Povinnosti a termíny

V lekci Kategorie rizika sis vyzkoušel zařadit firemní použití AI do pater pyramidy. Teď přijde otázka, kterou ti položí každý jednatel: „Dobře, a co přesně musíme udělat a do kdy?“ Odpověď je překvapivě klidná pro většinu firem a docela náročná pro ty, které AI používají při rozhodování o lidech.

Jak už zaznělo v minulé lekci: tohle je vzdělávání, ne právní rada. U termínů to platí dvojnásob. AI Act se v roce 2026 měnil a ještě se měnit může, takže si data vždy ověř v aktuálním znění na stránkách Komise nebo na EUR-Lex.

Proč AI Act nenaběhl najednou

AI Act vstoupil v platnost 1. srpna 2024. „Vstoupit v platnost“ ale neznamená, že od toho dne musí všichni všechno splňovat. Nařízení je platné (je součástí práva), ale jednotlivé části se stávají použitelnými (povinnými) postupně. Firmy a úřady tak měly čas se připravit a Komise měla čas dopsat prováděcí předpisy, pokyny a technické normy.

Platnost a použitelnost(entry into force / application)

Platnost znamená, že předpis existuje jako součást práva. Použitelnost znamená, že se jeho povinnosti skutečně musí dodržovat. AI Act je platný od 1. 8. 2024, ale jeho části se stávají použitelnými postupně až do roku 2030.

Co změnil Digital Omnibus

V listopadu 2025 Komise navrhla balík zjednodušení, takzvaný Digital Omnibus. Jeho část věnovaná AI Actu (Digital Omnibus on AI) navrhla hlavně odložit povinnosti pro vysoce rizikové systémy. Důvod byl praktický: harmonizované technické normy, podle kterých mají poskytovatelé prokazovat splnění požadavků, nebyly hotové, a v mnoha státech ještě nefungovaly dozorové úřady.

Tohle už není jen návrh. Postup byl takový:

• 19. listopadu 2025 Komise předložila návrh.
• 7. května 2026 se Parlament a Rada politicky dohodly.
• V červnu 2026 návrh schválil Evropský parlament a 29. června 2026 Rada.
• 8. července 2026 bylo podepsáno nařízení (EU) 2026/1744, v Úředním věstníku vyšlo 24. července 2026.
• 27. července 2026 vstoupilo v platnost, tedy ještě před původním termínem 2. srpna 2026.

Nejdůležitější změny pro firmy:

• Vysoce rizikové systémy z přílohy III (nábor, vzdělávání, úvěry atd.): povinnosti se posunuly z 2. srpna 2026 na 2. prosince 2027.
• Vysoce rizikové systémy z přílohy I (AI v regulovaných výrobcích): z 2. srpna 2027 na 2. srpna 2028.
• AI gramotnost (článek 4): povinnost se zmírnila. Původní znění chtělo, aby firmy přijaly opatření k zajištění „v co největší míře dostatečné úrovně“ AI gramotnosti. Nově mají poskytovatelé a zavádějící subjekty „přijímat opatření na podporu“ jejího rozvoje. Podrobnosti jsou v lekci Povinnost AI gramotnosti.
• Nové zákazy systémů na nekonsensuální intimní deepfaky a na materiál zneužívající děti, použitelné od 2. prosince 2026.
• Úlevy pro menší firmy: zjednodušená dokumentace a mírnější stropy pokut se nově vztahují nejen na malé a střední podniky, ale i na „malé podniky se střední tržní kapitalizací“ (small mid-caps).

Co Omnibus nezměnil: zákazy z článku 5 platí dál, pravidla pro modely pro obecné účely také a povinnosti transparentnosti z článku 50 se staly použitelnými podle plánu 2. srpna 2026.

Do hloubkySouběžný „digitální omnibus“ a GDPR+

Komise v listopadu 2025 předložila vedle omnibusu k AI i širší návrh zjednodušení digitálních předpisů, který mimo jiné navrhuje změny GDPR a pravidel pro cookies. Je to samostatný legislativní proces. Co z něj platí, se neodvozuj od toho, že omnibus k AI byl přijat. Ochranu osobních údajů při práci s AI řeší lekce Osobní údaje v AI nástrojích.

