AI Act pro firmy, které AI jen používají: co udělat

Pokud AI ve firmě jen používáte, AI Act (nařízení EU 2024/1689) se vás týká a část povinností platí už dnes. Jste v roli „uživatele“ (v nařízení „deployer“), tedy firmy, která cizí AI nástroj používá při podnikání. Dnes musíte přijímat opatření na podporu AI gramotnosti, tedy podporovat to, aby lidé s AI uměli pracovat. Konkrétní úroveň znalostí zaručit nemusíte. Musíte také dodržovat zákazy a od 2. srpna 2026 plnit pravidla transparentnosti. Odložily se jen požadavky na vysoce rizikové systémy.

Co platí dnes a co se posunulo

Odklad není plošný. Omnibus, tedy nařízení 2026/1744 vyhlášené 24. července 2026, podle francouzského zpravodajského webu ActuIA neodstranil žádnou kategorii povinností. Posunul jen termíny u části z nich.

Omnibus nahradil původní návrh Komise, který odklad vázal na podmínky, pevnými daty. Podle advokátní kanceláře Gibson Dunn se pravidla odkládají, nezrušují.

Krok 1: udělejte seznam AI nástrojů

Začněte tímto. Technologická společnost Apertia upozorňuje, že největší potíž firem nastává dřív než u regulace: vedení často nedokáže sestavit seznam nástrojů, které firma používá. AI se do marketingu, podpory, personalistiky i obchodu často dostala tak, že si ji zavedly týmy samy.

Do seznamu zapište:

• jaké nástroje a modely se používají a kdo za ně odpovídá,
• které komunikují přímo se zákazníky nebo zaměstnanci,
• kde vzniká obsah určený veřejnosti,
• které nástroje rozhodují nebo doporučují v citlivých oblastech, třeba při výběru lidí,
• jaká data do nich vstupují a kam putují,
• zda jde o vlastní řešení, nebo službu dodavatele.

Seznam vám řekne, které z dalších povinností se vás týkají.

Krok 2: proškolte lidi a doložte to

Článek 4 požaduje AI gramotnost, tedy to, aby lidé rozuměli AI natolik, že dokážou posoudit její rizika. Omnibus ho změkčil. Dřív firma měla „v co největší míře“ zajistit dostatečnou úroveň znalostí. Nově podle ActuIA a Gibson Dunn musí poskytovatelé a uživatelé přijímat opatření na podporu rozvoje AI gramotnosti. Nemusíte garantovat konkrétní úroveň znalostí každého člověka, ale povinnost zůstává.

Týká se zaměstnanců i dalších lidí, kteří AI používají vaším jménem, tedy i dodavatelů. Podle FAQ Evropské komise nepotřebujete certifikát, stačí interní záznam o školení. Komise také uvádí, že když zaměstnanci používají ChatGPT k psaní nebo překladům, musíte je upozornit na rizika, například na vymyšlené odpovědi. Samotný návod k nástroji často nestačí.

Podle článku na epravo.cz, který se opírá o doporučení Komise, by školení mělo obsahovat:

• co je AI a jak funguje,
• jaké nástroje firma používá,
• jaká jsou jejich rizika,
• jaké povinnosti firmě ukládá AI Act,
• souvislost s ochranou osobních údajů (GDPR).

AI Act nepředepisuje délku ani formu školení. Autorka epravo.cz doporučuje zaškolit nové lidi při nástupu a obnovovat školení aspoň jednou ročně. Doporučuje také uchovávat prezenčky a prezentace a požadavky na gramotnost zapsat do vnitřních pravidel a smluv s dodavateli.

Krok 3: zkontrolujte chatboty a zveřejněný obsah

Článek 50 platí od 2. srpna 2026. Podle businessinfo.cz a advokátní kanceláře Morgan Lewis z něj pro uživatele plyne tohle:

• Zákaznický chatbot nebo hlasový operátor musí lidem říct, že komunikují s AI. Výjimkou je případ, kdy je to z okolností zřejmé. Obvykle stačí jednoduchá úprava. Tuto povinnost má především poskytovatel, takže se zeptejte dodavatele, jak ji řeší.
• Pokud zveřejníte deepfake (realistický obraz, video nebo zvuk vytvořený AI), musíte to uvést. ActuIA uvádí jako příklad marketing, který zveřejní AI video ředitele.
• U textu určeného k informování veřejnosti o věcech veřejného zájmu platí podobná povinnost. Neplatí, pokud text prošel lidskou kontrolou a za zveřejnění odpovídá konkrétní osoba.
• Pokud firma používá nástroje na rozpoznávání emocí nebo biometrické třídění lidí, musí lidi, kterých se to týká, informovat.

