AI Act: otázky k posouzení povinností

Deadline: Části platí od 2.2.2025; obecná použitelnost 2.8.2026. Kapitola III oddíly 1–3 s výjimkou čl. 6 odst. 5 se použijí od 2.12.2027 (příloha III) a 2.8.2028 (příloha I); ověřte také přechodná pravidla čl. 111.

Část A: AI Act Compliance

Checklist použijte až po určení účelu systému, právní role a data použitelnosti. A3–A7, A9–A12 a A15–A17 míří převážně na poskytovatele high-risk systémů, nikoli na každého uživatele GPAI API. Zavádějící subjekt postupuje podle čl. 26; A13 má zvláštní působnost čl. 27. A1/A2 jsou přípravné metody, A14 řízení dodavatelů se samostatnými spouštěči GDPR. Šablona přílohy IV vyžaduje konkrétní důkazy o systému a přezkum; sama není úplnou technickou dokumentací ani garancí přijetí auditorem.

Reference určují požadavky k posouzení, nikoli univerzální seznam povinných metod. Názvy owner systému, drift testing a vyjmenovaná pole protokolů jsou příklady provedení. Články 43, 49, 72 a 73 leží mimo kapitolu III oddíly 1–3: jejich použitelnost neodvozujte jen z tohoto odkladu; určete konkrétní cestu a přechod čl. 111 pro daný systém.

