AI Act v praxi: co musí česká firma splnit už dnes a co se odkládá

AI Act je nejcitovanější a zároveň nejhůř pochopená evropská regulace posledních let. Půlka českých článků o něm straší pokutou 35 milionů eur, druhá půlka tvrdí, že „od srpna 2026 platí všechno" — a obojí je špatně. Mezitím Brusel část termínů reálně posunul, takže i články, které byly loni správně, jsou dnes zastaralé.

Tenhle text je praktický přehled pro běžnou českou firmu — ne pro banku, ne pro výrobce zdravotnických přístrojů. Nejsem právník a tohle není právní poradenství; všechna tvrzení mají odkaz na zdroj, ať si je ověříte.

Co je AI Act a proč se v termínech dělá takový zmatek

AI Act (nařízení EU 2024/1689) je přímo použitelné evropské nařízení — platí v Česku bez ohledu na to, jestli parlament stihne přijmout doprovodný zákon. Povinnosti nabíhají postupně v několika vlnách, a přesně tady vzniká zmatek: každá vlna má jiné datum a jedna z nich se navíc v roce 2026 posunula.

Časová osa po změnách:

Ten posun je novinka z jara 2026: Evropská komise navrhla v listopadu 2025 balíček Digital Omnibus a Evropský parlament ho potvrdil 16. června 2026. Termíny pro vysoce rizikové systémy se posunuly o 16, resp. 24 měsíců. Články psané před létem 2026 tedy uvádějí termíny, které už neplatí.

Povinnost č. 1: AI gramotnost — platí už rok a půl

Tohle je věc, kterou většina českých firem vůbec neřeší, přestože platí od 2. února 2025. Článek 4 AI Actu říká: kdo poskytuje nebo používá AI systémy, musí zajistit „dostatečnou úroveň AI gramotnosti" u zaměstnanců a všech, kdo s AI na jeho straně pracují.

Co to konkrétně znamená:

• Týká se to i běžného používání ChatGPT v práci. Nemusíte vyvíjet vlastní AI — stačí, že ji zaměstnanci používají pro firemní úkoly.
• Žádný povinný certifikát, žádný předepsaný počet hodin. Rozsah se odvíjí od toho, jak a k čemu firma AI používá a kdo s ní pracuje.
• Poslat lidem odkaz na video nestačí. Evropská komise v květnu 2025 výslovně uvedla, že rozeslání návodu nebo videa je „neefektivní a nedostatečné" plnění povinnosti.
• Za samotné porušení čl. 4 není v nařízení samostatná pokuta. Vymáhání jde přes vnitrostátní orgány a nedostatečná gramotnost se může projevit jako přitěžující okolnost u jiných porušení — a od srpna 2026 začíná reálné vymáhání.

Co by rozumné školení mělo pokrýt, aby obstálo:

1. Co do AI zadávat a co ne — osobní údaje, obchodní tajemství, data klientů.
2. Jak ověřovat výstupy — modely si vymýšlejí; kdo výstup použije bez kontroly, odpovídá za něj.
3. Kde jsou rizika — autorská práva, GDPR, důvěrnost, diskriminace.
4. Interní pravidla — které nástroje firma povoluje, k čemu a s jakými daty.
5. Doložitelnost — evidence, kdo byl proškolen, kdy a v čem. Bez záznamu se plnění povinnosti prokazuje těžko.

Povinnost č. 2: transparentnost — nabíhá 2. srpna 2026

Tohle je ta část, která se neodkládá a týká se překvapivě mnoha běžných firem. Článek 50 od 2. srpna 2026 vyžaduje čtyři věci:

1. Chatbot se musí přiznat, že je AI. Máte na webu AI chatbota pro zákaznickou podporu? Uživatel musí být informován, že nemluví s člověkem — ledaže je to zjevné.
2. Syntetický obsah musí být strojově označený. Generátory obrázků, zvuku a videa musí výstupy značit (vodoznak, metadata) — tohle je hlavně povinnost poskytovatelů nástrojů.
3. Deepfakes musí být viditelně přiznané. Kdo publikuje AI-generovaný obsah zobrazující reálné osoby, místa nebo události jako skutečné, musí uvést, že jde o umělý obsah.
4. AI text publikovaný jako informování veřejnosti (zprávy, veřejně informační texty) musí nést informaci, že byl vygenerován, pokud neprošel lidskou redakční kontrolou s odpovědností.

Pokuty za porušení transparentnosti: až 15 milionů eur nebo 3 % celosvětového obratu. Pro srovnání — zakázané praktiky (manipulativní AI, social scoring) mají strop 35 milionů eur / 7 % obratu, ale ty běžná firma neprovozuje.

