MiCA, DORA, akt o AI a NIS2: Jak soubor pravidel EU vytlačuje start-upy a malé společnosti z Evropy

Živím se regulací EU. Klienti za námi přicházejí, protože MiCA, pravidla proti praní peněz a zbytek evropského souboru pravidel jsou příliš náročné na to, aby je zvládli sami, a my je vyřídíme za ně. Nejde tedy o stížnost někoho, kdo na nové legislativě z Bruselu prodělává. Pokud něco, získávám na ní.

Přesto si při pohledu na to, co v posledních letech dopadlo na malé a střední podniky (SMEs), myslím, že Evropa dělá chybu. Nejde o jeden špatně napsaný akt. Jde o součet všech těchto aktů, rychlost, s níž se EU opravuje, a skutečnost, že účet dopadá na společnosti, které jej mohou zaplatit nejméně. Náš postoj k regulaci AI je samostatně uveden v jiném textu; tento článek se zabývá vzorcem v celém souboru pravidel.

Jedna vrstva na druhé

Zde je, co regulace EU nyní vyžaduje od evropské společnosti podle toho, čím se zabývá.

• GDPR pro každého, kdo uchovává osobní údaje.
• Akt o digitálních službách a Akt o digitálních trzích pro online platformy a tržiště.
• Akt o datech pro připojená zařízení a cloudové smlouvy.
• NIS2 a Akt o kybernetické odolnosti pro kybernetickou bezpečnost a pro produkty s vestavěným softwarem.
• MiCA pro služby související s kryptoaktivy.
• DORA pro banky, platební a krypto společnosti a dodavatele IT, kteří jim poskytují služby.
• Akt o AI pro každého, kdo vytváří systémy AI nebo je používá ve svém podnikání.
• Nové nařízení AML s dohledem na úrovni EU, AMLA.
• eIDAS 2.0 s peněženkami digitální identity.
• Povinnosti podávání hlášení o převodech kryptoměn (travel rule), daňových údajích o kryptoměnách (DAC8), udržitelnosti (CSRD) a dodavatelských řetězcích (CSDDD).

Žádný z těchto předpisů není drobný. Každý má vlastní definice, formuláře, orgán dohledu a pokuty. Fintech s dvanácti zaměstnanci může současně spadat pod pět či šest z nich.

Každý zákon je obhajitelný. Ne však jejich hromada

Každý z těchto zákonů, posuzovaný samostatně, odpovídá na skutečnou otázku. Peníze klientů by neměly zmizet při kolapsu kryptoburzy, banka by neměla přestat fungovat, protože její poskytovatel cloudu měl špatnou noc, a nikdo nechce software, který rozhoduje, komu poskytne úvěr, aniž by člověk mohl výsledek ověřit. Argumentujte samostatně proti kterémukoli z těchto zákonů a prohrajete, jak byste měli.

Problémem je součet a problémem jsou lhůty. Komise navrhla akt o AI v dubnu 2021 a EU jej přijala v roce 2024. Jeho hlavní pravidla pro vysoce rizikovou AI, například systémy používané při náboru, hodnocení úvěruschopnosti nebo vzdělávání, se měla začít používat 02.08.2026. V červenci 2026, několik týdnů před tímto datem, EU přijala opravu nazvanou Digital Omnibus on AI. Posunula pravidla na prosinec 2027 a pro AI zabudovanou do regulovaných produktů na srpen 2028. Oficiálním důvodem bylo, že technické normy a vnitrostátní orgány dohledu nebyly připraveny. Pět let po návrhu neexistoval aparát určený k vymáhání zákona. Společnosti, které se dva roky připravovaly na srpen, se připravovaly na datum, jež se posunulo.

Takto v praxi vypadá pomalost. Zákony přicházejí. Opravy přicházejí dva nebo tři roky poté, co všichni vidí problém, ve formě další regulace.

Proč stejná pravidla stojí malý podnik více

To je část, která mi vadí nejvíce. Náklady na dodržování předpisů téměř nezávisí na velikosti společnosti. Manuál zásad, registr dodavatelů IT, postup pro hlášení incidentů, externí audit, žádost o licenci: stojí přibližně stejně, ať obsluhujete 50 klientů, nebo 5 milionů.

