AI Act v malé firmě: co začne platit 2. srpna a co se odložilo

Druhého srpna 2026 se v Evropské unii rozjíždí největší část pravidel pro umělou inteligenci. Ještě letos na jaře to vypadalo na jeden velký náraz pro každou firmu, která si pořídila chatbota nebo nechává AI vybírat životopisy. Pak přišel Brusel s korekcí a část povinností odsunul o rok i o dva. Jenže ne všechny. A právě to, co zůstalo, se týká i té nejmenší firmy s jedním webem a jedním chatovacím oknem v rohu obrazovky.

Srovnejme si, co od srpna platí doopravdy, co dostalo odklad a co s tím má dělat živnostník nebo majitel firmy o deseti lidech.

AI Act se netýká jen těch, kdo AI vyvíjejí

Nařízení Evropského parlamentu a Rady (EU) 2024/1689, kterému se zkráceně říká AI Act, je v platnosti od 1. srpna 2024. Rozděluje systémy umělé inteligence podle míry rizika: něco zakazuje úplně, u něčeho vyžaduje dokumentaci a dohled, u zbytku chce hlavně průhlednost.

Zásadní je rozdělení rolí. Nařízení rozlišuje poskytovatele (kdo systém vyvíjí a uvádí na trh) a zavádějící subjekt, anglicky deployer (kdo ho používá při své činnosti). Drtivá většina českých firem spadá do druhé kategorie. Nevyvíjíte žádný model, jen jste si koupili nástroj, který něco umí. Povinnosti to ale nemaže, jen jsou jiné.

Druhá věc, která překvapuje: v nařízení není žádná výjimka pro malé firmy podle obratu nebo počtu zaměstnanců. Rozhoduje to, k čemu AI používáte, ne jak jste velcí. Firma o deseti lidech, která nechá software předtřídit uchazeče o práci, je ve stejné kategorii jako korporace. Naopak stejný jazykový model použitý na shrnutí interní porady je bez rizika. Klasifikace stojí na účelu použití, ne na technologii.

Časová osa: co už dávno běží

Část AI Actu je účinná delší dobu, což se v diskusích o „srpnovém termínu“ trochu ztrácí:

• Od 2. února 2025 platí zákaz vybraných praktik (sociální skórování, manipulativní techniky, zneužívání zranitelnosti, rozpoznávání emocí na pracovišti a ve školách) a povinnost zajistit dostatečnou úroveň AI gramotnosti u lidí, kteří s umělou inteligencí ve firmě pracují.
• Od 2. srpna 2025 běží pravidla pro obecné modely AI (general-purpose AI) — týkají se hlavně jejich poskytovatelů, tedy velkých hráčů, ne vás jako uživatele.
• Od 2. srpna 2026 měla dopadnout převážná část zbytku: režim pro vysoce rizikové systémy a pravidla transparentnosti.

Ta povinnost AI gramotnosti je mimochodem nejpřehlíženější věc celého nařízení. Neznamená školení s certifikátem, ale to, že lidé, kteří AI nástroje ve firmě používají, rozumí tomu, co nástroj umí, kde se plete a kdy jeho výstup nesmí jít ven bez kontroly. Platí to už rok a půl.

Co Brusel na poslední chvíli odložil

Evropská komise předložila 19. listopadu 2025 balíček zvaný Digital Omnibus on AI. Důvod byl pragmatický: harmonizované normy, metodické pokyny, sandboxy ani národní dozorové orgány nebyly hotové v tempu, které nařízení předpokládalo. Spustit náročné povinnosti bez téhle infrastruktury by firmy zatížilo, aniž by komukoli pomohlo.

Evropský parlament balíček schválil 16. června 2026, Rada EU ho odsouhlasila 29. června 2026. Nařízení vstupuje v platnost třetím dnem po vyhlášení v Úředním věstníku EU.

A právě tady je k polovině července 2026 háček: novela je schválená a podepsaná, ale v Úředním věstníku zatím nevyšla. Dokud nevyjde, platí formálně původní kalendář — včetně 2. srpna 2026 pro vysoce rizikové systémy. Vyhlášení se čeká každým dnem a odklad je politicky hotová věc, takže riziko je spíš teoretické. Pokud ale spadáte pod přílohu III, ověřte si stav v Úředním věstníku dřív, než se na odklad spolehnete. Co se posouvá:

• 2. prosince 2027 — povinnosti pro samostatné vysoce rizikové systémy podle přílohy III (nábor a řízení lidí, biometrika, vzdělávání, posuzování úvěruschopnosti, hodnocení rizik u životního a zdravotního pojištění, kritická infrastruktura). Původně 2. srpna 2026, tedy odklad zhruba o šestnáct měsíců.
• 2. srpna 2028 — AI zabudovaná jako bezpečnostní komponenta regulovaných výrobků podle přílohy I (zdravotnické prostředky, hračky, výtahy a podobně). Původně 2. srpna 2027. Umělá inteligence ve strojních zařízeních jde nově vlastní cestou — řídí se sektorovým nařízením o strojních zařízeních, ne přímo režimem AI Actu.
• 2. srpna 2027 — lhůta pro členské státy zřídit národní regulatorní sandbox.

