Termíny a přechodná pravidla
Zákonné termíny a individuální spouštěče
Data popisují použitelnost ustanovení. Organizaci, která začíná projekt dnes, nedávají novou odkladnou lhůtu. Čl. 111 AI Actu obsahuje další přechodná pravidla pro existující systémy a modely; výrobkové a odvětvové předpisy mohou platit již dnes.
| Datum / spouštěč | Povinnost a rozsah |
|---|---|
| 25. 5. 2018 | GDPR se používá od tohoto dne; nejde o novou povinnost roku 2026. |
| 17. 1. 2025 | DORA pro subjekty v působnosti čl. 2, s příslušnými výjimkami. |
| 2. 2. 2025 | AI Act: kapitoly I a II, včetně AI gramotnosti a původních zákazů čl. 5. |
| 2. 8. 2025 | AI Act: zejména povinnosti poskytovatelů GPAI, governance a sankční rámec, s výjimkou čl. 101. U starších GPAI modelů viz čl. 111 odst. 3. |
| 12. 9. 2025 | Hlavní použitelnost Data Actu; další přechodná pravidla viz čl. 50. |
| 1. 11. 2025 | Účinnost českého zákona č. 264/2025 Sb. o kybernetické bezpečnosti. |
| 27. 7. 2026 | Vstup v platnost Digital Omnibus on AI, nařízení (EU) 2026/1744. |
| 2. 8. 2026 | Obecná použitelnost AI Actu, včetně transparentnosti dle čl. 50 podle role a druhu systému. |
| Po 12. 9. 2026 | Čl. 3 odst. 1 Data Actu: přístup k datům již při návrhu u připojených výrobků a souvisejících služeb uvedených na trh po tomto datu. Nejde o obecný odklad přístupu k datům. |
| 2. 12. 2026 | AI Act: nové zákazy čl. 5 odst. 1 písm. ba), bb) a související odst. 1a, 1b; také konec přechodné lhůty podle čl. 111 odst. 4 pro čl. 50 odst. 2 u generativních systémů uvedených na trh před 2. 8. 2026. |
| 12. 1. 2027 | Data Act čl. 29: zákaz poplatků za změnu poskytovatele služeb zpracování dat, s výjimkami podle čl. 31. Běžné poplatky za službu a přípustné sankce za předčasné ukončení je nutné posuzovat zvlášť. |
| 2. 8. 2027 | Čl. 111 odst. 3 AI Actu: soulad poskytovatelů GPAI modelů uvedených na trh před 2. 8. 2025. |
| 2. 12. 2027 | AI Act: použitelnost kapitoly III oddílů 1, 2 a 3 s výjimkou čl. 6 odst. 5 pro vysoce rizikové systémy podle čl. 6 odst. 2 / přílohy III (čl. 113 písm. c)). |
| 2. 8. 2028 | AI Act: použitelnost kapitoly III oddílů 1, 2 a 3 s výjimkou čl. 6 odst. 5 pro vysoce rizikové systémy podle čl. 6 odst. 1 / přílohy I (čl. 113 písm. c)); zohledněte zvláštní režim čl. 2 odst. 2 pro oddíl B přílohy I. |
| Individuálně — ČR/NIS2 | Ohlášení regulované služby zpravidla do 60 dnů od splnění podmínek. V obecném režimu je pro každou regulovanou službu nutné nejpozději do jednoho roku od doručení rozhodnutí o její registraci začít plnit povinnost zavádět a provádět bezpečnostní opatření a hlásit incidenty (§ 13 odst. 4 a § 15 odst. 4 zákona č. 264/2025 Sb.). Zohledněte zvláštní režim digitálních služeb podle § 18 a přechodná ustanovení § 71. |
U existujících vysoce rizikových systémů zohledněte čl. 111 odst. 2 AI Actu. Pro systémy mimo čl. 111 odst. 1, které byly uvedeny na trh nebo do provozu před příslušným datem použitelnosti kapitoly III, váže toto přechodné ustanovení použití nařízení na významné změny jejich návrhu od uvedeného data; zákazy čl. 5 tím nejsou dotčeny. Poskytovatelé a zavádějící subjekty vysoce rizikových systémů určených k použití orgány veřejné moci musí v každém případě přijmout kroky ke splnění požadavků a povinností do 2. srpna 2030.
