Přeskočit na obsah

Legislativa

Průvodce propojuje pět regulací s rozhodnutími, která organizace potřebuje zdokumentovat. Jde o navigaci, nikoli o hotové posouzení konkrétní firmy.

Nejprve působnost

RegulaceCo určuje působnostPraktický výstup
AI ActDefinice systému/modelu, role, určený účel, vazba na EU a výjimky čl. 2; u high-risk čl. 6 a přílohy I/IIIInventář, zdůvodněná klasifikace a seznam povinností pro každou roli
NIS2 / český zákonKonkrétní služba, typ subjektu, velikost včetně vazeb na jiné podniky a zvláštní výjimky; česká pravidla vyššího/nižšího režimuZáznam o posouzení regulované služby, režimu a termínech
GDPRVěcná a územní působnost čl. 2–3, konkrétní zpracování a role správce/zpracovatele; nikoli občanství lidíÚčely, právní základy, záznamy zpracování a postupy práv subjektů
Data ActRole uživatele, držitele/příjemce dat, výrobce a poskytovatele související služby nebo služby zpracování dat; konkrétní kapitola a výjimkyMapa datových práv, přístup k datům a smluvní/technický plán změny poskytovatele
DORAVyjmenované finanční subjekty čl. 2 a výjimky; zvláštní rámec dohledu nad kritickými ICT poskytovateli po určení dle čl. 31; běžné ICT smlouvy mají povinnosti i bez tohoto určeníICT rámec, registr smluv, reporting a plán testování podle použitelného režimu

Klíčové povinnosti a jejich hranice

  • AI Act: Opatření k AI gramotnosti dle čl. 4 a původní zákazy čl. 5 již platí, transparentnost dle čl. 50 od 2. 8. 2026, s přechodem dle čl. 111 odst. 4 pro vymezené starší generativní systémy. Technická dokumentace přílohy IV a posouzení shody se týkají relevantních poskytovatelů high-risk systémů. Třetí strana není povinná pro každý systém přílohy III. FRIA dle čl. 27 a GDPR DPIA mají odlišné spouštěče. Používání GPAI API samo nevytváří roli poskytovatele GPAI modelu.
  • NIS2: Použijte národní transpozici a relevantní prováděcí pravidla. ISMS je v českém vyšším režimu podle vyhlášky 409 povinný (s odlišným režimem § 18 ZoKB pro vymezené digitální služby); NIS2 plošně nevyžaduje certifikaci ISO 27001. České ohlášení služby není odloženo na konec roku 2026.
  • GDPR: Určete právní základ pro každý účel a podmínku čl. 9 pro zvláštní kategorie. Souhlas je jedna z možností, nikoli univerzální řešení. Správce hlásí bez zbytečného odkladu a pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné riziko pro práva a svobody osob; zpracovatel oznamuje správci bez zbytečného odkladu.
  • Data Act: Přístup k IoT datům a změna cloudu mají odlišný rozsah. Osobní údaje nadále chrání GDPR a Data Act nedává obecné oprávnění obejít GDPR; není-li žádající uživatel subjektem dotčených osobních údajů, čl. 4 odst. 12 a čl. 5 odst. 7 výslovně vyžadují právní základ dle čl. 6 GDPR a případné podmínky čl. 9 GDPR a čl. 5 odst. 3 ePrivacy. Čl. 40 nepřiřazuje každému porušení přístupu k IoT datům pokutu podle GDPR.
  • DORA: Zjednodušený rámec čl. 16 platí jen pro vyjmenované kategorie. Pokročilé TLPT se vztahuje na subjekty určené podle čl. 26, ne na každou banku či velkou firmu.

