AI Act ve firmě: co ověřit, než pustíte AI do provozu

01Začněte seznamem použití, ne seznamem značek

Inventář „máme tři licence AI“ vám při rozhodování nepomůže. Jedna služba může sloužit marketingu, personalistice i zákaznické podpoře. Zapište každý pracovní postup zvlášť. Zahrňte také AI v CRM, v kancelářských nástrojích a v aplikacích dodavatele. Vedení pak uvidí použití, která vznikla bez společného rozhodnutí.

• Účel a hranice: jaký konkrétní úkol AI vykonává a které činnosti má zakázané.
• Vstupy: odkud přicházejí dokumenty, osobní údaje a obchodní informace.
• Výstupy: kdo je čte, zda ovlivňují rozhodnutí a zda se zveřejňují.
• Vlastník: kdo schvaluje použití, řeší chyby a smí systém vypnout.
• Dodavatel a verze: služba, použitý model, nastavení a datum posledního přezkoumání.

U asistenta nad interními dokumenty například napište, že vyhledává pracovní návody pro zaměstnance a nesmí vyhodnocovat jejich výkon. Takový popis je použitelný pro vývojáře, právníka i vedoucího oddělení. Obecné „zvyšuje produktivitu“ vám neřekne, zda do systému může někdo nahrát životopisy.

02Určete, zda jste poskytovatel, nebo zavádějící subjekt

AI Act rozlišuje poskytovatele systému a zavádějící subjekt, který systém používá pod svou pravomocí. Poskytovatelem může být i firma, která si systém nechá vyvinout a uvede jej na trh nebo do provozu pod vlastním jménem. Nezáleží jen na tom, kdo napsal kód. Definice jsou v článku 3 AI Actu.

Koupě hotové služby tedy vyžaduje jiné podklady než uvedení vlastního AI produktu. Samotné napojení na API neřeší všechny otázky role. S dodavatelem popište, kdo poskytuje model, kdo dodává výslednou aplikaci, pod čím jménem se používá a kdo určuje její účel. Firma může mít v různých projektech různé role.

Právní označení „zavádějící subjekt“ neznamená pouze člověka, který aplikaci jednou nastavil. Může to být vaše společnost, která ji provozuje pro zaměstnance nebo zákazníky. Přenesení práce na externistu proto samo o sobě nevyřeší odpovědnost firmy.

U zakázkového vývoje nenechávejte tuto otázku až na předání aplikace. Zapište rozdělení povinností do zadání a smluvních podkladů. Pokud se změní účel nebo způsob uvedení systému do provozu, vraťte se k posouzení role.

03Posuzujte účel a dopad na lidi

Nejdřív vylučte zakázané použití. Pro běžnou firmu je podstatný například zákaz odvozování emocí na pracovišti, s výjimkami pro zdravotní či bezpečnostní důvody. Informace zaměstnancům z jinak zakázaného použití povolenou funkci neudělá. Konkrétní rozsah zákazů obsahuje článek 5.

Potom zkontrolujte vysoce riziková použití. Příloha III zahrnuje například analýzu a filtrování uchazečů, hodnocení zaměstnanců či posuzování úvěruschopnosti fyzických osob. Asistent, který pouze navrhuje znění pracovního inzerátu, není stejný případ jako systém, který řadí uchazeče podle vhodnosti.

Existují podmíněné výjimky z klasifikace některých systémů podle přílohy III. Nestačí ovšem napsat, že poslední kliknutí dělá člověk. Článek 6 zkoumá mimo jiné významný vliv na rozhodování; pro profilování fyzických osob v této příloze stanoví přísnější hranici. Posouzení musí vycházet z funkce a skutečného postupu.

Praktická otázka zní: může nesprávný výstup někoho připravit o práci, službu nebo důležitou příležitost? Pokud ano, zapojte právníka a člověka odpovědného za danou oblast ještě před pilotem s reálnými lidmi. Citlivý účel není vhodné skrýt za název „pomocník“.

04Termíny po Omnibusu: co platí a co se posunulo

Novela 2026/1744 vstoupila v účinnost 27. července 2026. Posun termínů pro vysoce rizikové systémy potvrzuje Evropská komise. Nelze z něj odvodit, že firma může ostatní pravidla zatím ignorovat.

Prosincová výjimka pro starší generativní systémy se vztahuje na poskytovatele a článek 50(2), tedy strojové označování výstupů. Není to obecný odklad povinností každé firmy používající AI. Článek 111 upravuje i starší vysoce rizikové systémy; významné změny návrhu mohou přechodný režim ovlivnit.

U dlouhého projektu uložte datum právního posouzení a určete, kdo před spuštěním znovu prověří jeho aktuálnost. Naplánujte kontrolu také před přidáním nové funkce nebo změnou skupiny uživatelů.

05Transparentnost patří do rozhraní a redakčního postupu

U systému určeného k přímé komunikaci s lidmi ukládá článek 50 poskytovateli zajistit informaci, že člověk komunikuje s AI, pokud to není zřejmé. V zadání zákaznického asistenta proto ověřte oznámení už při prvním kontaktu, včetně mobilního zobrazení a hlasového hovoru.

