Používání modelů GPAI: role a povinnosti

Praktický průvodce pro každou organizaci, která používá AI nástroje obecného účelu.

Kdo je GPAI deployer?

Deployer (zavádějící subjekt, čl. 3 bod 4) používá AI systém pod svou pravomocí v profesním kontextu. „GPAI deployer“ zde prakticky označuje uživatele systémů založených na obecných modelech; nejde o samostatnou zákonnou roli se všemi povinnostmi poskytovatele modelu dle kapitoly V.

Příklady

Scénář	Role vaší firmy
Zaměstnanci používají ChatGPT pro přípravu emailů	Deployer
Vývojáři píší kód s GitHub Copilot	Deployer
Marketing generuje texty v Claude	Deployer
Zákaznický servis nasadil AI chatbot	Deployer
HR screening CVs přes AI nástroj	Deployer
Účetní používá Copilot v Excelu	Deployer

Deployer vs. Provider — klíčové rozlišení

Organizace je zavádějícím subjektem, pokud v rámci své pravomoci používá systém AI při profesní činnosti (čl. 3 body 1 a 4). „GPAI deployer“ zde označuje použití systémů založených na obecných modelech; není to samostatná zákonná role ani označení každého AI nástroje. Samotný počet zaměstnanců, cenový tarif nebo soukromé zařízení nerozhodují. Posuďte skutečné použití a působnost čl. 2, včetně výjimky pro osobní neprofesionální činnost v odst. 10.

Timeline — Co platí a od kdy?

Datum	Co platí	Článek	Status
2.2.2025	AI gramotnost	Čl. 4	✅ JIŽ PLATÍ
2.2.2025	Zakázané praktiky	Čl. 5	✅ JIŽ PLATÍ
2.8.2025	Povinnosti poskytovatelů GPAI modelů, governance a sankce kapitoly XII kromě čl. 101; pokuty podle čl. 101 se použijí od 2.8.2026	Čl. 53–55, čl. 113 písm. b)	✅ JIŽ PLATÍ
2.8.2026	Obecná použitelnost + transparentnost	Čl. 50	✅ JIŽ PLATÍ
2.12.2026	Nové zakázané praktiky (intimní deepfake bez souhlasu, CSAM)	Čl. 5 odst. 1 písm. ba), bb)	⏳
2.12.2026	Poskytovatelé generativních systémů uvedených na trh před 2.8.2026: soulad s čl. 50 odst. 2	Čl. 111 odst. 4	⏳
2.12.2027	High-risk dle přílohy III — včetně povinností podle čl. 26	Čl. 6 odst. 2	⏳
2.8.2028	High-risk dle přílohy I	Čl. 6 odst. 1	⏳

Data pro vysoce rizikové systémy odložilo nařízení (EU) 2026/1744 („Digital Omnibus on AI”, účinné 27. 7. 2026) z původního 2.8.2026, resp. 2.8.2027. Povinností pro GPAI modely se tento odklad netýká — ty platí od 2.8.2025; modely uvedené na trh před tímto datem mají podle čl. 111 odst. 3 čas do 2.8.2027.

Termíny high-risk v tabulce se týkají kapitoly III oddílů 1–3 s výjimkou čl. 6 odst. 5. Vždy posuďte působnost čl. 2, zejména omezený režim přílohy I oddílu B podle odst. 2 a možnost navazujícího omezení podle odst. 13, i přechodná ustanovení čl. 111. Čl. 50 se uplatňuje samostatně podle svého rozsahu.

Článek 26 — Povinnosti zavádějících subjektů vysoce rizikových systémů

Článek 26 nařízení (EU) 2024/1689 patří do kapitoly III oddílu 3 a vztahuje se na subjekty, které zavádějí vysoce rizikové systémy AI. Použije se od 2.12.2027 (příloha III), resp. 2.8.2028 (příloha I).

