Evropská regulace umělé inteligence přestala být tématem konferencí a stala se platným právem. AI Act se rozbíhá po částech od roku 2025 a tento týden se pravidla znovu posunula: 27. července 2026 vstoupil v účinnost balíček Digital Omnibus, který část termínů odložil. Většina textů, které dnes na českém internetu najdete, je proto zastaralá. Naší ambicí je nabídnout nejucelenější a zároveň nejpraktičtější přehled AI Actu na českém trhu: co potřebujete vědět jako majitel firmy i jako člověk, který AI ve firmě zavádí, a jak se na regulaci připravit, aniž byste se utopili v paragrafech.
Proč AI Act vůbec vznikl
Evropská unie si vybrala jinou cestu než zbytek světa. Místo aby čekala, jak se AI usadí, rozhodla se napsat pravidla dopředu a stejná pro všech 27 států. Cílem je jednoduchý obchod: firma, která splní pravidla v Česku, je splní i v Německu nebo Francii, protože platí jedno nařízení, ne 27 národních zákonů. Druhým cílem je důvěra. Regulace má lidem dát jistotu, že AI, která rozhoduje o jejich úvěru, práci nebo zdravotní péči, byla postavená zodpovědně a dá se u ní dohledat, kdo za rozhodnutí odpovídá.
AI Act tuhle jistotu nestaví na tom, co model umí, ale na tom, k čemu se používá. Systém, který navrhuje text e-mailu, a systém, který rozhoduje o přijetí do zaměstnání, jsou technicky podobné. Riziko pro člověka je ale nesrovnatelné. Právě tenhle rozdíl je celá logika zákona.
Co AI Act je: jedno nařízení, čtyři úrovně rizika
Formálně jde o Nařízení (EU) 2024/1689. Slovo nařízení je důležité: na rozdíl od směrnice platí přímo, bez toho aby ho každý stát překládal do vlastního zákona. V Česku tedy AI Act platí sám o sobě už od 1. srpna 2024, národní zákon jen doplňuje, kdo ho hlídá a jak se ukládají pokuty. Celá stavba stojí na čtyřech úrovních rizika.
| Úroveň rizika | Příklady | Co to znamená |
|---|---|---|
| Nepřijatelné | Sociální skórování občanů, manipulativní techniky, rozpoznávání emocí v práci a ve škole | Zakázáno. Takový systém nesmíte provozovat vůbec. |
| Vysoké | AI v náboru, hodnocení bonity, pojišťovací riziko, kritická infrastruktura | Povoleno, ale s nejpřísnějšími povinnostmi (dohled, dokumentace, kvalita dat). |
| Omezené | Chatboti, generátory textu a obrázků, deepfakes | Povinnost transparentnosti: člověk musí vědět, že mluví s AI nebo že obsah vytvořila AI. |
| Minimální | Filtry spamu, doporučování produktů, většina běžných nástrojů | Bez zvláštních povinností. Sem spadá naprostá většina firemního použití. |
Pyramida má široký spodek a úzký vrchol schválně. Drtivá většina toho, co firmy s AI dělají, sedí dole v minimálním riziku. Nahoře, kde jsou zákazy a nejtvrdší pravidla, je jen malá výseč použití. První a nejdůležitější úkol každé firmy je proto zjistit, kam v téhle pyramidě jednotlivé své AI nástroje patří.
Zakázané praktiky, které už platí
Na vrcholu pyramidy jsou praktiky, které Evropa považuje za neslučitelné se základními právy. Ty jsou zakázané od 2. února 2025, tedy jako úplně první část zákona. Nejde o hudbu budoucnosti, ale o pravidla platná dnes.
- Sociální skórování, tedy hodnocení lidí podle chování a přisuzování výhod či postihů napříč nesouvisejícími oblastmi.
- Systémy, které cíleně manipulují chování člověka pod hranicí jeho vědomí nebo zneužívají zranitelnosti (věk, zdravotní stav).
- Rozpoznávání emocí na pracovišti a ve školách, až na úzké výjimky ze zdravotních nebo bezpečnostních důvodů.
- Necílené stahování obličejů z internetu nebo kamer za účelem tvorby databází pro rozpoznávání osob.
