EU AI Act, česky Akt o umělé inteligenci, je evropské nařízení, které stanovuje pravidla pro vývoj, uvádění na trh a používání systémů umělé inteligence v Evropské unii. Jeho oficiální označení je nařízení Evropského parlamentu a Rady (EU) 2024/1689.
Nejde o doporučení ani o směrnici, kterou by Česká republika musela teprve přepsat do vlastního zákona. Nařízení je přímo použitelné v členských státech EU. Konkrétní povinnosti se ale uplatňují postupně a liší se podle typu systému, role firmy a toho, jaký dopad může mít použití AI na lidi.
Základní logika je jednoduchá: čím větší škodu může konkrétní použití AI způsobit, tím přísnější pravidla se na něj vztahují. AI Act proto nezakazuje umělou inteligenci jako takovou. Běžná práce s překlady, návrhy textů, programováním nebo generováním ilustrací není automaticky zakázaná. Rozhodující je účel, kontext, data a důsledky použití.
Tento článek je praktický orientační přehled pro firmy a webové agentury. Nenahrazuje právní posouzení konkrétního systému, smluv ani zpracování osobních údajů. U náboru, úvěrů, zdravotnictví, biometriky, veřejné správy a dalších citlivých oblastí doporučujeme zapojit právníka a odborníka na bezpečnost nebo compliance.
Proč EU AI Act vznikl
AI může ovlivňovat rozhodnutí o zaměstnání, vzdělávání, úvěrech, pojištění, zdravotní péči, dávkách, bezpečnosti i přístupu ke službám. Nejde pouze o technickou chybu. Systém může pracovat se zkreslenými daty, vytvářet diskriminační doporučení, skrývat důvody rozhodnutí nebo využívat psychologickou zranitelnost člověka.
Generativní nástroje přinesly další typ rizika. Umí vytvořit přesvědčivý text, obraz, zvuk nebo video, které může vypadat jako autentický obsah. Člověk nemusí poznat, že komunikuje se strojem nebo že vidí upravený záznam. Pravidla transparentnosti proto míří také na chatboty, deepfaky a určitý AI obsah zveřejňovaný ve veřejném zájmu.
Cílem nařízení je vytvořit společný rámec, který chrání zdraví, bezpečnost a základní práva a současně umožňuje rozvoj bezpečné a důvěryhodné AI. Nejde o to zabránit každému použití AI. Jde o to, aby odpovědnost odpovídala moci a dopadu systému.
Na koho se AI Act vztahuje
Nařízení rozlišuje několik rolí v řetězci. Firma nemusí být pouze „uživatelem AI“. Podle toho, co se systémem dělá, může mít povinnosti provozovatele, poskytovatele, dovozce, distributora nebo výrobce produktu.
Poskytovatel AI systému
Poskytovatel je subjekt, který AI systém vyvíjí, nechává vyvíjet, uvádí jej na trh nebo do provozu pod vlastním jménem či značkou. Může jít o firmu v EU i mimo EU. Pokud Silicon Scribe vytvoří vlastní AI aplikaci, nabízí ji klientům jako svůj produkt a určuje její účel, může být poskytovatelem této aplikace, i když využívá model třetí strany přes API.
To neznamená, že každá webová agentura používající API automaticky přebírá povinnosti poskytovatele základního modelu. Je potřeba rozlišit model, nadstavbovou aplikaci a způsob, jak je produkt uváděn na trh. Pokud agentura pouze používá ChatGPT nebo jiný nástroj interně, je situace jiná než u vlastního produktu prodávaného klientům.
Provozovatel neboli deployer
Provozovatel je firma, úřad nebo jiný subjekt, který AI systém používá pod vlastní kontrolou v rámci své činnosti. Běžný zaměstnanec obvykle není samostatným provozovatelem. Provozovatelem je zpravidla firma, která nástroj nasadila a určuje, jak se používá.
Provozovatelem může být e-shop s AI chatbotem, zaměstnavatel s náborovým systémem, banka s modelem úvěrového rizika nebo agentura, která používá AI pro zákaznickou komunikaci. U jednoduchého interního překladu bude dopad obvykle odlišný než u automatického rozhodování o člověku.
