AI Act 2026: jaké povinnosti má malá firma, která AI jen používá?

Týká se AI Act i mé malé firmy?

Ano, týká se každé firmy, která AI používá při podnikání, bez ohledu na velikost. Česky se AI Act jmenuje akt o umělé inteligenci, je to nařízení (EU) 2024/1689 a platí přímo (text na EUR-Lex). Výjimka je jen pro čistě osobní použití.

Důležité je vědět, v jaké jste roli:

• Zavádějící subjekt (anglicky deployer) je podle článku 3 bodu 4 ten, kdo systém AI využívá v rámci své pravomoci. Typicky firma, jejíž lidé píšou s ChatGPT, Claude nebo Gemini.
• Poskytovatel je podle článku 3 bodu 3 i ten, kdo systém AI „nechává vyvíjet“ a uvádí ho do provozu pod svým jménem. Když si necháte postavit chatbota na míru a běží pod vaší značkou, můžete být poskytovatel vy. ČTÚ v tiskové zprávě z 31. 7. 2026 upozorňuje, že kdo vlastní systém AI provozuje i používá, plní povinnosti obou rolí.
• Poskytovatel obecného modelu AI je OpenAI, Anthropic nebo Google. Jejich povinnosti platí od 2. 8. 2025 a na vás nepřecházejí.

Od kdy AI Act platí a co změnil Digital Omnibus?

Pravidla nabíhají postupně a Digital Omnibus posunul hlavně vysoce rizikové systémy. Vyšel jako nařízení (EU) 2026/1744 v Úředním věstníku 24. 7. 2026 a platí od 27. 7. 2026 (EUR-Lex, harmonogram na AI Act Service Desk).

Pozor na starší články: datum 2. 8. 2026 pro vysoce rizikové systémy už neplatí. Pravidla pro chatboty a deepfakes ale Omnibus neposunul.

Co je AI gramotnost a jak ji splnit?

AI gramotnost podle článku 4 znamená, že firma přijímá opatření, aby lidé, kteří s AI pracují jejím jménem, rozuměli, co AI umí a kde chybuje. Omnibus článek zmírnil: firmy přijímají „opatření na podporu zlepšení gramotnosti v oblasti AI“ a nemusí u jednotlivců zaručit konkrétní úroveň znalostí. Povinnost platí od 2. 2. 2025 a národní úřady ji podle Komise vymáhají od 2. 8. 2026.

Evropská komise v otázkách a odpovědích k AI gramotnosti (stav 27. 7. 2026) uvádí:

• Certifikát není potřeba. Stačí interní záznam o školení.
• Neexistuje jedno povinné školení. Obsah se řídí tím, jakou AI a k čemu používáte.
• Týká se to i firem, kde lidé jen používají ChatGPT. Mají vědět třeba o halucinacích, tedy věrohodně znějících nepravdách.

Pro firmu do deseti lidí rozumné minimum: seznam používaných AI nástrojů, jedna stránka pravidel, hodinové školení s ukázkami chyb a zápis, kdo jím prošel. Pravidla pro zaměstnance rozebírám v článku Je bezpečné pustit AI k firemním datům?

Musí chatbot na webu říct, že je AI?

Ano. Od 2. 8. 2026 musí být lidé nejpozději při první interakci informováni, že komunikují se systémem AI, pokud to není zřejmé (článek 50 odstavce 1 a 5). Komise v pokynech k článku 50 z 20. 7. 2026 vykládá výjimku „je to zřejmé“ úzce a chatboty na webech a v zákaznické podpoře uvádí jako případ, kdy upozornění potřeba je.

Pokyny doporučují úvodní zprávu chatbota, případně štítek u okna chatu. Typicky to vypadá takhle: chatbot začne větou „Dobrý den, jsem AI asistent firmy a odpovídám z jejích podkladů.“ Jedno výrazné upozornění na začátku ve většině případů stačí. Nestačí upozornění schované jen v obchodních podmínkách ani samotné slovo „asistent“ bez zmínky o AI.

Pokyny za přímou interakci považují i AI agenta, který sám píše a odesílá zprávy lidem, a jako příklad uvádějí e-mail od agenta se štítkem AI nahoře. Když AI jen připraví návrh a člověk ho zkontroluje a odešle, o přímou interakci nejde.

Typický příklad z mé praxe je FatCat, AI agent, který nepřetržitě odpovídá na recenze na Googlu. U agenta, který odpovídá sám bez schválení člověkem, doporučuji odpověď krátce označit, třeba podpisem „Odpověď připravil AI asistent“, nebo zařadit schválení člověkem. Jak chatbota na web postavit, popisuji v článku AI chatbot na web.

Kdy musím označovat obsah vytvořený AI?

Firma musí podle článku 50 odstavce 4 viditelně označit jen dvě věci: deepfake a text zveřejněný k informování veřejnosti o věcech veřejného zájmu, pokud ho nezkontroloval člověk s redakční odpovědností. Ostatní obsah vytvořený s AI podle AI Actu povinně označovat nemusíte.

• Deepfake je realistický obraz, zvuk nebo video, které může působit jako pravé. Podle pokynů Komise to je třeba AI video s avatarem ředitele firmy nebo AI obrázek produktu, který ho ukazuje lepší, než je. Skutečný produkt na pozadí vytvořeném AI deepfake není, pokud produkt nezkresluje.
• Text ve veřejném zájmu jsou třeba zprávy o dění v obci nebo informace o zdraví. Reklamní texty a popisky produktů sem nepatří, pokud netvrdí nic o zdraví, bezpečnosti spotřebitelů nebo udržitelnosti.
• Lidská kontrola musí být skutečná, minimum je ověření faktů.