Digital Omnibus, který vstoupil v platnost 27. července 2026, tenhle seznam ještě rozšířil. Nově zakazuje nástroje, které tvoří intimní obraz člověka bez jeho souhlasu, a materiály zneužívající děti. Firmy mají na sladění se s tímto novým zákazem čas do 2. prosince 2026.
Vysoké riziko: kde regulace opravdu doléhá
Vysoce rizikové systémy jsou jádro celého zákona. Nejsou zakázané, ale nesou nejvíc povinností, protože rozhodují o věcech, které lidem mění život. Zákon je vyjmenovává ve své příloze III v osmi oblastech.
- Biometrika: rozpoznávání a kategorizace osob podle obličeje nebo jiných tělesných znaků.
- Kritická infrastruktura: řízení dodávek energie, vody nebo dopravy.
- Vzdělávání: přijímací řízení, hodnocení studentů, dohled u zkoušek.
- Zaměstnávání: výběr uchazečů, třídění životopisů, hodnocení a přidělování práce lidem.
- Přístup ke službám: posuzování bonity pro úvěr, stanovení pojistného rizika, nárok na dávky.
- Vymáhání práva: hodnocení rizik a nasazení AI u policie a justice.
- Migrace a hranice: posuzování žádostí a řízení kontrol na hranicích.
- Výkon spravedlnosti a demokratické procesy, jako je počítání hlasů.
Časová osa: co platí kdy, a co se právě posunulo
AI Act se nikdy nespustil naráz. Rozbíhá se po vlnách a tady je nejčastější zdroj zmatků, protože termíny se v roce 2026 změnily. Původní plán říkal, že hlavní vlna povinností pro vysoké riziko začne 2. srpna 2026. Balíček Digital Omnibus, přijatý jako Nařízení (EU) 2026/1744 a účinný od 27. července 2026, ale tento termín odložil, a to jen pár dní předtím, než měl začít platit.
Transparentnost: pravidlo, které potká skoro každého
Zatímco vysoké riziko se týká menšiny firem, transparentnost podle článku 50 potká skoro každého, kdo dnes AI nasazuje směrem k zákazníkům. Platí od 2. srpna 2026 a říká tři jednoduché věci. Když si člověk píše s chatbotem, musí vědět, že je to stroj, ne živý operátor. Když firma zveřejní text, obrázek nebo video vytvořené AI, musí to být rozpoznatelné a strojově označené. A když nasadíte systém, který rozpoznává emoce nebo třídí lidi podle biometrie, musíte dotčené osoby informovat.
Pro označování obsahu vytvořeného AI platí drobná úleva: systémy, které byly na trhu už před srpnem 2026, mají na doplnění strojového značení čas do 2. prosince 2026. Nové systémy musí značit hned.
AI gramotnost: povinnost, na kterou se zapomíná
Článek 4 ukládá povinnost, kterou většina firem přehlíží, přestože platí už od února 2025. Kdokoli AI nasazuje nebo dodává, musí zajistit, aby lidé, kteří s ní pracují, měli dostatečnou AI gramotnost: rozuměli tomu, co nástroj dělá, kde jsou jeho hranice a kdy jeho výstup nebrat jako hotovou pravdu. Není to certifikace ani školení podle šablony. Je to doložitelná péče o to, aby vaši lidé AI používali s rozmyslem.
Provider nebo deployer: která strana jste vy
AI Act rozlišuje role a na téhle jedné otázce záleží nejvíc. Provider (poskytovatel) je ten, kdo AI systém vyvíjí a uvádí na trh pod svým jménem. Deployer (provozovatel, uživatel) je ten, kdo hotový systém používá ve své firmě. Naprostá většina českých firem jsou deployeři: berou hotový nástroj a nasazují ho na svá data. A povinnosti deployera jsou výrazně lehčí než povinnosti poskytovatele.
- Řízení rizik a kvality po celou dobu života systému
- Technická dokumentace a záznamy o provozu
- Posouzení shody, označení CE, zápis do databáze EU
- Odpovědnost za robustnost, přesnost a kyberbezpečnost
- Používat systém podle pokynů poskytovatele
- Zajistit lidský dohled a sledovat provoz
- Uchovávat logy a informovat dotčené osoby
- U některých případů posoudit dopad na základní práva
Jeden háček tu ale je. Pokud si hotový systém přeznačíte svým jménem, zásadně ho upravíte nebo ho nasadíte na vysoce rizikový účel, na který nebyl určen, může se z vás podle článku 25 stát poskytovatel se všemi jeho povinnostmi. Hranice mezi rolemi tedy není jen o tom, kdo software napsal, ale i o tom, jak s ním nakládáte.
