AI Act pro firmy: praktický průvodce

AI Act (nařízení EU 2024/1689) se týká i firem, které AI jen používají. Většina z nich musí podporovat AI gramotnost zaměstnanců, vyhnout se zakázaným praktikám a u chatbotů dát najevo, že jde o AI. Přísná pravidla pro vysoce rizikové systémy, například při náboru, platí od 2. prosince 2027.

Co je AI Act a od kdy platí

AI Act je nařízení Evropského parlamentu a Rady (EU) 2024/1689, kterým se stanoví harmonizovaná pravidla pro umělou inteligenci. Jako nařízení platí přímo ve všech členských státech včetně Česka. V platnost vstoupilo 1. srpna 2024 a povinnosti nabíhají postupně. V roce 2026 ho upravilo nařízení (EU) 2026/1744, známé jako Digital Omnibus o AI, které posunulo termíny pro vysoce rizikové systémy a přepsalo článek o AI gramotnosti.

Jaká je vaše role: poskytovatel, nebo zavádějící subjekt

AI Act rozlišuje poskytovatele, kteří AI systém vyvíjejí a uvádějí na trh pod svým jménem, a zavádějící subjekty, které AI používají v rámci své činnosti. Většina firem je zavádějícím subjektem: používá ChatGPT, Copilot, chatbota na webu nebo agenta na faktury. Pokud ale AI systém vyvinete nebo si ho necháte vyvinout a uvedete ho na trh či do provozu pod svým jménem, můžete být jeho poskytovatelem. Proto roli určujeme na začátku každého projektu.

Co musí udělat každá firma, která AI používá

1. AI gramotnost (čl. 4). Firma musí přijmout opatření na podporu AI gramotnosti zaměstnanců a dalších lidí, kteří s AI pracují jejím jménem, s ohledem na jejich znalosti a to, k čemu AI používají. Po úpravě z roku 2026 nařízení nevyžaduje zaručit konkrétní úroveň u každého člověka, opatření by ale měla být skutečná a doložitelná. Nejběžnější je AI školení zaměstnanců podle úrovní.
2. Žádné zakázané praktiky (čl. 5). Přehled najdete níže. U běžných firemních nástrojů se jich týká hlavně zákaz rozpoznávání emocí na pracovišti.
3. Transparentnost (čl. 50). Lidé musí vědět, že komunikují s AI, pokud to není zřejmé. Deepfaky a texty vytvořené AI a zveřejněné k informování veřejnosti o věcech veřejného zájmu je nutné označit, pokud je neprošel lidský redakční dohled.
4. GDPR platí dál. AI Act ochranu osobních údajů nenahrazuje. Co zaměstnanci vkládají do AI nástrojů, musí odpovídat GDPR i ochraně obchodního tajemství.

Zakázané praktiky

Od 2. února 2025 je v EU zakázáno používat AI mimo jiné k:

• manipulaci lidí podprahovými nebo klamavými technikami, které jim mohou způsobit závažnou újmu,
• zneužívání zranitelnosti kvůli věku, zdravotnímu postižení nebo sociální situaci,
• sociálnímu skórování, které vede k nepříznivému zacházení s lidmi,
• rozpoznávání emocí na pracovišti a ve školách, s výjimkou zdravotních a bezpečnostních důvodů,
• necílenému stahování snímků obličejů z internetu nebo kamer pro databáze rozpoznávání obličejů,
• biometrické kategorizaci, ze které se odvozuje například rasa, politické názory nebo sexuální orientace,
• odhadu rizika spáchání trestného činu pouze na základě profilování.

Digital Omnibus od 2. prosince 2026 přidává zákaz AI, která vytváří intimní snímky identifikovatelných lidí bez jejich souhlasu, a AI, která vytváří materiál zobrazující sexuální zneužívání dětí.

Chatboti a obsah vytvořený AI

Od 2. srpna 2026 platí povinnosti transparentnosti. Chatbot na webu nebo AI, která odpovídá na e-maily, musí dát najevo, že jde o AI, pokud to není zřejmé z okolností. U autonomní zákaznické podpory to řešíme představením agenta v první zprávě. Poskytovatelé systémů, které generují obsah, ho musí strojově označit. U systémů uvedených na trh před 2. srpnem 2026 mají na označování čas do 2. prosince 2026.

Kdy jde o vysoce rizikový systém

Vysoce rizikové systémy jsou vyjmenované v příloze III. Pro běžné firmy jsou důležité hlavně tyto oblasti:

• zaměstnání: nábor, třídění životopisů, hodnocení uchazečů a rozhodování o povýšení nebo ukončení pracovního poměru,
• úvěry: hodnocení úvěruschopnosti fyzických osob,
• pojištění: posouzení rizika a stanovení ceny životního a zdravotního pojištění,
• vzdělávání: přijímání a hodnocení studentů.

Pro tyto systémy pravidla platí od 2. prosince 2027. Zavádějící subjekt pak musí systém používat podle návodu poskytovatele, svěřit dohled lidem s potřebnou kompetencí, uchovávat automaticky vytvářené záznamy nejméně šest měsíců a před nasazením na pracovišti informovat zaměstnance. Agenti na faktury, e-maily nebo zákaznickou podporu mezi vysoce rizikové systémy zpravidla nepatří.

Pokuty

Za porušení zákazů hrozí pokuta až 35 milionů eur nebo 7 % celosvětového ročního obratu, podle toho, co je vyšší. Za porušení většiny dalších povinností až 15 milionů eur nebo 3 % obratu a za nepravdivé informace úřadům až 7,5 milionu eur nebo 1 % obratu. U malých a středních podniků platí nižší z obou částek.

Praktický postup v pěti krocích

1. Sepište AI nástroje, které ve firmě používáte, i ty, které si zaměstnanci zařídili sami.
2. U každého určete roli a riziko: jste poskytovatel, nebo zavádějící subjekt? Spadá použití do přílohy III?
3. Vylučte zakázané praktiky, hlavně rozpoznávání emocí u zaměstnanců.
4. Zaveďte pravidla a školení: co se do AI smí vkládat, kdo výstupy kontroluje a jak se AI gramotnost podporuje.
5. U agentů nastavte transparentnost, lidský dohled a záznam kroků. Pomůže vám to s AI Actem i s běžnou kontrolou kvality.

Jak to řešíme v našich projektech

Každý projekt začíná zařazením podle rizika v AI Actu a kontrolou osobních údajů podle GDPR. Agent dostane jen nutné přístupy, kroky s důsledky schvaluje člověk a každá akce se zapisuje. Více v článku AI guardrails: jak udržet agenta pod kontrolou.

Článek shrnuje nařízení srozumitelně a nenahrazuje právní poradenství. Rozhodující je znění v Úředním věstníku EU.

Zdroje: Nařízení (EU) 2024/1689 (AI Act), EUR-Lex, Nařízení (EU) 2026/1744 (Digital Omnibus o AI), EUR-Lex