Dovozce a distributor
Dovozce uvádí na evropský trh AI systém od poskytovatele ze třetí země. Distributor jej dále dodává nebo zpřístupňuje, aniž by byl původním poskytovatelem. Tyto role jsou důležité hlavně u produktů, které se prodávají v dodavatelském řetězci a jejichž AI funkce není vyvíjena přímo koncovým prodejcem.
Výrobce produktu
Výrobce produktu může nést další povinnosti, pokud je AI systém součástí regulovaného výrobku, například stroje, zdravotnického zařízení, automobilu, hračky nebo bezpečnostního systému. U takových systémů je důležité sledovat zvláštní pravidla pro AI zabudovanou do fyzických produktů.
Poskytovatel obecného AI modelu
General-purpose AI, zkráceně GPAI, jsou obecné modely použitelné pro širokou škálu úloh, například psaní, překlad, programování, analýzu dokumentů nebo generování obrazu a zvuku. Povinnosti poskytovatelů GPAI míří především na tvůrce a dodavatele základních modelů, ne na běžnou českou firmu, která jejich API využívá v aplikaci.
Územní působnost
AI Act se netýká pouze subjektů se sídlem v Evropské unii. Může dopadat také na firmu ze Spojených států, Číny nebo jiné země, pokud AI systém uvádí na trh nebo do provozu v EU, nebo pokud se výstup systému používá v EU.
U každé služby proto nestačí zjistit, kde sídlí dodavatel modelu. Česká firma by měla vědět, jaký nástroj používá, pro jaké zákazníky, kde dochází ke zpracování dat, kdo odpovídá za konkrétní aplikaci a zda se výstup dostává k lidem v EU.
Rizikový přístup: čtyři praktické úrovně
AI Act pracuje s rizikově orientovanou strukturou. Ne všechny systémy mají stejné povinnosti. V praxi je užitečné začít otázkou, zda AI zasahuje do práv, bezpečnosti nebo významných životních příležitostí lidí.
1. Zakázané praktiky
Některé typy použití jsou považovány za natolik nebezpečné, že jsou zakázané. Nejde o zákaz všech reklam, doporučení nebo profilování. Rozhoduje konkrétní způsob použití, manipulativní účinek, zranitelnost člověka a možnost významné újmy.
Mezi zakázané nebo zásadně omezené praktiky patří zejména:
- manipulativní nebo klamavé techniky, které významně narušují schopnost člověka učinit informované rozhodnutí a mohou způsobit významnou újmu,
- využívání zranitelnosti lidí kvůli věku, zdravotnímu postižení nebo sociální či ekonomické situaci za účelem podstatné změny jejich chování s rizikem újmy,
- sociální scoring vedoucí k nespravedlivému nebo nepřiměřenému znevýhodnění,
- predikce trestné činnosti u jednotlivce založená pouze na profilování nebo osobnostních rysech,
- necílené vytváření databází obličejů stahováním obrázků z internetu nebo kamerových záznamů,
- odvozování citlivých vlastností z biometrických údajů v zakázaných kontextech,
- rozpoznávání emocí na pracovišti a ve vzdělávacích institucích s omezenými výjimkami,
- některé formy biometrické identifikace v reálném čase na veřejných místech,
- praktiky spojené s vytvářením neconsensuálního sexuálně explicitního obsahu nebo materiálu zobrazujícího sexuální zneužívání dětí podle novějších úprav.
Zakázaná praktika se neposuzuje pouze podle názvu produktu. Rozhoduje funkce a okolnosti nasazení. Systém doporučení produktů proto není automaticky zakázaný, ale může být problematický, pokud skrytě využívá zranitelnost člověka k významné škodě.
2. Vysoce rizikové AI systémy
Vysoce riziková AI není automaticky zakázaná. Je povolená, ale pouze při splnění přísných požadavků. Do této kategorie mohou spadat systémy používané v zaměstnávání, vzdělávání, kritické infrastruktuře, některých veřejných službách, migraci, biometrice, policii, justici a dalších oblastech uvedených v nařízení.