Velké modely a nástroje jako Claude: kdo nese co
Zvláštní kapitolou jsou obecné modely (GPAI), tedy velké jazykové modely, na kterých stojí dnešní asistenti. Jejich tvůrci mají vlastní povinnosti: dodat technickou dokumentaci, respektovat autorská práva a zveřejnit souhrn dat, na kterých se model učil. Nejsilnější modely nad prahem výpočetního výkonu (10^25 operací při tréninku) mají navíc povinnosti kolem systémových rizik.
Pro běžnou firmu je tu ale jedna dobrá zpráva, kterou stojí za to říct narovinu. Když používáte asistenta postaveného na velkém modelu nad svými firemními daty, jste deployer, ne tvůrce modelu. Povinnosti poskytovatele GPAI leží na tom, kdo model vyrobil, ne na vás. Vaše starost je jiná: jak model nasadíte, k jakým datům ho pustíte a jak nad ním držíte lidský dohled.
Pokuty: proč to není jen papírování
Zákon má zuby a sankce jsou odstupňované podle závažnosti. Platí od srpna 2025.
Procenta se počítají z celosvětového ročního obratu a u velkých firem je vyšší z obou částek. U malých a středních podniků a startupů zákon naopak počítá tu nižší z obou částek, aby pokuta nelikvidovala menší hráče. Enforcement pro zakázané praktiky a velké modely už běží, dozor nad vysokým rizikem se rozběhne s jeho odloženými termíny.
Co to znamená pro běžnou českou firmu
Když si to složíme dohromady, pro typickou českou firmu vyjde střízlivý závěr. Většina toho, co s AI děláte, spadá do minimálního rizika a nenese žádné zvláštní povinnosti. Dvě věci ale potkají skoro každého: transparentnost vůči zákazníkům a AI gramotnost vašich lidí. A pokud používáte AI v náboru, při posuzování bonity nebo v pojištění, dostáváte se do vysokého rizika, kde povinností přibude, byť s termínem posunutým na konec roku 2027.
Jak být AI Act ready, a kde do toho vstupujeme my
Připravenost na AI Act není o jednom nástroji, který si koupíte a máte hotovo. Je o tom, jak máte AI ve firmě postavenou. Na čí infrastruktuře běží. Kdo vidí jaká data. Jestli po každé akci zůstane dohledatelná stopa. Jestli u citlivých rozhodnutí zůstává poslední slovo na člověku. Přesně tyhle základy stavíme, protože AI Act v nich ve skutečnosti mluví o technické architektuře, ne o dokumentech.
- Provoz na vaší vlastní cloudové infrastruktuře znamená kontrolu nad daty a jistotu, že se neukládají do cizí cache.
- Přístup přes MCP server, který nese identitu konkrétního uživatele, dává řízení oprávnění a záznam o každém dotazu.
- Člověk ve smyčce u finálních rozhodnutí naplňuje požadavek na lidský dohled.
- Jeden governovaný prostor s jednou auditní stopou dává dohledatelnost a odpovědnost, kterou zákon žádá.
Řekněme to na rovinu: žádný nástroj sám o sobě z vás neudělá firmu v souladu s AI Actem, protože compliance je z velké části otázka procesů a lidí. Správně postavená infrastruktura ale odstraní většinu tření: audit trail vznikne sám, oprávnění jsou pod kontrolou, data zůstávají u vás. V dalších dvou dílech série ukazujeme, jak na to krok za krokem, a dáváme hotový checklist připravenosti.
AI Act nezastavuje chytré využití AI ve firmě. Žádá od něj dohledatelnost a odpovědnost, tedy věci, které by dobře postavená firma chtěla mít tak jako tak. Pokud vás zajímá, jak by to vypadalo u vás, napište nám. Krátký hovor stačí na to, abychom řekli, co dává smysl a co ne.