Strojové označení generovaných výstupů a srozumitelná informace příjemci jsou dvě odlišné věci. U deepfake obsahu má zavádějící subjekt vlastní povinnost sdělit umělý původ. Pouhá přítomnost technických metadat nenahradí viditelné či slyšitelné označení. Podrobnosti a výjimky vysvětluje oficiální přehled transparentnosti.

U AI textu publikovaného k informování veřejnosti o věcech veřejného zájmu je důležitá také výjimka při lidském přezkumu nebo redakční kontrole a odpovědnosti za vydání. Korektura pravopisu sama o sobě není věcným přezkumem. Redaktor musí umět posoudit obsah a zdroje.

Provozní kontrolu rozdělte mezi konkrétní lidi. Vývojář otestuje rozhraní, správce obsahu zkontroluje publikaci a vlastník služby schválí pravidla. U chatbotu připravte i cestu pro nejasnou odpověď. Označení AI neopraví vymyšlenou informaci o reklamaci nebo ceně.

06Ochrana osobních údajů pokračuje vedle AI Actu

Splnění AI Actu samo nevyřeší GDPR. Při práci s osobními údaji stále potřebujete odpovídající účel, právní základ, informace lidem a zabezpečení. ÚOOÚ připomíná přístup podle rizika; posouzení vlivu na ochranu osobních údajů se netýká automaticky každé aplikace, ale rizikových zpracování.

Zkontrolujte, zda se do dotazu posílá celé zákaznické vlákno, i když stačí popis závady. Ověřte ukládání vstupů u dodavatele, případné použití pro trénování, další příjemce a dobu uchování. To jsou vlastnosti konkrétní služby a smlouvy, ne obecné vlastnosti slova „AI“.

U vyhledávání nad firemními dokumenty musí oprávnění sledovat uživatele. Zaměstnanec, který nemá přístup k mzdovým podkladům, je nesmí získat prostřednictvím odpovědi asistenta. Otestujte oddělení zákazníků i oddělení uvnitř firmy. Připravte také postup, jak se oprava nebo odstranění dokumentu projeví ve vyhledávacím indexu.

Podobně jako u propojení systémů přes API potřebujete znát tok dat včetně chybových záznamů. Dlouhé uchovávání všech dotazů může vytvořit další kopii citlivých údajů. Zvolte rozsah záznamů podle skutečné potřeby a příslušných povinností. Přístupy a úniky zahrňte i do kontroly bezpečnosti webové aplikace před spuštěním.

07Vyžádejte podklady a připravte lidi na chyby

Výrok „AI Act compliant“ bez vymezení produktu, verze, účelu a role není použitelný podklad pro schválení. Vyžádejte si návod, omezení, popis datových toků, způsob oznamování změn a kontakt pro incident. U citlivého použití chtějte také doložení klasifikace a příslušných kontrol. Výběr požadavků přizpůsobte vlastní roli.

U vysoce rizikových systémů článek 26 stanoví zavádějícím subjektům mimo jiné používání podle návodu, lidský dohled a sledování provozu. Na budoucí použitelnost těchto povinností se připravujte už v zadání. Člověk určený k dohledu potřebuje pravomoc i čas, aby mohl výstup odmítnout.

Nové znění článku 4 stále požaduje opatření na podporu rozvoje AI gramotnosti pracovníků a dalších lidí používajících AI vaším jménem. Výslovně nevyžaduje zaručit konkrétní úroveň jednotlivce. Povinnost tedy nezmizela; rozsah opatření má zohledňovat znalosti lidí a kontext použití.

Školení postavte na skutečných situacích. Podpora nacvičí nesprávnou odpověď a předání člověku. Marketing prověří zdroje, označení a práva k podkladům. Správce aplikace pozná neobvyklou aktivitu a umí pozastavit přístup. Záznam o absolvování doplňte krátkým praktickým úkolem, abyste zjistili, co lidé potřebují vysvětlit.

08Schvalte pilot a znovu posuzujte změny

1. Popište použití a určete vlastníka. Vyberte jeden úkol, jeho vstupy, výstupy a omezení. Rozhodněte, kdo schvaluje rozšíření.
2. Prověřte roli, riziko a data. Vyžádejte podklady od dodavatele a určete potřebné právní posouzení. Nejasnost neskrývejte do poznámky bez řešitele.
3. Otestujte informace a kontrolu. Připravte běžné i chybné vstupy, nevhodné požadavky, přístup k cizím datům a selhání dodavatele.
4. Povolte omezený provoz a sledujte změny. Vyhodnocujte opravy, stížnosti a odchylky. Před změnou modelu, dat nebo účelu zopakujte příslušné kontroly.

U zákaznického asistenta si určete, které odpovědi smí poskytnout rovnou a které předá pracovníkovi. U návrhů textů evidujte podíl věcných oprav, čas na kontrolu a typy opakovaných chyb. Počet vygenerovaných odpovědí sám o sobě nevypovídá o kvalitě služby.

Před rozšířením musí vlastník umět vysvětlit, proč pilot pokračuje. Pokud lidé pravidelně kopírují výstupy bez přezkumu nebo obcházejí datové hranice, opravte postup i rozhraní. Další licence takovou slabinu neodstraní.

09Časté otázky před nasazením AI