MiCA, DORA, Akt o AI a NIS2: Ako pravidlá EÚ vytláčajú start-upy a malé firmy z Európy

Živím sa reguláciou EÚ. Klienti prichádzajú k nám, pretože MiCA, pravidlá proti praniu špinavých peňazí a zvyšok európskeho regulačného rámca sú príliš náročné na zvládnutie bez pomoci a my ich riešime za nich. Nie je to teda sťažnosť niekoho, kto prehráva, keď Brusel píše nový zákon. Ak vôbec, získavam ja.

Napriek tomu sa pri pohľade na to, čo za posledné roky dopadlo na malé a stredné podniky (SMEs), domnievam, že Európa robí chybu. Nejde o jeden zle napísaný akt. Ide o ich súčet, rýchlosť, akou sa EÚ opravuje, a skutočnosť, že účet dopadá na spoločnosti, ktoré ho dokážu zaplatiť najmenej. Náš postoj k regulácii AI je podrobne uvedený v samostatnom článku; tento text je o vzorci naprieč celým regulačným rámcom.

Jedna vrstva na druhej

Tu je, čo regulácia EÚ dnes vyžaduje od európskej spoločnosti podľa toho, čím sa zaoberá.

• GDPR pre každého, kto uchováva osobné údaje.
• Akt o digitálnych službách a Akt o digitálnych trhoch pre online platformy a trhoviská.
• Akt o údajoch pre pripojené zariadenia a cloudové zmluvy.
• NIS2 a Akt o kybernetickej odolnosti pre kybernetickú bezpečnosť a výrobky so zabudovaným softvérom.
• MiCA pre služby kryptoaktív.
• DORA pre banky, platobné a krypto spoločnosti a IT dodávateľov, ktorí ich obsluhujú.
• Akt o AI pre každého, kto vytvára systémy AI alebo ich používa vo svojom podnikaní.
• Nové nariadenie AML s dohľadom na úrovni EÚ, AMLA.
• eIDAS 2.0 so svojimi peňaženkami digitálnej identity.
• Oznamovacie povinnosti pri prevodoch kryptomien (travel rule), daňových údajoch o kryptomenách (DAC8), udržateľnosti (CSRD) a dodávateľských reťazcoch (CSDDD).

Žiadna z nich nie je zanedbateľná. Každá má vlastné definície, formuláre, orgán dohľadu a pokuty. Fintech s dvanástimi zamestnancami môže súčasne spadať pod päť alebo šesť z nich.

Každý zákon je obhájiteľný. Ich nahromadenie nie

Každý z týchto zákonov samostatne rieši reálnu otázku. Peniaze klientov by nemali zmiznúť pri kolapse kryptoburzy, banka by nemala prestať fungovať, pretože jej cloudový poskytovateľ mal zlú noc, a nikto nechce, aby softvér rozhodoval, komu poskytne úver, bez človeka, ktorý by mohol výsledok preveriť. Ak argumentujete proti ktorémukoľvek z týchto zákonov samostatne, prehráte — a oprávnene.

Problémom je súčet a problémom je čas. Komisia navrhla Akt o AI v apríli 2021 a EÚ ho prijala v roku 2024. Jeho hlavné pravidlá pre vysokorizikové AI, napríklad systémy používané pri nábore, hodnotení úverovej bonity alebo vzdelávaní, sa mali začať uplatňovať 2. augusta 2026. V júli 2026, niekoľko týždňov pred týmto dátumom, EÚ prijala opravu nazvanú Digitálny omnibus o AI. Posunula pravidlá na december 2027 a pri AI zabudovanej do regulovaných výrobkov na august 2028. Oficiálnym dôvodom bolo, že technické normy a vnútroštátne orgány dohľadu neboli pripravené. Päť rokov po návrhu neexistoval mechanizmus určený na presadzovanie zákona. Spoločnosti, ktoré sa dva roky pripravovali na august, sa pripravovali na dátum, ktorý sa posunul.

