Přeskočit na obsah

AI Act: působnost a povinnosti

Regulace: EU 2024/1689 Použitelnost: Obecně od 2. 8. 2026, s dřívějšími i pozdějšími termíny. Kapitola III oddíly 1–3, s výjimkou čl. 6 odst. 5, se podle čl. 113 použijí od 2. 12. 2027 pro přílohu III a od 2. 8. 2028 pro přílohu I. Přechodná pravidla existujících systémů a modelů upravuje čl. 111. Oblast: Umělá inteligence

Co je AI Act?

AI Act stanoví pravidla pro systémy a modely umělé inteligence. Povinnosti závisejí zejména na roli organizace, účelu systému, jeho rizicích a datu použitelnosti příslušného ustanovení.

Jak určit požadavky na konkrétní systém

Co ověřitPodle čeho rozhodnout
Zakázané použitíPřesné podmínky a výjimky čl. 5. Název funkce sám nestačí; rozhoduje účel, způsob použití a dopad.
Vysoké rizikoVýrobková cesta čl. 6 odst. 1 / přílohy I nebo vymezené použití podle čl. 6 odst. 2 / přílohy III, včetně podmínek odst. 3.
TransparentnostČl. 50 rozlišuje interakci s AI, syntetický obsah, deepfakes a další konkrétní případy. Povinnosti závisejí na roli a výjimkách a mohou se překrývat s vysokým rizikem.
Ostatní použitíNeznamená automaticky „bez povinností“. Samostatně posuďte AI gramotnost, GDPR, smlouvy a další použitelné předpisy.

Výsledek patří ke konkrétnímu systému a účelu, nikoli k názvu nástroje nebo odvětví. Postup klasifikace uvádí podrobnější otázky.

Klíčové povinnosti

Pro HIGH-RISK AI systémy

Články 9–15 stanoví především požadavky pro poskytovatele vysoce rizikových systémů. Zavádějící subjekty mají odlišné povinnosti podle čl. 26; nepřebírají automaticky celou technickou dokumentaci poskytovatele. U výrobků z přílohy I je nutné určit i příslušnou sektorovou cestu posouzení shody.

PovinnostPopisDeadline
Řízení rizikZavedený, zdokumentovaný a udržovaný systém řízení rizik po celý životní cyklus (čl. 9)Průběžně; testování nejpozději před uvedením na trh nebo do provozu
Data GovernanceKvalita training dat, bias testingPrůběžně
Technická dokumentaceDokumentace podle čl. 11 a přílohy IV; samotný model card nestačíPřed uvedením na trh nebo do provozu, poté aktualizovat
Record KeepingAutomaticky generované protokoly pod kontrolou daného subjektu: přiměřená doba, nejméně 6 měsíců, nestanoví-li jiné právo jinak (čl. 19, 26 odst. 6)Průběžně
Transparentnost vůči zavádějícím subjektůmDostatečná interpretovatelnost a návod k použití podle čl. 13Před uvedením na trh nebo do provozu
Lidský dohledOpatření odpovídající rizikům, míře autonomie a kontextu podle čl. 14Návrh systému a jeho používání
Accuracy & RobustnessTesting, monitoring, drift detectionPrůběžně

Používání systémů založených na GPAI modelech

Povinnosti kapitoly V se týkají poskytovatelů GPAI modelů, nikoli každého zákazníka modelového API. Nejprve určete, zda používáte hotový AI systém, vyvíjíte a dodáváte vlastní systém, nebo poskytujete GPAI model.

  • Ověřte zamýšlený účel, návod, omezení a smluvní podmínky nástroje.
  • Podporujte rozvoj AI gramotnosti pracovníků a dalších osob provozujících AI vaším jménem podle jejich rolí (čl. 4); konkrétní kurz ani certifikát není předepsán.
  • Smlouvu dle čl. 28 GDPR uzavřete, pokud dodavatel zpracovává osobní údaje vaším jménem. Samotná firemní data bez osobních údajů povinnost DPA nezakládají.
  • Určete potřebné důkazy a protokoly pro konkrétní použití; neukládejte automaticky všechny prompty.
  • Před vložením osobních nebo důvěrných dat ověřte zákonný účel, oprávnění, vhodnou smlouvu, případné předání do třetích zemí a přiměřené zabezpečení. Samotné šifrování zpracování nelegalizuje.

Vaše role

RoleDefinicePříklad
ProviderVyvíjí nebo si nechává vyvinout systém/model a uvádí jej na trh, případně systém do provozu, pod svým jménem nebo ochrannou známkouI integrátor vlastní aplikace může být poskytovatelem bez trénování modelu
DeployerPoužívá AI systém pod svou pravomocí v profesním kontextuFirma používající hotového asistenta; vlastní dodávanou aplikaci posoudí samostatně
Dovozce (importer)Osoba nacházející se nebo usazená v EU uvádějící na trh systém nesoucí jméno či značku osoby usazené mimo EUPosoudit skutečné uvedení systému na trh; samotné použití zahraničního API nestačí
DistributorOsoba v dodavatelském řetězci odlišná od poskytovatele či dovozce, která dodává systém na trh EUDalší prodej systému podle podmínek čl. 3

Timeline

Sankce

PorušeníPokuta
Zakázané praktiky (čl. 5)až 35M EUR nebo 7 % celosvětového ročního obratu — podle toho, co je vyšší (čl. 99 odst. 3)
Ostatní povinnosti — vč. povinností pro high-risk AI (čl. 16, 22–24, 26) a transparentnosti (čl. 50)až 15M EUR nebo 3 % obratu — podle toho, co je vyšší (čl. 99 odst. 4)
Nesprávné, neúplné nebo zavádějící informace na žádost oznámených subjektů nebo příslušných vnitrostátních orgánůaž 7,5M EUR nebo 1 % obratu — podle toho, co je vyšší (čl. 99 odst. 5)

Pozor na směr porovnání: u podniků se bere hodnota vyšší z obou, ne nižší. Výjimku mají malé a střední podniky včetně startupů — u nich se použije hodnota nižší (čl. 99 odst. 6). Nařízení (EU) 2026/1744 doplnilo stejné pravidlo pro malé podniky se střední tržní kapitalizací, ale jen pro odst. 4 a 5 — nikoli pro zakázané praktiky (nový čl. 99 odst. 6a).

Příklad (podnik, který není MSP ani malým podnikem se střední tržní kapitalizací): Firma se 100M EUR ročním obratem poruší povinnosti pro high-risk AI. 3 % obratu = 3M EUR, pevný strop je 15M EUR — horní hranice pokuty je tedy vyšší z obou hodnot, 15M EUR; konkrétní výši určí orgán podle čl. 99 odst. 7. U zakázaných praktik by šlo o 7 % = 7M EUR proti stropu 35M EUR, tedy 35M EUR.

Další kroky

  1. Proveďte AI inventuru
  2. Klasifikujte rizika
  3. Projděte checklist
  4. GPAI — Povinnosti deployerů — pokud používáte ChatGPT, Copilot nebo Claude

Zdroje

Primární prameny: AI Act — informativní konsolidované znění k 27. 7. 2026; nařízení (EU) 2026/1744 — vyhlášeno 24. 7. 2026; GDPR — vyhlášené znění 4. 5. 2016.