Evropský AI Act (akt o umělé inteligenci) není jen téma pro vývojáře velkých jazykových modelů. Týká se i běžných firem, které AI „jen“ používají: marketingu s ChatGPT, obchodu s Copilotem nebo personálního oddělení, které zkouší automatické třídění životopisů. Od 2. února 2025 navíc platí první povinnosti. V článku najdete, jak AI Act dělí systémy podle rizika, jakou roli v něm hraje vaše firma, jaké jsou termíny a co udělat jako první.
Upozornění: článek je praktické shrnutí ke stavu v únoru 2025, nejde o právní poradenství. U konkrétních situací se obraťte na advokáta.
Co je AI Act a podle čeho dělí AI systémy?
AI Act je nařízení (EU) 2024/1689, které platí přímo ve všech členských státech. Nereguluje technologii jako takovou, ale způsob použití. Stejný jazykový model může být neškodný při psaní newsletteru a vysoce rizikový při hodnocení uchazečů o práci. Nařízení proto pracuje se čtyřmi úrovněmi rizika:
- Nepřijatelné riziko: zakázané praktiky, například sociální skóring, manipulace zneužívající zranitelnost lidí, rozpoznávání emocí na pracovišti a ve školách (s výjimkou zdravotních a bezpečnostních důvodů) nebo plošné stahování fotografií obličejů do databází.
- Vysoké riziko: oblasti vyjmenované v příloze III (zaměstnávání, vzdělávání, úvěrové hodnocení, přístup k základním službám a další) a AI jako bezpečnostní součást regulovaných výrobků. Pro ně platí přísné požadavky.
- Omezené riziko: hlavně povinnosti transparentnosti, typicky chatboti a generovaný obsah.
- Minimální riziko: většina běžného použití, jako jsou spamové filtry, pomoc s texty nebo překlady. Zvláštní povinnosti tu nejsou, kromě AI gramotnosti.
Je vaše firma poskytovatel, nebo zavádějící subjekt?
AI Act rozlišuje několik rolí. Pro běžné firmy jsou podstatné dvě:
- Poskytovatel AI systém nebo model vyvíjí (nebo si ho nechá vyvinout) a uvádí ho na trh či do provozu pod svým jménem. Typicky OpenAI, Microsoft nebo Google, ale i firma, která prodává vlastní AI produkt.
- Zavádějící subjekt (anglicky deployer) AI systém používá při své činnosti. To je většina firem: používáte ChatGPT, Copilot nebo AI funkci ve svém CRM.
Hranice ale není neprůstřelná. Pokud vysoce rizikový systém podstatně upravíte, začnete ho nabízet pod svou značkou nebo obecný nástroj použijete k vysoce rizikovému účelu, můžete se sami stát poskytovatelem se všemi povinnostmi. U interních nástrojů postavených na cizích modelech je proto dobré roli vyjasnit předem.
Kdy začnou platit jednotlivé povinnosti?
Co to znamená pro firmu, která používá ChatGPT nebo Copilot?
AI gramotnost platí už teď
Článek 4 ukládá poskytovatelům i zavádějícím subjektům přijmout opatření, aby lidé, kteří s AI pracují, měli dostatečnou úroveň AI gramotnosti. Nařízení nepředepisuje konkrétní kurz ani certifikát. Smyslem je, aby zaměstnanci rozuměli, co nástroj umí, kde chybuje (třeba když si vymýšlí fakta), co do něj nevkládat a kdy výstup ověřit. Rozsah se odvíjí od toho, kdo, jak a k čemu AI používá.
Pozor na vysoce rizikové použití
Obecný chatbot sám o sobě vysoce rizikový není, rozhoduje účel. Když ho ale personální oddělení použije k třídění uchazečů o práci, hodnocení výkonu nebo rozhodování o povýšení, dostává se do oblasti zaměstnávání, kterou příloha III řadí mezi vysoce rizikové. Od srpna 2026 pak pro takové použití platí přísná pravidla: používat systém podle návodu, zajistit lidský dohled, uchovávat záznamy a informovat dotčené lidi. Pokud podobné nápady ve firmě máte, posuďte je raději hned.
Transparentnost chatbotů a generovaného obsahu
Od 2. srpna 2026 musí být lidem jasné, že komunikují s AI, například s chatbotem na webu. Poskytovatelé generativních nástrojů budou muset výstupy označovat strojově čitelně a kdo zveřejňuje deepfaky (realistické obrázky, video nebo zvuk), musí uvést, že jsou uměle vytvořené. Podobně se označují AI texty zveřejněné k informování veřejnosti o věcech veřejného zájmu, pokud neprošly lidskou redakční kontrolou.
Jaké sankce za porušení hrozí?
- za zakázané praktiky až 35 milionů eur nebo 7 % celosvětového ročního obratu, podle toho, co je vyšší,
- za porušení většiny dalších povinností až 15 milionů eur nebo 3 % obratu,
- za nepravdivé nebo zavádějící informace úřadům až 7,5 milionu eur nebo 1 % obratu.
U malých a středních podniků včetně startupů se uplatní nižší z obou hodnot. Sankční část nařízení se použije od 2. srpna 2025 a konkrétní pravidla vymáhání stanoví jednotlivé členské státy.
Jaké jsou praktické první kroky?
Časté otázky
Týká se AI Act i malé firmy, která používá jen ChatGPT?
Ano, ale v omezené míře. Jako zavádějící subjekt musíte zajistit AI gramotnost lidí, kteří s nástrojem pracují, a nesmíte AI používat k zakázaným praktikám. Další povinnosti vznikají u vysoce rizikových použití a u transparentnosti.
Musíme mít certifikát o školení AI gramotnosti?
Nařízení žádný certifikát nevyžaduje. Rozumné je mít zdokumentováno, jaká opatření jste přijali, kdo prošel školením a jaká interní pravidla platí.
Je chatbot na webu vysoce rizikový systém?
Běžný zákaznický chatbot obvykle ne. Spadá ale pod povinnosti transparentnosti, takže od srpna 2026 musí být uživatelům jasné, že mluví s AI.
Potřebujete s AI Actem pomoct v praxi?
Pomůžeme vám zmapovat, kde ve firmě AI používáte, nastavit srozumitelná pravidla a proškolit tým tak, aby to dávalo smysl i bez právnické hantýrky. Podívejte se na naši službu AI pro firmy nebo nám rovnou napište.
Aktualizace (září 2026): Digitální omnibus k AI posunul termíny pro vysoce rizikové systémy: systémy z přílohy III se budou řídit novými povinnostmi od 2. prosince 2027 a AI v regulovaných výrobcích (příloha I) od 2. srpna 2028. Co dalšího se změnilo a co platí od srpna 2026, shrnujeme v článku AI Act po digitálním omnibusu.