Osm oblastí níže vysvětluje vybrané povinnosti zavádějícího subjektu high-risk systému. Použijte je v zákonném rozsahu a termínu. Pro běžnou kancelářskou asistenci vybírejte přiměřená opatření podle rizik a smluvních požadavků; zákaznické audity se liší a jejich výsledek nelze zaručit. Následující bloky jsou zkrácená shrnutí ustanovení; praktické kroky uvádějí možné provedení, nikoli zákonem předepsané názvy dokumentů.

(1) Technická a organizační opatření — čl. 26 odst. 1

Subjekty zavádějící vysoce rizikové systémy AI přijmou vhodná technická a organizační opatření s cílem zajistit, že tyto systémy budou používány v souladu s návodem k použití.

Co to znamená prakticky:

Přečtěte si Terms of Service a dokumentaci každého AI nástroje
Dodržujte limity a doporučení poskytovatele (acceptable use policy)
Nepoužívejte AI nástroje k účelům, pro které nejsou určeny
Vytvořte interní AI Acceptable Use Policy (AUP) definující povolené a zakázané použití

(2) Kompetentní osoby pro dohled — čl. 26 odst. 2

Zavádějící subjekty pověří lidským dohledem fyzické osoby, které k tomu mají nezbytnou způsobilost, odbornou přípravu a pravomoc, jakož i potřebnou podporu.

Co to znamená prakticky:

Určete konkrétní osoby odpovědné za AI v organizaci (nemusí být na plný úvazek)
Dejte jim nejen odpovědnost, ale i pravomoc a podporu — bez toho je dohled formalita
Zajistěte způsobilost a přípravu pro konkrétní dohled (čl. 26 odst. 2); čl. 4 ukládá opatření podporující rozvoj gramotnosti, nikoli jeden povinný kurz či certifikát
Doporučeno: CTO/CISO + vedoucí oddělení, která AI aktivně používají
Dokumentujte kompetence a absolvovaná školení

(3) Relevantnost vstupních dat — čl. 26 odst. 4

Zavádějící subjekt zajistí v rozsahu, v jakém vykonává kontrolu nad vstupními údaji, aby s ohledem na zamýšlený účel byla vstupní data relevantní a dostatečně reprezentativní.

Co to znamená prakticky:

Používejte relevantní a reprezentativní vstupy pod svou kontrolou; před vložením osobních či důvěrných dat posuďte zákonnost, minimalizaci, účel a zabezpečení
Definujte pravidla pro to, jaká data smí a nesmí do AI vstupovat
Zvláštní pozor na GDPR — osobní údaje v promptech podléhají zpracování
Vytvořte klasifikaci dat: veřejná / interní / důvěrná / přísně důvěrná + pravidla pro AI

(4) Monitoring fungování AI — čl. 26 odst. 5

Shrnutí čl. 26 odst. 5: monitorujte provoz podle návodu a v příslušných případech informujte poskytovatele podle čl. 72. Máte-li důvod se domnívat, že použití podle návodu může představovat riziko podle čl. 79 odst. 1, bez zbytečného odkladu informujte poskytovatele nebo distributora a orgán dozoru nad trhem a používání pozastavte. Závažný incident neprodleně oznamte nejprve poskytovateli, poté dovozci nebo distributorovi a orgánům dozoru nad trhem. Nelze-li poskytovatele kontaktovat, použije se čl. 73 obdobně.

Co to znamená prakticky:

Pravidelně kontrolujte kvalitu AI výstupů (accuracy, hallucinations, bias)
Zaznamenávejte incidenty — kdy AI poskytlo špatný, zavádějící nebo škodlivý výstup
Nastavte proces pro eskalaci problémů (kdo řeší, jak rychle, komu se hlásí ven)
Při důvodném podezření na riziko podle čl. 79 odst. 1 vyvolané používáním v souladu s návodem používání pozastavte a postupujte podle čl. 26 odst. 5.
Doporučeno: čtvrtletní revize kvality AI výstupů

(5) Informační povinnost vůči zaměstnancům — čl. 26 odst. 7

Zavádějící subjekty, jež jsou zaměstnavateli, před uvedením do provozu nebo používáním vysoce rizikového systému AI na pracovišti informují zástupce zaměstnanců a dotčené pracovníky, že budou jeho používání vystaveni.

