Které předpisy se vás mohou týkat

Použitelné posouzení působnosti zaznamená subjekt, službu či systém, roli, účel, právní zdroj a důvod zahrnutí nebo vyloučení. Samotný název odvětví neurčuje všechny povinnosti.

Pět otázek

Regulace	Co určuje působnost	Praktický výstup
AI Act	Definice systému/modelu, role, určený účel, vazba na EU a výjimky čl. 2; u high-risk čl. 6 a přílohy I/III	Inventář, zdůvodněná klasifikace a seznam povinností pro každou roli
NIS2 / český zákon	Konkrétní služba, typ subjektu, velikost včetně vazeb na jiné podniky a zvláštní výjimky; česká pravidla vyššího/nižšího režimu	Záznam o posouzení regulované služby, režimu a termínech
GDPR	Věcná a územní působnost čl. 2–3, konkrétní zpracování a role správce/zpracovatele; nikoli občanství lidí	Účely, právní základy, záznamy zpracování a postupy práv subjektů
Data Act	Role uživatele, držitele/příjemce dat, výrobce a poskytovatele související služby nebo služby zpracování dat; konkrétní kapitola a výjimky	Mapa datových práv, přístup k datům a smluvní/technický plán změny poskytovatele
DORA	Vyjmenované finanční subjekty čl. 2 a výjimky; zvláštní rámec dohledu nad kritickými ICT poskytovateli po určení dle čl. 31; běžné ICT smlouvy mají povinnosti i bez tohoto určení	ICT rámec, registr smluv, reporting a plán testování podle použitelného režimu

AI Act: role a použití posuzujte odděleně

• Poskytovatel: vyvíjí systém AI či model AI pro obecné účely nebo si jej nechává vyvinout a uvádí jej na trh či systém do provozu pod vlastním jménem nebo značkou. Integrace modelového API do vlastního produktu může tuto roli založit i bez trénování modelu.
• Zavádějící subjekt: používá AI pod svou pravomocí v profesní činnosti. Firma může mít u různých systémů současně roli poskytovatele i zavádějícího subjektu.
• Dovozce/distributor: vymezené role v dodavatelském řetězci; vlastní značka nebo podstatná změna high-risk systému může závěr změnit. Použijte čl. 3 a 25, nepovažujte každého prodejce automaticky jen za distributora.
• Věcná a územní působnost: posuďte čl. 2, včetně poskytovatelů/zavádějících subjektů mimo EU, jejichž výstupy se používají v Unii, a příslušné výjimky.

Postup klasifikace:

1. Ověřte skutečné podmínky zákazů čl. 5. Odvozování emocí na základě biometrických údajů na pracovišti a ve vzdělávacích institucích je zakázáno s výjimkou zdravotních/bezpečnostních důvodů; souhlas ho obecně nelegalizuje. Biometrická identifikace a kategorizace mají odlišná pravidla. Použijte podrobný průvodce, nikoli jednoslovné označení.
2. Posuďte čl. 6 odst. 1: výrobek přílohy I či jeho bezpečnostní komponenta a současně podmínka relevantního posouzení shody třetí stranou. Veškerá zdravotnická AI nepatří pod přílohu III; zdravotnické prostředky mohou podléhat MDR/IVDR a čl. 6 odst. 1. Zohledněte upřesnění bezpečnostní komponenty a posouzení shody v čl. 6 odst. 1a–1c; samotná optimalizace či automatizace bez bezpečnostní funkce nestačí, ale rozhoduje i dopad selhání na zdraví a bezpečnost. Čl. 2 odst. 2 omezuje použití pro oddíl B přílohy I; případné omezení podle čl. 2 odst. 13 vyžaduje splnění jeho podmínek a příslušný akt v přenesené pravomoci.
3. Posuďte přílohu III dle čl. 6 odst. 2 a případné výjimky čl. 6 odst. 3; profilování fyzických osob u vyjmenovaných systémů zůstává high-risk. Úvěruschopnost fyzických osob je bod 5(b), s výjimkou finančních podvodů; hodnocení rizik a cen životního/zdravotního pojištění je 5(c). Monitorování zaměstnanců může patřit do bodu 4(b).
4. Samostatně posuďte transparentnost čl. 50. Není to zákonná třída „medium-risk“ a může se překrývat s high-risk. Strojově čitelné označení výstupů poskytovatelem a zveřejnění deepfake či textu ve veřejném zájmu zavádějícím subjektem mají různý rozsah i výjimky.
5. Přiřaďte povinnosti podle role a použitelného data. Pouhé používání GPAI API nevyžaduje přílohu IV. FRIA podle čl. 27 se týká vymezených zavádějících subjektů/použití, včetně soukromých úvěrových a životních/zdravotních pojistných případů; GDPR DPIA má vlastní test vysokého rizika zpracování.

NIS2: služba, velikost, výjimky a český režim

Příloha I uvádí vysoce kritická odvětví, příloha II další kritická odvětví. Nejsou přímým převodníkem na Essential/Important. Příloha I zahrnuje energii, dopravu, úvěrové instituce, infrastrukturu finančních trhů, zdravotnictví, vodu, digitální infrastrukturu, správu ICT služeb B2B, veřejnou správu a vesmír. Příloha II zahrnuje pošty, odpady, chemii, potraviny, vymezenou výrobu, vybrané digitální poskytovatele a výzkum. Rozhodují přesné definice činností.

