AI Act 2026: co platí dnes, co se odložilo a co musíte mít od února 2025

Odpověď hned: Červencová novela AI Actu posunula použitelnost pravidel pro vysoce rizikové systémy — u přílohy III na 2. 12. 2027, u přílohy I na 2. 8. 2028. Povinnost přijmout opatření podporující rozvoj AI gramotnosti podle článku 4 odložena nebyla a platí od 2. 2. 2025. Netýká se jen technologických firem: dopadá na poskytovatele a firmy, jejichž lidé používají AI systémy při práci. Nařízení po vás nechce certifikát ani žádný konkrétní dokument — chce opatření přizpůsobená rolím a kontextu použití. Pravidla pro data, kontrola výstupů a školení podle rolí jsou náš doporučený praktický rámec, jak taková opatření uchopit a doložit.

Nařízení (EU) 2024/1689, kterému se běžně říká AI Act, vstoupilo v platnost 1. 8. 2024 a jeho povinnosti se rozbíhají po etapách. V červenci 2026 se harmonogram změnil — část termínů se posunula o rok až dva. Ta zpráva se ve firmách přeložila jako „takže do roku 2027 klid“. To je omyl, který stojí za rozebrání, protože opatření k AI gramotnosti se neposunula ani o den.

Tenhle text popisuje stav k 31. 7. 2026.

Co se v červenci 2026 odložilo a co ne

Odklad přineslo nařízení (EU) 2026/1744, které Evropská komise předložila v listopadu 2025 jako součást „digitálního omnibusu“. V platnost vstoupilo 27. 7. 2026 a vedle termínů upravilo také znění článku 4.

Odklad se tedy netýká celého AI Actu. Nedotkl se článku 4, nedotkl se zákazů podle článku 5 (například sociálního skórování nebo odvozování emocí na pracovišti) a už vůbec nemá vliv na předpisy, které platí nezávisle na AI Actu — GDPR, zákoník práce, ochranu obchodního tajemství a smluvní závazky vůči zákazníkům.

Poslední skupina je v praxi ta nejdražší. Když zaměstnanec vloží do veřejné AI služby seznam klientů, není potřeba čekat na AI Act — GDPR má sankční strop 20 milionů eur nebo 4 % celosvětového obratu a je účinné od roku 2018.

Týká se článek 4 i firmy o pěti lidech

Ano. AI Act nerozlišuje podle velikosti firmy, ale podle role. Většina běžných firem je „subjekt zavádějící AI systém“ (deployer) — tedy ten, kdo cizí nástroj používá při své činnosti. Účetní kancelář, e-shop, projekční kancelář i servisní firma spadají do stejné kategorie jako korporát.

Článek 4 navíc nemíří jen na kmenové zaměstnance. Mluví o personálu a dalších osobách, které se zabývají provozem a používáním AI systémů jménem firmy — tedy i o externistech, brigádnících a dodavatelích, kteří pracují vaším jménem.

Povinnost typicky vzniká, když lidé používají AI pro:

• psaní nabídek, smluvních podkladů a marketingových textů,
• překlady a shrnutí dokumentů,
• analýzu tabulek a zákaznických dat,
• odpovědi zákazníkům a přepis porad,
• třídění životopisů,
• generování zdrojového kódu.

Evropská komise ve svém výkladovém Q&A k AI gramotnosti z jara 2025 výslovně uvádí, že článek 4 dopadá i na firmu, jejíž lidé používají generativní AI třeba k tvorbě reklamního textu nebo překladu. Lidská kontrola na konci vás povinnosti nezbavuje — kontrolující člověk musí vědět, co přesně má ověřovat a proti čemu.

Tento článek se dál soustředí na harmonogram a dopad červencové novely. Samostatný praktický postup, jak opatření popsat a evidovat, najdete v článku AI gramotnost podle AI Act čl. 4 v praxi.

