je užitečné konzultovat specifické otázky s právními poradci či auditory, zejména pokud podnikáte v několika jurisdikcích. Odborníci sledující denně výklad regulací vám pomohou vyvarovat se nesouladu kvůli nepochopení požadavku. Například posouzení, zda váš AI systém spadá mezi “high-risk” dle AI Act, může být složité a externí názor předejde pozdějšímu problému. Také se nebojte oslovit přímo regulátory – ČNB provozuje Inovační hub, kde radí fintech inovátorům s regulatorními otázkami, což může objasnit nejasnosti a předejít chybám.

Včasnou a systematickou přípravou lze dosáhnout toho, že vaše fintech společnost do roku 2025 vykročí plně v souladu s novými předpisy, a získá tak důvěru klientů i náskok před konkurencí, která by reagovala opožděně.

Tým ARROWS advokátní kanceláře

Jak vám může pomoci advokátní kancelář ARROWS

Orientovat se v tak rozsáhlých regulatorních změnách a správně je implementovat do praxe může být pro fintechy náročné. ARROWS advokátní kancelář nabízí v této oblasti komplexní podporu a partnerství.

Náš tým právníků se specializací na finanční právo a fintech průmysl sleduje aktuální vývoj evropské legislativy a má praktické zkušenosti s implementací regulatorních požadavků u finančních institucí.

Jak konkrétně vám můžeme pomoci?

• Analýza dopadu regulace na váš byznys: Provedeme detailní audit vašich služeb a procesů z pohledu nových předpisů (PSD3, DORA, AI Act, AML, MiCA aj.). Identifikujeme konkrétní povinnosti, které se na vaši společnost vztahují, a upozorníme na případné mezery v souladu. Získáte jasnou mapu toho, co je potřeba upravit.

• Implementace na míru: Pomůžeme vám vytvořit či upravit interní směrnice, postupy a smluvní dokumentaci tak, aby odpovídaly novým požadavkům. Připravíme např. nové obchodní podmínky a informační dokumenty pro klienty (dle PSD3 či MiCA), směrnice pro řízení ICT rizik a incidentů (DORA), etický kodex pro vývoj AI (AI Act), aktualizaci interních AML předpisů atd. Vše v souladu s českým právem i příslušnými evropskými standardy.

• Školení a workshopy: Zajistíme praktická školení pro vaše zaměstnance a management zaměřená na nové regulatorní povinnosti. Naučíme váš tým rozpoznávat rizikové situace (např. kyberincidenty, podezřelé obchody) a správně reagovat podle zákonných požadavků. Tím minimalizujete riziko lidské chyby vedoucí k sankci.

• Licenční a regulatorní řízení: Pokud potřebujete získat novou licenci (typicky licence platební instituce, instituce elektronických peněz nebo nyní nově licence CASP pro krypto služby), provedeme vás celým procesem u České národní banky. Připravíme žádosti, potřebné podklady a komunikaci s regulátorem, aby řízení proběhlo hladce. Stejně tak asistujeme při oznamovacích povinnostech (např. notifikace white paperu podle MiCA).

• Průběžné poradenství a compliance monitoring: Regulatorní compliance není jednorázová akce – nabízíme dlouhodobou spolupráci formou externího compliance dohledu. Budeme pro vás sledovat další změny zákonů, upozorňovat na nové povinnosti a konzultovat konkrétní situace (např. zavádění nové technologie či produktu z hlediska regulatoriky). Včas identifikujeme potenciální problém a navrhneme řešení dříve, než by mohl přerůst v sankční řízení.

• Řešení incidentů a sporů: V případě, že už nastane nežádoucí událost – bezpečnostní incident, podezření ze strany regulátora či dokonce zahájení správního řízení – zastoupíme vaše zájmy. Pomůžeme s povinnou komunikací (ohlášení incidentu DORA, vysvětlení dohledu v rámci kontroly, nápravný plán) a budeme hájit vaši společnost v řízeních tak, aby dopady byly co nejmenší.

ARROWS advokátní kancelář rozumí specifikům fintech odvětví i rychlosti, jakou se tento obor vyvíjí. Naším cílem je být pro vás partnerem, který zajistí právní jistotu, abyste se vy mohli soustředit na rozvoj svého podnikání.

Díky kombinaci znalosti práva a praktického přístupu pomáháme fintech klientům efektivně implementovat nové regulace – od prvotní analýzy až po finální uvedení do souladu a zaškolení týmu. S naší podporou zvládnete náročný rok 2025 bez zbytečných komplikací a proměníte regulatorní výzvy v příležitost k posílení důvěryhodnosti a stability vaší firmy.

Závěrem 

Regulace jako PSD3, DORA, AI Act, AML či MiCA představují nové „mantinely“ pro fintech inovace v Evropě. Přinášejí vyšší ochranu klientů a stabilitu trhu, ale také vyžadují od fintech společností profesionální přístup k souladu s právem.

Firmy, které se včas připraví a investují do compliance, získají náskok a jistotu pro další rozvoj. Ty, které by regulaci ignorovaly, by nesly neúměrná rizika. Fintech budoucnost patří těm, kdo inovují odpovědně a v mezích zákona. ARROWS advokátní kancelář je připravena vám na této cestě k odpovědnému růstu podat pomocnou ruku.

Zdrojové předpisy a odkazy: PSD3 – návrh Směrnice o platebních službách 3 a související nařízení​

Zajímají vás legislativní novinky v roce 2025? Připravili jsme si pro vás webinář.

Proč si vybrat právě nás?

Naše služby využívají firmy všech velikostí, protože jim poskytujeme rychlá a efektivní řešení v oblasti smluvní dokumentace. Například:

• Smlouvy na míru bez zbytečných průtahů: Připravíme pro vás obchodní smlouvy, dohody s dodavateli, pracovní smlouvy i další dokumenty tak, aby odpovídaly vašim potřebám a minimalizovaly rizika.
• Jasné a srozumitelné podmínky: Navrhujeme smlouvy tak, aby byly praktické, přehledné a snadno použitelné v běžném provozu.
• Ochrana před právními komplikacemi: Pomáháme klientům předcházet nejasnostem, sporům a nevýhodným podmínkám.

Víme, že administrativní zátěž spojená se smlouvami může brzdit váš byznys. Proto jsme pro vás připravili e-book "Advokáti radí, jak ušetřit miliony", který vám ukáže, jak mít smlouvy pod kontrolou bez zbytečných komplikací.

✅  Praktické rady, jak si efektivně nastavit smluvní procesy a ušetřit čas.
✅  Konkrétní tipy, jak se vyhnout nejčastějším chybám ve smlouvách.
✅Ukázku našeho přístupu: jak jednoduše a srozumitelně předáváme odborné znalosti v oblasti smluvní dokumentace.

Neztrácejte čas se smlouvami – my vám pomůžeme nastavit smluvní procesy tak, aby byly rychlé, efektivní a bezpečné.

Napište si o e-book Advokáti radí, jak ušetřit miliony ZDE 

Nechcete tenhle problém řešit sami? Věří nám více než 2000 klientů a jsme oceněni jako Právnická firma roku 2024. Podívejte se ZDE na naše reference.