Zároveň balíček přitvrzuje. Od 2. prosince 2026 se rozšiřuje seznam zakázaných praktik o systémy vytvářející intimní materiál bez souhlasu zobrazené osoby (takzvané svlékací aplikace a deepfake nahota) a o materiály zobrazující sexuální zneužívání dětí, včetně syntetických. Zákaz nedopadá jen na aplikace k tomu určené — týká se i nástrojů, u kterých je takový výstup předvídatelný a chybí přiměřená technická opatření.

Pro běžnou firmu je podstatné tohle: odklad není pauza. Je to čas udělat přípravu pořádně. A pokud dnes provozujete nábor přes AI screening, dostali jste rok a půl navíc, ne škrtnutí povinnosti.

Co se neodložilo: označování od 2. srpna 2026

Tady je jádro věci pro malé firmy. Pravidla transparentnosti podle článku 50 se neodkládají a platí od 2. srpna 2026. Nejsou to pravidla pro vysoce rizikové systémy — platí vedle nich a dopadají na každého, kdo AI nasadí směrem k veřejnosti.

Důležité je vědět, komu co nařízení ukládá. Ne všechno je na vás:

• Chatbot nebo AI asistent na webu: člověk musí poznat, že mluví se strojem, pokud to není zřejmé už z kontextu. Povinnost navrhnout nástroj tak, aby to uživatel věděl, ukládá článek 50 odst. 1 poskytovateli. Když chatbota nakupujete hotový, ověřte si, že to dodavatel splnil — a hlavně tu funkci sami nevypínejte.
• Deepfake a AI upravená videa, obrázky nebo zvuk: tady povinnost dopadá přímo na vás jako na zavádějící subjekt (článek 50 odst. 4). Zveřejníte-li AI vygenerovaný nebo upravený záznam zachycující skutečnou osobu, místo či událost, musíte to uvést.
• Rozpoznávání emocí a biometrická kategorizace: pokud takový systém provozujete, musíte o tom lidi, kterých se týká, informovat (článek 50 odst. 3). Zase povinnost zavádějícího subjektu, tedy vaše.
• Strojově čitelné označení syntetického obsahu: to je věc poskytovatele generativního nástroje (článek 50 odst. 2), ne vaše. U textů vám povinnost vzniká jen tehdy, když AI text zveřejníte za účelem informování veřejnosti o věcech veřejného zájmu — a i ta odpadá, pokud text prošel lidskou kontrolou a někdo za něj nese redakční odpovědnost.

Balíček přidal jen úzké přechodné období: poskytovatelé systémů uvedených na trh před 2. srpnem 2026 musí strojově čitelné označování podle článku 50 odst. 2 splnit až do 2. prosince 2026. Viditelné označení chatbotů a deepfaků platí od srpna pro všechny bez výjimky. Odklad se tedy týká technické značky uvnitř souboru u starších systémů, ne toho, že návštěvník vašeho webu má právo vědět, s kým si píše.

Když provozujete e-shop s chatbotem, restauraci s AI rezervačním asistentem nebo jen firemní web s chatovacím oknem, tohle si ohlídejte. Právně tu povinnost plní hlavně dodavatel nástroje — ale jste to vy, kdo ho staví před zákazníky. A pozor: pokud chatbota nasazujete pod vlastní značkou, můžete se v roli poskytovatele ocitnout sami. Náročné to není — je to věta v úvodu konverzace a poctivé nastavení nástroje.

Čtyři kroky, které stihnete do srpna

1. Udělejte inventuru. Sepište, kde všude ve firmě běží AI. Ne jen vlastní vývoj: počítá se chatbot na webu, AI funkce v nakoupeném systému na nábor, asistent v zákaznické podpoře, generátor textů na sociální sítě, nástroj na přepis hovorů. Většina firem se diví, kolik toho najde. Řada AI funkcí přišla jako aktualizace softwaru, který používáte roky.

2. Zjistěte, v jaké jste roli. U každé položky ze seznamu si odpovězte, jestli systém provozujete jako svůj produkt (poskytovatel), nebo ho jen používáte (zavádějící subjekt). Od toho se odvíjí všechno ostatní. Když nakupujete hotové řešení, ptejte se dodavatele písemně, jak on plní své povinnosti — to je podobná disciplína jako u dodavatelů v novém zákoně o kybernetické bezpečnosti.

3. Označte, co má být označené. Chatbot dostane jasnou informaci, že je to stroj. Deepfake nebo AI upravené video se skutečnou osobou označíte vždy. U cloudových nástrojů se dodavatele zeptejte, jestli strojově čitelné značení výstupů umí — je to jeho povinnost, ale vy se bez ní neobejdete, až se na to někdo zeptá.

