Začátkem srpna měla platit nejpřísnější část AI Actu. Brusel ji týden předtím odsunul o šestnáct měsíců – ale pravidla transparentnosti z odkladu vypadla a platí od 2. srpna. Týkají se skoro každé firmy, která má na webu chatbota.
Začátkem srpna měla začít platit nejpřísnější část evropského AI Actu. Týden předtím Brusel většinu z ní odsunul a médii proletěla úleva. Jenže odklad se netýkal všeho. Od 2. srpna platí pravidla transparentnosti: člověk má vědět, kdy komunikuje s AI a kdy se setkává s určitým uměle vytvořeným obsahem. Pro většinu firem je nejviditelnější případ chatbot na webu.
Evropský AI Act (nařízení 2024/1689) se rozbaluje po vlnách od února 2025. Vlna původně naplánovaná na 2. srpna 2026 měla zahrnout také povinnosti pro takzvané vysoce rizikové systémy – například v náboru, vzdělávání, přístupu k základním službám či kritické infrastruktuře. Sem patří řízení rizik, technická dokumentace, posouzení shody i monitoring po uvedení na trh.
Tato část se posunula. Rada EU dala Digital Omnibusu on AI konečnou zelenou 29. června 2026; výsledné nařízení (EU) 2026/1744 vyšlo v Úředním věstníku 24. července a účinnosti nabylo 27. července. Samostatné vysoce rizikové systémy z přílohy III mají nový termín 2. prosince 2027. U AI zabudované do regulovaných výrobků z přílohy I je termín 2. srpna 2028.
Pravidla transparentnosti z článku 50 se ale neposunula: platí od 2. srpna 2026. Jediná úzká výjimka se týká strojově čitelného označování výstupů ze systémů, které už byly na trhu před tímto datem. Jejich poskytovatelé mají na splnění této konkrétní povinnosti čas do 2. prosince 2026.
Rozdíl je praktický. Vysoce rizikový systém má málokterá malá firma. Chatbota má kdekdo.
Článek 50 není režim vysoce rizikových systémů: nevyžaduje jejich dokumentaci ani posuzování shody. Obsahuje ale několik konkrétních pravidel, která se týkají poskytovatelů a zavádějících subjektů.
1. Interakce s AI. Když systém vede s člověkem skutečný obousměrný dialog – typicky chatbot, hlasový asistent nebo AI agent – musí být už od první interakce jasně a rozlišitelně uvedeno, že jde o AI. Ne až v podmínkách užití. Výjimka existuje, pokud je AI povaha interakce zjevná; Komise ji ale vykládá restriktivně. U běžného webového widgetu je proto bezpečnější nespoléhat na domněnku a přidat například větu „Jsem AI asistent společnosti ….“
2. Strojově čitelné označení AI výstupů. Systémy, které vytvářejí nebo upravují syntetický text, obrázek, zvuk či video, mají jejich výstupy označovat ve strojově čitelném a zjistitelném formátu. To není viditelná nálepka pro každý obrázek; jde o technickou povinnost poskytovatele systému. Způsob může zahrnovat například metadata nebo jiné interoperabilní řešení. Výjimky existují třeba pro běžné asistované úpravy nebo pro některé čistě strojové výstupy.
3. Rozpoznávání emocí a biometrická kategorizace. Kdo takový systém provozuje, musí lidem vystaveným jeho fungování oznámit, že systém běží. To se netýká obyčejného chatbota, ale třeba řešení, která z obličeje či hlasu vyvozují emoce nebo zařazují lidi do kategorií.
4. Deepfakes. Kdo zveřejňuje AI vytvořený nebo upravený obraz, zvuk či video, které věrohodně napodobuje existující nebo uvěřitelně existující osobu, místo, objekt či událost a může působit jako autentické, musí to při prvním setkání s obsahem jasně označit. Nestačí jen spoléhat na skryté technické značení. U zjevně uměleckého, satirického nebo fiktivního díla stačí označení provést způsobem, který nekazí jeho prožitek.
5. AI texty o věcech veřejného zájmu. Zveřejněný text vytvořený nebo upravený AI k informování veřejnosti o věci veřejného zájmu musí být označen, pokud neprošel skutečnou lidskou kontrolou nebo redakčním dohledem a někdo za jeho zveřejnění nenese redakční odpovědnost. Kontrola obsahu znamená věcné posouzení a ověření; samotná oprava pravopisu nestačí.
Ve výkladech pro firmy se opakovalo, že je nutné viditelně označovat veškerý AI obsah, včetně každé marketingové ilustrace a produktové fotky. Tak široká povinnost z článku 50 neplyne.