Takto v praxi vyzerá pomalosť. Zákony prídu. Opravy prídu o dva či tri roky po tom, ako všetci vidia problém, vo forme ďalšieho nariadenia.

Prečo rovnaké pravidlá stoja malú firmu viac

Toto mi prekáža najviac. Náklady na súlad s predpismi takmer nezávisia od veľkosti spoločnosti. Príručka politík, register IT dodávateľov, postup oznamovania incidentov, externý audit, žiadosť o licenciu: približne rovnako stoja bez ohľadu na to, či obsluhujete 50 klientov alebo 5 miliónov.

DORA je najjasnejším príkladom. V prieskume Deloitte medzi finančnými inštitúciami v 28 európskych krajinách, zverejnenom v marci 2025, približne dve tretiny respondentov očakávali výdavky na súlad medzi €2 miliónmi a €5 miliónmi a len jeden z desiatich očakával, že zostane pod €2 miliónmi. Veľká banka to absorbuje. Platobná inštitúcia s dvadsiatimi zamestnancami nie a pri najmenších firmách môže účet za súlad prekročiť hodnotu, ktorú pre ne má trh EÚ.

MiCA rozpráva ten istý príbeh číslami. Pred MiCA malo podľa odvetvových údajov národné registrácie kryptomien v celej EÚ viac než tisíc spoločností. Prechodné obdobie sa skončilo 1. júla 2026 a do októbra 2026 register ESMA uvádzal približne 370 autorizovaných poskytovateľov. Niektoré chýbajúce firmy si zaslúžili odísť. Mnohé ďalšie boli malé, miestne a legálne a odišli, pretože licencia MiCA (povolenie CASP) stojí šesťciferné sumy za poradcov, kapitál a čas vedenia, ktorý burza s dvoma zakladateľmi nemá. Samostatne som sa venoval tomu, čo MiCA urobila s európskymi krypto start-upmi; tu je to jeden príklad širšieho vzorca.

Veľkí hráči sa sťažujú len zriedka. Pre dobre financovaného existujúceho účastníka je každý nový akt priekopou: tím pre súlad už existuje, právnici sú na paušále a každé nové pravidlo zvyšuje vstupné pre každého, kto chce súťažiť. Regulácia určená na ochranu spotrebiteľov napokon chráni podiel na trhu.

Kam odchádzajú zakladatelia

Start-upy sú mobilné spôsobom, akým banky nie sú. Zakladateľ s nápadom a notebookom porovnáva krajiny tak, ako my ostatní porovnávame lety. Keď sa Apple a Meta v roku 2024 rozhodli nezaviesť nové funkcie AI pre používateľov EÚ s odvolaním sa na Akt o digitálnych trhoch a „nepredvídateľné“ regulačné prostredie, titulky boli o dvoch gigantoch. Tichší účinok však dopadol na každého európskeho vývojára, ktorý chcel stavať na týchto modeloch a teraz musel čakať alebo sa presťahovať.

V mojej vlastnej práci je tento vzorec menej dramatický, ale rovnako stály. Otázka zakladateľov sa posunula z „môžeme získať licenciu v Estónsku“ na „oplatí sa vôbec európska licencia v porovnaní s Dubajom, Singapurom alebo štátom USA“. Pred pár rokmi bola tá druhá otázka zriedkavá. Dnes je bežná a nie vždy ich dokážem odradiť.

Čísla hovoria to isté. Štúdia Európskej investičnej banky zverejnená v januári 2026 zistila, že v rokoch 2008 až 2021 takmer 30 % európskych jednorožcov, start-upov ocenených na viac ako $1 miliardu, presunulo svoje sídlo mimo EÚ. Väčšina odišla do Spojených štátov a na čele boli digitálne technológie, AI a biotechnológie. Mario Draghi povedal zvyšok vo svojej správe zo septembra 2024 o európskej konkurencieschopnosti: regulačná záťaž príliš obmedzuje inovácie a sťažuje start-upom rast. O dva roky neskôr bolo podľa Draghi Observatory pri European Policy Innovation Council úplne zavedených len 16 % opatrení, ktoré sleduje. Diagnóza je prijatá. Liečba je pomalá.