Co po vás článek 4 chce: opatření, ne certifikát

AI Act nepředepisuje jednotné školení, závěrečný test ani certifikát. Nepředepisuje ani počet hodin. Po červencové novele článek 4 požaduje opatření podporující rozvoj AI gramotnosti s ohledem na znalosti, zkušenosti, vzdělání a školení lidí i na kontext použití. Výslovně přitom nevyžaduje, aby firma zaručila konkrétní nebo „dostatečnou“ úroveň AI gramotnosti každého jednotlivce.

To je záměrně měkká formulace. Nařízení neurčuje ani formu důkazu, ani konkrétní dokumenty — následující seznam proto není výčtem zákonných náležitostí, ale doporučeným praktickým rámcem, kterým se přijatá opatření dají popsat, udržovat a v případě potřeby doložit. Jeho smysl je ukázat systém, ne znalosti jednotlivce:

1. Seznam používaných AI nástrojů. Název, účel, kdo ho používá, jaká data do něj tečou, kdo za to odpovídá.
2. Pravidla pro vkládání dat. Zaměstnanec musí předem vědět, jestli smí vložit osobní údaje, smlouvu, neveřejný ceník, zdrojový kód nebo zdravotní dokumentaci. Nesmí to řešit až v okamžiku, kdy má otevřené okno chatu.
3. Pravidla kontroly výstupů. Které texty, výpočty a rozhodnutí musí před použitím projít člověkem a čím konkrétně se ověřují.
4. Školení podle rolí. Jiná rizika řeší marketing, personalista, technik a jednatel. Jeden společný webinář pro všechny je začátek, ne cíl.
5. Záznam. Obsah školení, prezenční listina, interní pokyn, datum poslední aktualizace.
6. Postup pro incident. Komu se hlásí únik dat, chybný výstup nebo použití neschváleného nástroje.

Žádný z těch dokumentů není povinnou náležitostí AI Actu a žádný sám o sobě nezaručí soulad. Dohromady ale ukazují něco jiného než pokyn „používejte AI opatrně“ v e-mailu z loňska. Komise navíc vede v rámci AI Pactu veřejné úložiště praktik AI gramotnosti — je to použitelná inspirace, ne norma.

Co má zaměstnanec po školení skutečně umět

AI gramotnost není kurz psaní efektních promptů. Je to znalost konkrétního rizika konkrétního nástroje. Tři příklady, které si lidé pamatují lépe než definice:

Model si vymýšlí sebevědomě. V řízení Mata v. Avianca (New York, 2023) podali advokáti soudu podání s citacemi rozsudků, které ChatGPT vygeneroval a které neexistovaly. Soud jim uložil pokutu 5 000 dolarů. Ověřování čísel, citací a právních tvrzení není formalita — halucinace vypadá stejně důvěryhodně jako pravda.

Za výstup chatbota odpovídá firma. V případu Moffatt v. Air Canada (2024) dal chatbot aerolinky zákazníkovi špatnou informaci o slevě. Aerolinka argumentovala tím, že chatbot je samostatná entita odpovědná za vlastní vyjádření. Tribunál to odmítl a náhradu přiznal.

Deepfake už není teorie. V roce 2024 převedl zaměstnanec hongkongské pobočky inženýrské firmy Arup zhruba 25 milionů dolarů po videokonferenci, na které byli deepfake kolegové včetně „finančního ředitele“. Školení musí obsahovat i to, že video a hlas přestaly být důkazem totožnosti a že platební proces potřebuje ověření druhým kanálem.