Co to znamená prakticky:

Informujte zaměstnance, že v organizaci se používají AI nástroje
Sdělte, které nástroje to jsou a k čemu slouží
Pokud AI ovlivňuje rozhodování o zaměstnancích (hodnocení, plánování), informujte předem
Konzultujte s odbory / zástupci zaměstnanců (pokud existují)
Doporučeno: interní oznámení + FAQ dokument

(6) Uchování protokolů — čl. 26 odst. 6

U příslušných high-risk systémů uchovávejte automaticky generované protokoly pod vaší kontrolou po dobu odpovídající účelu, nejméně šest měsíců, nestanoví-li jiné použitelné právo EU či členského státu jinak.

Určete, které události systém skutečně generuje a které protokoly máte pod kontrolou.
Nevykládejte to jako povinnost ukládat všechny prompty a odpovědi kancelářského asistenta.
Pro osobní údaje v protokolech stanovte retenci, přístupy, minimalizaci a výmaz.
Ověřte export, správu a retenci konkrétního produktu; označení free nebo enterprise samo neprokazuje soulad.

(7) Podklad pro DPIA — čl. 26 odst. 9

Zavádějící subjekty použijí informace poskytnuté podle článku 13 ke splnění své povinnosti provést posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR.

Pozor na přesné znění: čl. 26 odst. 9 sám o sobě povinnost DPIA nezakládá — ta plyne z GDPR. AI Act jen ukládá použít k ní dokumentaci od poskytovatele.

Co to znamená prakticky:

Posuďte pravděpodobné vysoké riziko dle čl. 35 GDPR, včetně rozsáhlých zvláštních kategorií nebo systematického rozsáhlého hodnocení se závažnými účinky; samotný velký rozsah všech osobních údajů není univerzální spouštěč
Zvláště relevantní pro: AI v HR, zákaznickém servisu, marketingové personalizaci
Pro standardní GPAI use (interní asistence bez osobních údajů) DPIA typicky není nutná
V případě pochybností konzultujte s DPO / GDPR specialistou

(8) Spolupráce s dozorovými orgány — čl. 26 odst. 12

Zavádějící subjekty spolupracují s příslušnými orgány na veškerých opatřeních, která tyto orgány v souvislosti s vysoce rizikovým systémem AI přijmou.

Co to znamená prakticky:

Na vyžádání poskytnete informace o svém AI nasazení
Uchovávejte dokumentaci tak, aby byla předložitelná (inventura, AUP, logy, školení)
V ČR odlište gesci MPO od zákonných dozorových pravomocí. ČTÚ ve zprávě z 31. 8. 2026 oznámil nové zářijové oddělení a přípravu dozoru, jehož výkon váže na schválení legislativy. Konkrétní příslušný orgán určujte podle systému a aktuálního práva.
Připravte se na to, že orgán může požádat o přístup k logům, dokumentaci, smlouvám

Článek 50 — Transparenční povinnosti (od 2.8.2026)

Článek 50 je jediným článkem kapitoly IV. Jeho působnost není omezena na vysoce rizikové systémy: může dopadat i na běžné GPAI nasazení, podle role, určení systému a jeho výstupů.

Klíč k jeho pochopení je rozdělení rolí. Každý odstavec míří na někoho jiného:

Odstavec	Koho zavazuje	Co ukládá
odst. 1	Poskytovatele	Systémy určené k přímé interakci s lidmi musí být navrženy tak, aby člověk věděl, že komunikuje s AI — není-li to zřejmé z kontextu
odst. 2	Poskytovatele systémů AI, včetně obecných systémů AI	Syntetické zvukové, obrazové, video či textové výstupy označit ve strojově čitelném formátu a umožnit jejich zjištění jako uměle vytvořených nebo manipulovaných, za podmínek odstavce 2
odst. 3	Zavádějící subjekty	Informovat fyzické osoby vystavené systému rozpoznávání emocí nebo biometrické kategorizace
odst. 4	Zavádějící subjekty	Zveřejnit umělé vytvoření či manipulaci u deepfake; také u takto vytvořeného či manipulovaného textu zveřejněného za účelem informování veřejnosti o věcech veřejného zájmu, za podmínek odstavce 4
odst. 5	Oba	Informace poskytnout jasně a rozlišitelně nejpozději při první interakci nebo expozici, v souladu s požadavky na přístupnost