Časová osa po novele

Datum	Co se stává použitelným
1. 8. 2024	AI Act vstupuje v platnost.
2. 2. 2025	Zakázané praktiky (článek 5) a AI gramotnost (článek 4).
2. 8. 2025	Povinnosti poskytovatelů modelů pro obecné účely (GPAI), pravidla pro dozorové orgány, sankční ustanovení.
27. 7. 2026	Vstupuje v platnost Digital Omnibus, mírnější znění článku 4.
2. 8. 2026	Obecná použitelnost: povinnosti transparentnosti (článek 50), pravomoci Komise ukládat pokuty poskytovatelům GPAI modelů.
2. 12. 2026	Nové zákazy (intimní deepfaky, materiál zneužívající děti). Generativní systémy uvedené na trh před 2. 8. 2026 musí mít strojově čitelné označení výstupů.
2. 8. 2027	GPAI modely uvedené na trh před 2. 8. 2025 musí splňovat povinnosti.
2. 12. 2027	Vysoce rizikové systémy z přílohy III: požadavky i povinnosti poskytovatelů a zavádějících subjektů.
2. 8. 2028	Vysoce rizikové systémy z přílohy I (AI v regulovaných výrobcích).
2. 8. 2030	Vysoce rizikové systémy, které používají veřejné orgány a byly na trhu už dřív.

Kdo v Česku dohlíží

Tady je potřeba poctivě říct, že v době psaní (listopad 2026) není všechno hotové. Ministerstvo průmyslu a obchodu připravilo návrh zákona o umělé inteligenci, který má určit dozorové úřady a upravit sankce. Legislativní rada vlády jeho projednávání v srpnu 2026 přerušila a zákon zatím přijatý nebyl. Podle návrhu má hlavní roli dozoru nad trhem a jednotného kontaktního místa převzít Český telekomunikační úřad (ČTÚ), u finančních institucí Česká národní banka a v otázkách osobních údajů Úřad pro ochranu osobních údajů.

ČTÚ sám uvádí, že byl určen jako jeden z orgánů dozoru nad trhem, a od září 2026 má oddělení pro dohled nad AI. Plné pravomoci ale bude vykonávat až po přijetí zákona. Nad poskytovateli velkých modelů dohlíží přímo Úřad pro AI při Evropské komisi. Po novele má navíc na starosti i systémy AI, které poskytovatel postavil na vlastním modelu pro obecné účely (s některými výjimkami).

Povinnosti zavádějících subjektů u vysoce rizikových systémů

Pokud firma používá vysoce rizikový systém (třeba nástroj na třídění uchazečů nebo hodnocení úvěruschopnosti), má podle článku 26 tyto povinnosti. Pro systémy z přílohy III platí od 2. prosince 2027.

1. Používat systém podle návodu. Poskytovatel musí dodat návod k použití, včetně zamýšleného účelu a omezení. Firma musí přijmout technická a organizační opatření, aby se systém používal v souladu s ním.
2. Zajistit lidský dohled. Dohledem pověřit lidi, kteří k tomu mají způsobilost, školení, pravomoc a podporu. Nestačí, aby někdo výsledky odklikával (o tom víc v lekci Oprávnění a lidská kontrola).
3. Hlídat vstupní data. Pokud firma vstupní data ovládá, musí být relevantní a dostatečně reprezentativní vzhledem k účelu.
4. Sledovat provoz. Když systém představuje riziko, informovat poskytovatele a dozorový orgán a používání pozastavit. Závažné incidenty hlásit.
5. Uchovávat záznamy (logy). Automaticky generované protokoly, pokud jsou pod kontrolou firmy, uchovávat nejméně šest měsíců, pokud jiný předpis nestanoví jinak.
6. Informovat zaměstnance. Zaměstnavatel musí před nasazením na pracovišti informovat zástupce zaměstnanců a dotčené pracovníky.
7. Informovat dotčené lidi. Pokud systém z přílohy III rozhoduje o lidech nebo s rozhodnutím pomáhá, musí to dotčení vědět.
8. Posoudit dopad na základní práva, ale jen některé zavádějící subjekty (článek 27): veřejnoprávní subjekty, soukromé subjekty poskytující veřejné služby a ti, kdo používají systémy pro hodnocení úvěruschopnosti nebo oceňování životního a zdravotního pojištění. Po novele mohou využít části posouzení vlivu na ochranu osobních údajů (DPIA) podle GDPR.

Posouzení dopadu na základní práva(fundamental rights impact assessment, FRIA)

Rozbor, který některé zavádějící subjekty dělají před nasazením vysoce rizikového systému: jak a jak často se bude používat, koho se týká, jaká konkrétní rizika pro ně hrozí, jak vypadá lidský dohled a co se udělá, když se riziko naplní.

