Zaměstnanec si v ChatGPT připravuje odpověď zákazníkovi. Pak přijde personalistka: nemohla by AI rovnou seřadit životopisy? Předplatné je pořád stejné, jenže druhé použití spadá do úplně jiné kategorie. AI Act se dívá na to, k čemu nástroj ve firmě používáte.
Krátká odpověď pro malou firmu: u interního asistenta stačí zaškolit lidi a hlídat, jaká data do něj vkládají. Chatbot na webu musí zákazníkovi dát vědět, že píše s AI, a deepfake hlasu nebo obličeje označujte vždy. Třídění uchazečů o práci ale neberte jako běžné použití ChatGPT, bez právního posouzení ho nespouštějte.
Výjimku nemají ani živnostníci bez zaměstnanců. Zavádějící subjekt (v anglickém textu „deployer“) je podle článku 3 bodu 4 i fyzická osoba, která AI používá ve své působnosti. Regulace míjí jen čistě osobní neprofesní použití.
Nejsem právník. Vycházím z textu nařízení (EU) 2024/1689 ve znění, které zveřejňuje Evropská komise, a z výkladů Komise a ČTÚ.
Používáte AI ve firmě? Začněte seznamem úkolů
Co dělá každý člověk s AI? Do přehledu napište činnost, nástroj, vstupní data a toho, kdo o výsledku rozhoduje. Samotné „používáme ChatGPT“ vám k ničemu nebude. Kolega si návrh e-mailu přečte a přepíše, zákazník ale může dostat odpověď chatbota bez jakékoli kontroly a u životopisů výsledek rozhoduje, koho pozvete na pohovor.
Formulář pro takový seznam AI Act nepředepisuje. Doporučuji ho jako pracovní pomůcku: bez něj nevíte, které povinnosti se vás týkají, a nemáte z čeho vybrat školení. Pokud zatím vybíráte samotný nástroj, srovnání tarifů najdete v článku ChatGPT, Claude, Copilot a Gemini pro firmy.
Jste zavádějící subjekt, nebo poskytovatel?
Používáte hotový nástroj pro firemní práci? Pak jste typicky zavádějící subjekt. Poskytovatel je podle článku 3 bodu 3 ten, kdo systém vyvíjí nebo si ho nechá vyvinout a uvádí ho na trh či do provozu pod svým jménem nebo značkou.
Jiná situace nastane, když si necháte postavit vlastního chatbota nad cizím modelem. Tam svou roli posuďte zvlášť, protože faktura za přístup k modelu ji neurčí. Před převzetím aplikace si od dodavatele nechte písemně potvrdit, kdo je poskytovatelem výsledného systému a kdo plní jeho povinnosti, dokud to můžete promítnout do smlouvy.
Pozor na změnu účelu. Podle článku 25 odst. 1 se firma stává poskytovatelem například tehdy, když systém, který vysoce rizikový nebyl, upraví k účelu, který z něj vysoce rizikový udělá. Běžná změna zadání v chatu to sama nezpůsobí.
Co musíte udělat podle způsobu použití?
Ve všech řádcích tabulky platí gramotnost podle článku 4 a při práci s osobními údaji také GDPR.
| Situace a typická role firmy | Povinnost a hranice | Konkrétní krok | Termín a právní opora |
|---|---|---|---|
| Shrnutí interního dokumentu nebo návrh e-mailu; zavádějící subjekt | Interní příprava nezakládá povinnost veřejného označení | Vyřaďte nepotřebné osobní údaje a ověřte výsledek | Gramotnost od 2. 2. 2025; čl. 4 |
| Běžný popisek produktu; zavádějící subjekt | Čl. 50 odst. 4 nepožaduje označení každého marketingového textu | Zkontrolujte fakta; zdravotní tvrzení posuďte zvlášť | Čl. 50 odst. 4 od 2. 8. 2026 |
| Webový chatbot nebo voicebot; zpravidla zavádějící subjekt | Informovat o interakci s AI musí podle čl. 50 odst. 1 poskytovatel, pokud to není zřejmé | Ověřte oznámení u dodavatele i na vlastním webu | Od 2. 8. 2026; čl. 50 odst. 1 a 5 |
| Realistický klon hlasu konkrétního člověka; zavádějící subjekt | Deepfake musíte přiznat; lidská kontrola povinnost neruší | Připojte srozumitelnou informaci k nahrávce | Od 2. 8. 2026; čl. 3 bod 60, čl. 50 odst. 4 |
| AI text informující veřejnost o věci veřejného zájmu; zavádějící subjekt | Informace o AI je povinná, pokud text neprošel lidskou či redakční kontrolou s redakční odpovědností | Určete odpovědného redaktora, nebo text označte | Od 2. 8. 2026; čl. 50 odst. 4 |
| Třídění životopisů a hodnocení uchazečů; zavádějící subjekt, někdy poskytovatel | Oblast přílohy III; výjimku je třeba doložit podle konkrétní funkce | Vyžádejte klasifikaci systému a právní posouzení | Od 2. 12. 2027; čl. 6, příloha III bod 4 |
Tabulka je modelová a audit konkrétního nástroje nenahradí. Transparentnost česky vysvětluje ČTÚ na Digitálním majáku.