1. Určete službu a druh subjektu podle čl. 2–3 a příloh, poté národní úpravu.
2. Posuďte velikost podle přílohy doporučení 2003/361/ES. Malý podnik: méně než 50 ročních pracovních jednotek a (obrat nejvýše 10 mil. EUR nebo bilanční suma nejvýše 10 mil. EUR). Střední podnik není mikro ani malý a splňuje méně než 250 jednotek a (obrat nejvýše 50 mil. EUR nebo bilanční suma nejvýše 43 mil. EUR). Zohledněte partnerské/propojené podniky, poslední schválené účetní období, zpravidla dvě po sobě jdoucí období pro změnu velikostního statusu a zvláštní pravidlo nových podniků (čl. 3–6 přílohy). Počet fyzických zaměstnanců ani samotný obrat nejsou celý výpočet. Čl. 2 odst. 1 NIS2 vylučuje čl. 3 odst. 4 přílohy doporučení. Pro českou působnost navíc použijte § 7 ZoKB včetně jeho podmíněných výjimek.
3. Ověřte výjimky bez ohledu na velikost, například DNS/TLD, vymezené služby vytvářející důvěru/komunikace či určené kritické subjekty. Nepřenášejte je na všechny cloudové firmy, datová centra a CDN.
4. Určete Essential/Important podle čl. 3. Větší subjekty přílohy I jsou zpravidla základní; střední subjekt přílohy I jím automaticky není. V ČR samostatně určete regulovanou službu a vyšší/nižší režim povinností podle zákona č. 264/2025 Sb. a prováděcích pravidel.
5. Zaznamenejte ohlášení, registraci a navazující termíny. Dodavatelská smlouva může vyžadovat opatření, aniž by z dodavatele dělala přímo regulovaný subjekt.

U finančních subjektů DORA, které spadají také do NIS2, uplatněte vztah zvláštního předpisu podle čl. 1 odst. 2 DORA a čl. 4 NIS2 na odpovídající povinnosti. Pojišťovna není automaticky bankovním subjektem NIS2 a ICT dodavatelé nepřebírají plošnou výjimku.

GDPR: účel, územní působnost a právní základ

GDPR zahrnuje zpracování v souvislosti s činnostmi provozovny v EU a relevantní nabídku či monitorování osob v EU subjekty mimo EU, podle čl. 2–3. Občanství není rozhodující test. Titul určujte podle účelu, nikoli jen druhu údajů.

Zpracování	Co posoudit
Objednávka zákazníka	Čl. 6 odst. 1 písm. b) může pokrýt zpracování nezbytné pro smlouvu, jejíž stranou je subjekt údajů, nebo kroky na jeho žádost před uzavřením; marketing je jiný účel
Zaměstnanci	Smluvní a zákonné potřeby, pracovní právo a přiměřenost; souhlas zaměstnance nemusí být svobodný
Marketing a webová analytika	GDPR i relevantní pravidla elektronických komunikací; oprávněný zájem automaticky nenahrazuje souhlas s cookies
B2B kontakty	Jmenný pracovní kontakt může být osobním údajem; posuďte titul a informační povinnosti
Zdravotní a další zvláštní kategorie	Titul čl. 6 a podmínka čl. 9 odst. 2; výslovný souhlas je jedna možnost, nikoli jediná

Čl. 9 zahrnuje rasový/etnický původ, politické názory, náboženské/filozofické přesvědčení, členství v odborech, genetické údaje, biometrické údaje pro jedinečnou identifikaci, zdraví a sexuální život/orientaci. Trestní odsouzení a trestné činy mají samostatný režim čl. 10. Pouhá pseudonymizace sama neprokazuje anonymitu; osobní povahu posuzujte podle identifikovatelnosti a rozumně použitelných prostředků (čl. 4 a bod odůvodnění 26). DPA podle čl. 28 uzavíráte s dodavatelem v roli zpracovatele, nikoli automaticky s každým dodavatelem.

Tři konkrétní příklady

Příklad	Zdůvodněné posouzení
SaaS, 50 ročních pracovních jednotek a obrat 5 mil. EUR	Padesát ročních pracovních jednotek nesplňuje početní kritérium malého podniku; zohledněte však pravidla účetních období a změny statusu. Pro NIS2 ověřte definici cloudové služby, podnikové vazby a národní pravidla. U podpůrného chatbota role a transparentnost AI; u zákaznických/zaměstnaneckých dat GDPR podle působnosti. Data Act switching závisí na nabídce.
Banka, 500 zaměstnanců a obrat 100 mil. EUR	Posuďte DORA a vztah k NIS2. AI úvěrové skórování fyzických osob může být příloha III 5(b); detekce finančních podvodů není pod tímto bodem automaticky high-risk. FRIA čl. 27 a GDPR čl. 22/35 posuďte zvlášť.
Výrobce, 100 zaměstnanců a obrat 20 mil. EUR	Pro NIS2 rozhoduje konkrétní výrobní činnost. Prediktivní údržba, bezpečnostní řízení a hodnocení pracovníků mají odlišnou AI klasifikaci. Data z výrobku a údaje zaměstnanců zakládají samostatné otázky Data Actu/GDPR.

Zaznamenejte závěr

U každé regulace uchovejte působnost, roli, odůvodnění, zdroje, výjimky, vlastníka, datum a spouštěč nové revize. Nejasné hranice potvrďte před tím, než se opřete o výsledek checklistu.

Klasifikace AI · NIS2 scope · GDPR zpracování · DORA scope · Data Act

Věcná revize: 6. září 2026. Primární zdroje: AI Act, Digital Omnibus on AI, NIS2, NÚKIB: registrace a lhůty, GDPR, DORA, Data Act, SME definition.