Firmy, které využívají AI, mají podle AI aktu povinnosti, ať o nich vědí, nebo ne. Kdo je poskytovatel, kdo zavádějící subjekt, co už platí a jak se připravit?
Části nařízení (EU) 2024/1689, známého jako AI akt, začaly nabývat použitelnosti už od února 2025, v srpnu 2026 pak proběhla zatím poslední vlna. Mnoho podnikatelů a firem přesto své povinnosti neplní. Buď si myslí, že se jich AI akt netýká, nebo o povinnostech nevědí.
Cílem tohoto článku je tak srozumitelně vysvětlit pojmy AI aktu, jako jsou systém AI, poskytovatel či zavádějící subjekt, přehledně ukázat, od kdy jaké povinnosti ten který subjekt má, a doplnit, jak je to s českým zákonem o umělé inteligenci a kdo bude povinnosti vymáhat.
Co je systém AI?
Systémem AI je autonomní systém, který ze vstupů odvozuje, jak generovat výstupy, například obsah, doporučení nebo rozhodnutí. Jsou jimi jak obecně dostupné aplikace typu ChatGPT, tak i vlastní řešení využívající AI modely, ať už lokální, či prostřednictvím API.
Kdo je uživatelem, respektive zavádějícím subjektem?
Pojem „uživatel“ AI akt nezná. Návrh z roku 2021 jej sice používal, konečné znění jej však nahradilo pojmem „zavádějící subjekt“ (angl. „deployer“). Tím je každý, kdo systém AI využívá v rámci své pravomoci, výjimkou je jen osobní neprofesionální činnost.
Podnikatel nebo firma se zavádějícím subjektem stávají, jakmile využijí systém AI. Stávají se jím bez ohledu na to, jaký AI nástroj, k čemu a jak využijí, i bez ohledu na to, jaký mají obrat, počet zaměstnanců či který z nich jej využil. Zavádějícím subjektem bude téměř každý.
Kdo však bude poskytovatelem?
Pokud systém AI vyvinete nebo necháte vyvinout a uvedete na trh nebo pod svou značkou uvedete do provozu, byť interně, stáváte se poskytovatelem. Poskytovatelem budete, i když při tom využíváte AI modely od jiných poskytovatelů, například od OpenAI přes jejich API.
Jaká pravidla jsou použitelná a jaká ještě budou?
Od února 2025 se stala použitelnou povinnost poskytovatelů i zavádějících subjektů přijímat opatření k zajištění AI gramotnosti zaměstnanců i dalších osob. Novelizace známá jako Digitální omnibus k AI tuto povinnost zmírnila: určitou úroveň AI gramotnosti už není nutné zaručit.
Od února 2025 se staly použitelnými i zákazy. Jde typicky o manipulaci, sociální kontrolu, porušování soukromí a důstojnosti či překročení pravomocí při prosazování práva. Zákonodárce takové postupy zakázal kvůli nepřiměřeným rizikům, která jsou s nimi spojena.
Od srpna 2026 se staly použitelnými transparentnostní povinnosti. Poskytovatelé musí zajistit, aby lidé věděli, že komunikují se systémem AI, a aby výstupy vytvořené či manipulované s pomocí AI byly ve strojově čitelném formátu označené a zjistitelné.
Pokud jste systém AI uvedli na trh před 2. srpnem 2026, máte na splnění povinnosti zajistit strojové označování AI výstupů i jejich zpětnou verifikaci čas do 2. prosince 2026. Povinnost se vás týká i v případě, že na pozadí využíváte AI model od jiného poskytovatele.
Zavádějící subjekty musí u obrazových, zvukových a video deepfakes zveřejnit, že jde o obsah vytvořený či manipulovaný AI. Stejně musí být označen text o záležitostech veřejného zájmu, pokud neprošel redakční kontrolou nebo za něj nikdo nenese redakční odpovědnost.
Povinnosti týkající se vysoce rizikových systémů AI nabydou použitelnosti 2. prosince 2027, respektive 2. srpna 2028. Za vysoce rizikové se považují například systémy biometrické identifikace na dálku či systémy pro rozpoznávání emocí nebo nábor zaměstnanců.
Jaký je vztah AI aktu k GDPR?
Při využívání AI nesmíme vedle povinností z AI aktu zapomenout ani na povinnosti, které plynou z GDPR a které AI akt nemění. Největší riziko z hlediska GDPR je přirozeně na vstupu: co zaměstnanci napíší a nahrají do AI nástroje. Pokud dochází ke zpracování osobních údajů, je nezbytné věnovat se smluvní dokumentaci s dodavatelem AI.
Kdo bude pravidla kontrolovat a sankcionovat?
Například za porušení transparentnostních povinností hrozí pokuta až 15 milionů EUR nebo až 3 % celkového celosvětového ročního obratu za předchozí finanční rok (u malých a středních podniků platí nižší z obou hodnot).
Návrh zákona o umělé inteligenci ve verzi pro jednání vlády maximální výši pokut nemění. Příslušnými k projednání přestupků určuje Český telekomunikační úřad, Úřad pro ochranu osobních údajů a Českou národní banku. Nad některými dohlíží přímo unijní Úřad pro AI.
Přestože zákon zatím nebyl přijat, povinnosti pro nás platí přímo z AI aktu.
Jak se tedy připravit?
Český telekomunikační úřad doporučuje správně určit vlastní roli, identifikovat konkrétní povinnosti a nastavit procesy a opatření k jejich plnění. Nejdůležitější je však udělat si pořádek v tom, jaké AI nástroje využíváte a jak. Nejproblematičtější je totiž nevědět (tzv. shadow AI).
Právě praktickým dopadům AI aktu se bude věnovat blížící se ICT Konference KKDS: Kam kráčí digitální sítě, která se koná 5. listopadu v pražské Národní technické knihovně.
Mgr. Jakub Charvát je právník, spoluzakladatel právně-technologického startupu Lawrence a doktorand na Katedře trestního práva Právnické fakulty Univerzity Karlovy. Je autorem knihy Trestní odpovědnost umělé inteligence (Wolters Kluwer, 2025). Česká asociace umělé inteligence ho v roce 2025 zařadila mezi TOP 5 Osobností AI v kategorii Právo.
Článek připravila advokátní kancelář BŘEŽEK VÁCHA, právní garant ICT Konference KKDS a člen České fintech asociace.