Čl. 31 Data Actu stanoví výjimky z čl. 29 pro služby, u nichž byla většina hlavních funkcí vytvořena na zakázku pro zvláštní potřeby individuálního zákazníka nebo všechny součásti vyvinuty pro individuálního zákazníka, a které nejsou nabízeny v širokém komerčním měřítku prostřednictvím katalogu poskytovatele. Z kapitoly VI jsou také vyňaty služby poskytované jako neprodukční verze pro testování a hodnocení po omezenou dobu.
Česká NIS2: termín vypočítejte z doložené události
- Zaznamenejte, kdy subjekt splnil podmínky regulované služby.
- Určete lhůtu ohlášení, zpravidla 60 dnů od této události. Subjektům splňujícím podmínky při účinnosti zákona tato lhůta uplynula 31. prosince 2025.
- Uchovejte rozhodnutí o registraci každé služby a doložte datum jeho doručení. V obecném režimu od něj počítejte roční lhůtu pro zahájení plnění povinnosti zavádět a provádět bezpečnostní opatření a hlásit incidenty pro danou službu. Neodvozujte ji automaticky od konce roku nebo obecného listopadového data.
- Ověřte povinnosti daného režimu, následné změny a přechodná ustanovení. U dříve regulovaných subjektů pokračují povinnosti v rozsahu § 71 odst. 1; způsob hlášení incidentů podle nového zákona musí tyto subjekty používat již od doručení rozhodnutí o registraci služby.
§ 18 zákona o kybernetické bezpečnosti stanoví zvláštní režim pro vymezené digitální služby, například cloud, datacentra, CDN, DNS a řízené služby. Pro bezpečnostní opatření podle § 18 odst. 1 se § 13 odst. 2 nepoužije; roční pravidlo § 13 odst. 4, které na tuto povinnost odkazuje, proto nelze na tyto služby automaticky přenášet. § 18 odst. 2 a 3 upravují také hlášení incidentů a rozsah českých povinností. Před výpočtem lhůty určete režim konkrétní služby; samotný § 18 vlastní roční přechod nestanoví.
Pořadí projektu — doporučení, nikoli zákonné termíny
| Krok | Výstup | Na čem závisí |
|---|---|---|
| Působnost a odpovědnost | Přehled relevantních povinností, důvodů, vlastníků a skutečných termínů | Služby, systémy, data a smlouvy |
| Naléhavé provozní mezery | Vyřešené aktuální zákazy, transparentnost, práva lidí a incidentní postupy | Povinnosti, které již platí |
| Rizika a důkazy | Posouzení rizik, případná DPIA/FRIA, prověření dodavatelů a potřebná dokumentace | Účel, role a působnost |
| Implementace | Opatření, školení, smlouvy a evidence fungující v praxi | Schválený plán nápravy |
| Ověření | Revize opřená o důkazy; certifikace jen při výběru nebo konkrétním požadavku | Reálný provoz a vymezená kritéria auditu |
| Údržba | Změny, incidenty, frekvence revizí a odpovědnost | Průběžné sledování systémů a práva |
Délky fází určete podle skutečných mezer a kapacit. Datum školení, ISO auditu nebo interní inventury není celoevropský zákonný termín.
Průvodce působností · Přehled AI Actu
Právní prameny: AI Act — nařízení (EU) 2024/1689, zde ve znění změn podle nařízení (EU) 2026/1744 (Digital Omnibus on AI), vyhlášeného 24. 7. 2026. Informativní konsolidace: 02024R1689-20260727.
Další právní prameny: NIS2 — směrnice (EU) 2022/2555, zákon č. 264/2025 Sb., o kybernetické bezpečnosti, vyhlášené znění, GDPR — nařízení (EU) 2016/679, DORA — nařízení (EU) 2022/2554, Data Act — nařízení (EU) 2023/2854.
Oficiální výklad: NÚKIB k registraci a lhůtám, 11. února 2026.