CIADČeský Institut
pro AI a Data
ODPOVĚĎ

Jaké povinnosti má podle AI Actu firma, která AI jen používá?

Téma
Regulace a právo
Čtení
6 min
Publikováno
Aktualizováno
Obsah · 9 kapitol

STRUČNÁ ODPOVĚĎ

Firma, která AI používá ve své činnosti, je podle článku 3 bodu 4 AI Actu zavádějícím subjektem. Při běžném používání asistentů typu ChatGPT nebo Copilot má tři povinnosti: nepoužívat AI k zakázaným praktikám podle článku 5 (od 2. února 2025), přijímat opatření k AI gramotnosti lidí, kteří s AI pracují, podle článku 4 (od 2. února 2025, v mírnějším znění po novele od 27. července 2026) a od 2. srpna 2026 označovat zveřejněné deepfaky a informovat lidi o rozpoznávání emocí nebo biometrické kategorizaci podle článku 50. Pokud firma nasadí vysoce rizikový systém, například na třídění uchazečů o práci nebo hodnocení úvěruschopnosti, přibudou od 2. prosince 2027 povinnosti podle článku 26. Kdo systém podstatně upraví nebo ho provozuje pod svým jménem, stává se poskytovatelem.

Nejdřív role: poskytovatel, nebo zavádějící subjekt

AI Act rozděluje povinnosti podle role. Poskytovatel systém vyvíjí nebo nechává vyvinout a uvádí ho na trh nebo do provozu pod svým jménem (článek 3 bod 3). Zavádějící subjekt systém využívá v rámci své činnosti (článek 3 bod 4). Většina českých firem je u nástrojů AI v roli zavádějícího subjektu, a ta má povinností výrazně méně.

Povinnosti podle situace

Situace ve firměCo musíteOd kdyČlánek
Jakékoli používání AINepoužívat AI k zakázaným praktikám, například k rozpoznávání emocí zaměstnanců nebo k sociálnímu bodování.2. 2. 20255
Jakékoli používání AIPřijímat opatření na podporu AI gramotnosti zaměstnanců a dalších lidí, kteří AI vaším jménem používají, podle jejich znalostí a podle toho, na koho se AI používá.2. 2. 20254
Zveřejňujete obsah z AIOznačit deepfake. Text o záležitostech veřejného zájmu označit, pokud neprošel redakční kontrolou.2. 8. 202650 odst. 4
Rozpoznávání emocí nebo biometrická kategorizace mimo pracovištěInformovat lidi, kteří jsou systému vystaveni.2. 8. 202650 odst. 3
Vysoce rizikový systém podle přílohy IIIPovinnosti zavádějícího subjektu, viz níže.2. 12. 202726

Když používáte vysoce rizikový systém

Nábor a řízení zaměstnanců, hodnocení úvěruschopnosti, stanovení ceny životního nebo zdravotního pojištění nebo hodnocení ve vzdělávání patří do přílohy III. Zavádějící subjekt takového systému musí podle článku 26:

  1. přijmout technická a organizační opatření, aby systém používal podle návodu poskytovatele,
  2. svěřit lidský dohled lidem s potřebnou způsobilostí, přípravou a pravomocí,
  3. zajistit, aby vstupní data, která má pod kontrolou, byla relevantní a dostatečně reprezentativní,
  4. sledovat provoz, při riziku systém pozastavit a informovat poskytovatele a úřad, a hlásit závažné incidenty,
  5. uchovávat automaticky vytvářené záznamy, které má pod kontrolou, nejméně šest měsíců,
  6. jako zaměstnavatel předem informovat zástupce zaměstnanců a dotčené pracovníky,
  7. informovat lidi, o kterých systém rozhoduje nebo pomáhá rozhodovat,
  8. využít informace od poskytovatele pro posouzení vlivu na ochranu osobních údajů podle GDPR,
  9. spolupracovat s příslušnými orgány.

Veřejné orgány, soukromé subjekty poskytující veřejné služby a firmy hodnotící úvěruschopnost nebo stanovující ceny životního a zdravotního pojištění navíc před nasazením posuzují dopad na základní práva podle článku 27. Lidé dotčení rozhodnutím na základě výstupu takového systému mají podle článku 86 právo na vysvětlení.

Kdy se z uživatele stává poskytovatel

Firma nese povinnosti poskytovatele, pokud podle článku 25 odst. 1 na vysoce rizikový systém připojí své jméno nebo ochrannou známku, podstatně ho změní, nebo změní účel běžného systému tak, že se stane vysoce rizikovým. Typický případ: firma vezme obecný jazykový model a postaví nad ním vlastní nástroj na hodnocení uchazečů. V tu chvíli je poskytovatelem vysoce rizikového systému a čeká ji posouzení shody, technická dokumentace i registrace.