Prečo Tallinn nemôže opraviť to, čo napísal Brusel

Estónsko je dobrým miestom na sledovanie tejto situácie. Je malé, digitálne a vo všeobecnosti rozumne pristupuje k podnikaniu. V tejto veci je tiež takmer bezmocné.

MiCA, DORA a Akt o AI sú nariadenia, nie smernice. Smernica stanovuje cieľ a ponecháva každej krajine napísať vlastný zákon; nariadenie platí slovo za slovom v každom členskom štáte a žiadny parlament v Tallinne, Vilniuse ani Lisabone nemôže zmierniť jediný článok. Vnútroštátny priestor funguje len jedným smerom: krajina môže byť vždy prísnejšia než Brusel, no nemôže byť miernejšia.

Keď mi teda zakladateľ povie, že Estónsko by to malo „jednoducho opraviť“, musím vysvetliť, že riešenie je v rukách 27 vlád, Komisie, Parlamentu a legislatívneho cyklu meraného rokmi. Od začiatku roka 2025 Komisia predložila dvanásť balíkov „omnibus“, pričom každý naraz mení viacero zákonov, a sľúbila znížiť administratívne zaťaženie najmenej o 25 % a pre SMEs o 35 % pred koncom svojho mandátu. Podnikateľské združenia tvrdia, že výsledok je zatiaľ od týchto čísel veľmi vzdialený. Verím im, pretože texty čítam.

Európa sama znižuje svoje riziko

Každý, kto za posledné roky riešil banku, pozná slovo de-risking. Klient vyzerá trochu nezvyčajne, náklady na jeho monitorovanie prevyšujú poplatky, ktoré platí, a účet sa zatvorí. Žiadny podvod, žiadne porušenie, iba lacnejšie rozhodnutie pre banku. Klient si ide nájsť inú banku, často v inej krajine, a riziková správa banky vyzerá lepšie než predtým.

Čoraz viac si myslím, že Európska únia robí to isté s celými odvetviami. Krypto vyzeralo rizikovo, preto Európa vytvorila MiCA a sledovala, ako väčšina vnútroštátne registrovaných firiem vypadla. AI vyzerá rizikovo, preto Európa napísala prvý komplexný zákon o AI na svete skôr, než mala odvetvie AI dostatočne veľké na to, aby mohlo namietať. Zakaždým riziko klesne a zakaždým spolu s ním klesne aj činnosť, ktorá riziko niesla. V súvahe, ktorá počíta iba odvrátené riziká, je to úspech. V súvahe, ktorá počíta založené spoločnosti a vytvorené pracovné miesta, nie je.

Pod tým je tichší mechanizmus. Inštitúcia, ktorej výstup sa meria počtom nariadení, bude vytvárať nariadenia. Každý akt potrebuje usmernenia, technické normy a Q&As, potom orgán dohľadu na ich uplatňovanie a následne omnibus na opravu toho, čo pokazili usmernenia. Každý krok pridáva zamestnancov, ktorí budú potrební pri ďalšom akte. Nikto v tomto reťazci nekoná v zlej viere. Proces jednoducho nemá zabudovaný dôvod zastaviť sa a nikto v ňom neplatí za start-up, ktorý nikdy nevznikol.

Tri scenáre pre európske start-upy

Aby to bolo konkrétne, tu je, kam sa podľa mňa uberá start-upová časť európskeho hospodárstva. Základ vychádza z Dealroom: v EÚ sa každý rok založí približne 14 800 start-upov, z ktorých asi 4 400 získa externé financovanie, a v EÚ sídli približne 450 jednorožcov. Európa ako celok vrátane Spojeného kráľovstva získala rekordných 19 % globálneho rizikového kapitálu v roku 2023 a 16 % v roku 2024, zatiaľ čo Spojené štáty získali 57 %.