Co z toho plyne pro vás jako deployera

Zavádějící subjekt posuzuje vlastní povinnosti podle čl. 50 odst. 3 a 4 a způsob informování podle odst. 5. Odstavce 1 a 2 míří na poskytovatele systémů. Prověření dodavatele a nastavení pomáhá řídit rizika; samostatně můžete naplnit i roli poskytovatele systému podle čl. 3 bodu 3 nebo za podmínek čl. 25.

Situace	Kdo to řeší	Příklad provedení podle okolností
Chatbot na webu	Poskytovatel (odst. 1); vy smluvně a nastavením	„Komunikujete s AI asistentem. Pro spojení s člověkem napište ‘operátor’.”
Voicebot na lince	Poskytovatel (odst. 1); vy smluvně a nastavením	„Tento hovor zpracovává AI asistent společnosti XY.”
Marketingové video naplňující definici deepfake	Zavádějící subjekt dle čl. 50 odst. 4	Vhodné zveřejnění; posoudit konkrétní obsah, ne automaticky každého syntetického avatara
AI článek o veřejném dění bez redakční kontroly	Vy (odst. 4)	„Tento text byl vytvořen uměle.”
Rozpoznávání emocí v práci	Nejprve zákaz čl. 5 odst. 1 písm. f)	Běžnou kontrolu docházky nelegalizuje oznámení. Informování dle čl. 50 odst. 3 se týká přípustných použití včetně platné zdravotní/bezpečnostní výjimky

Strojově čitelné označení a přechodná lhůta

Označení podle čl. 50 odst. 2 musí být strojově čitelné a zjistitelné; samotný viditelný text tuto funkci nemusí plnit. Možným technickým řešením jsou například metadata či watermarking. Řešení musí být účinné, interoperabilní, robustní a spolehlivé, pokud je to technicky proveditelné, s přihlédnutím ke zvláštnostem a omezením obsahu, nákladům a obecně uznávanému stavu technologií.

Výjimky

Vymáhání práva — odstavce 1, 2, 3 a 4 obsahují samostatné zákonné výjimky s různými podmínkami. U odst. 1 například zůstává povinnost pro systémy zpřístupněné veřejnosti k hlášení trestných činů; odst. 3 neuvádí stíhání. Výjimku neposuzujte paušálně podle účelu „vymáhání práva“.
Asistenční editace — čl. 50 odst. 2 se neuplatní, pokud AI plní jen asistenční funkci pro standardní editaci nebo podstatně nemění vstupní údaje ani jejich sémantiku
Umělecká a satirická díla — u zjevně uměleckého, tvůrčího, satirického či fiktivního díla je povinnost podle odst. 4 omezena na vhodné zveřejnění, které nebrání zobrazení nebo užívání díla (není to plná výjimka)
Redakční odpovědnost — AI text o věcech veřejného zájmu se neoznačuje, pokud prošel přezkumem člověkem nebo redakční kontrolou a někdo za zveřejnění nese redakční odpovědnost

Kodex správné praxe a pokyny Komise

Nařízení (EU) 2026/1744 nahradilo čl. 50 odst. 7: kodexy nyní podporuje a usnadňuje Komise a posuzuje jejich dostatečnost pro povinnosti odstavců 2 a 4. Stanovisko Komise z 8. 7. 2026 hodnotí konečný kodex jako přiměřený nástroj. Jeho dodržování však samo není nezvratným důkazem souladu; rozhoduje skutečné provedení a posouzení příslušnými orgány.