Kdy se povinnosti použijí

Datum / spouštěčPovinnost a rozsah
25. 5. 2018GDPR se používá od tohoto dne; nejde o novou povinnost roku 2026.
17. 1. 2025DORA pro subjekty v působnosti čl. 2, s příslušnými výjimkami.
2. 2. 2025AI Act: kapitoly I a II, včetně AI gramotnosti a původních zákazů čl. 5.
2. 8. 2025AI Act: zejména povinnosti poskytovatelů GPAI, governance a sankční rámec, s výjimkou čl. 101. U starších GPAI modelů viz čl. 111 odst. 3.
12. 9. 2025Hlavní použitelnost Data Actu; další přechodná pravidla viz čl. 50.
1. 11. 2025Účinnost českého zákona č. 264/2025 Sb. o kybernetické bezpečnosti.
27. 7. 2026Účinnost Digital Omnibus on AI, nařízení (EU) 2026/1744.
2. 8. 2026Obecná použitelnost AI Actu, včetně transparentnosti dle čl. 50 podle role a druhu systému.
Po 12. 9. 2026Čl. 3 odst. 1 Data Actu: přístup k datům již při návrhu u připojených výrobků a souvisejících služeb uvedených na trh po tomto datu. Nejde o obecný odklad přístupu k datům.
2. 12. 2026AI Act: nové zákazy čl. 5 odst. 1 písm. ba), bb) a související odst. 1a, 1b; také konec přechodné lhůty podle čl. 111 odst. 4 pro čl. 50 odst. 2 u generativních systémů uvedených na trh před 2. 8. 2026.
12. 1. 2027Data Act čl. 29: zákaz poplatků za změnu poskytovatele služeb zpracování dat. Zohledněte výjimky čl. 31 pro vymezené služby na zakázku a dočasné neprodukční testování. Běžné poplatky za službu a přípustné sankce za předčasné ukončení je nutné posuzovat zvlášť.
2. 8. 2027Čl. 111 odst. 3 AI Actu: soulad poskytovatelů GPAI modelů uvedených na trh před 2. 8. 2025.
2. 12. 2027AI Act: kapitola III oddíly 1–3 kromě čl. 6 odst. 5 pro čl. 6 odst. 2 / přílohu III. Další high-risk ustanovení nemají tímto automaticky odloženou použitelnost; zohledněte čl. 111.
2. 8. 2028AI Act: kapitola III oddíly 1–3 kromě čl. 6 odst. 5 pro čl. 6 odst. 1 / přílohu I; zohledněte čl. 111 a zvláštní režim čl. 2 odst. 2 pro oddíl B přílohy I.
Individuálně — ČR/NIS2Ohlášení každé regulované služby zpravidla do 60 dnů od splnění podmínek (§ 6), údaje dle § 11 do 30 dnů od doručení registrace. Podle § 13 odst. 4 se nejpozději do roku od doručení rozhodnutí o registraci dané služby zahajuje plnění opatření; ve stejné lhůtě začíná hlášení dle § 15 odst. 4. Není to roční odklad všech povinností: zvlášť posuďte § 18 pro vymezené digitální služby, změny režimu § 9 a přechod § 71.

Sankce posuzujte podle konkrétního porušení

Zákonná maxima závisejí na deliktu a subjektu. Čl. 99 AI Actu rozlišuje zakázané praktiky, vyjmenované povinnosti provozovatelů a nesprávné informace; MSP a v užším rozsahu malé podniky se střední tržní kapitalizací mají pravidlo nižší hodnoty. Čl. 101 stanoví u poskytovatelů GPAI horní hranici 3 % celosvětového ročního obratu za předchozí účetní období nebo 15 mil. EUR, podle toho, co je vyšší, za podmínek tohoto článku. GDPR čl. 83 rozlišuje dvě skupiny porušení a u podniků vyšší relevantní částku. České sankce NIS2 závisejí na skutkové podstatě a režimu. Sankce DORA pro finanční subjekty upravuje národní právo; penále čl. 35 se týká označených kritických ICT poskytovatelů. Titulková maxima nesčítejte a nepovažujte je za zaručeně ušetřené náklady.

Praktické příklady

PřípadCo prověřit
Skórování úvěruschopnosti fyzických osobAI Act příloha III 5(b), včetně výjimky finančních podvodů; role a FRIA čl. 27, GDPR titul a čl. 22/35; DORA podle subjektu
Anonymní analytikaSkutečnou anonymitu místo pouhé pseudonymizace; účel AI a sektorové bezpečnostní povinnosti se posuzují samostatně
Chytrá továrnaData Act pro připojené výrobky, účel AI a výrobkové předpisy, konkrétní výrobní činnost a velikost pro NIS2, zaměstnanecké údaje pro GDPR
SaaS s AI funkcemiNaplnění definice cloudu, role AI provider/deployer, role při zpracování osobních údajů a exportovatelná data dle Data Actu

Pokračovat

Věcná revize: 6. září 2026. Primární zdroje: AI Act, Digital Omnibus on AI, NIS2, NÚKIB: registrace a lhůty, GDPR, DORA, Data Act.

Právní podklad českých pravidel: 264/2025 Sb..