Povinnosti poskytovatelů v kostce

Poskytovatel vysoce rizikového systému toho musí udělat podstatně víc. Zavést systém řízení rizik po celou dobu životnosti systému, pracovat s kvalitními a reprezentativními daty, vést technickou dokumentaci, zajistit automatické záznamy, dodat srozumitelný návod, navrhnout systém tak, aby nad ním člověk mohl účinně dohlížet, a zajistit přesnost, odolnost a kybernetickou bezpečnost. K tomu systém řízení kvality, posouzení shody, EU prohlášení o shodě, označení CE, registrace v databázi EU a sledování systému po uvedení na trh.

Pro firmu, která AI jen používá, z toho plyne praktická rada: u vysoce rizikového systému chtěj po dodavateli doklady, že tohle všechno splnil, a návod k použití. Bez nich nemůžeš splnit ani své vlastní povinnosti.

Transparentnost: co musí firma, která AI jen používá

Povinnosti z článku 50 platí od 2. srpna 2026 a pro zavádějící subjekty jsou tři:

• Deepfaky. Pokud firma pomocí AI vytvoří nebo upraví obrázek, zvuk nebo video, které věrohodně napodobuje skutečné lidi, místa či události, musí uvést, že je obsah uměle vytvořený nebo upravený. Typicky video, kde „mluví“ ředitel, který tu větu nikdy neřekl, nebo realistická fotka akce, která se nekonala.
• Text o věcech veřejného zájmu. Pokud firma zveřejní text vytvořený AI, jehož účelem je informovat veřejnost o věcech veřejného zájmu, musí to uvést. Výjimka: text prošel lidskou kontrolou nebo redakční úpravou a někdo za zveřejnění nese redakční odpovědnost. Běžný firemní blog o novém produktu do této kategorie typicky nespadá, zpravodajský web nebo obec informující občany už ano.
• Rozpoznávání emocí a biometrická kategorizace (tam, kde nejsou zakázané): informovat lidi, kterých se to týká.

U chatbotů nese povinnost upozornit, že jde o AI, formálně poskytovatel systému. Pokud si ale firma chatbota postavila sama nad modelem přes API, je poskytovatelem právě ona. A i když chatbota kupuje, je rozumné ověřit, že upozornění opravdu funguje, protože zákazník vidí logo firmy, ne dodavatele.

• U videa s AI avatarem: v úvodu a v popisu „Video vytvořené s pomocí AI. Osoba ve videu je digitální avatar.“
• U chatbota na webu, v první zprávě: „Dobrý den, jsem virtuální asistent (AI). Když budete chtít mluvit s člověkem, napište „operátor“.“
• U upravené fotografie v kampani: drobný štítek „Obrázek upravený pomocí AI“.

Komise v červnu 2026 zveřejnila dobrovolný kodex zásad pro označování obsahu vytvořeného AI, včetně jednotných ikon. Pro praktickou podobu označení je to nejlepší vodítko.

Pokuty

Stropy pokut stanoví článek 99. Platí vždy ta vyšší ze dvou částek (pevná částka, nebo procento z celosvětového ročního obratu za předchozí rok):

Porušení	Maximální pokuta
Zakázané praktiky (článek 5)	35 milionů EUR nebo 7 % obratu
Většina ostatních povinností: poskytovatelé, dovozci, distributoři, zavádějící subjekty (článek 26), transparentnost (článek 50)	15 milionů EUR nebo 3 % obratu
Nepravdivé, neúplné nebo zavádějící informace úřadům	7,5 milionu EUR nebo 1 % obratu

U malých a středních podniků (a u nových malých podniků se střední tržní kapitalizací v druhém a třetím řádku) platí naopak ta nižší z obou částek. Poskytovatelům modelů pro obecné účely může Komise podle článku 101 uložit až 15 milionů EUR nebo 3 % obratu.

Jsou to stropy, ne sazebník. Úřad má zohlednit povahu, závažnost a dobu trvání porušení, velikost firmy a to, jestli spolupracovala. Konkrétní pravidla pro ukládání pokut v Česku má upravit zmíněný adaptační zákon.

Do hloubkyProč jsou pokuty v procentech obratu+

Pevná částka by pro globální technologickou firmu byla zanedbatelná a pro malou českou firmu likvidační. Proto AI Act, podobně jako GDPR, kombinuje obojí. U velkých firem rozhoduje procento (7 % obratu firmy s obratem v desítkách miliard eur je obrovská suma), u malých firem pravidlo „ta nižší z obou částek“ brání tomu, aby jedna pokuta firmu zničila.

V praxi u GDPR úřady ukládají maximální pokuty jen výjimečně a většina řízení končí nápravou nebo nižší pokutou. U AI Actu zatím zkušenosti s vymáháním chybí, takže se nedá spolehlivě odhadnout, jak přísně budou úřady postupovat.