#	Aktivita	Reference	Fáze	Popis
A1	AI Inventura	Čl. 2, 3	Příprava	Seznam všech AI/ML systémů (in-house, třetích stran, embedded)
A1.1	– Interní AI systémy	Čl. 3(1)	Příprava	Data pipeline, recommender, fraud detection
A1.2	Systémy a modely AI třetích stran	Čl. 3 odst. 1, 63	Příprava	Odlišit používaný systém či službu od základního GPAI modelu; posoudit definice a roli
A1.3	– Embedded AI	Čl. 3(1)	Příprava	AI v produktu pro end-users (vč. open-source)
A2	Klasifikace	Čl. 5, 6, 50; přílohy I a III	Analýza	Posoudit zákazy a vysoké riziko; čl. 50 posoudit samostatně, včetně souběhu
A2.1	Zakázané praktiky	Čl. 5	Analýza	Posoudit přesné podmínky a výjimky; omezeno je rozpoznávání emocí v práci/vzdělávání, nikoli každé použití týkající se dětí
A2.2	Vysoce riziková AI	Čl. 6; přílohy I a III	Analýza	Konkrétní účely přílohy III; výrobková/bezpečnostní cesta při všech podmínkách čl. 6 odst. 1–1c
A2.3	Určení role u GPAI	Čl. 3, 25, 53–55	Analýza	Odlišit poskytovatele modelu, návazného systému a zavádějící subjekt; samotné RAG o roli nerozhoduje
A3	AI Governance & QMS	Čl. 16, 17	Governance	Quality Management System pro AI
A3.1	– AI Policy dokument	Čl. 17 odst. 1 (písemné politiky QMS); jinak doporučená governance	Governance	Směrnice: Jak používáme AI, role, proces schvalování
A3.2	– AI governance struktura	Čl. 17	Governance	Odpovědnosti, role, reporting lines
A3.3	Rámec odpovědnosti	Čl. 17 odst. 1 písm. m)	Governance	Rozdělení odpovědností; owner systému je jeden ze způsobů provedení
A4	Risk Management System	Čl. 9	Implementace	Risk management pro high-risk AI
A4.1	– Risk identification	Čl. 9(2)(a)	Implementace	Identifikace rizik pro každý high-risk AI
A4.2	– Risk mitigation	Čl. 9(2)(d)	Implementace	Mitigační opatření
A4.3	– Residual risk assessment	Čl. 9 odst. 5	Implementace	Akceptace zbytkových rizik
A5	Data Governance	Čl. 10	Implementace	Kvalita training dat, reprezentativnost, completeness
A5.1	Kvalita trénovacích, validačních a testovacích dat	Čl. 10 odst. 3	Implementace	Relevantní, dostatečně reprezentativní a v maximální možné míře bez chyb a úplné pro zamýšlený účel
A5.2	– Data bias assessment	Čl. 10(2)(f)	Implementace	Posouzení možných biasů v datech
A5.3	Data governance procedures	Čl. 10 odst. 2; zvláštní kategorie podle čl. 4a	Implementace	Dokumentovat sběr, přípravu, vhodnost a mezery; zpracování podle čl. 4a je výjimečné, nezbytně nutné a podléhá všem jeho podmínkám a zárukám
A6	Technická dokumentace	Čl. 11, 18; příloha IV	Dokumentace	Dokumentace konkrétního systému; poskytovatel uchovává 10 let od uvedení na trh nebo do provozu
A6.1	– Model documentation	Čl. 11, Annex IV	Dokumentace	Architektura, training process, performance
A6.2	Výsledky testování	Čl. 11; příloha IV	Dokumentace	Výsledky testů, benchmarky a jejich omezení
A6.3	Evidence incidentů a nápravy	Čl. 20, 72, 73	Dokumentace	Záznam incidentu, šetření a nápravného opatření podle role
A7	Logging & Record-Keeping	Čl. 12, 19	Implementace	Automatické logování provozu AI systémů
A7.1	Automatické protokolování	Čl. 12 odst. 1–3	Implementace	Události relevantní pro sledovatelnost a příslušné požadavky konkrétního systému; nikoli plošné ukládání všech vstupů/výstupů
A7.2	Retence protokolů	Čl. 19, 26 odst. 6	Implementace	Automaticky generované protokoly pod kontrolou subjektu: přiměřená doba, nejméně 6 měsíců, nestanoví-li jiné právo jinak
A8	Transparentnost	Čl. 13, 26 odst. 11, 50	Implementace	Odlišit návod a interpretovatelnost pro deployera od informací dotčeným osobám; uplatnit příslušnou roli, spouštěč a výjimky
A8.1	Informování o interakci s AI	Čl. 50 odst. 1	Implementace	Poskytovatel informuje fyzické osoby, není-li AI zřejmá z kontextu; posoudit zákonnou výjimku pro vymáhání práva
A8.2	– Instructions for use	Čl. 13	Implementace	Dokumentace pro deployers
A9	Human Oversight	Čl. 14	Implementace	Opatření lidského dohledu úměrná riziku pro high-risk AI
A9.1	Možnost přepsat výstup	Čl. 14 odst. 4 písm. d)	Implementace	Možnost nezohlednit, přepsat nebo zvrátit výstup systému; pokud je to vhodné a přiměřené podle čl. 14 odst. 4
A9.2	– Stop mechanism	Čl. 14(4)(e)	Implementace	Možnost zastavit AI systém; pokud je to vhodné a přiměřené podle čl. 14 odst. 4