Typické příklady:
- třídění a hodnocení uchazečů o zaměstnání,
- doporučování přijetí, povýšení, propuštění nebo přidělení úkolu,
- hodnocení výsledků a pracovního výkonu,
- rozhodování o přístupu ke vzdělávání nebo hodnocení zkoušek,
- posuzování úvěruschopnosti nebo přístupu k některým základním službám,
- AI v kritické infrastruktuře, kde selhání může ohrozit zdraví nebo bezpečnost,
- některé systémy pro biometrickou identifikaci a kategorizaci,
- podpora vyšetřování, posuzování důkazů, migrace, azylu a soudního rozhodování.
Běžné použití ChatGPT k úpravě pracovního inzerátu vysokým rizikem obvykle není. Systém, který automaticky vyřazuje uchazeče nebo doporučuje, koho přijmout, může být zásadně odlišný případ. U hranice nerozhoduje marketingový název, ale skutečná funkce a účinek.
3. Transparentnost
Některé systémy nemusí být vysoce rizikové, ale člověk by měl vědět, že komunikuje s AI nebo že je vystaven AI vytvořenému či upravenému obsahu. Tato pravidla se v důležité části začínají používat od 2. srpna 2026.
Prakticky se týkají například chatbotů, deepfake obsahu, generativních systémů a systémů pro rozpoznávání emocí nebo biometrickou kategorizaci. Povinnost se může týkat poskytovatele, provozovatele nebo obou podle konkrétní situace.
4. Minimální nebo žádné specifické riziko
Velká část běžných použití spadá mimo rozsáhlé speciální povinnosti AI Actu. Patří sem například oprava pravopisu, překlad, interní sumarizace dokumentu, návrh struktury článku, pomoc s programováním, spamový filtr nebo AI filtr ve fotografii.
„Nízké riziko“ však neznamená „bez pravidel“. Pořád mohou platit GDPR, autorské právo, ochrana spotřebitele, zákoník práce, antidiskriminační předpisy, pravidla reklamy, smluvní povinnosti a kybernetická bezpečnost.
Co musí splnit vysoce rizikový systém
U vysoce rizikové AI se odpovědnost nesmí redukovat na jednu stránku podmínek. Poskytovatel potřebuje systém řízení, dokumentaci, testování a dohled nad celým životním cyklem.
Řízení rizik
Rizika je potřeba průběžně identifikovat, vyhodnocovat, omezovat a sledovat. Nestačí jednorázově napsat dokument před spuštěním. Systém se může chovat jinak po změně dat, modelu, uživatelů nebo prostředí.
Data a jejich kvalita
Trénovací, validační a testovací data mají být relevantní, reprezentativní, dostatečně úplná a vhodná pro daný účel. Je nutné řešit také chyby, chybějící skupiny, historické zkreslení a možné diskriminační dopady.
Náborový model vytrénovaný převážně na historických rozhodnutích jedné skupiny může kopírovat starou nerovnost. Technicky přesný model proto nemusí být spravedlivý nebo vhodný pro daný účel.
Technická dokumentace
Dokumentace má umožnit pochopit účel systému, jeho architekturu, data, omezení, metriky, testování, rizika, způsob lidského dohledu a předpokládané použití. U dodavatelského řetězce musí být informace předatelné subjektům, které systém integrují do vlastní aplikace.
Logování a dohledatelnost
Systém má umožnit vytvářet záznamy, ze kterých lze zpětně zjistit, co se stalo, jaký vstup byl použit, jaký výstup vznikl a kdo nebo co podle něj rozhodl. Logy musí být navržené s ohledem na bezpečnost, ochranu osobních údajů a přiměřenou dobu uchování.
Lidský dohled
Člověk nemá být pouze formálním razítkem. Musí rozumět omezením systému, umět výstup zpochybnit, nepřijmout doporučení, zasáhnout při chybě a systém v případě potřeby zastavit. U významných rozhodnutí musí být jasné, kdo nese odpovědnost a jak se člověk může proti výsledku ohradit.
Přesnost, odolnost a kybernetická bezpečnost
Požadavky se týkají přiměřené přesnosti, robustnosti, odolnosti vůči chybám a ochrany proti útokům. U generativních a propojených systémů je důležité řešit také prompt injection, únik systémových instrukcí, neoprávněné získání dat a manipulaci se vstupy.
Posouzení shody a registrace
V závislosti na typu systému může být nutné posouzení shody, zapojení oznámeného subjektu, označení CE, registrace v evropské databázi a další kroky před uvedením na trh nebo do provozu. Přesný postup se odvíjí od konkrétního systému, příslušné přílohy a role subjektu.