Kdy označit chatbota, text, obrázek nebo hlas?
Článek 50 odděluje dvě věci. Technické značení výstupu (odstavec 2) je povinnost poskytovatele nástroje: výstup má být strojově čitelně rozpoznatelný jako vytvořený nebo upravený AI. Věta v patičce webu ho nenahradí, ale u ChatGPT nebo generátoru obrázků to neřešíte vy.
Druhá věc je informace pro člověka. U chatbota ji podle odstavců 1 a 5 musí zákazník dostat jasně a rozlišitelně, nejpozději při první interakci, pokud to není z okolností zřejmé. Doporučuji ji dát přímo do otevřeného okna chatu:
Komunikujete s AI asistentem. Jeho odpovědi mohou obsahovat chyby.
Jde o redakční vzor, úřad ho neschválil. Předání operátorovi slibujte jen tehdy, když ho umíte zajistit. Jak chatbota nastavit a co stojí, rozebírám v článku AI v zákaznické podpoře.
Deepfake přiznává zavádějící subjekt, tedy vy. Podle článku 3 bodu 60 jde o obrazový, zvukový nebo video obsah, který připomíná existující osoby, objekty, místa, subjekty nebo události a mohl by se nepravdivě jevit jako autentický. Kreslená ilustrace tam typicky nepatří, realistická „fotka“ výrobku ve vymyšlené situaci tam patřit může. U zjevně uměleckých, satirických nebo fiktivních děl stačí informaci zveřejnit tak, aby dílo nerušila.
Výjimka díky redakční kontrole platí jen pro texty informující o věcech veřejného zájmu. Na deepfaky ji nepřenášejte.
Jak splnit AI gramotnost bez certifikátu?
Povinnost platí od 2. 2. 2025. AI Omnibus ji v létě 2026 zmírnil: aktuální článek 4 ukládá přijmout opatření na podporu AI gramotnosti zaměstnanců a dalších lidí, kteří s AI pracují vaším jménem, s ohledem na jejich znalosti a kontext použití. Výslovně dodává, že firma nemusí zaručit konkrétní úroveň každého jednotlivce.
Komise v otázkách a odpovědích píše, že certifikát nepotřebujete a že stačí interní záznam školení nebo jiných opatření. Znalosti zaměstnanců měřit nemusíte. Počítejte i s externisty a dodavateli, kteří s AI pracují pro vás, a s tím, že dozor nad článkem 4 vykonávají národní úřady od 2. 8. 2026.
Pro malý tým doporučuji krátké zaškolení na vlastních úlohách:
- Ukažte chybnou odpověď AI z vlastní práce a nechte kolegu dohledat původní zdroj.
- Rozlište veřejné podklady od informací, které do nástroje vkládat nesmíte.
- Zkontrolujte hotový výstup proti podkladům: u produktu parametry výrobce, u zákaznické odpovědi pravidla firmy.
- Vysvětlete, kdy práci zastavit a požádat o posouzení, například u hodnocení uchazečů.
Do záznamu napište datum, účastníky, nástroj, probrané situace a odpovědnou osobu. Kolik takové zaškolení stojí u externích lektorů a jak poznat dobrý kurz, rozebírám v článku Školení AI pro firmy. Pozor na jednu hranici: kdo má dohlížet na vysoce rizikový systém, potřebuje podle článku 26 kvalifikovaný lidský dohled, a na ten základní zaškolení nestačí.