Prečo v prvom scenári pokles, nie kolaps? Pretože regulačný rámec zasahuje zakladateľov v okamihu rozhodovania, nie existujúce spoločnosti. Banka vo Frankfurte neodíde kvôli DORA. Trojčlenný AI start-up v Tartu sa jednoducho namiesto toho zaregistruje v Delaware a vývojárov nechá doma. EÚ stratí sídlo, daňový základ a exit, pričom si určitý čas ponechá mzdy.

A prečo tretí scenár nie je fantáziou? Pretože jeho čísla sa blížia k tomu, kde Európa už bola v najlepšom období: 19–20 % podiel na globálnom rizikovom kapitále je úroveň dosiahnutá pred niekoľkými rokmi, predtým než sa začala uplatňovať súčasná vrstva pravidiel. Tvorba regulácie EÚ s ohľadom na malé podniky by Európu nebola stála ochranu spotrebiteľov. Stála by ju niekoľko odsekov pri príprave návrhu.

Argumenty druhej strany

Nebol by som hodný seriózneho vnímania, keby som predstieral, že regulačný rámec nemá žiadne výhody, preto ich uvádzam. Jedna licencia MiCA umožňuje spoločnosti obsluhovať klientov vo všetkých 30 krajinách EÚ a EHP; pred ňou potrebovala krypto firma 27 samostatných rokovaní s 27 regulátormi. GDPR sa stalo globálnou predlohou právnych predpisov na ochranu súkromia. Jedno nariadenie AML by malo teoreticky ukončiť situáciu, keď je klient prijatý v jednom členskom štáte a odmietnutý v ďalšom. Harmonizácia je skutočným prínosom a každý deň z nej profitujem.

Úprimný kompromis je tento. Harmonizácia v európskom meradle sa vykupuje rýchlosťou a nákladovou štruktúrou, ktorá najtvrdšie dopadá na najmenších. Európa sa, prevažne predvolene, rozhodla, že uprednostňuje bezpečný trh pred rýchlym. Je to legitímna voľba. Len si myslím, že by sa mala urobiť otvorene, s uvedenou cenou, namiesto toho, aby sa odhaľovala po jednom omnibuse.

Čo by mala Európa urobiť namiesto toho

Môj postoj nie je, že Európa by mala prestať regulovať. Je, že Európa by mala prestať regulovať trojčlenný start-up, akoby to bola banka. Malý tím nemôže prevádzkovať oddelenie súladu a zákon, ktorý potichu predpokladá, že ho má, nie je bezpečnostným pravidlom, ale prekážkou vstupu. Šesť zmien by odstránilo väčšinu škôd a žiadna z nich nie je radikálna: každá už má niekde v práve EÚ precedens.