Jako označení ČTÚ uvádí štítky „AI generated“ a „AI modified“. Obsah vytvořený před 2. 8. 2026 se zpětně označovat nemusí (Komise). Skryté strojové označení podle odstavce 2 řeší poskytovatel nástroje, ne vy.

Kdy by AI ve firmě byla vysoce riziková?

Hlavně tam, kde AI rozhoduje o lidech: při náboru, hodnocení zaměstnanců, posuzování úvěruschopnosti fyzických osob nebo ve vzdělávání (příloha III). Tato pravidla se použijí od 2. 12. 2027.

Bod 4 přílohy III zahrnuje AI pro cílení inzerátů, třídění žádostí, hodnocení uchazečů, rozhodování o povýšení nebo ukončení spolupráce a sledování výkonu. Článek 6 odstavec 3 dává výjimku pro úzké procesní nebo přípravné úkoly, ale systém, který profiluje lidi, je vysoce rizikový vždy. Tady už doporučuji právníka.

Firma, která takový systém používá, bude podle článku 26 muset mimo jiné svěřit dohled proškolenému člověku, uchovávat záznamy alespoň šest měsíců a předem informovat zaměstnance. Jedna věc platí už teď: AI, která odvozuje emoce lidí na pracovišti, je od 2. 2. 2025 zakázaná, s výjimkou lékařských a bezpečnostních důvodů.

Co z AI Actu plyne pro typické použití AI v malé firmě?

Kdo v Česku AI Act kontroluje a jaké hrozí pokuty?

Hlavním dozorovým úřadem má být Český telekomunikační úřad (ČTÚ), ale český zákon o umělé inteligenci, který dozor rozdělí, jsem k 11. 10. 2026 nenašel schválený. Podle zápisu Rady vlády pro informační společnost šel návrh vládě koncem června 2026. Návrh počítá s ČTÚ jako jednotným kontaktním místem, část dozoru mají mít ČNB a Úřad pro ochranu osobních údajů, a u méně závažných porušení s napomenutím místo okamžitého řízení (MPO).

Stropy pokut podle článku 99:

• Zakázané praktiky: až 35 milionů eur nebo 7 % celosvětového ročního obratu.
• Transparentnost a povinnosti u vysoce rizikových systémů: až 15 milionů eur nebo 3 %.
• Nepravdivé informace úřadům: až 7,5 milionu eur nebo 1 %.

Malé a střední podniky mají strop v nižší z obou hodnot. Za AI gramotnost článek 99 vlastní sazbu nemá, sankce stanoví národní právo. Jsou to stropy, ne tarif: úřad zohledňuje závažnost, úmysl a ekonomickou situaci menších firem.

Co udělat hned: checklist pro malou firmu

1. Sepište AI nástroje ve firmě včetně automatizací a chatbota.
2. Určete svou roli: jen používáte, nebo provozujete vlastní systém pod svým jménem?
3. Udělejte krátké školení a zapište si datum a účastníky.
4. Dejte chatbotovi úvodní zprávu, že jde o AI.
5. Agenty, kteří sami odesílají zprávy, označte, nebo zařaďte schválení člověkem.
6. Realistické AI záběry lidí a produktů označujte.
7. Texty o věcech veřejného zájmu před zveřejněním věcně zkontrolujte.
8. AI pro nábor a hodnocení lidí si promyslete dvakrát, odhad emocí nepoužívejte vůbec.
9. Sledujte web ČTÚ a schvalování českého zákona.

Tento článek není právní rada, shrnuje znění AI Actu a oficiální výklady ke dni 11. 10. 2026, a u sporných případů doporučuji obrátit se na advokáta.

Časté otázky

Platí AI Act i pro malé firmy a živnostníky?

Ano. AI gramotnost a pravidla transparentnosti platí pro všechny, kdo AI používají při podnikání. Malé a střední podniky mají jen nižší stropy pokut.

Od kdy platí povinnosti AI Actu pro chatboty?

Od 2. 8. 2026. Chatbot musí nejpozději při první zprávě dát najevo, že jde o AI, pokud to není zřejmé.

Co změnil balíček Digital Omnibus?

Posunul vysoce rizikové systémy na 2. 12. 2027 a 2. 8. 2028, zmírnil AI gramotnost na opatření bez zaručené úrovně znalostí a od 2. 12. 2026 zakázal AI pro intimní deepfakes bez souhlasu. Pravidla pro chatboty neposunul.

Musím označovat texty a obrázky vytvořené pomocí AI?

Povinně jen deepfakes a texty o věcech veřejného zájmu, které věcně nezkontroloval odpovědný člověk. Běžné reklamní texty a popisky produktů označovat nemusíte.

Potřebují zaměstnanci certifikát z AI gramotnosti?

Ne. Evropská komise uvádí, že certifikát není potřeba a stačí interní záznam o školení.

Jaká pokuta hrozí za chatbota, který neřekne, že je AI?

Až 15 milionů eur nebo 3 % celosvětového obratu, u malých a středních podniků platí nižší z obou částek. Konkrétní výši určuje dozorový úřad podle okolností.