Co dělat, když vás poškodí rozhodnutí AI? Stížnost, právo na vysvětlení a GDPR

Tři cesty, když vás rozhodnutí AI poškodí

Právo na vysvětlení podle článku 86 AI Actu

Článek 86 odst. 1 dává právo získat od zavádějícího subjektu jasné a smysluplné vysvětlení úlohy systému AI v rozhodovacím postupu a hlavních prvků přijatého rozhodnutí. Musí být splněny tyto podmínky:

1. Rozhodnutí přijal zavádějící subjekt, tedy firma nebo úřad, který systém používá.
2. Rozhodnutí vychází z výstupu vysoce rizikového systému uvedeného v příloze III, s výjimkou bodu 2 o kritické infrastruktuře. Typicky jde o nábor a řízení zaměstnanců, hodnocení úvěruschopnosti, ceny životního a zdravotního pojištění, vzdělávání nebo nároky na veřejné dávky.
3. Rozhodnutí má pro vás právní účinky nebo se vás podobně významně dotýká způsobem, o kterém se domníváte, že nepříznivě ovlivňuje vaše zdraví, bezpečnost nebo základní práva.

Právo neplatí, pokud výjimky vyplývají z práva EU nebo z vnitrostátního práva v souladu s právem EU (odstavec 2), a použije se jen v rozsahu, v němž toto právo není upraveno jinak právem EU (odstavec 3).

Od kdy. Článek 86 se podle článku 113 použije od 2. srpna 2026. Pravidla pro vysoce rizikové systémy z přílohy III se ale po novele nařízením (EU) 2026/1744 použijí až od 2. prosince 2027. Protože se právo vztahuje právě na tyto systémy, podle našeho výkladu prakticky dopadne až od tohoto data; text nařízení to výslovně neřeší.

Český návrh zákona o umělé inteligenci v paragrafu 27 navrhuje, aby neposkytnutí vysvětlení podle článku 86 bylo přestupkem zavádějícího subjektu s pokutou až 15 milionů eur nebo 3 % obratu. Jde o návrh, ne platné právo.

Co vám musí firma sdělit, i když se nezeptáte

• Chatbot: od 2. srpna 2026 musíte vědět, že komunikujete se systémem AI, pokud to není zřejmé (článek 50 odst. 1).
• Rozpoznávání emocí a biometrická kategorizace: firma vás musí informovat, že jste takovému systému vystaveni (článek 50 odst. 3).
• Deepfake: zveřejněný uměle vytvořený nebo upravený obraz, zvuk či video musí být označen (článek 50 odst. 4).
• Vysoce rizikový systém, který o vás rozhoduje: od 2. prosince 2027 vás firma musí informovat, že jste jeho použití vystaveni (článek 26 odst. 11).
• Automatizované rozhodování podle GDPR: správce musí informovat o existenci automatizovaného rozhodování včetně profilování podle článku 22 a o jeho významu a předpokládaných důsledcích (články 13 a 14 GDPR).

Automatizované rozhodování podle GDPR platí už dnes

Podle článku 22 odst. 1 GDPR máte právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro vás právní účinky nebo se vás obdobně významně dotýká. Výjimkou je rozhodnutí nezbytné k uzavření nebo plnění smlouvy, povolené právem nebo založené na vašem výslovném souhlasu. U smlouvy a souhlasu musí mít správce podle odstavce 3 zajištěno alespoň právo na lidský zásah, právo vyjádřit svůj názor a právo rozhodnutí napadnout.

Podle článku 15 odst. 1 písm. h) můžete žádat smysluplné informace o použitém postupu a o významu a předpokládaných důsledcích zpracování. Správce odpovídá podle článku 12 odst. 3 bez zbytečného odkladu a nejpozději do jednoho měsíce, s možností prodloužení o další dva měsíce.

Soudní dvůr EU tato práva vyložil ve dvou rozsudcích. Ve věci C-634/21 ze 7. prosince 2023 rozhodl, že automatizované stanovení skóre bonity je automatizovaným individuálním rozhodováním, pokud na něm rozhodujícím způsobem závisí, zda třetí osoba smlouvu uzavře, bude plnit nebo ukončí. Ve věci C-203/22 z 27. února 2025 dovodil, že u takového automatizovaného rozhodování můžete žádat stručné, transparentní a srozumitelné informace vysvětlující postup a zásady použité ve vašem případě. Pokud správce tvrdí obchodní tajemství, musí sporné informace předat dozorovému úřadu nebo soudu, který zváží zájmy obou stran.

Komu v Česku podat stížnost

Na porušení AI Actu. Článek 85 dává každé fyzické nebo právnické osobě, která má důvod se domnívat, že došlo k porušení nařízení, možnost podat stížnost orgánu dozoru nad trhem. Česko k 22. září 2026 tento orgán zákonem neurčilo. Podle vládního návrhu zákona bude obecným orgánem Český telekomunikační úřad, u subjektů pod jejím dohledem Česká národní banka a u vysoce rizikových systémů podle článku 74 odst. 8, tedy v oblasti vymáhání práva, hranic, justice a demokratických procesů, Úřad pro ochranu osobních údajů. U systémů ve výlučné pravomoci Úřadu pro AI, například systémů postavených na obecném modelu téhož poskytovatele, může Úřad pro AI podle článku 75a odst. 2 jednat i na základě stížnosti.