A10	Accuracy & Robustness	Čl. 15	Testování	Testing, monitoring, drift detection
A10.1	– Accuracy testing	Čl. 15(1)	Testování	Pravidelné testování přesnosti
A10.2	Testování odolnosti a kybernetické bezpečnosti	Čl. 15 odst. 4–5	Testování	Adversarial testy a testy okrajových případů jsou příklady metod volených podle okolností a rizik systému
A10.3	Drift detection	Čl. 15 odst. 1, 4; čl. 72	Testování	Příklad metody sledování degradace výkonu a škodlivých zpětných vazeb podle rizik systému
A11	Conformity Assessment	Čl. 43, 47-48	Conformity	Posouzení shody pro high-risk AI
A11.1	Interní posouzení	Čl. 43 odst. 2	Conformity	Příloha III body 2–8: interní kontrola podle přílohy VI; biometrická a výrobková cesta podle čl. 43 odst. 1/3
A11.2	– CE marking	Čl. 48	Conformity	Označení CE před uvedením na trh
A12	Registrace	Čl. 49, 71	Conformity	Určit unijní/vnitrostátní registraci, subjekt a působnost podle čl. 49 odst. 1–5; ne každý high-risk systém patří do databáze EU
A12.1	Registrace poskytovatele	Čl. 49 odst. 1	Conformity	Poskytovatel/zástupce registruje sebe a systém přílohy III mimo bod 2 před uvedením na trh nebo do provozu
A12.2	Další registrační pravidla	Čl. 49 odst. 2–5	Conformity	Výjimka čl. 6 odst. 3: registrace poskytovatele/systému; zavádějící subjekty, které jsou veřejnými orgány, orgány, institucemi či jinými subjekty Unie nebo osobami jednajícími jejich jménem, registrují použití podle odst. 3; pro určené oblasti zabezpečená neveřejná část; bod 2 přílohy III se registruje vnitrostátně
A13	FRIA (Deployers)	Čl. 27	Governance	Fundamental Rights Impact Assessment
A13.1	Působnost FRIA	Čl. 27 odst. 1	Governance	Veřejnoprávní subjekty, soukromí poskytovatelé veřejných služeb a použití přílohy III bod 5 písm. b)/c); bod 2 přílohy III vyňat
A13.2	Oznámení FRIA	Čl. 27 odst. 3	Governance	Výsledky příslušnému orgánu dozoru tam, kde vzniká FRIA povinnost; zohlednit výjimku ustanovení
A14	Prověření dodavatele AI	Doporučená governance; relevantní GDPR	Governance	Prověřit ochranu dat, bezpečnost, podmínky a podklady; nejde o obecnou povinnost deployera dle kapitoly V
A14.1	DPA, pokud je dodavatel zpracovatelem	GDPR čl. 28	Governance	Smlouva při zpracování osobních údajů vaším jménem
A14.2	Podmínky a zamýšlené použití	Smlouva; čl. 13, 26 odst. 1 pro high-risk	Governance	Ověřit povolené účely a příslušný návod poskytovatele
A14.3	Pravidla pro osobní údaje	GDPR čl. 5, 6, 9, 32, 44–49	Governance	Zákonný účel a titul, minimalizace, zabezpečení a podmínky předání; samotné šifrování nestačí
A14.4	Přiměřené důkazy a protokoly	Doporučení; relevantní čl. 19, 26 odst. 6	Governance	Zaznamenat potřebné události; nejde o plošné ukládání všech GPAI promptů
A15	AI Incident Management	Čl. 72, 73	Monitoring	Procedura hlášení AI incidentů
A15.1	– Incident classification	Čl. 73	Monitoring	Klasifikace závažnosti AI incidentů
A15.2	– Serious incident reporting	Čl. 73(1)	Monitoring	Hlášení vážných incidentů autoritám
A16	Post-Market Monitoring	Čl. 72	Monitoring	Kontinuální monitoring po nasazení
A16.1	– Monitoring plan	Čl. 72 odst. 3	Monitoring	Plán monitorování po uvedení na trh
A16.2	– Feedback collection	Čl. 72(2)	Monitoring	Sběr zpětné vazby od uživatelů
A17	Bias Testing (High-Risk)	Čl. 10, 15	Testování	Pravidelné testování biasu pro high-risk AI
A17.1	– Bias testing setup	Čl. 10(2)(f)	Testování	Nastavení testování biasu
A17.2	Četnost posouzení biasu	Čl. 10, 15	Testování	Podle rizik a změn systému; měsíční/čtvrtletní kontrola je příklad, ne zákonný interval

Pořadí implementace

Inventura a určení role a působnosti.
Matice použitelných povinností s právními termíny a vlastníky.
Governance, datové, rizikové a technické důkazy pro relevantní high-risk roli.
Testování, náprava a příslušné posouzení shody/registrace před zákonným spouštěčem.

Měsíce v diagramu níže jsou ilustrační projektový plán, nikoli termíny AI Actu. Harmonogram odvoďte od čl. 111 a 113 a skutečného uvedení systému na trh či jeho používání.

Implementační fáze

Zdroje

Primární prameny: AI Act — informativní konsolidované znění k 27. 7. 2026; nařízení (EU) 2026/1744 — vyhlášeno 24. 7. 2026; GDPR — vyhlášené znění 4. 5. 2016.