Co udělat hned

  1. Soupis nástrojů AI. Kdo co používá, na jaká data a o kom nástroj rozhoduje.
  2. Kontrola zakázaných praktik. Projít soupis proti článku 5, podrobně v odpovědi co je nejzávažnější porušení AI Actu.
  3. Opatření k AI gramotnosti. Pravidla používání, školení podle rolí a evidence, kdo co absolvoval. Jak to doložit, popisuje odpověď jak prokázat AI gramotnost při kontrole.
  4. Pravidla pro zveřejňovaný obsah. Kdo schvaluje texty a obrázky z AI a jak se označují deepfaky, viz článek 50.
  5. Označit vysoce rizikové použití. U každého použití z přílohy III rozhodnout, kdo je poskytovatel, a naplánovat splnění do 2. prosince 2027; u systému uvedeného na trh nebo do provozu dříve sledovat, zda jeho návrh neprošel významnou změnou (článek 111 odst. 2).

Stav zdrojů a omezení

Text vychází z článků 3, 4, 5, 25, 26, 27, 50, 86 a 99 a z přílohy III nařízení (EU) 2024/1689 v konsolidovaném znění po novele nařízením (EU) 2026/1744, ověřeno k 22. září 2026. Seznam povinností podle článku 26 je zkrácený a vynechává ustanovení, která se týkají jen orgánů vymáhání práva a finančních institucí. Roli firmy u konkrétního systému je třeba posoudit podle skutečného nasazení.

Časté dotazy

Musí firma, která používá jen ChatGPT na e-maily, něco podle AI Actu řešit?

Ano, ale málo. Musí přijímat opatření na podporu AI gramotnosti lidí, kteří s nástrojem pracují (článek 4), nesmí nástroj používat k zakázaným praktikám (článek 5) a pokud by zveřejnila deepfake, musí ho označit (článek 50 odst. 4). Povinnosti poskytovatele, jako je technická dokumentace nebo posouzení shody, se jí netýkají.

Je školení zaměstnanců k AI povinné?

Článek 4 v znění po novele nařízením (EU) 2026/1744 ukládá přijímat opatření na podporu zlepšení AI gramotnosti zaměstnanců a dalších lidí, kteří AI jménem firmy provozují a používají. Konkrétní formu nepředepisuje a výslovně nevyžaduje zaručit určitou úroveň u jednotlivce. Školení je nejběžnější a nejsnáze doložitelné opatření, ale není jediné možné.

Kdy se z uživatele AI stává poskytovatel?

Podle článku 25 odst. 1 tehdy, když na vysoce rizikový systém připojí své jméno nebo ochrannou známku, když ho podstatně změní, nebo když změní účel běžného systému tak, že se z něj stane vysoce rizikový. Podle článku 3 bodu 3 je poskytovatelem i ten, kdo si systém nechá vyvinout a uvede ho do provozu pod svým jménem. Pak nese povinnosti poskytovatele.

Co když firma nasadí AI na nábor zaměstnanců?

Třídění životopisů, hodnocení uchazečů a rozhodování o povýšení nebo ukončení spadají do přílohy III bodu 4, jde tedy o vysoce rizikové použití. Od 2. prosince 2027 musí firma jako zavádějící subjekt plnit článek 26: používat systém podle návodu, zajistit lidský dohled kompetentními lidmi, hlídat vstupní data, uchovávat záznamy nejméně šest měsíců a předem informovat zaměstnance a jejich zástupce. U systému uvedeného na trh nebo do provozu před 2. prosincem 2027 se povinnosti pro vysoce rizikové systémy uplatní, jen když se od tohoto dne významně změní jeho návrh (článek 111 odst. 2). Rozpoznávat emoce uchazečů je zakázané už teď.

Mají malé firmy mírnější povinnosti?

Povinnosti zavádějícího subjektu nařízení podle velikosti firmy nerozlišuje. Menší poskytovatelé mají úlevy, například zjednodušenou technickou dokumentaci a přiměřený systém řízení kvality. Rozdíl je i u pokut: malým a středním podnikům se podle článku 99 odst. 6 počítá nižší z obou hodnot horní hranice. Malým podnikům se střední tržní kapitalizací se podle odstavce 6a počítá nižší hodnota jen u pokut do 15 a 7,5 milionu eur. Komise a členské státy mají malým a středním podnikům podle článku 4 odst. 2 pomáhat s AI gramotností.

ZDROJE A OVĚŘENÍ

SOUVISEJÍCÍ OTÁZKY
Všechny odpovědi

Potřebujete odpověď pro svou organizaci?

Projdeme s vámi konkrétní situaci a navrhneme další krok.

Kontaktovat CIAD