Monitoring po uvedení na trh
Poskytovatel musí sledovat chování systému v reálném provozu, přijímat hlášení, řešit závažné incidenty a v případě potřeby přijmout nápravná opatření. Provozovatel musí systém používat podle návodu, sledovat jeho provoz a informovat poskytovatele o problémech.
Povinnosti firmy, která AI pouze používá
Firma, která vysoce rizikový systém pouze nasadí, není bez odpovědnosti. Podle role a konkrétního použití může být potřeba:
- používat systém podle instrukcí poskytovatele,
- zajistit kvalifikovaný lidský dohled,
- kontrolovat vhodnost vstupních dat,
- sledovat provoz a uchovávat relevantní logy,
- informovat dotčené zaměstnance nebo osoby,
- provést posouzení dopadu na základní práva, pokud je vyžadováno,
- hlásit závažné incidenty a spolupracovat s úřady.
Příklad: dodavatel poskytne náborový nástroj s dokumentací a omezeními, ale klient jej používá mimo určený účel a slepě přijímá všechny výsledky. To není pouze problém dodavatele. Provozovatel musí mít vlastní pravidla a skutečně vykonávat dohled.
Transparentnost podle článku 50
Od 2. srpna 2026 se uplatňují významné povinnosti transparentnosti podle článku 50. Evropská komise v červenci 2026 zveřejnila pokyny, které mají poskytovatelům a provozovatelům pomoci určit, kdy se povinnosti týkají jejich systému.
Chatbot má přiznat, že je AI
Pokud člověk komunikuje přímo s chatbotem, měl by být informován, že komunikuje se systémem AI, pokud to není z okolností zcela zřejmé. Praktické oznámení může znít: Komunikujete s virtuálním asistentem využívajícím umělou inteligenci. Odpovědi mohou obsahovat nepřesnosti; v důležitých věcech vás spojíme s pracovníkem podpory.
Oznámení má být viditelné, srozumitelné a dostupné v okamžiku interakce. Nestačí schovat informaci do obecných podmínek, pokud uživatel nepozná, že se ptá stroje.
AI obsah má být v relevantních případech označitelný
Poskytovatelé generativních systémů mají navrhovat systémy tak, aby výstupy mohly být strojově rozpoznány jako AI vytvořený nebo upravený obsah. Může jít o metadata, vodoznak, kryptografické označení nebo jiný technický údaj o původu.
Tato povinnost míří především na poskytovatele systému, ne automaticky na každého člověka, který použije AI nástroj pro jednoduchý návrh. Firma si ale musí ověřit, jaké informace a nástroje jí dodavatel poskytuje, pokud AI obsah dále publikuje nebo prodává.
Deepfake
Pokud firma nebo profesionál zveřejní realistický obraz, zvuk nebo video vytvořené či upravené AI tak, že může působit jako autentické, musí být v relevantních případech jasně uvedeno, že jde o uměle vytvořený nebo upravený obsah. U satiry, uměleckého díla nebo fikce existují specifické úpravy způsobu zveřejnění, ale transparentnost se nesmí ztratit.
Text o záležitostech veřejného zájmu
Pokud je AI text publikován za účelem informování veřejnosti o věcech veřejného zájmu, může vzniknout povinnost uvést, že byl vytvořen nebo upraven AI. Nařízení současně pracuje s výjimkou pro texty, které prošly lidskou kontrolou a redakční odpovědností.
To není totéž jako pravidlo, že každý článek, u kterého autor použil AI k opravě stylu, musí být označen „napsala AI“. Rozhoduje míra generování, účel textu, povaha publikace, lidská kontrola a odpovědnost za obsah. U odborného článku je každopádně rozumné uvést lidského autora nebo editora, který fakta skutečně ověřil.
Obecné modely typu ChatGPT a GPAI
AI Act má zvláštní pravidla pro poskytovatele modelů pro obecné účely. Ti musí podle konkrétní role a modelu řešit například technickou dokumentaci, informace pro navazující poskytovatele, politiku respektování autorského práva EU a dostatečně podrobný souhrn trénovacích dat.