Na zpracování osobních údajů. Stížnost podle článku 77 GDPR podáváte Úřadu pro ochranu osobních údajů. Může ji podat jen člověk přímo dotčený zpracováním svých údajů; formulář je na webu úřadu a lze ho poslat datovou schránkou, poštou nebo e-mailem s uznávaným elektronickým podpisem.

Oznámení zevnitř firmy. Na oznamování porušení AI Actu se podle článku 87 vztahuje směrnice (EU) 2019/1937 o ochraně oznamovatelů.

Co z toho plyne pro zaměstnance

Rozpoznávání emocí na pracovišti je zakázané od 2. února 2025, s výjimkou lékařských a bezpečnostních důvodů. Zaměstnavatel, který chce na pracovišti nasadit vysoce rizikový systém, například na hodnocení výkonu nebo přidělování úkolů, musí od 2. prosince 2027 předem informovat zástupce zaměstnanců a dotčené pracovníky (článek 26 odst. 7). Článek 2 odst. 11 dovoluje státům zachovat nebo zavést pravidla příznivější pro pracovníky. Práva podle GDPR platí i vůči zaměstnavateli.

Co z toho plyne pro firmy

Firma může stížnost podle článku 85 podat také, například když konkurent používá zakázanou praktiku. Stížnost podle GDPR firmě nepřísluší, může ale Úřadu pro ochranu osobních údajů podat podnět, který podle úřadu může podat jakákoli osoba. Dotčený člověk navíc může podáním stížnosti pověřit neziskovou organizaci působící v ochraně osobních údajů (článek 80 GDPR). Směrnice o odpovědnosti za vadné výrobky přiznává nárok jen fyzickým osobám a nekryje poškození majetku používaného výhradně pro profesní účely ani data používaná pro profesní účely. Firma poškozená nástrojem AI od dodavatele proto řeší nárok hlavně podle smlouvy a obecného občanského práva. Návrh zvláštní směrnice o odpovědnosti za AI Komise stáhla, oznámení vyšlo v Úředním věstníku 6. října 2025.

Náhrada škody

AI Act sám zvláštní nárok na náhradu škody neobsahuje. Podle článku 82 GDPR má každý, kdo v důsledku porušení GDPR utrpěl hmotnou nebo nehmotnou újmu, nárok na náhradu od správce nebo zpracovatele. Směrnice (EU) 2024/2853 řadí mezi výrobky software a vztahuje se na výrobky uvedené na trh nebo do provozu po 9. prosinci 2026. V Česku ji má provést vládní návrh novely občanského zákoníku, sněmovní tisk 295, předložený Sněmovně 3. září 2026 s navrženou účinností od 9. prosince 2026.

Vzor žádosti o vysvětlení

Text upravte podle situace. Pokud nejde o výhradně automatizované rozhodnutí nebo o vysoce rizikový systém, některý právní základ vypusťte.

Věc: Žádost o vysvětlení rozhodnutí a informace o automatizovaném zpracování

Dobrý den, dne (doplňte datum) jste rozhodli o (doplňte, například zamítnutí žádosti o úvěr nebo o práci). Žádám Vás podle článku 15 odst. 1 písm. h) GDPR o informaci, zda při rozhodnutí došlo k automatizovanému rozhodování včetně profilování, a pokud ano, o smysluplné informace o použitém postupu, jeho významu a předpokládaných důsledcích pro mě. Pokud rozhodnutí vychází z výstupu vysoce rizikového systému AI podle přílohy III nařízení (EU) 2024/1689, žádám také podle jeho článku 86 o jasné a smysluplné vysvětlení úlohy systému AI v rozhodnutí a jeho hlavních prvků. Bylo-li rozhodnutí výhradně automatizované, žádám podle článku 22 odst. 3 GDPR o přezkum člověkem a sděluji svůj názor: (doplňte). Odpověď prosím zašlete do jednoho měsíce podle článku 12 odst. 3 GDPR. S pozdravem (jméno, kontakt).

Širší přehled povinností firem je v odpovědi jaké povinnosti má firma, která AI používá, vztah obou předpisů v odpovědi jak se AI Act a GDPR překrývají a vysoce rizikové systémy v odpovědi které AI systémy jsou vysoce rizikové.

Stav zdrojů a omezení

Text vychází z článků 2, 5, 26, 50, 75a, 85, 86, 87 a 113 nařízení (EU) 2024/1689 v konsolidovaném znění po novele nařízením (EU) 2026/1744, z článků 12, 13, 14, 15, 22, 77, 80 a 82 GDPR, z rozsudků Soudního dvora EU C-634/21 a C-203/22, ze směrnice (EU) 2024/2853, ze sněmovního tisku 295 a z návrhu českého zákona o umělé inteligenci, ověřeno k 22. září 2026. Úvaha o praktické použitelnosti článku 86 až od 2. prosince 2027 je náš výklad, text nařízení tuto otázku výslovně neřeší. Obsah návrhu zákona není platné právo. Odpověď není právním poradenstvím; u konkrétního sporu se obraťte na advokáta.