AI Act v roce 2026: co musí udělat běžná firma, která používá AI

Ve zkratce: Běžnou firmu, která AI používá a sama ji nevyvíjí, se AI Act týká hlavně ve dvou bodech: lidé mají rozumět nástrojům, se kterými pracují (AI gramotnost, platí od 2. 2. 2025), a kde s AI mluví zákazníci, musí to vědět (označení podle článku 50, platí od 2. 8. 2026). Od 2. 8. 2026 se obojí kontroluje. Přísná pravidla pro vysoce rizikové systémy se podle dohody o balíčku Digital Omnibus posouvají na prosinec 2027 a srpen 2028. Stav k 1. 11. 2026.

Co je AI Act?

AI Act je nařízení Evropské unie 2024/1689 o umělé inteligenci. Jako nařízení platí přímo ve všech členských státech, bez českého prováděcího zákona. Dělí AI podle rizika: některé praktiky zakazuje úplně (třeba manipulaci zranitelných lidí), u vysoce rizikových systémů vyžaduje přísná pravidla a u běžných nástrojů chce hlavně průhlednost a proškolené lidi.

Pro majitele střední firmy z toho plyne dobrá zpráva: pokud AI používáte na e-maily, nabídky, faktury nebo vyhledávání v dokumentech, nejste v kategorii, která by vyžadovala certifikace a audity. Pár povinností ale máte a od srpna 2026 se kontrolují.

Jste poskytovatel, nebo uživatel AI?

AI Act rozlišuje dvě hlavní role a povinnosti se podle nich výrazně liší:

Většina malých a středních firem je v roli uživatele, v textu nařízení „zavádějící subjekt“. Když vám asistenta postaví dodavatel na míru, má část povinností on a část vy jako ten, kdo ho používá.

Jaké termíny platí k 1. 11. 2026?

1. 1. 8. 2024: AI Act vstoupil v platnost.
2. 2. 2. 2025: zákaz nepřijatelných praktik a povinnost AI gramotnosti (článek 4).
3. 2. 8. 2025: povinnosti pro poskytovatele velkých obecných modelů (GPAI), tedy pro firmy typu OpenAI nebo Google, ne pro jejich uživatele.
4. 2. 8. 2026: dozor a sankce národních úřadů, povinnosti transparentnosti podle článku 50.
5. 2. 12. 2026: konec přechodného období pro strojově čitelné označení obsahu generovaného AI u systémů uvedených na trh před 2. 8. 2026.
6. 2. 12. 2027: vysoce rizikové systémy z přílohy III (podle dohody o Digital Omnibus).
7. 2. 8. 2028: AI zabudovaná v regulovaných výrobcích z přílohy I, například ve strojích nebo zdravotnických prostředcích.

Termíny vysoce rizikových systémů a přechodné období pro označování pocházejí z dohody o balíčku Digital Omnibus, jak ji 27. 5. 2026 shrnula advokátní kancelář Gibson Dunn. Konečné znění si před důležitým rozhodnutím ověřte v Úředním věstníku EU.

Co znamená povinnost AI gramotnosti?

Článek 4 požaduje, aby lidé, kteří s AI ve firmě pracují, měli dostatečnou úroveň znalostí. Evropská komise ve svých otázkách a odpovědích k AI gramotnosti uvádí přímo příklad firmy, jejíž zaměstnanci píší v ChatGPT reklamní texty: i ta pod článek 4 spadá a lidé mají znát rizika, například to, že AI si občas vymyslí odpověď.

Certifikát ani zkouška se nevyžadují. Podle dohody o Digital Omnibus se povinnost navíc zmírňuje: firma má gramotnost lidí podporovat, ne zaručit konkrétní úroveň. V praxi to znamená:

• sepsat, jaké AI nástroje firma používá a na co,
• krátce proškolit lidi: co do AI nevkládat, jak ověřovat výstupy, kdo odpovídá za výsledek,
• mít o školení záznam (datum, kdo byl, co se probíralo).

Jak takové školení postavit, aby nebylo jen přednáškou, popisujeme v článku Školení AI pro firmy.

Kdy musíte AI označit?

Článek 50 řeší průhlednost. Pro běžnou firmu jsou podstatné tři situace:

• Chat nebo hlasový asistent na webu. Člověk musí vědět, že mluví s AI, pokud to není zřejmé. Stačí viditelný štítek „AI asistent“ a věta na začátku.
• Deepfake. Obrázek, zvuk nebo video, které věrně napodobují skutečné lidi nebo místa, musíte označit jako uměle vytvořené.
• Texty k veřejným tématům. Text generovaný AI, který informuje veřejnost o věcech veřejného zájmu, se označuje, pokud neprošel lidskou redakcí, za kterou někdo odpovídá.

Strojově čitelné značky v generovaném obsahu (vodoznaky) jsou povinností poskytovatelů nástrojů, ne firmy, která je používá. Interní asistent, který majiteli třídí poštu a chystá koncepty, označení navenek nepotřebuje, protože s ním nemluví zákazník. Jak takový asistent funguje, ukazuje stránka AI asistent pro majitele firmy.