Nejvýkonnější modely mohou mít systémové riziko. U nich se očekává důkladnější hodnocení, adversariální testování, řízení systémových rizik, kybernetická bezpečnost a hlášení závažných incidentů. To míří především na tvůrce základních modelů, ne na běžnou českou firmu používající jejich API.
Poskytovatelé GPAI, kteří uvádějí model na trh po 2. srpnu 2025, mají relevantní povinnosti podle harmonogramu AI Actu. U modelů, které byly na trhu už před tímto datem, Evropská komise uvádí přechodný termín do 2. srpna 2027. Od 2. srpna 2026 vstupují do hry také pravomoci Komise v oblasti vymáhání povinností GPAI.
AI gramotnost: důležitá změna v roce 2026
Původní text AI Actu zavedl povinnost poskytovatelů a provozovatelů přijímat opatření k dostatečné úrovni AI gramotnosti lidí, kteří AI používají jejich jménem. V červenci 2026 ale vstoupil v účinnost AI Omnibus, který tuto oblast zjednodušil a posílil roli Komise a členských států při podpoře AI gramotnosti.
Pro firmu je i po této změně rozumné mít základní pravidla a školení. Nejde o automatickou povinnost získat státní certifikát. Jde o to, aby lidé věděli, co nástroj dělá, kde může chybovat, jak chránit data a kdy musí výstup kontrolovat člověk.
Praktické minimum může obsahovat:
- seznam AI nástrojů, které firma používá,
- pravidla pro osobní údaje a obchodní tajemství,
- povinnost ověřit faktická tvrzení a zdroje,
- kontrolu AI vytvořeného kódu, dokumentů a marketingu,
- pravidla pro veřejné označení AI obsahu,
- způsob hlášení chyb, úniků nebo podezřelého výstupu,
- záznam, kdo byl s pravidly seznámen.
AI Act a GDPR nejsou totéž
AI Act nenahrazuje GDPR. Jeden systém může podléhat oběma předpisům současně, protože řeší odlišné otázky.
GDPR se zaměřuje na osobní údaje, právní titul zpracování, informační povinnost, práva subjektů údajů, dobu uchování, předávání dat, bezpečnost a automatizované rozhodování.
AI Act řeší především rizikovost AI systému, bezpečnost, transparentnost, dokumentaci, lidský dohled, kvalitu dat a povinnosti subjektů v AI řetězci.
Pokud firma vloží osobní údaje zákazníků do veřejného AI nástroje, problém není vyřešen tím, že nástroj splňuje nějaký požadavek AI Actu. Stále se řeší právní titul, smlouvy, přenos dat, nastavení dodavatele, účel, informování lidí a zabezpečení.
Časová osa platnosti
AI Act vstoupil v platnost 1. srpna 2024. Jednotlivé části se používají postupně:
- 2. února 2025: začaly se používat zákazy nepřijatelných praktik, definice a původní pravidla AI gramotnosti.
- 2. srpna 2025: začala platit pravidla governance a povinnosti pro poskytovatele GPAI modelů.
- 2. srpna 2026: uplatňuje se velká část dalších pravidel včetně významných transparentních povinností; vstupují také některé pravomoci Komise.
- 2. prosince 2027: podle AI Omnibusu se použijí pravidla pro vysoce rizikové AI systémy v citlivých oblastech, například zaměstnávání, vzdělávání, biometrika, kritická infrastruktura, migrace a veřejné služby.
- 2. srpna 2028: pravidla pro AI zabudovanou do regulovaných fyzických produktů, jako jsou stroje, hračky nebo výtahy.
U harmonogramu je důležité rozlišovat vstup nařízení v platnost, použitelnost konkrétní povinnosti a skutečné vymáhání. Starší články často uvádějí původní termíny před změnou v rámci AI Omnibusu. U projektu s vysokým rizikem proto ověřujte aktuální oficiální zdroje, ne pouze blog z roku 2024 nebo 2025.
Sankce
AI Act umožňuje vysoké pokuty, jejich výše však závisí na druhu porušení, velikosti subjektu a okolnostech. U zakázaných praktik může jít až o 35 milionů eur nebo 7 % celosvětového ročního obratu, podle toho, která částka je vyšší. U jiných významných povinností může horní hranice dosáhnout 15 milionů eur nebo 3 % obratu. Za nesprávné, neúplné nebo zavádějící informace úřadu může jít až o 7,5 milionu eur nebo 1 % obratu.
