AI Act pro firmy: co platí teď a co se odložilo
O AI Actu se ve firmách mluví hlavně jako o termínu, který se blíží. Jenže termíny se v roce 2026 posunuly a část toho, co se dodnes píše po českém internetu, už neplatí.
Tenhle text shrnuje, co platí dnes, co se odložilo a o kolik, a hlavně kdy se z běžného firemního nástroje stane vysoce rizikový systém — protože právě tam je hranice, která rozhoduje o nákladech.
Co AI Act je
AI Act je nařízení Evropské unie 2024/1689. Není to směrnice, kterou by členské státy převáděly do vlastních zákonů — platí přímo. Tím se liší od NIS2, kterou v Česku najdete jako zákon č. 264/2025 Sb.
Nařízení netřídí technologie, ale použití. Tentýž jazykový model může být v jedné firmě prakticky bez povinností a ve druhé vysoce rizikovým systémem. Rozhoduje, k čemu ho pustíte.
Kdo jste: provider, nebo deployer
Tohle je první věc, kterou je potřeba si ujasnit, protože z ní plyne skoro všechno ostatní.
Provider je ten, kdo AI systém vyvíjí nebo nechá vyvinout a uvádí ho na trh či do provozu pod svým jménem nebo ochrannou známkou. Nese hlavní tíhu povinností.
Deployer je ten, kdo systém používá ve své vlastní činnosti a na svou odpovědnost. Povinností má výrazně méně, ale nulové nejsou — týká se ho například lidský dohled a používání systému podle pokynů.
Většina firem, které si AI nasazují dovnitř, jsou deployeři. Pozor ale na past: pokud výrazně upravíte cizí systém, změníte jeho účel nebo ho nabídnete dál pod svou značkou, můžete se stát providerem se vším, co k tomu patří. Skládat si vlastní řešení z otevřených komponent a prodávat ho jako produkt bez dalšího neznamená, že jste „jen přeprodejce”.
Čtyři úrovně rizika
Nařízení pracuje se čtyřmi kategoriemi:
Zakázané praktiky. Například vyhodnocování lidí podle sociálního chování nebo některé formy biometrické identifikace. Tady se nediskutuje o povinnostech, prostě to nejde.
Vysoké riziko. Systémy vyjmenované v přílohách nařízení. Sem patří mimo jiné nábor a řízení zaměstnanců, přístup ke vzdělání, úvěrové hodnocení fyzických osob, některé zdravotnické aplikace a části veřejné správy. Povinnosti jsou rozsáhlé: systém řízení kvality, řízení rizik, dokumentace, lidský dohled, přesnost a robustnost, záznamy o provozu.
Omezené riziko. Sem spadá povinnost transparentnosti — člověk má vědět, že mluví se strojem, a umělý obsah má být označen.
Minimální riziko. Drtivá většina toho, co firmy reálně dělají. Žádné zvláštní povinnosti nad rámec obecného práva.
Co se v roce 2026 změnilo
V listopadu 2025 předložila Evropská komise takzvaný digitální omnibus, který mimo jiné odsouval nejnáročnější část nařízení. Evropský parlament ho schválil 16. června 2026, Rada 29. června 2026.
Výsledek pro firmy vypadá takhle:
Odložilo se:
- povinnosti pro samostatné vysoce rizikové systémy podle přílohy III — nově od 2. prosince 2027
- povinnosti pro AI zabudovanou do regulovaných výrobků podle přílohy I — nově od 2. srpna 2028
Neodložilo se nic z toho, co už platí:
- zákaz zakázaných praktik platí od února 2025
- povinnosti poskytovatelů obecných AI modelů platí od srpna 2025
- povinnosti transparentnosti a označování umělého obsahu platí od 2. srpna 2026
Je to odklad, ne zrušení. Kdo si z toho udělá závěr, že AI Act „stejně nikdy nebude”, bude mít za rok a půl problém — a hlavně už dnes platí věci, které mnoho firem přehlíží.
Kdy se z běžného nástroje stane vysoce rizikový
Tohle je otázka, která rozhoduje o rozpočtu. Ukažme si to na jednom oddělení.
Agent, který prohledá životopisy a připraví shrnutí pro personalistu, je nástroj jako každý jiný. Personalista rozhoduje, agent mu jen šetří čtení.
Ten samý agent, který sám vyřadí uchazeče podle kritérií, je něco úplně jiného. Nábor a řízení zaměstnanců patří mezi vysoce rizikové oblasti a povinnosti se odvíjejí od toho.
Rozdíl není v modelu ani v datech. Je v tom, jestli na konci rozhoduje člověk, nebo stroj.
Stejná hranice platí jinde:
- shrnutí smlouvy versus automatické schválení či zamítnutí úvěru
- návrh hodnocení zaměstnance versus rozhodnutí o povýšení
- třídění dotazů versus rozhodnutí o nároku klienta
Praktický důsledek: nechte rozhodnutí u člověka a většinu problému nemáte. Není to úhybný manévr, je to smysl té úpravy.
Co s tím dělat teď
Pořadí, které dává smysl bez ohledu na odložené termíny:
- Udělejte si soupis. Kde všude už ve firmě AI je? Bývá toho víc, než vedení tuší — od nástrojů v marketingu po pluginy v kancelářském balíku.
- U každého použití určete roli. Jste deployer, nebo provider?
- Označte místa, kde AI rozhoduje o lidech. Nábor, hodnocení, odměňování, přístup ke službám. Tam se dívejte pozorně.
- Zaveďte lidské schválení tam, kde jde o rozhodnutí. Technicky i procesně, ne jen ve směrnici.
- Zajistěte si záznamy. Až se někdo zeptá, co systém dělal, potřebujete odpověď doloženou, ne z paměti.
- Ohlídejte transparentnost. Povinnost označovat umělý obsah a dát lidem vědět, že komunikují se strojem, platí už teď.
Body 4 a 5 stojí za zdůraznění, protože se často odkládají na „až to bude potřeba”. Doplnit schvalování a auditní záznam do systému, který už běží, znamená přestavět jeho aplikační vrstvu. Navrhnout to od začátku stojí zlomek.
Jak to souvisí s privátní AI
Nařízení nikde neříká, kde má systém běžet. Privátní nasazení vás povinností nezbaví.
Usnadní ale dvě věci, které jsou jinak nepříjemné. Za prvé záznamy — když zpracování běží u vás, máte kompletní stopu o tom, kdo se na co ptal a jaká data se otevřela. Za druhé kontrolu nad tím, co agent smí; oprávnění a schvalování se dají vynutit technicky, ne jen předpisem.
Když k tomu přidáte, že požadavky NIS2 na bezpečnost dodavatelského řetězce míří na tytéž doklady, vyjde z toho jeden seznam věcí, které je dobré mít po ruce — ať už kvůli AI Actu, kybernetickému zákonu, nebo prostě proto, že se na ně zeptá zákazník.
Kam dál
Jestli řešíte, zda se vás týká český zákon o kybernetické bezpečnosti, projděte si orientační nástroj k NIS2. Pokud zvažujete, jestli provozovat AI u sebe, začněte textem o privátní AI pro firmy.
Tenhle text je orientační shrnutí, ne právní stanovisko. Optibotics je dodavatel technologie, nikoli právní poradce. Zařazení konkrétního systému podle AI Actu a povinnosti, které z něj plynou, posuzuje vždy vaše organizace, ideálně se svým právním poradcem.