Kodex správné praxe pro transparentnost AI obsahu (10. 6. 2026) je dobrovolný. Opatření 1.1 pracuje s ikonou „AI“, s vymezenou jazykovou výjimkou a možností ekvivalentního označení. Slova generated nebo modified jsou doporučená. Nejde o jednu povinnou ikonu předepsanou přímo nařízením.
Pokyny Komise k čl. 50 (20. 7. 2026, C(2026) 5054 final) — nezávazné. Závaznou interpretaci může dát jen Soudní dvůr EU. Odkazované C(2026) 5054 final a jeho příloha zachycují schválení obsahu návrhu; průvodní sdělení předpokládá pozdější formální přijetí po dokončení jazykových verzí. Tento údaj popisuje konkrétní odkazovanou verzi, nikoli závěr o neexistenci pozdějšího přijetí.

DPA požadavky — Smlouvy s poskytovateli AI

Smlouva podle čl. 28 GDPR je potřebná, pokud dodavatel zpracovává osobní údaje vaším jménem. Pro důvěrná neosobní data sjednejte odpovídající mlčenlivost a zabezpečení. Před volbou smlouvy určete role samostatného správce a zpracovatele.

Příklady míst pro ověření smluvních podmínek

Ověřte konkrétní službu, účet a smluvní vztah. Následující odkazy jsou výchozí navigace; netvrdí, že každý produkt či tarif zahrnuje stejné smlouvy nebo záruky.

Dodavatel	Místo pro ověření podmínek
OpenAI	Pravidla a podmínky
Anthropic	Smluvní podmínky
Microsoft	Trust Center
Google	Cloud terms
GitHub	Customer terms

Co ověřit ve smlouvě se zpracovatelem

Povinné minimum určuje čl. 28 GDPR. Závazná smlouva nebo jiný právní akt musí vymezit předmět a dobu zpracování, jeho povahu a účel, typ údajů, kategorie subjektů údajů a práva i povinnosti správce. Odstavec 3 dále upravuje dokumentované pokyny včetně předávání (s vymezenou výhradou zákona), mlčenlivost, zabezpečení podle čl. 32, další zpracovatele, pomoc při právech osob a plnění čl. 32–36, výmaz nebo vrácení údajů podle volby správce, informace a audity. Zpracovatel také upozorní na pokyn porušující příslušné předpisy. Písemná forma zahrnuje elektronickou (odst. 9).

Následující kontroly pomáhají posoudit konkrétní AI službu; nenahrazují celý zákonný obsah smlouvy:

Oblast	Co ověřit	Právní souvislost
Účel a pokyny	Které operace zpracovatel provádí vaším jménem a podle jakých pokynů	Čl. 28 odst. 3
Zabezpečení	Vhodná opatření podle rizika, například přístupy, šifrování a reakce na incidenty	Čl. 28 odst. 3 písm. c), čl. 32; nejde o bezpodmínečný požadavek stejného řešení
Místa zpracování a předání	Zda dochází k předání do třetích zemí a jak jsou splněny podmínky kapitoly V	Čl. 28 odst. 3 písm. a), čl. 44; GDPR obecně nepřikazuje všechna data hostovat v EU
Audity	Informace k doložení povinností a umožnění auditů včetně inspekcí	Čl. 28 odst. 3 písm. h)
Další zpracovatelé	Předchozí konkrétní nebo obecné písemné povolení; při obecném povolení informace o změnách a možnost námitky	Čl. 28 odst. 2 a 4
Hlášení porušení zabezpečení osobních údajů	Zpracovatel oznámí porušení správci bez zbytečného odkladu po zjištění. Správce ohlásí porušení příslušnému dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od zjištění, ledaže je riziko pro práva a svobody osob nepravděpodobné; při ohlášení po 72 hodinách uvede důvody zpoždění	Čl. 33 odst. 1 a 2
Ukončení zpracování	Podle volby správce výmaz nebo vrácení všech osobních údajů a výmaz kopií, ledaže právo vyžaduje uložení	Čl. 28 odst. 3 písm. g)
Trénování a nastavení služby	Zda a pro jaký účel se data používají k trénování, s jakou rolí dodavatele a retencí	Ověřte produkt, smlouvu a nastavení; samotný cenový tarif nerozhoduje