U malých a středních podniků se u některých sankcí uplatňuje přiměřenější konstrukce s nižší z pevné a procentní částky. Úřad přihlíží k závažnosti, délce porušení, počtu dotčených osob, míře zavinění, spolupráci a velikosti subjektu. Neznamená to, že malá firma automaticky dostane nejvyšší pokutu za každou chybu. Znamená to ale, že ignorování povinností není rozumná strategie.
Co AI Act znamená pro běžnou českou firmu
Většina malých firem nebude certifikovat vlastní základní AI model. Pravděpodobnější je, že používá několik cloudových nástrojů, chatbot, AI funkci v kancelářském softwaru nebo generativní nástroj pro marketing.
První úkol není panika, ale inventura:
- Jaké AI nástroje používáme?
- Kdo je používá a k jakému účelu?
- Jaká data do nich posíláme?
- Obsahují vstupy osobní údaje, smlouvy, hesla nebo obchodní tajemství?
- Vzniká veřejný text, obraz, zvuk nebo video?
- Ovlivňuje výstup zákazníka, zaměstnance nebo přístup ke službě?
- Je AI pouze pomocník, nebo doporučuje či činí rozhodnutí?
- Kdo výstup kontroluje a co se děje při chybě?
Praktický minimální plán pro firmu
1. Vytvořte registr AI nástrojů
Stačí tabulka, která obsahuje název nástroje, dodavatele, účel, uživatele, typ dat, veřejnost výstupu, případné osobní údaje, rizikové signály a odpovědnou osobu. Registr nemusí být složitý. Jeho cílem je zabránit tomu, aby firma nevěděla, jaké nástroje používá a kam odcházejí data.
2. Určete roli firmy
U každého použití zvažte, zda jste uživatel nebo provozovatel, zda nabízíte vlastní aplikaci pod vlastní značkou, zda jste upravili systém do jiné služby a zda klientovi dodáváte pouze integraci, nebo celý AI produkt.
3. Zaveďte pravidla pro data
Interně určete, co se do veřejných a firemních AI nástrojů nesmí vkládat. Zvláštní pozornost věnujte osobním údajům, zdravotním informacím, smlouvám, přístupovým údajům, zdrojovému kódu, cenovým nabídkám a neveřejným údajům klientů.
4. Nastavte lidskou kontrolu
Výstup AI není automaticky pravdivý. U běžného brainstormingu může stačit rychlá redakční kontrola. U právního, finančního, zdravotního, bezpečnostního nebo veřejně publikovaného obsahu musí být kontrola důkladnější. Záznam o tom, kdo obsah ověřil, může být důležitější než samotný prompt.
5. Evidujte důležité rozhodnutí
U citlivých systémů si ponechte informace o účelu, verzi nástroje, datech, omezeních, lidském zásahu, incidentu a přijatém opatření. Nemusíte logovat každý návrh sloganu, ale u náboru, hodnocení, úvěru nebo bezpečnosti musí být dohledatelné, jak systém fungoval.
6. Proškolte tým
Krátké školení může vysvětlit halucinace, ochranu dat, autorská práva, bezpečnost, kontrolu kódu, označování obsahu a odpovědnost člověka. Školení opakujte při změně významného nástroje nebo procesu. Praktická ukázka s firemními scénáři bývá účinnější než obecná prezentace o AI.
AI Act a webová agentura
Interní používání AI
Agentura může AI používat pro brainstorming, návrhy textů, UX strukturu, překlady, sumarizace, programování nebo ilustrace. Obvykle nejde o vysoce rizikový systém. Pořád je ale nutné chránit klientská data, ověřovat výstupy, řešit licenci a nedovolit, aby do nástroje unikla hesla nebo neveřejný zdrojový kód.
Chatbot pro klientský web
U chatbotu je potřeba informovat návštěvníka, že komunikuje s AI. Dále se řeší ukládání konverzací, osobní údaje, předávání dat poskytovateli modelu, možnost předat dotaz člověku, omezení odpovědí, prompt injection, logování a incidenty.