4. Proberte to s lidmi. Povinnost AI gramotnosti platí od února 2025 a nesplníte ji nákupem licence. Stačí hodina, kdy si tým projde, které nástroje se používají, co se do nich nesmí vkládat (osobní údaje klientů, obchodní tajemství) a proč výstup vždycky někdo přečte, než jde ven.

Kdo to bude v Česku hlídat

Samotné nařízení platí přímo, ale dozor a sankce si určuje každý stát sám. Ministerstvo průmyslu a obchodu připravilo návrh zákona o umělé inteligenci — záměrně minimalistický, o deseti stranách. Jeho připomínkové řízení skončilo v říjnu 2025, od té doby se ale návrh nepohnul a vládě zatím předložen nebyl. Podle něj má být primárním dozorovým orgánem a jednotným kontaktním místem Český telekomunikační úřad, doplní ho Česká národní banka a Úřad pro ochranu osobních údajů, Úřad pro technickou normalizaci bude oznamujícím orgánem, Česká agentura pro standardizaci má na starost sandbox a svou roli má dostat i veřejný ochránce práv v otázkách základních práv.

Pokutová pásma stanoví přímo nařízení: až 35 milionů eur nebo 7 % celosvětového ročního obratu za porušení zákazů, až 15 milionů eur nebo 3 % obratu za většinu ostatních povinností včetně transparentnosti — vždy podle toho, co je vyšší. Pro malé a střední podniky a startupy ale platí opačné pravidlo: stropem je ta nižší z obou hodnot. Nařízení navíc u méně závažných porušení umožňuje napomenutí místo pokuty. Čísla z tiskových zpráv tedy nejsou to, co hrozí kavárně s chatbotem — ignorovat povinnosti kvůli tomu ale nedává smysl.

Co si z toho odnést

Pro většinu malých firem se srpen 2026 scvrkl na jednu větu: ať lidé poznají, kdy mluví se strojem, a označte, co jste nechali vygenerovat o skutečných lidech. Zbytek je otázka na dodavatele nástroje a hodinu času s vlastním týmem. Těžká část regulace, papírování kolem vysoce rizikových systémů, se má posunout na prosinec 2027. Kdo AI používá na nábor nebo hodnocení lidí, dostal čas na přípravu — dostal ho proto, aby ji udělal, ne aby na ni zapomněl.

Časté otázky

Musí mít malá firma s chatbotem něco navíc od 2. srpna 2026?

Uživatel musí poznat, že komunikuje s umělou inteligencí, a ne s člověkem — pokud to z rozhraní není zřejmé samo o sobě. Povinnost navrhnout nástroj takhle ukládá nařízení poskytovateli, tedy zpravidla vašemu dodavateli. Vy si ověřte, že to splnil, a informaci nevypínejte. Žádná registrace, hlášení úřadu ani dokumentace se u běžného chatbota nevyžaduje.

Odložil Brusel AI Act celý?

Ne. Odložily se povinnosti pro vysoce rizikové systémy (na 2. prosince 2027, respektive 2. srpna 2028 u AI v regulovaných výrobcích) a lhůta pro národní sandboxy. Pravidla transparentnosti podle článku 50 platí od 2. srpna 2026, zákazy praktik a AI gramotnost běží už od února 2025.

Používáme AI na předvýběr životopisů. Máme klid do prosince 2027?

Podle schváleného odkladu ano — s jednou výhradou: dokud novela nevyjde v Úředním věstníku, platí právně původní datum 2. srpna 2026. Neplatí to ani pro zákazy praktik a povinnost AI gramotnosti, které běží už teď. A příprava na režim vysoce rizikového systému (řízení rizik, kvalita dat, dokumentace, lidský dohled) se za týden nedá zvládnout — proto ten čas dostáváte.

Týká se nařízení firmy, která používá jen ChatGPT na psaní textů?

Ano, ale mírně. Jste zavádějící subjekt s minimálním rizikem a řešíte hlavně AI gramotnost svých lidí. Označovací povinnost z článku 50 na běžné marketingové texty nedopadá — vzniká až u textů informujících veřejnost o věcech veřejného zájmu, a i tam odpadá, pokud text prošel lidskou kontrolou a nesete za něj redakční odpovědnost. Nic z režimu vysoce rizikových systémů na vás nedopadá — pokud tedy ten samý nástroj nepoužíváte na rozhodování o lidech.

Kdo bude v Česku kontroly provádět a od kdy?

Podle vládního návrhu zákona o umělé inteligenci má být hlavním dozorovým orgánem Český telekomunikační úřad, spolu s ČNB a ÚOOÚ podle oblasti. Zákon zatím není schválený, takže konkrétní podoba kontrol se ještě může změnit. Povinnosti z nařízení tím ale odloženy nejsou — platí přímo.