Praktické kroky — Implementační checklist

Fáze 1: Inventura (Týden 1)

Zmapovat všechny AI nástroje používané v organizaci (formální i neformální)
Identifikovat kdo je používá, k jakému účelu a jak často
Klasifikovat použití: interní asistence / zákaznický kontakt / rozhodování o osobách
Označit deepfake a AI text informující veřejnost o věcech veřejného zájmu; posoudit výjimky čl. 50 odst. 4
Zkontrolovat existující DPA a smlouvy s poskytovateli AI
Identifikovat Shadow AI — nástroje používané bez vědomí vedení
Zdokumentovat výsledky do AI inventáře

Fáze 2: Dokumentace (Týden 2)

Vytvořit AI Acceptable Use Policy (AUP) — co je povoleno, co zakázáno
Definovat schvalovací proces pro zavedení nových AI nástrojů
Určit potřebné události a retenci podle účelu, rizik a práva; čl. 26 odst. 6 použít pouze na příslušné high-risk protokoly pod vaší kontrolou
Připravit oznámení pro zaměstnance o nasazení AI (standard čl. 26 odst. 7)
Definovat klasifikaci dat ve vztahu k AI (co smí/nesmí do promptu)
Zdokumentovat odpovědné osoby za AI dohled (standard čl. 26 odst. 2)
Nastavit označování AI obsahu pro veřejnost (čl. 50 odst. 4) — kdo schvaluje a jak

Fáze 3: Školení (Týden 3)

Opatření podporující gramotnost pracovníků a dalších osob provozujících AI vaším jménem podle rolí, zkušeností, kontextu a dotčených osob (čl. 4)
Specifické školení pro aktivní uživatele AI nástrojů — prompt engineering, bezpečnost, limity
Školení pro management — governance, odpovědnost, compliance
Dokumentace absolvování školení (prezenční listina, certifikát)
Ověření znalostí (quiz, test, praktická ukázka)
Plán aktualizace při změně nástrojů, rolí či rizik; roční revize je doporučený interní interval, nikoli lhůta čl. 4

Fáze 4: Smluvní zajištění (Týden 4)

Uzavřít smlouvy podle čl. 28 s dodavateli jednajícími jako vaši zpracovatelé
Přejít z free tier na enterprise licence (kde je to relevantní)
Zkontrolovat, zda poskytovatelé nepoužívají data k tréninku modelu
Ověřit, zda poskytovatel plní čl. 50 odst. 2 — a do kdy (přechodná lhůta 2.12.2026)
Ověřit geografické umístění zpracování dat (EU preference)
Zkontrolovat sub-zpracovatele u každého poskytovatele

Fáze 5: Monitoring (Průběžně)

Nastavit pravidelnou revizi AI inventáře (čtvrtletně)
Sledovat incidenty a near-misses (špatné AI výstupy, úniky dat)
Aktualizovat AUP podle nových nástrojů a regulací
Provádět audity dodržování AUP (namátkové kontroly)
Monitorovat změny v podmínkách poskytovatelů (ToS updates)
Připravit podklady pro případný dohledový audit

GPAI vs. High-Risk — Kdy potřebujete více

Použití obecného nástroje samo nezakládá high-risk klasifikaci. Při rozhodování o lidech posuďte konkrétní zamýšlený účel podle čl. 6 a přílohy III včetně čl. 6 odst. 3; ne každé takové rozhodnutí je high-risk. Bezpečnost výrobků vyžaduje posouzení přílohy I a sektorových předpisů.

Srovnání povinností

„Doporučeno“ označuje možný postup governance, nikoli zákonnou povinnost či záruku přijetí v zákaznickém auditu. Každé opatření vyžaduje stanovený účel a přiměřené provedení. GPAI není samostatná riziková kategorie; sloupec běžné asistence níže předpokládá použití mimo high-risk. Časové a věcné podmínky jednotlivých ustanovení se posuzují samostatně.