Chatbot by měl mít jasně vymezený účel. Neměl by například bez dozoru poskytovat závazné právní, zdravotní nebo finanční rady, pokud pro to není navržený, otestovaný a právně posouzený. U důležité situace musí být dostupná cesta k člověku.
AI vyhledávání a doporučování produktů
AI, která pomáhá najít produkt v e-shopu, bývá obvykle méně riziková než AI rozhodující o úvěru nebo zaměstnání. Přesto zkontrolujte, zda doporučení nejsou skrytou diskriminací, klamavou reklamou nebo výsledkem použití osobních údajů bez odpovídajícího právního základu.
Systém pro zaměstnance
AI pro nábor, hodnocení výkonu, přidělování úkolů nebo rozhodnutí o povýšení může spadat do vysoce rizikové oblasti. Nestačí do smlouvy napsat, že za rozhodnutí odpovídá klient. Už návrh systému musí řešit účel, data, lidský dohled, auditovatelnost a možnost nápravy.
AI pro úvěry nebo pojištění
U úvěrů, pojištění a základních služeb je nutná výrazně podrobnější analýza. Počítejte s dokumentací, řízením rizik, posouzením dat, lidským dohledem, logováním a souběhem s GDPR a dalšími předpisy.
Generované obrázky a videa
Stylizovaná ilustrace nebo grafický koncept obvykle není totéž co deepfake. Pokud však realistické video zobrazuje skutečného člověka, který říká nebo dělá něco, co se nestalo, může vzniknout povinnost jasně označit AI úpravu. U klienta si předem potvrďte, zda se používají skutečné podobizny, hlasy nebo chráněné materiály.
Články vytvořené s pomocí AI
Použití AI k návrhu osnovy nebo jazykové korektuře automaticky neznamená, že každý článek musí být označen jako AI obsah. U odborného článku ale musí existovat lidská redakční odpovědnost. Fakta, čísla, právní termíny, zdroje a citace se mají ověřit. AI není zdroj a její sebejistá formulace není důkaz.
Co AI Act neznamená
„Každý AI obrázek musí být označen“
Ne takto jednoduše. Záleží na typu obsahu, roli subjektu, profesionálním použití, realističnosti, veřejném účelu a riziku klamání. U realisticky upraveného obsahu a deepfake situací jsou požadavky jiné než u zjevně stylizované ilustrace.
„AI obsah bude zakázán“
Ne. Nařízení upravuje bezpečnost, transparentnost a odpovědnost. Generativní AI zůstává povolená, pokud je používána v souladu s příslušnými pravidly a dalšími předpisy.
„Každá firma potřebuje AI certifikát“
Ne. Posouzení shody se týká určitých vysoce rizikových systémů. Běžná firma používající AI pro překlad nebo interní návrhy obvykle nebude certifikovat základní model.
„Stačí napsat, že za chybu odpovídá uživatel“
Samotná smluvní věta neruší zákonné povinnosti poskytovatele nebo provozovatele. Smlouva může rozdělit odpovědnosti, ale nemůže změnit skutečnou roli firmy ani legalizovat zakázané použití.
„AI Act řeší autorská práva úplně“
Ne. Obsahuje některé povinnosti poskytovatelů GPAI, například politiku respektování autorského práva EU a souhrn trénovacích dat. Konkrétní otázky licencí, výstupů, podobizny a použití děl se řeší také podle autorského práva, smluv a dalších předpisů.
„Když používám americký nástroj, AI Act se mě netýká“
Nesprávně. Firma v EU může být provozovatelem AI systému, i když model poskytuje americká nebo jiná mimoevropská společnost. U dodavatele ověřte podmínky, zpracování dat, region, logování a podporu pro plnění povinností.
Jak připravit AI projekt s klientem
Před vývojem nebo integrací si položte deset otázek:
- Co AI konkrétně dělá a jaký je její účel?
- Koho může výstup ovlivnit?
- Je výstup pouze návrh, nebo ovlivňuje rozhodnutí?
- Jsou použity osobní či citlivé údaje?
- Je systém veřejný, interní nebo určený pro zaměstnance?
- Kdo je poskytovatel a kdo provozovatel?
- Do jaké rizikové kategorie může systém spadat?
- Jak bude zajištěný lidský dohled?
- Co se loguje a jak se hlásí chyba?
