Únor 2025 přinesl první vlnu povinností, zákaz určitých kategorií AI systémů a povinnost zajistit AI gramotnost zaměstnanců dle AI Act. Zákazy se týkají specifických nástrojů, jako jsou manipulativní systémy, sociální scoring nebo biometrická kategorizace osob v reálném čase. Pro naprostou většinu firem zavádějících AI pro interní či zákaznické procesy jsou však tyto zákazy relevantní spíše výjimečně.

 

Praktičtější dopad má povinnost AI gramotnosti. Nařízení explicitně ukládá přijmout opatření vedoucí k dosažení odpovídající úrovně znalostí u všech, kdo s AI systémy přicházejí do styku. Obsah školení se přitom přirozeně liší: jiné znalosti potřebuje vývojář AI modelu, HR manažer pracující s nástrojem pro předvýběr uchazečů, nebo účetní využívající AI asistenta ke kontrole dat. Takové vzdělávání zaměstnanců nemůže být vzhledem k zásadním změnám v oblasti umělé inteligence jednorázovým školením, což budou dozorové orgány jistě zohledňovat také při své kontrolní činnosti.

 

V srpnu 2025 pak vstoupila v platnost regulace obecných AI modelů (GPAI), tedy zejména velkých jazykových modelů od společností jako Open AI nebo Anthropic. Vývojáři těchto modelů jsou povinni plnit rozsáhlé požadavky na transparentnost a dokumentaci. Pro společnosti v roli zavádějícího subjektu (deployera), typicky uživatele hotového AI nástroje, to přímé nové povinnosti nepřineslo. Stále však trvají nároky na správné nastavení smluvních vztahů s dodavateli a pochopení způsobu zpracování a sběru dat konkrétními modely.

V současné chvíli je klíčovým milníkem 2. srpen 2026, kdy by měly být plně funkční národní orgány dozoru nad trhem a tzv. regulatorní sandboxy, jakožto prostředí umožňující testování produktu s dohledem a metodickou podporou státu pro splnění regulatorních požadavků. Dozorové orgány začnou od té doby aktivně přijímat stížnosti a vymáhat povinnosti dle AI Act. Ve stejný den také nabydou účinnosti části AI Actu upravující vysoce rizikové systémy nasazené v oblastech jako HR, vzdělávání nebo finanční scoring, s výjimkou systémů integrovaných do regulovaných produktů. Pro společnosti, které provozují nebo plánují nasadit vysoce rizikové systémy, to znamená prověřit přípravu dokumentace, nastavení procesů lidského dohledu a systém řízení rizik.

 

Z mé praxe právního poradenství z posledních měsíců vyplývají tři okruhy, které činí klientům největší problém. Prvním je identifikace tzv. vysoce rizikových systémů, na které dopadají nejpřísnější povinnosti. Patří sem mimo jiné nástroje používané v náboru a řízení lidských zdrojů, vzdělávání, přidělování sociálních dávek nebo hodnocení bonity. V praxi si společnosti ne vždy uvědomují, že jejich chytrý nástroj na předvýběr životopisů nebo adaptivní vzdělávací platforma mohou přesně do této kategorie spadat. Pro zavádějící subjekty to přitom znamená zásadní povinnosti: zajistit lidský dohled nad rozhodováním AI, vést záznamy, průběžně monitorovat výkonnost systému a kandidáty informovat o tom, že AI bylo použito.

 

Druhým tématem je správné pochopení rolí providera vs. deployera. Nařízení rozlišuje mezi poskytovatelem (providerem), typicky vývojářem AI systému, a zavádějícím subjektem (deployerem), který hotový nástroj využívá. Povinnosti se výrazně liší. Problém nastává v momentě, kdy společnost licencovaný AI nástroj výrazně přizpůsobí, integruje do vlastního produktu nebo uvede na trh pod vlastní značkou. Tehdy se z deployera stává provider s příslušnými povinnostmi.

 

Třetím okruhem je dokumentace. U vysoce rizikových systémů AI Act ukládá širokou povinnost uchovávat technickou dokumentaci a provozní záznamy. Pro společnosti, které vyvíjí takový nástroj živelně a nároky nezabudují do architektury od začátku, může být zpětné doplňování velmi náročné a může přinést značné problémy.

Na podzim 2025 přišla Evropská komise s další proměnnou, když zveřejnila návrh Digital Omnibus, legislativního balíčku, jehož cílem je upřesnit a zjednodušit vybrané části AI Actu. Klíčová změna se týká také účinnosti pravidel pro vysoce rizikové systémy. Komise navrhuje mimo jiné odložit aplikaci pravidel pro vysoce rizikové systémy nebo rozšířit zjednodušené požadavky na dokumentaci pro malé a středně velké podniky.

Tento návrh je však stále ve fázi legislativního procesu, přičemž finální podoba není dosud schválena. Bohužel tedy nelze spoléhat na odložené termíny a compliance procesy doporučuji připravovat podle stávajícího harmonogramu.

Souběžně s děním v Bruselu probíhá i česká příprava implementačního zákona, který je nyní v meziresortním připomínkovém řízení, přičemž jeho účinnost se očekává v průběhu roku 2026. Návrh zveřejněný Ministerstvem průmyslu a obchodu je záměrně střídmý a patří k nejjednodušším adaptacím AI Actu v celé EU.

Přístup odpovídá proklamovanému cíli ministerstva, tedy nevytvářet zbytečnou administrativu nad rámec toho, co evropské nařízení přímo vyžaduje. Návrh vychází vstříc provozovatelům umělé inteligence například možností pouhého upozornění s lhůtou k nápravě v případě méně závažného porušení povinností bez nutnosti zahájení přestupkového řízení. Upravuje také vznik regulatorních sandboxů, prostředí pro testování AI řešení pod dohledem úřadů.

Dozor nad plněním povinností má být dle připravovaného znění zákona rozdělen mezi více institucí: Český telekomunikační úřad jako jednotné kontaktní místo, Českou národní banku pro finanční sektor, Úřad pro ochranu osobních údajů pro oblast osobních dat a Úřad pro technickou normalizaci v roli oznamujícího orgánu. Toto sice odpovídá sektorové logice, zároveň ale může pro společnosti znamenat nejistotu ohledně toho, na který úřad se v konkrétním případě obrátit.

Přestože AI Act představuje platné právo s konkrétními termíny, povinnostmi a sankcemi, setkávám se s tím, že řada klientů stále přistupuje k regulaci umělé inteligence reaktivně, případně vyčkává na finální podobu Digital Omnibusu či českého adaptačního zákona. Takový přístup považuji za riskantní. Klíčová data se blíží, dozorové orgány se formují a prostor pro bezbolestnou přípravu se zužuje. Společnostem, které dosud nezačaly mapovat své AI systémy, identifikovat svou roli podle nařízení a nastavovat interní procesy, doporučuji jednat nyní a vyhnout se tak možným budoucím nepříjemnostem.