Povinnost	Jiné nevysoce rizikové použití	Běžná GPAI asistence mimo high-risk	Příslušné high-risk použití
AI gramotnost (čl. 4)	✅	✅	✅
Dodržení zákazů (čl. 5)	✅	✅	✅
AUP / interní politika	Doporučeno	Doporučeno	Doporučená forma provedení; čl. 26 odst. 1 vyžaduje vhodná opatření pro použití podle návodu, nikoli dokument nazvaný AUP
DPA s poskytovatelem	Pokud je vaším zpracovatelem	Pokud je vaším zpracovatelem	Pokud je vaším zpracovatelem
Protokolování	Přiměřená governance	Přiměřená governance	Čl. 26 odst. 6: příslušné automatické protokoly pod kontrolou; přiměřeně, nejméně 6 měsíců, nestanoví-li jiné právo jinak
Informování zaměstnanců	Doporučeno	Doporučeno	✅ (čl. 26 odst. 7)
Transparentnost (čl. 50)	Podle účelu/výstupu/role	Podle účelu/výstupu/role a výjimek	Podle účelu/výstupu/role a výjimek
DPIA	Při spouštěči čl. 35 GDPR	Při spouštěči čl. 35 GDPR	Při spouštěči čl. 35 GDPR; využít podklady čl. 13 podle čl. 26 odst. 9
Lidský dohled určenými osobami	Ne	Doporučeno	✅ (čl. 26 odst. 2)
FRIA	Ne	Ne	✅ (čl. 27 — jen některé subjekty)
Risk Management System	Ne	Ne	✅ (čl. 9 — poskytovatel)
Conformity Assessment	Ne	Ne	✅ (poskytovatel)
Registrace systému a subjektu	Poskytovatel při výjimce čl. 6 odst. 3 podle čl. 49 odst. 2	Totéž, pokud se uplatní čl. 6 odst. 3	Poskytovatel podle čl. 49 odst. 1; zavádějící veřejný orgán nebo osoba jednající jeho jménem podle odst. 3. Příloha III bod 2 se registruje vnitrostátně (odst. 5); odst. 4 upravuje omezené části databáze

Nejčastější chyby

1. “GPAI nás netýká, nemáme vlastní AI”

Nemáte vlastní model AI? To samo nevylučuje povinnosti. Použití ChatGPT, Copilotu či Claude pro práci, včetně bezplatného tarifu nebo osobního telefonu, vyžaduje posoudit, zda organizace systém používá v rámci své pravomoci. Pouhé interní neschválení nástroje není automatickou výjimkou. Role poskytovatele a zavádějícího subjektu určujte podle skutečné činnosti.

2. “Máme NDA, stačí to”

NDA chrání důvěrnost informací mezi dvěma stranami. NDA ≠ DPA. Data Processing Agreement (DPA) je specifický smluvní dokument vyžadovaný GDPR (čl. 28), který řeší zpracování osobních údajů. NDA nenahrazuje smlouvu podle čl. 28 tam, kde je tato smlouva potřebná.

3. “Zakážeme AI a máme pokoj”

Zákaz AI nevyřeší problém — vytvoří nový. Zaměstnanci budou AI používat i tak, jen skrytě (Shadow AI). Shadow AI je horší než regulované AI, protože nemáte přehled o tom, jaká data do AI vstupují. Lepší strategie: regulovat, školit a monitorovat.

4. “To řeší IT”

AI governance není IT projekt. Týká se celé organizace — HR (školení, informování zaměstnanců), Legal (smlouvy, compliance), Management (strategie, odpovědnost), Marketing (transparentnost obsahu). IT zajišťuje technickou implementaci, ale vlastníkem je vedení firmy.

5. “Jsme malá firma, na nás se to nevztahuje”

AI Act nemá plošné vynětí malých firem. Určete skutečnou roli a působnost čl. 2: AI gramotnost čl. 4 a zákazy čl. 5 mohou platit bez ohledu na velikost; čl. 26 se týká relevantních high-risk zavádějících subjektů za jeho podmínek a použitelných termínů. Zákon obsahuje podporu a zjednodušení pro vymezené menší subjekty i pravidla pokut MSP a malých podniků se střední tržní kapitalizací podle čl. 99.