K tomu patří nudnější, ale stejně důležitá část — nastavení nástrojů:

• ChatGPT v osobním pracovním prostoru (Free, Plus i Pro) může používat nové konverzace ke zlepšování modelů, dokud uživatel nevypne volbu „Improve the model for everyone“. U Business, Enterprise, Edu a API se vstupy a výstupy ve výchozím nastavení k trénování nepoužívají. Zaměstnanec s vlastním osobním účtem je pro firmu obtížně řiditelný kanál: firma nemá centrální nastavení účtu, auditní stopu ani jistotu, že člověk datové volby správně nastavil.
• Microsoft 365 Copilot data drží uvnitř tenanta, ale zpřístupní uživateli vše, na co má oprávnění. Typický problém při nasazení tedy není model, ale roky nastřádané nadměrné sdílení v SharePointu — Copilot ho zviditelní během týdne. Před nasazením patří revize oprávnění, ne školení.
• Placený tarif není povolení. Řada lidí si automaticky spojuje „platíme za to“ s „smíme tam dát cokoli“. Samsung v roce 2023 zakázal generativní AI na firemních zařízeních poté, co zaměstnanci vložili do ChatGPT interní zdrojový kód.
• Původ nástroje má váhu. NÚKIB vydal v roce 2025 varování před nástroji DeepSeek; co z toho plyne pro české firmy, rozebíráme v článku NÚKIB varoval před DeepSeekem. U agend, které z vaší sítě nemají odejít vůbec, je řešením lokální nasazení — viz AI bez cloudu.

Jak poznat, že máte vysoce rizikový systém

Nerozhoduje značka ani to, že dodavatel uvnitř používá velký jazykový model. Rozhoduje účel a způsob nasazení. Návrh e-mailu v Copilotu vysoce rizikový nebude. Stejná technologie použitá k bodování uchazečů o práci už do přílohy III spadat může.

Zpozorněte, pokud AI:

• vybírá, řadí nebo vyřazuje uchazeče,
• hodnotí pracovní výkon, přiděluje úkoly nebo ovlivňuje ukončení pracovního poměru,
• rozhoduje o přístupu ke vzdělání nebo k podstatné službě,
• pracuje s biometrií,
• je bezpečnostní součástí regulovaného výrobku.

Že to není akademická obava, ukázal Amazon: podle reportáže agentury Reuters z roku 2018 interní nástroj na třídění životopisů systematicky penalizoval CV obsahující slovo „women’s“, protože se učil na deset let starých datech z oboru, kde přijímali převážně muže. Nástroj skončil v koši. Přesně tenhle typ systému příloha III popisuje.

Odklad do let 2027 a 2028 je čas na přípravu, ne potvrzení, že takový systém můžete zatím používat bez pravidel. Diskriminační dopad řeší antidiskriminační právo a zákoník práce už dnes.

Kolik příprava stojí a co si ověřit u dodavatele

Zákon nestanovuje minimální délku ani cenu školení. Náklad se odvíjí od počtu pracovních rolí a rizikovosti použití, ne od počtu hlav — firma o dvaceti lidech se třemi typy práce s AI je levnější případ než firma o osmi lidech, která zároveň dělá nábor, marketing a vývoj.

Jako pracovní rámec (ne zákonné minimum) dává u malé firmy smysl společný blok v rozsahu 2–4 hodin plus kratší navazující část pro role, které pracují s osobními údaji, zákazníky, náborem nebo automatizovaným rozhodováním.

Před objednáním se ptejte, jestli v ceně dostanete:

• rozbor nástrojů, které firma opravdu používá (včetně těch neschválených),
• školení na vlastních pracovních situacích, ne obecné ukázky,
• pravidla pro data a ověřování výstupů v písemné podobě,
• materiál pro nově příchozí,
• záznam o obsahu a účasti,
• doporučení, kdy školení aktualizovat.

Obecný webinář bez znalosti vašeho prostředí zvýší povědomí, ale nevyrobí pravidla, o která se dá v praxi opřít. Pokud nemáte kapacitu si to sestavit sami, děláme to jako službu — soupis nástrojů, pravidla a školení AI pro firmy na vašich reálných případech, se záznamem, který je doložitelný. Možnosti financování shrnuje přehled dotací na školení AI v roce 2026.