- Jak se systém aktualizuje a kdo schvaluje změny?
Tyto otázky neřeší vše, ale odhalí, zda se projekt blíží běžnému pomocníkovi, transparentnímu chatbotu, nebo systému, který vyžaduje právní a technický compliance proces.
Checklist pro českou firmu
- Máme seznam AI nástrojů a vlastníků jednotlivých použití.
- Víme, kde se zpracovávají vstupní data.
- Máme pravidlo pro osobní údaje, hesla a obchodní tajemství.
- Rozlišujeme interní pomocníky, chatboty a rozhodovací systémy.
- Máme nastavenou lidskou kontrolu důležitých výstupů.
- Víme, kdy se AI obsah zveřejňuje a kdy se označuje.
- Kontrolujeme smlouvy a podmínky dodavatelů.
- Máme způsob hlášení chyby nebo incidentu.
- U citlivých systémů řešíme GDPR a další sektorová pravidla.
- Aktualizujeme pravidla podle změn AI Actu a pokynů Evropské komise.
Co si vyžádat od dodavatele AI služby
Před nasazením nástroje se ptejte na to, co se děje s daty a jak lze systém kontrolovat. Minimální sada otázek:
- Kde jsou data zpracovávána a ukládána?
- Používají se vstupy pro trénování nebo zlepšování modelu?
- Jak dlouho se uchovávají logy a kdo k nim má přístup?
- Jaké jsou limity, známé chyby a zakázané účely?
- Jak dodavatel označuje AI výstupy?
- Jak lze získat dokumentaci a informace pro navazující aplikaci?
- Jak se hlásí incident a jaká je reakční doba?
- Co se stane při ukončení služby a jak lze data exportovat?
- Jak dodavatel řeší poddodavatele a změny modelu?
U běžného interního nástroje nemusí být všechny odpovědi stejně podrobné. U klientské aplikace, která zpracovává osobní údaje nebo ovlivňuje rozhodování, by měly být součástí předimplementačního posouzení a smlouvy.
Závěr
EU AI Act není zákaz umělé inteligence. Je to rámec, který spojuje rizikovost, transparentnost, bezpečnost a odpovědnost. Pro většinu malých českých firem nebude hlavním úkolem certifikovat vlastní model. Mnohem důležitější bude vědět, jaké nástroje používají, jaká data do nich vkládají, kdo kontroluje výstupy a zda AI nezasahuje do významných práv nebo rozhodnutí lidí.
Nejrozumnější první krok je jednoduchý: vytvořte registr AI nástrojů, určete vlastníky, nastavte pravidla pro data a lidskou kontrolu a u každého nového projektu zvažte jeho účel a dopad. U chatbotu informujte uživatele. U realistického AI obsahu řešte označení. U náboru, úvěrů, biometriky a dalších citlivých oblastí nepouštějte systém do provozu bez odborného posouzení.
Plánujete AI funkci na webu, chatbot, automatizaci nebo interní systém? Popište nám svůj projekt. Pomůžeme oddělit běžné použití od citlivého procesu, navrhnout lidskou kontrolu, připravit dokumentaci a propojit AI s vaším webem nebo firemním systémem. Prohlédnout si můžete také naše služby, reference a způsob spolupráce.
Ověřené zdroje a další čtení
- Nařízení Evropského parlamentu a Rady (EU) 2024/1689 – úplné znění AI Actu.
- Evropská komise: Navigating the AI Act – aktuální harmonogram a praktické otázky.
- Evropská komise: AI Omnibus enters into force – změny účinné od 27. července 2026.
- Evropská komise: pokyny k transparentnosti – povinnosti podle článku 50 od 2. srpna 2026.
- Evropská komise: Code of Practice pro označování AI obsahu – dobrovolný praktický nástroj pro poskytovatele a provozovatele.
- Evropská komise: guidelines pro poskytovatele GPAI – rozsah povinností obecných modelů.
- Evropská komise: governance a vymáhání AI Actu – role AI Office a národních orgánů.
Právní informace v tomto článku odpovídají ověřeným oficiálním zdrojům dostupným k 6. srpnu 2026. Nařízení a jeho provádění se mohou dále vyvíjet. U konkrétního systému si nechte posoudit skutečné použití, data, role a odpovědnosti.