Kontrolní seznam pro firmu, která AI jen používá

Tohle je postup pro typickou českou firmu: AI nástroje kupuje a používá (ChatGPT, Copilot, Gemini, chatbot od dodavatele), sama AI nevyvíjí a nedělá s ní rozhodnutí o úvěrech ani o pojištění.

1. Udělej soupis použití AI. Které nástroje firma používá, kdo je používá a hlavně k čemu. Zeptej se týmů, protože lidé často používají nástroje, o kterých vedení neví. Nejde jen o licence, ale o účely.
2. Každé použití zařaď. Zakázané, vysoce rizikové, transparentnost, minimální riziko (postup z minulé lekce). U hraničních případů si nech poradit.
3. Okamžitě ukonči, co je zakázané. Hlavně cokoli, co měří emoce nebo „náladu“ zaměstnanců.
4. Pohlídej personalistiku. Pokud se AI používá při náboru, hodnocení nebo odměňování lidí, máš čas do 2. prosince 2027, ale připravovat se je potřeba hned: buď použít systém, který na to dodavatel navrhl a dokumentoval, nebo AI k těmto účelům nepoužívat. Neber obecného chatbota jako nástroj na třídění uchazečů.
5. Splň transparentnost. Chatbot na webu se představí jako AI. Deepfaky a realistický upravený obsah označuj. U veřejných textů o věcech veřejného zájmu buď označení, nebo lidská redakce se jménem odpovědné osoby.
6. Podpoř AI gramotnost. Školení, pravidla a podpora pro lidi, kteří s AI pracují, přiměřeně tomu, co dělají. Víc v lekci Povinnost AI gramotnosti.
7. Napiš krátkou směrnici. Které nástroje jsou schválené, k čemu se smějí a nesmějí používat, jaká data do nich nevkládat, jak ověřovat výstupy (navazuje na Jak výstupy ověřovat) a co označovat. Principy odpovědného používání rozebírá lekce Odpovědné používání AI.
8. Zkontroluj GDPR a smlouvy. AI Act neruší GDPR. Osobní údaje v AI nástrojích a smlouvy s dodavateli řeší lekce Osobní údaje v AI nástrojích a Smlouvy s dodavateli.
9. Urči, kdo za to odpovídá, a soupis aktualizuj. Nové nástroje a nové účely přibývají každý měsíc. Jednou za čtvrt roku soupis projdi a hlídej změny předpisů. Jak to zapadá do celkového řízení AI ve firmě, popisuje lekce Škálování a governance.

Co si odnést

• AI Act platí od 1. 8. 2024, ale jeho části se stávají použitelnými postupně: zákazy a AI gramotnost od února 2025, pravidla pro velké modely od srpna 2025, transparentnost od srpna 2026.
• Novela Digital Omnibus (nařízení (EU) 2026/1744, v platnosti od 27. 7. 2026) posunula vysoce rizikové systémy z přílohy III na 2. 12. 2027 a z přílohy I na 2. 8. 2028, zmírnila povinnost AI gramotnosti a přidala zákaz intimních deepfaků.
• Zavádějící subjekt vysoce rizikového systému musí používat systém podle návodu, zajistit kompetentní lidský dohled, hlídat vstupní data, sledovat provoz, uchovávat logy aspoň šest měsíců a informovat zaměstnance i dotčené lidi.
• Firma, která AI jen používá, má od srpna 2026 hlavně povinnosti transparentnosti: označit deepfaky a AI texty o věcech veřejného zájmu, pokud neprošly redakcí.
• Stropy pokut: 35 mil. EUR / 7 % za zakázané praktiky, 15 mil. EUR / 3 % za většinu ostatních povinností, 7,5 mil. EUR / 1 % za nepravdivé informace. Český adaptační zákon s určením dozoru (podle návrhu hlavně ČTÚ) v době psaní přijatý nebyl.

Zdroje a další čtení

• Evropská komise: AI Act a jeho harmonogram – oficiální přehled termínů včetně změn z omnibusu k AI.
• Digital Omnibus on AI: přehled změn (artificialintelligenceact.eu) – neoficiální, ale podrobný přehled změn z nařízení (EU) 2026/1744; závazné znění je na EUR-Lex.
• AI Act v češtině, článek 26: povinnosti zavádějících subjektů – český text článku v neoficiálním prohlížeči.
• ČTÚ: posílení dohledu nad AI (srpen 2026) – role ČTÚ jako orgánu dozoru nad trhem.
• Evropská komise: kodex zásad pro označování obsahu vytvořeného AI – dobrovolný kodex k článku 50.