Viditelné označení se týká deepfakes a určitých textů o věcech veřejného zájmu. Deepfake přitom není každá fotorealistická grafika: obsah musí napodobovat existující nebo reálně možný předmět a zároveň může falešně působit jako pravý. Běžná ilustrační grafika na sociální síť proto zpravidla viditelnou nálepku „vytvořeno AI“ nepotřebuje. U syntetického obsahu ovšem zůstává technická povinnost strojového označování na poskytovateli systému, který jej generuje.
Nemá cenu přidávat si povinnost, kterou zákon neukládá. Stejně tak nemá cenu podcenit tu, kterou ukládá.
AI Act rozlišuje poskytovatele a zavádějící subjekty (v angličtině deployer). Poskytovatel systém vyvine nebo si jej nechá vyvinout a uvede jej na trh či do provozu pod svým jménem nebo značkou. Zavádějící subjekt systém používá v rámci své pravomoci. Jedna firma může být v konkrétním řešení obojím.
Samotné použití API od OpenAI, Anthropicu nebo jiného dodavatele neurčuje, kdo je poskytovatel výsledného chatbota. Pokud si firma nechá chatbota vyvinout a spustí jej na svém webu pod vlastní značkou – typicky chatbota nad vlastní firemní dokumentací – bude zpravidla poskytovatelem i zavádějícím subjektem zároveň.
U řešení na míru proto nestačí říct „to řeší OpenAI“ ani „to řeší vývojář.“ Před spuštěním si v zadání a smlouvě určete, kdo nese roli poskytovatele a kdo zajistí technické značení výstupů. U informace „mluvíte s AI“ je výsledek jednoduchý: návštěvník ji musí dostat hned na začátku, bez ohledu na to, kdo chatbot technicky dodal.
Souvisí to s tím, o čem jsme psali u bezpečného přístupu AI agentů k firemním systémům. Čím samostatněji agent jedná navenek, tím dřív je potřeba mít vyjasněno, kdo za jeho chování odpovídá.
Za porušení transparentnostních povinností stanoví AI Act pokutu až 15 milionů eur nebo 3 % celosvětového ročního obratu, podle toho, co je vyšší. U malých a středních podniků je horní hranicí nižší z obou stropů a sankce má vždy odpovídat okolnostem případu. Není to automatická pokuta. Firma s obratem 50 milionů korun by tedy při použití pravidla pro SME měla horní hranici 3 % obratu, tedy zhruba 1,5 milionu korun – ne 15 milionů eur.
V Česku je adaptační zákon stále ve fázi návrhu. MPO v dubnu uvedlo, že po mezirezortním připomínkovém řízení připravuje jeho předložení vládě; také ČTÚ na svém aktuálním rozcestníku stále odkazuje na návrh. Podle něj se má dozor rozdělit mezi několik orgánů: jednotným kontaktním místem má být Český telekomunikační úřad, vedle něj pak Česká národní banka a Úřad pro ochranu osobních údajů. To ale neodkládá přímo použitelné povinnosti evropského nařízení.
Praktický závěr tedy není „počkáme, až se úřady rozjedou.“ Je to příležitost rychle opravit jednoduché věci, které se později vysvětlují podstatně hůř.
Pět kroků, které zvládnete udělat tento týden:
Odložená pravidla o vysoce rizikových systémech si zaslouží samostatný článek. Pro většinu malých a středních firem je teď ale podstatnější prozaičtější věc: aby návštěvník věděl, že nemluví s člověkem.
Pokud si nejste jistí, kde vám AI ve firmě reálně běží a co z toho spadá pod článek 50, přesně tohle mapujeme v rámci Quick Auditu. Nebo se prostě ozvěte.
Tenhle článek je přehled, ne právní rada. U hraničních případů – zejména biometrie, náboru, hodnocení lidí nebo práce s citlivými daty – se vyplatí konzultace s právníkem.
Anthropic 9. června vydal Fable 5, svůj nejsilnější veřejný model. O tři dny později ho na příkaz americké vlády musel vypnout všem. Co se stalo a proč to dopadlo i na české firmy.
Anthropic na konci června vydal Claude Sonnet 5 – model, který sám používá prohlížeč i terminál na úrovni blízké špičkovému Opusu, ale za zhruba dvě pětiny ceny. Vysvětlujeme, proč tím nejdražším na automatizaci přestává být AI.
Cloudflare na začátku července rozdělil AI boty na tři druhy – vyhledávání, agenty a trénink – a dal majitelům webů vypínač ke každému zvlášť. Od 15. září navíc mění výchozí nastavení. Proč se nad tím zamyslet, i když nejste velké médium.
Rádi s vámi probereme, jak vám můžeme pomoct.