Co to znamená prakticky pro český web nebo e-shop:

• AI chatbot na webu → doplnit jasné označení „jsem AI asistent" na začátek konverzace.
• AI fotky produktů nebo lidí, které vypadají jako skutečné → označit jako AI-generované.
• Blogové články psané s pomocí AI, které prošly vaší redakcí a stojíte si za nimi → povinné označení se na ně nevztahuje (výjimka pro obsah s lidskou redakční odpovědností).

Co se odložilo: vysoce rizikové systémy

„Vysoce rizikové" je v AI Actu právní kategorie, ne pocit. Patří tam AI pro nábor zaměstnanců a hodnocení uchazečů, úvěrové skórování, přístup ke vzdělání, biometrii, kritickou infrastrukturu nebo vymáhání práva (příloha III), a dále AI vestavěná do regulovaných výrobků — zdravotnických přístrojů, strojů, hraček (příloha I).

Pro tyhle systémy platí tvrdé povinnosti: systém řízení rizik, správa dat, technická dokumentace, lidský dohled, registrace. A právě tyhle povinnosti se Digital Omnibusem posunuly:

• samostatné vysoce rizikové systémy (příloha III): 2. prosince 2027
• AI ve výrobcích (příloha I): 2. srpna 2028

Pozor na dvě častá nedorozumění. Za prvé: používat ChatGPT k psaní e-mailů není vysoce rizikové použití. Za druhé: pokud ale AI používáte třeba k předvýběru uchazečů o práci, do kategorie spadnout můžete i jako malá firma — a odklad na 2027 je čas na přípravu, ne důvod to neřešit.

Kdo to bude v Česku hlídat

Hlavním dozorovým orgánem bude Český telekomunikační úřad (ČTÚ) jako jednotné kontaktní místo, vedle něj ČNB pro finanční sektor a ÚOOÚ pro oblast osobních údajů. Český adaptační zákon, který rozdělí kompetence a nastaví národní sankční postupy, se v době psaní tohoto článku teprve dokončuje — povinnosti z nařízení ale platí přímo, bez ohledu na něj.

Checklist pro běžnou firmu

Co mít hotové teď (srpen 2026):

1. Soupis AI nástrojů, které firma používá, a k čemu.
2. Interní pravidla — povolené nástroje, zakázaná data, kontrola výstupů.
3. Proškolený tým se záznamem — kdo, kdy, v čem (čl. 4, platí od 2/2025).
4. Označený chatbot, pokud nějaký na webu běží (čl. 50, od 2. 8. 2026).
5. Označené AI vizuály, které se tváří jako skutečné (čl. 50).
6. Pokud AI zasahuje do náboru, úvěrů nebo hodnocení lidí → zmapovat, zda nejde o vysoce rizikové použití, a začít s přípravou na 12/2027.

A co dělat nemusíte: platit za „AI Act certifikaci zaměstnanců" (žádná povinná neexistuje), panikařit z 35milionové pokuty (ta je za zakázané praktiky, ne za neproškolený tým) a řešit povinnosti výrobců zdravotnických přístrojů, pokud žádné nevyrábíte.

Shrnutí

Pro běžnou českou firmu má AI Act v roce 2026 dvě reálné povinnosti: AI gramotnost zaměstnanců (platí od 2. 2. 2025 — jste rok a půl pozadu, pokud jste nezačali) a transparentnost chatbotů a AI obsahu (od 2. 8. 2026). Vysoce rizikové systémy se odložily na 2. 12. 2027 a 2. 8. 2028 a většiny firem se stejně netýkají. Dozor povede ČTÚ. Nejlevnější cesta ke splnění je jedno pořádné školení s dokumentací a hodina práce na webu s chatbotem.

Školení AI pro firmy a školy dělám — od dvouhodinového úvodu po transformační program, vždy na nástrojích, které tým reálně používá, a se záznamem o proškolení, který splňuje čl. 4. Pokud si nejste jistí, co přesně se vaší firmy týká, ozvěte se — projdeme to na konkrétních nástrojích, ne na paragrafech.

Zdroje a odkazy

• Nařízení (EU) 2024/1689 — AI Act, konsolidované znění — EUR-Lex
• Článek 4 — AI gramotnost a článek 50 — transparentnost — artificialintelligenceact.eu
• Digital Omnibus on AI — stav legislativního procesu — Evropský parlament
• EU agrees Digital Omnibus deal — White & Case k novým termínům 2027/2028
• Tisková zpráva ČTÚ k 2. srpnu 2026 — český dozorový orgán
• Deepfakes, Chatbots, AI-Generated Text — detail povinností čl. 50 — Greenberg Traurig

Praktický přehled, ne právní poradenství. U hraničních případů — nábor, úvěry, biometrie, regulované výrobky — se poraďte s advokátem specializovaným na technologie.