Nemusíte označovat každý e-mail nebo text zkontrolovaný AI. Podle businessinfo.cz jde o transparentnost tam, kde by byl člověk uveden v omyl.

Strojové označování obsahu je povinnost poskytovatelů generativních nástrojů. Pro nástroje uvedené na trh před 2. srpnem 2026 se odkládá do 2. prosince 2026. Odklad se netýká povinností uživatelů. Morgan Lewis radí zeptat se dodavatele, jak označování řeší a zda odklad využívá.

Co je zakázané

Zákazy z článku 5 platí od února 2025. Pro zaměstnavatele je podle ActuIA důležitý zákaz rozpoznávání emocí na pracovišti a ve školách, s výjimkou zdravotních a bezpečnostních důvodů. Příkladem je nástroj, který analyzuje emoce zaměstnanců v call centru. Mezi další zákazy patří podprahové manipulativní techniky nebo sociální scoring.

Od 2. prosince 2026 přibudou dva zákazy: AI systémy, které bez souhlasu vytvářejí intimní obsah o identifikovatelných lidech, a systémy vytvářející materiály zobrazující sexuální zneužívání dětí. Pro uživatele platí zákaz jen tehdy, pokud systém k takovému účelu používá.

Vysoce rizikové systémy: čas na přípravu

Vysoce rizikové jsou podle ActuIA hlavně nástroje pro nábor a výběr uchazečů, rozhodování o povýšení či propuštění, sledování výkonu a hodnocení úvěruschopnosti fyzických osob. Do této skupiny patří také vzdělávání a biometrika. Požadavky se použijí od 2. prosince 2027.

Jako uživatel budete muset:

• systém používat podle návodu,
• svěřit lidský dohled proškoleným lidem,
• uchovávat logy, tedy záznamy o provozu systému,
• před nasazením informovat zaměstnance a jejich zástupce (čl. 26 odst. 7).

Gibson Dunn radí odklad využít k přípravě. Seznam nástrojů z prvního kroku vám ukáže, zda nějaký takový nástroj už máte.

Pokuty a dozor v Česku

Pokuty mohou dosáhnout:

• až 35 milionů eur nebo 7 % obratu za zakázané praktiky,
• až 15 milionů eur nebo 3 % obratu za ostatní povinnosti včetně čl. 50,
• až 7,5 milionu eur nebo 1 % obratu za zavádějící informace úřadům.

Malé a střední firmy platí nižší z obou částek. Porušení čl. 4 se řeší podle národních pravidel. Dohled nad ním podle Komise vykonávají národní úřady, ne evropský Úřad pro AI.

Ministerstvo průmyslu a obchodu připravilo minimalistický návrh českého zákona. Povinnosti z nařízení nepřepisuje a řeší jen dohled, řízení a sankce. Podle právní kanceláře Dostupný advokát počítá návrh s Českým telekomunikačním úřadem jako hlavním dozorem. Česká národní banka by dohlížela na finanční sektor a Úřad pro ochranu osobních údajů by měl roli tam, kde se AI potkává s osobními údaji. U méně závažných porušení návrh počítá s upozorněním a lhůtou k nápravě nejméně 15 dnů.

Kontrolní otázky pro vedení

• Máme seznam všech AI nástrojů včetně těch, které si zavedly týmy samy?
• Víme u každého, kdo za něj odpovídá a jaká data do něj putují?
• Proběhlo školení lidí, kteří s AI pracují, a máme o něm záznam?
• Říká náš chatbot zákazníkům, že je AI?
• Máme pravidlo, kdo schvaluje zveřejnění AI obrázků, videí a hlasů?
• Používáme nástroj, který rozpoznává emoce zaměstnanců? Na pracovišti je to zakázané, s výjimkou zdravotních a bezpečnostních důvodů, a i tam musíme dotčené lidi informovat.
• Používáme AI při výběru lidí nebo jejich hodnocení? Pokud ano, začněte plánovat přípravu na rok 2027.
• Zeptali jsme se dodavatelů, jak plní své povinnosti a jak označují generovaný obsah?

Příklady využití AI agentů ve firmách podle oboruBezpečnost dat při nasazení AI ve firmě

Text připravila AI z uvedených zdrojů a prošel automatickou kontrolou faktů. Nejde o právní radu.