DORA je nejjasnějším příkladem. V průzkumu finančních institucí společnosti Deloitte ve 28 evropských zemích, zveřejněném v březnu 2025, očekávaly přibližně dvě třetiny respondentů výdaje na dodržování předpisů mezi €2 miliony a €5 miliony a jen jeden z deseti očekával, že zůstane pod €2 miliony. Velká banka to unese. Platební instituce s dvaceti zaměstnanci nikoli a pro nejmenší společnosti může účet za dodržování předpisů přesáhnout hodnotu, kterou pro ně má trh EU.

MiCA vypráví stejný příběh v číslech. Před MiCA mělo podle oborových počtů více než tisíc společností v celé EU vnitrostátní registrace pro kryptoaktiva. Přechodné období skončilo 01.07.2026 a v říjnu 2026 registr ESMA uváděl přibližně 370 autorizovaných poskytovatelů. Některé z chybějících společností si zasloužily odejít. Mnohé jiné byly malé, místní a legální a odešly, protože licence MiCA (povolení CASP) stojí šestimístné částky za poradce, kapitál a čas vedení, který burza se dvěma zakladateli nemá. Samostatně jsem se zabýval tím, co MiCA udělala evropským krypto start-upům; zde jde o jeden příklad širšího vzorce.

Velcí hráči si stěžují jen zřídka. Pro dobře financovaného zavedeného hráče je každý nový akt příkopem: tým pro dodržování předpisů už existuje, právníci jsou na paušálu a každé nové pravidlo zvyšuje vstupní náklady pro každého, kdo chce soutěžit. Regulace napsaná na ochranu spotřebitelů nakonec chrání podíl na trhu.

Kam zakladatelé odcházejí

Start-upy jsou mobilní způsobem, jakým banky nejsou. Zakladatel s nápadem a notebookem porovnává země stejně jako ostatní porovnáváme lety. Když se Apple a Meta v roce 2024 rozhodly zadržet nové funkce AI před uživateli v EU s odkazem na Akt o digitálních trzích a „nepředvídatelné“ regulační prostředí, titulky se týkaly dvou gigantů. Tišší dopad dopadl na každého evropského vývojáře, který chtěl stavět na těchto modelech a nyní musel čekat nebo se přestěhovat.

V mé vlastní práci je vzorec méně dramatický, ale stejně stálý. Otázka zakladatelů se posunula z „můžeme získat licenci v Estonsku“ na „vyplatí se vůbec evropská licence ve srovnání s Dubají, Singapurem nebo státem USA“. Před několika lety byla druhá otázka vzácná. Dnes je běžná a ne vždy je dokážu od ní odradit.

Čísla říkají totéž. Studie Evropské investiční banky zveřejněná v lednu 2026 zjistila, že mezi lety 2008 a 2021 téměř 30 % evropských jednorožců, start-upů oceněných na více než $1 miliardu, přesunulo svá sídla mimo EU. Většina zamířila do Spojených států a v čele byly digitální technologie, AI a biotechnologie. Mario Draghi uvedl zbytek ve své zprávě o evropské konkurenceschopnosti ze září 2024: regulatorní zátěž příliš omezuje inovace a start-upům ztěžuje růst. O dva roky později bylo podle Draghi Observatory při European Policy Innovation Council plně provedeno pouze 16 % opatření, která sleduje. Diagnóza je přijímána. Léčba postupuje pomalu.

Proč Tallinn nemůže opravit to, co napsal Brusel

Estonsko je dobré místo, odkud to sledovat. Je malé, digitální a obecně rozumné v přístupu k podnikání. V této věci je také téměř bezmocné.

MiCA, DORA a akt o AI jsou nařízení, nikoli směrnice. Směrnice stanoví cíl a umožňuje každé zemi napsat vlastní zákon; nařízení platí slovo od slova v každém členském státě a žádný parlament v Tallinnu, Vilniusu ani Lisabonu nemůže zmírnit jediný článek. Vnitrostátní prostor funguje jen jedním směrem: země může být vždy přísnější než Brusel, ale nemůže být mírnější.

Když mi tedy zakladatel řekne, že Estonsko by to mělo „prostě opravit“, musím vysvětlit, že náprava závisí na 27 vládách, Komisi, Parlamentu a legislativním cyklu měřeném v letech. Od začátku roku 2025 Komise předložila dvanáct „omnibusových“ balíčků, z nichž každý najednou mění několik zákonů, a slíbila snížit administrativní zátěž nejméně o 25% a pro SMEs o 35% před koncem svého mandátu. Podnikatelská sdružení tvrdí, že dosavadní výsledek se těmto číslům ani zdaleka neblíží. Věřím jim, protože ty texty čtu.