Kdy jde o vysoce rizikový systém?

Vysoce rizikové jsou systémy, které rozhodují o lidech nebo jejich bezpečnosti. V příloze III jsou mimo jiné nábor a hodnocení zaměstnanců, hodnocení úvěruschopnosti, vzdělávání nebo hraniční kontrola. Pokud byste chtěli AI nechat třídit uchazeče o práci nebo hodnotit výkon lidí, spadáte sem a od 2. 12. 2027 musíte plnit přísná pravidla: řízení rizik, dokumentaci, lidský dohled a záznamy.

Třídění faktur, odpovědi na poptávky, příprava nabídek ani vyhledávání ve smlouvách vysoce rizikové nejsou. I tak ale platí naše pravidlo: AI připraví, člověk rozhodne. Proč, rozebíráme u AI agentů.

Jaké hrozí pokuty?

Podle článku 99 jsou horní hranice pokut tyto:

U velkých firem platí vyšší z obou částek, u malých a středních firem nižší. Jsou to stropy, ne sazebník. Úřady mají při ukládání pokut zohlednit velikost firmy a závažnost porušení.

Co udělat do konce roku 2026?

1. Sepište nástroje. Kdo ve firmě používá jakou AI a na co. Často se ukáže, že lidé používají i nástroje, o kterých vedení neví.
2. Napište jednostránkové pravidlo. Co se do AI nesmí vkládat (osobní údaje zákazníků, hesla, smlouvy na neschválených nástrojích), kdo výstupy kontroluje, které nástroje jsou schválené.
3. Proškolte lidi a zapište to. Hodina na konkrétních příkladech z vaší firmy stačí jako začátek.
4. Označte AI tam, kde mluví se zákazníky. Chat na webu, hlasový asistent, automatické odpovědi.
5. Zkontrolujte, kde leží data. AI Act se potkává s GDPR. Firemní tarify a servery v EU jsou bezpečnější volba než osobní účty zaměstnanců. Víc v článku Vyhledávání ve firemních dokumentech.

Pokud zároveň spadáte pod nový zákon o kybernetické bezpečnosti, část práce se překrývá. Přehled najdete v článku Nový zákon o kybernetické bezpečnosti (NIS2).

Časté otázky k AI Actu

Týká se AI Act malé firmy, která jen používá ChatGPT?

Ano, ale v malém rozsahu. Firma, jejíž lidé používají AI v práci, musí podle článku 4 podporovat jejich AI gramotnost: lidé mají vědět, jak nástroj funguje a jaká má rizika, třeba vymyšlené odpovědi. Evropská komise tenhle případ uvádí přímo ve svých otázkách a odpovědích.

Od kdy se AI Act kontroluje a pokutuje?

Povinnost AI gramotnosti platí od 2. 2. 2025, dozor a sankce národních úřadů běží od 2. 8. 2026. Od stejného data platí i povinnosti transparentnosti podle článku 50.

Musí firma označit chat na webu jako AI?

Pokud na webu běží AI, se kterou si lidé píšou nebo mluví, musí být jasné, že nejde o člověka, pokud to není zřejmé z okolností. Nejjednodušší je viditelný štítek u chatu a věta na začátku konverzace.

Co se změnilo díky balíčku Digital Omnibus?

Podle dohody z jara 2026 se odkládají povinnosti pro vysoce rizikové systémy: samostatné systémy z přílohy III (například nábor zaměstnanců nebo hodnocení úvěruschopnosti) na 2. 12. 2027 a AI v regulovaných výrobcích na 2. 8. 2028. Povinnost AI gramotnosti zůstává, jen se zmírňuje: firma ji má podporovat, ne zaručit konkrétní úroveň.

Potřebujeme kvůli AI Actu právníka?

Běžná firma, která AI jen používá, většinou ne. Stačí seznam nástrojů, krátké interní pravidlo, proškolení lidí a označení AI tam, kde s ní mluví zákazníci. Pokud AI rozhoduje o lidech, třeba třídí uchazeče o práci, poraďte se s právníkem.

Chcete AI ve firmě používat bez starostí? Na třicetiminutovém hovoru zdarma projdeme, jaké nástroje u vás lidé používají a co z AI Actu se vás týká. Asistenta stavíme tak, aby nic neodesílal sám a data zůstala ve vašem cloudu nebo na serveru v EU. Vybrat termín v kalendáři. Mezitím vám můžeme zdarma zkontrolovat web v rámci auditu zdarma.

Zdroje: Nařízení (EU) 2024/1689 (AI Act), Úřední věstník EU, 12. 7. 2024; Evropská komise: AI Literacy, Questions & Answers (načteno 1. 11. 2026); Gibson Dunn: EU AI Act Omnibus Agreement (27. 5. 2026); AI Act, článek 99: Pokuty (načteno 1. 11. 2026). Článek není právní rada.

• AI Act
• Zákony
• Bezpečnost

Titulní foto: Marco / Pexels