1. Skutočné veľkostné prahy priamo v akte. Pod vlastnou definíciou EÚ malého podniku (menej než 50 zamestnancov a obrat pod €10 miliónov) by sa ťažké povinnosti nemali uplatňovať vôbec alebo by sa mali uplatňovať v krátkej pevnej forme. GDPR to už robí pri vedení záznamov podľa článku 30(5), ktorý oslobodzuje väčšinu organizácií s menej než 250 zamestnancami, a Komisia v roku 2025 navrhla toto oslobodenie rozšíriť. Tá istá logika patrí do DORA, NIS2 a Aktu o AI.
2. Normy pred uplatňovaním zákona. Žiadna povinnosť by nemala nadobudnúť účinnosť, kým neexistujú technické normy a aspoň jeden orgán dohľadu v každom členskom štáte nie je pripravený ich uplatňovať. Odklad Aktu o AI tento bod tvrdo dokázal. Pravidlo by malo byť zapísané, aby ďalší akt nepotreboval omnibus na svoju záchranu.
3. Najprv sandboxy, potom vymáhanie. Nové odvetvie by malo dostať kontrolované obdobie testovania, v ktorom môže spoločnosť fungovať pod dohľadom regulátora predtým, než sa vyžaduje úplné licencovanie. Akt o AI také sandboxy sľubuje, ale boli odložené na august 2027, po niektorých povinnostiach. Poradie by malo byť opačné.
4. Jeden orgán dohľadu na spoločnosť. Fintech s dvanástimi ľuďmi môže dnes samostatne zodpovedať finančnému dohľadu, FIU, úradu na ochranu údajov a čoskoro aj orgánu pre AI. Model ukazuje jednotné kontaktné miesto GDPR, v ktorom jednu spoločnosť rieši jeden vedúci orgán. Mal by sa rozšíriť na celý regulačný rámec.
5. Dátum skončenia platnosti v každom akte. Ak nariadenie zanikne, pokiaľ sa po skutočnom preskúmaní jeho nákladov opätovne nepotvrdí, oprava sa stane povinnosťou, nie politickou láskavosťou. Omnibus sa stane pravidlom, nie záchranou.
6. Započítajte spoločnosť, ktorá nikdy nevznikla. Každé posúdenie vplyvu EÚ meria náklady pre existujúce podniky. Žiadne nemeria start-upy, ktoré si namiesto toho vybrali Delaware, Dubaj alebo Singapur. Kým toto číslo nebude na stole, ľudia pripravujúci ďalší akt budú naďalej podceňovať jeho náklady.

Nič z toho neznamená kopírovať Spojené štáty, ktoré stále nemajú komplexný federálny zákon o AI a majú len mozaiku pravidiel jednotlivých štátov, ani UK, ktoré sa doteraz rozhodlo neprijať jediný akt o AI a namiesto toho žiada existujúcich regulátorov uplatňovať súbor zásad. Znamená to priznať, že práve s týmito miestami dnes európsky zakladateľ porovnáva Európu. Pridajte EU Inc., jednotnú európsku právnu formu spoločnosti navrhnutú v marci 2026, s registráciou do 48 hodín za menej než €100 a bez minimálneho kapitálu, ako sľubuje Komisia, a Európa bude mať ponuku, ktorú malý tím dokáže skutočne využiť.

Čo hovorím zakladateľom

Moja rada zakladateľom sa stala nudne praktickou. Náklady na súlad považujte za položku v nákladoch na predaný tovar, nie za jednorazový právny poplatok. Krajinu EÚ si vyberajte podľa kvality regulátora a rýchlosti jej registra, pretože samotné pravidlá budú všade rovnaké. Prechodné obdobia a odklady omnibusov používajte ako čas na budovanie, nie ako povolenie ignorovať zákon; pravidlá Aktu o AI pre vysoké riziko boli odložené, nie zrušené. A ak váš obchodný model funguje iba mimo regulačného rámca EÚ, priznajte si to včas — pred žiadosťou o licenciu, nie po nej.

Budovanie spoločnosti v Európe napriek regulačnému rámcu

Európa je stále dobrým miestom na prevádzkovanie spoločnosti a klientom to hovorím každý týždeň. Zmyslom tohto článku nie je odhovoriť nikoho od Estónska ani EÚ. Ide o to povedať, že regulácia EÚ je reálny náklad a treba ho započítať od prvého dňa. Správna štruktúra, správna cesta k licencii a správna krajina v rámci EÚ majú teraz väčší význam než pred piatimi rokmi. Ak zvažujete tieto voľby pre novú alebo existujúcu spoločnosť, náš tím v Eesti Firma vás prevedie tým, čo budú pravidlá vo vašom prípade skutočne znamenať — od založenia spoločnosti po licencovanie.

Odoslať žiadosť