Evropa sama snižuje riziko

Každý, kdo v posledních letech jednal s bankou, zná slovo de-risking. Klient vypadá trochu neobvykle, náklady na jeho sledování převyšují poplatky, které platí, a účet je uzavřen. Žádný podvod, žádné porušení, jen levnější rozhodnutí pro banku. Klient si jde najít jinou banku, často v jiné zemi, a zpráva banky o rizicích vypadá lépe než předtím.

Stále více si myslím, že Evropská unie dělá totéž s celými odvětvími. Kryptoaktiva vypadala rizikově, proto Evropa vytvořila MiCA a sledovala, jak většina vnitrostátně registrovaných společností odpadla. AI vypadá rizikově, proto Evropa napsala první komplexní zákon o AI na světě, než měla odvětví AI dost velké na to, aby se mohlo bránit. Pokaždé riziko klesne a pokaždé s ním klesne i činnost, jež riziko nesla. V rozvaze, která počítá jen odvrácená rizika, jde o úspěch. V rozvaze, která počítá založené společnosti a vytvořená pracovní místa, nikoli.

Pod tím funguje tišší mechanismus. Instituce, jejíž výstup se měří počtem regulací, bude regulace vytvářet. Každý akt vyžaduje pokyny, technické normy a Q&As, poté orgán dohledu, který je uplatní, a následně omnibus, jenž opraví, co pokyny pokazily. Každý krok přidává zaměstnance, kteří budou potřeba pro další akt. Nikdo v tomto řetězci nejedná ve zlé víře. Proces jednoduše nemá zabudovaný důvod se zastavit a nikdo uvnitř nenese náklady za start-up, který nikdy nevznikl.

Tři scénáře pro evropské start-upy

Abych to konkretizoval, zde je podle mého názoru směr, kterým se ubírá start-upová část evropské ekonomiky. Základní údaje pocházejí z Dealroom: v EU je každý rok založeno přibližně 14 800 start-upů, z nichž asi 4 400 získá externí financování, a EU je domovem přibližně 450 jednorožců. Evropa jako celek včetně UK získala rekordních 19 % globálního venture capital v roce 2023 a 16 % v roce 2024, zatímco Spojené státy získaly 57 %.

Proč v prvním scénáři pokles, a nikoli kolaps? Protože soubor pravidel zasahuje zakladatele v okamžiku rozhodnutí, nikoli stávající společnosti. Banka ve Frankfurtu neodejde kvůli DORA. Tříčlenný start-up v oblasti AI v Tartu se jednoduše místo toho zaregistruje v Delaware a vývojáře ponechá doma. EU ztratí sídlo, daňový základ a exit a na nějakou dobu si ponechá mzdy.

A proč třetí scénář není fantazie? Protože jeho čísla se blíží tomu, kde Evropa už byla ve svém nejlepším období: podíl 19–20% globálního rizikového kapitálu je úroveň dosažená před několika lety, než se začala používat současná vrstva pravidel. Psát regulaci EU s ohledem na malé podniky by Evropu nestálo ochranu spotřebitelů. Stálo by ji to několik odstavců při přípravě návrhu.

Argumenty druhé strany

Nezasloužil bych si, aby mě někdo bral vážně, kdybych předstíral, že soubor pravidel nemá žádné výhody, takže zde jsou. Jedna licence MiCA umožňuje společnosti obsluhovat klienty ve všech 30 zemích EU a EEA; před ní musela krypto společnost vést 27 samostatných jednání s 27 regulátory. GDPR se stalo globální předlohou pro právo na ochranu soukromí. Jediné nařízení AML by teoreticky mělo ukončit situaci, kdy je klient přijat v jednom členském státě a v dalším odmítnut. Harmonizace je skutečný přínos a každý den z ní těžím.

Poctivý kompromis je tento. Harmonizace v evropském měřítku se kupuje rychlostí a nákladovou strukturou, která nejtvrději dopadá na nejmenší. Evropa se rozhodla, převážně bez výslovného rozhodnutí, že dává přednost bezpečnému trhu před rychlým. Je to legitimní volba. Jen si myslím, že by měla být učiněna otevřeně, s uvedenou cenou, místo aby se odhalovala po jednom omnibusu.

Co by Evropa měla dělat místo toho

Můj postoj není, že by Evropa měla přestat regulovat. Je, že by Evropa měla přestat regulovat tříčlenný start-up, jako by šlo o banku. Malý tým nemůže provozovat oddělení pro dodržování předpisů a zákon, který tiše předpokládá, že jej má, není bezpečnostním pravidlem, ale překážkou vstupu. Šest změn by odstranilo většinu škod a žádná z nich není radikální: každá již má někde v právu EU precedent.