Co reálně hrozí, když neuděláte nic

Tady je potřeba být přesný, protože kolem toho koluje hodně strašení. Katalog pokut v článku 99 AI Actu nestanoví pro porušení článku 4 samostatnou automatickou sazbu v milionech eur. To ale neznamená, že jde o dobrovolné doporučení. Podle aktuálního výkladového Q&A Evropské komise mohou národní orgány dozoru nad trhem ukládat přiměřené sankce a jiná nápravná opatření podle vnitrostátního práva; dohledová a vynucovací pravidla se použijí od srpna 2026. Konkrétní český orgán, postup a sankci je proto potřeba ověřit podle úpravy účinné v době kontroly.

Praktické riziko ale vzniká dřív a jinde:

• zaměstnanec vloží neveřejná data do nepovolené služby — to je věc GDPR a obchodního tajemství, ne AI Actu,
• firma pošle zákazníkovi vymyšlenou informaci a odpovídá za ni (viz Air Canada),
• AI výstup se stane podkladem pro personální rozhodnutí a firma ho neumí zdůvodnit,
• při jakémkoli sporu nebo kontrole je pozice firmy, která neproškolila a nemá pravidla, výrazně slabší než pozice firmy, která má datovaný interní pokyn a doložitelnou účast na školení.

Certifikát s nápisem „AI Act compliant“ od dodavatele nástroje na tom nic nezmění. Odpovědnost za způsob použití ve vlastní firmě na výrobce přenést nelze.

Kontrolní seznam pro majitele firmy

Není to výčet zákonných náležitostí — je to praktický postup, jak se k přiměřeným opatřením dopracovat:

• Sepište AI nástroje, které firma schválila.
• Zjistěte, co lidé používají bez schválení — zpravidla se to liší.
• U každého nástroje popište účel, data a odpovědnou osobu.
• Oddělte běžnou podporu práce od náboru, hodnocení lidí a dalších citlivých rozhodnutí.
• Stanovte písemně, co se do veřejných AI služeb nesmí vkládat.
• Proškolte lidi podle rolí a schovejte obsah i účast.
• Zrevidujte oprávnění v SharePointu a na sdílených discích dřív, než pustíte Copilota.
• Kontrolu opakujte při zavedení nového nástroje nebo změně procesu.

Časté dotazy

Musí mít každá firma povinné školení AI?

Pokud firma AI systémy poskytuje nebo používá při své činnosti, musí přijmout přiměřená opatření k AI gramotnosti. Nařízení nepředepisuje formát kurzu, délku ani závěrečnou zkoušku — předepisuje, že opatření musí odpovídat rizikům a kontextu použití.

Týká se AI Act i používání ChatGPT nebo Copilotu?

Ano. Pokud zaměstnanci nástroj používají jménem firmy — pro marketing, překlady, analýzu dat nebo komunikaci se zákazníky — firma musí přijmout přiměřená opatření k jejich AI gramotnosti. Konkrétní podobu, tedy třeba pravidla pro data, kontrolu výstupů a školení podle rolí, si volí sama; nařízení ji nepředepisuje.

Byla povinnost AI gramotnosti odložena na rok 2027?

Ne. Odloženy byly vybrané povinnosti pro vysoce rizikové systémy. Článek 4 se používá od 2. 2. 2025.

Potřebujeme certifikát nebo firemního AI officera?

Ne. AI Act pro splnění článku 4 nevyžaduje certifikát ani konkrétní organizační funkci. Firma by ale měla umět doložit, jaká opatření přijala a kdy.

Kdy začnou platit pravidla pro vysoce rizikovou AI?

Pro oblasti podle přílohy III, například některé systémy v náboru a zaměstnávání, od 2. 12. 2027. Pro AI jako bezpečnostní součást regulovaných výrobků podle přílohy I od 2. 8. 2028.

Primární zdroje k aktuálnímu harmonogramu

• Nařízení (EU) 2024/1689 — AI Act
• Nařízení (EU) 2026/1744 — AI Omnibus
• Evropská komise: AI Omnibus vstoupil v platnost
• Evropská komise: otázky a odpovědi k AI gramotnosti