Nábor a hodnocení lidí potřebují samostatné posouzení
AI pro analýzu a filtrování žádostí nebo hodnocení uchazečů vyjmenovává příloha III bod 4, stejně jako některé systémy pro rozhodování o pracovních vztazích a sledování výkonu. Formulace inzerátu do této kategorie nespadá. Automatické pořadí kandidátů ano.
Článek 6 odst. 3 připouští výjimky, například pro úzký procesní nebo přípravný úkol, který podstatně neovlivňuje rozhodování. Systém z přílohy III, který profiluje fyzické osoby, zůstává vysoce rizikový vždy. Věta „nakonec to odklikne personalista“ klasifikaci nevyřeší.
Až pravidla 2. 12. 2027 začnou platit, článek 26 bude po zavádějícím subjektu chtít mimo jiné:
- používat systém podle návodu poskytovatele a svěřit dohled lidem s potřebnou kompetencí a pravomocí,
- sledovat provoz a automatické záznamy, které má pod kontrolou, uchovávat nejméně šest měsíců,
- před nasazením na pracovišti informovat zástupce zaměstnanců a dotčené zaměstnance,
- informovat lidi, o kterých systém rozhoduje nebo pomáhá rozhodovat.
Zakázané praktiky platí už od 2. 2. 2025. Článek 5 odst. 1 písm. f) zakazuje AI, která odvozuje emoce lidí na pracovišti, s výjimkou lékařských a bezpečnostních důvodů. Nabídku typu „poznáme motivaci uchazeče z obličeje“ proto před nákupem pošlete právníkovi. Obecný checklist pro ChatGPT na ni nestačí.
Co už platí a co přijde v letech 2027-2028?
AI Omnibus vstoupil podle Komise v platnost 27. 7. 2026 a posunul termíny pro vysoce rizikovou AI. Starší zprávy o návrhu Digital Omnibusu z listopadu 2025 už nepopisují platný stav. Rozlišujte také vstup předpisu v platnost a datum, od kterého musíte konkrétní povinnost plnit.
| Datum | Co znamená pro malou firmu |
|---|---|
| 1. 8. 2024 | AI Act vstoupil v platnost, povinnosti nabíhají postupně |
| 2. 2. 2025 | Platí zákazy podle článku 5 a povinnost AI gramotnosti |
| 2. 8. 2025 | Povinnosti poskytovatelů obecných modelů AI (GPAI), tedy dodavatelů jako OpenAI nebo Google, ne jejich firemních uživatelů |
| 2. 8. 2026 | Platí článek 50 o transparentnosti; začíná dozor nad gramotností a vymáhání pravidel GPAI |
| 2. 12. 2026 | Konec přechodné lhůty pro technické značení (čl. 50 odst. 2) u systémů uvedených na trh před 2. 8. 2026; nové zákazy AI pro intimní obsah bez souhlasu a materiály zneužívání dětí |
| 2. 12. 2027 | Pravidla pro vysoce rizikové systémy z přílohy III, včetně náboru |
| 2. 8. 2028 | Pravidla pro vysoce rizikovou AI v regulovaných výrobcích podle přílohy I |
Termíny vycházejí z harmonogramu Komise a přehledu Rady EU.
Prosincová lhůta se týká jen technického značení u poskytovatelů. Informování zákazníků v chatu neodkládá. Když vám dodavatel chatbota tvrdí, že s oznámením můžete počkat, chtějte vědět, na které ustanovení se odvolává.
Co do AI nevkládat a co vedle AI Actu řeší GDPR?
Zákaznické databáze, životopisy a zdravotní údaje do nástroje nevkládejte, dokud firma jeho použití neposoudí. Je to interní pravidlo, které doporučuji. GDPR samo každé použití osobních údajů v AI nezakazuje.
GDPR, nařízení (EU) 2016/679, chce právní základ zpracování podle článku 6. U zvláštních kategorií, třeba údajů o zdraví, navíc podmínky článku 9 (viz výklad Komise k právním základům). Placený firemní tarif tyto otázky nevyřeší. Rozdíly mezi osobními a firemními tarify ChatGPT v ochraně dat popisuji v článku ChatGPT pro firmy.