1. Skutečné prahy velikosti, napsané přímo v aktu. Pod vlastní definicí EU malého podniku (méně než 50 zaměstnanců a obrat pod €10 milionů) by se náročné povinnosti neměly uplatňovat vůbec, nebo by se měly uplatňovat ve zkrácené, pevně stanovené podobě. GDPR to již dělá pro vedení záznamů podle článku 30(5), který osvobozuje většinu organizací s méně než 250 zaměstnanci, a Komise v roce 2025 navrhla toto osvobození rozšířit. Stejná logika patří do DORA, NIS2 a aktu o AI.
2. Normy před použitelností zákona. Žádná povinnost by neměla nabýt účinnosti, dokud neexistují technické normy a alespoň jeden orgán dohledu v každém členském státě není připraven je uplatňovat. Odklad aktu o AI to bolestivě dokázal. Pravidlo by mělo být sepsáno, aby další akt nepotřeboval omnibus k záchraně.
3. Nejprve sandboxy, potom vymáhání. Nové odvětví by mělo získat období testování pod dohledem, v němž může společnost fungovat za sledování regulátora před tím, než je vyžadováno plné licencování. Akt o AI takové sandboxy slibuje, byly však odloženy na srpen 2027, tedy až po některých povinnostech. Pořadí by mělo být opačné.
4. Jeden orgán dohledu na společnost. Fintech s dvanácti lidmi dnes může samostatně odpovídat finančnímu dohledu, FIU, úřadu pro ochranu osobních údajů a brzy orgánu pro AI. Model ukazuje jednotné kontaktní místo GDPR, kde společnost řeší jediný vedoucí orgán. Měl by být rozšířen na celý soubor pravidel.
5. Datum skončení platnosti v každém aktu. Pokud regulace pozbude platnosti, nebude-li po skutečném přezkumu jejích nákladů znovu potvrzena, náprava se stane povinnou místo politické laskavosti. Omnibus se stane pravidlem, nikoli záchranou.
6. Počítat společnost, která nikdy nevznikla. Každé posouzení dopadů EU měří náklady stávajícím podnikům. Žádné neměří start-upy, které si místo toho zvolily Delaware, Dubaj nebo Singapur. Dokud toto číslo nebude na stole, lidé připravující další akt budou nadále podceňovat jeho náklady.

To neznamená kopírovat Spojené státy, které stále nemají komplexní federální zákon o AI a mají jen mozaiku státních pravidel, ani UK, které se dosud rozhodlo nepřijmout jediný akt o AI a místo toho žádá stávající regulátory, aby uplatňovali soubor zásad. Znamená to přiznat, že právě s těmito místy nyní evropský zakladatel Evropu porovnává. Přidejte EU Inc., jednotnou evropskou formu společnosti navrženou v březnu 2026, s registrací do 48 hodin za méně než €100 a bez minimálního kapitálu, jak Komise slibuje, a Evropa bude mít nabídku, kterou malý tým skutečně může využít.

Co říkám zakladatelům

Má rada zakladatelům se stala až nudně praktickou. Náklady na dodržování předpisů považujte za položku v nákladech na prodané zboží, nikoli za jednorázový právní poplatek. Zemi EU vybírejte podle kvality jejího regulátora a rychlosti jejího rejstříku, protože samotná pravidla budou všude stejná. Využijte přechodná období a odklady omnibusů jako čas na budování, nikoli jako svolení ignorovat zákon; pravidla aktu o AI pro vysoce rizikové systémy byla odložena, nikoli zrušena. A pokud váš obchodní model funguje jen mimo soubor pravidel EU, přiznejte si to včas, před podáním žádosti o licenci, nikoli až po něm.

Budování společnosti v Evropě navzdory souboru pravidel

Evropa je stále dobrým místem pro provozování společnosti a klientům to říkám každý týden. Smyslem tohoto článku není nikoho odrazovat od Estonska ani EU. Jde o to říci, že regulace EU představuje skutečný náklad a měla by se započítat od prvního dne. Správná struktura, správná licenční cesta a správná země v EU nyní znamenají větší rozdíl než před pěti lety. Pokud tyto možnosti zvažujete pro novou nebo stávající společnost, náš tým v Eesti Firma Vás může provést tím, co pravidla ve Vašem případě skutečně znamenají, od založení společnosti po licencování.

Odeslat žádost