6. „O bezpečnosti rozhoduje samotný tarif licence“

Schvalujte konkrétní službu, tarif a nastavení pro určený účel. Ověřte důvěrnost, role při zpracování osobních údajů, trénování, retenci a přístupy. Business či enterprise nabídka může mít vhodné záruky, ale její název není zákonnou povinností ani důkazem souladu každého zpracování.

7. “Čl. 50 se týká jen tvůrců modelů”

Odstavce 3 a 4 čl. 50 míří přímo na zavádějící subjekty. Pokud používáte systém vytvářející nebo manipulující deepfake, posuďte zveřejnění této skutečnosti podle odst. 4. Totéž platí pro vytvořený či manipulovaný text publikovaný za účelem informování veřejnosti o věcech veřejného zájmu. Uplatněte výjimky a omezení tohoto odstavce i způsob informování podle odst. 5. Tato pravidla se použijí od 2.8.2026; přechod čl. 111 odst. 4 se týká pouze povinnosti poskytovatele podle čl. 50 odst. 2.

Sankce za nedodržení

Typ porušení	Právní základ	Maximální pokuta
Zakázané praktiky (čl. 5)	čl. 99 odst. 3	35 mil. EUR nebo 7 % celosvětového ročního obratu
Povinnosti zavádějících subjektů vysoce rizikových systémů (čl. 26)	čl. 99 odst. 4 písm. e)	15 mil. EUR nebo 3 %
Transparenční povinnosti (čl. 50)	čl. 99 odst. 4 písm. g)	15 mil. EUR nebo 3 %
Nesprávné, neúplné nebo zavádějící informace v odpovědi na žádost oznámeného subjektu nebo příslušného vnitrostátního orgánu	čl. 99 odst. 5	7,5 mil. EUR nebo 1 %
AI gramotnost (čl. 4)	čl. 99 odst. 1 — sankce stanoví členský stát	AI Act vlastní horní hranici nestanoví

Platí vyšší z obou hodnot. U MSP včetně startupů se podle čl. 99 odst. 6 naopak použije hodnota nižší; nový odst. 6a (nařízení (EU) 2026/1744) zavádí totéž pro malé podniky se střední tržní kapitalizací — ale jen pro odstavce 4 a 5, ne pro zakázané praktiky podle čl. 5.

Příklad: Firma s obratem 50 mil. EUR poruší čl. 50. Pokud není MSP ani malým podnikem se střední tržní kapitalizací, strop je 15 mil. EUR — tedy vyšší z 15 mil. EUR a 3 % obratu (1,5 mil. EUR). Pokud MSP je, uplatní se hodnota nižší, tedy 1,5 mil. EUR. Právě v tomhle se nejčastěji chybuje: „nebo 3 %” neznamená, že se automaticky počítá procento.

Další kroky

✅ Pochopili jste deployer povinnosti
→ Proveďte AI inventuru
→ Klasifikujte rizika
→ Projděte otázky k posouzení povinností

Zdroje

AI Act — úplné znění (EUR-Lex) — nařízení (EU) 2024/1689
Digital Omnibus on AI (EUR-Lex) — nařízení (EU) 2026/1744, přijato 8. 7. 2026, vyhlášeno 24. 7. 2026, účinné 27. 7. 2026
Článek 26 — Povinnosti zavádějících subjektů vysoce rizikových systémů
Článek 50 — Transparenční povinnosti
AI Act Article Index
Pokyny Komise k čl. 50 (C(2026) 5054 final, 20. 7. 2026) — nezávazné
Kodex správné praxe pro transparentnost AI obsahu (10. 6. 2026) — dobrovolný
EDPB Guidelines on AI

Věcná revize: 6. září 2026. Primární zdroje: AI Act — Arts. 3, 4, 25, 26, 50, 99, GDPR — Arts. 28, 33, 35.