Když dodavatel jedná jako zpracovatel vašich osobních údajů, potřebujete smlouvu podle článku 28. Pro předávání mimo Evropský hospodářský prostor musíte mít odpovídající mechanismus, například standardní smluvní doložky (výklad Komise). Od dodavatele si vyžádejte, kdo data přijímá, jak dlouho je uchovává a jestli vaše vstupy dál využívá.
Vymazání jména ještě neznamená anonymizaci. Člověka může prozradit kombinace ostatních údajů, jak vysvětluje Komise a v informaci z 9. 7. 2026 také ÚOOÚ.
Checklist: přidělte člověka a uložte výsledek
Pro interního asistenta stačí pravidla práce a záznam zaškolení. Nábor potřebuje podrobnější posouzení. Podpis směrnice sám nedokládá, že jste požadavky splnili. V malé firmě převezme několik následujících úkolů tentýž člověk.
Majitel nebo provozní vedoucí sepíše nástroje a konkrétní účely a doklad nechá jako datovaný seznam včetně vstupních dat. Zákazy, rizikovost a svou roli posoudí vedoucí, u sporného použití právník, a uschová výsledek posouzení i podklady dodavatele. Pravidla práce s daty schválí člověk odpovědný za ochranu údajů a přiloží k nim podmínky služby a zpracovatelské smlouvy.
Vedoucí týmů zaškolí lidi podle jejich práce a uloží materiály a záznam účasti. Správce webu spolu s odpovědným redaktorem ověří oznámení v chatu a označování publikací; dokladem je snímek oznámení a popsaný postup kontroly. A při novém účelu nebo nástroji projde změny ten, kdo za danou činnost odpovídá, a zapíše aktualizovaný seznam i rozhodnutí.
Jednostránková pravidla mohou začít takto:
Používejte jen nástroje a účely schválené firmou. Před vložením podkladů zkontrolujte, zda neobsahují osobní nebo důvěrné informace, které do nástroje vkládat nesmíte. Výstup před zveřejněním ověří odpovědný člověk proti původním podkladům. Pokud obsah vyžaduje označení, připojte informaci pro příjemce. Nové použití pro nábor, hodnocení zaměstnanců nebo rozhodování o lidech předem předejte vedoucímu k posouzení. Chybu nebo nechtěné vložení dat hned nahlaste [jméno a kontakt].
Doplňte skutečné názvy schválených nástrojů a jména. Pravidla uložte tam, kde je lidé najdou před prvním použitím AI.
Jaké pokuty hrozí a kdo v Česku dohlíží?
Článek 99 stanoví tři stropy, u podniků obecně vyšší z obou uvedených hodnot. Za zakázané praktiky podle článku 5 hrozí až 35 000 000 EUR nebo 7 % celosvětového ročního obratu. Za vyjmenované povinnosti včetně článku 26 a transparentnosti podle článku 50 je to 15 000 000 EUR nebo 3 % obratu a za nesprávné, neúplné nebo zavádějící informace na výzvu úřadu 7 500 000 EUR nebo 1 % obratu.
Pro malé a střední podniky včetně začínajících platí podle odstavce 6 nižší z obou hodnot. Jde o stropy, úřad přihlíží k okolnostem případu. Pro gramotnost podle článku 4 žádnou sazbu nenajdete, sankce za ni určují národní pravidla.
V Česku má dozor vykonávat ČTÚ. Podle zprávy z 31. 8. 2026 zřídil od 1. 9. 2026 oddělení dozoru nad AI, které vede Anna Hroudová. Dozorové pravomoci ale bude plně vykonávat až po schválení legislativy: stránka ČTÚ uvádí adaptační zákon stále v legislativním procesu. Evropské povinnosti se tím neodkládají.
Začněte seznamem skutečných použití AI a jménem odpovědného člověka u každého z nich. Pak u jedné činnosti projděte, jaká data do nástroje jdou a kdo kontroluje výsledek. Nejasnost u náboru nebo osobních údajů předejte právníkovi jako konkrétní zadání. Napište mi, u které firemní činnosti vám pravidla pořád nejsou jasná.
