EU AI Act: Jak se připravit na nové povinnosti a vyhnout se sankcím

Evropská unie opět ukazuje směr v digitální regulaci. Po GDPR je tu EU AI Act, první komplexní právní rámec pro umělou inteligenci na světě. A co je pro nás klíčové? Od 2. srpna 2026 vstoupila v platnost většina jeho ustanovení, včetně klíčových pravidel transparentnosti a plných pravomocí pro dohled Evropské komise a národních úřadů. To znamená jediné: kdo dosud otálel, teď musí jednat. Pokuty za nedodržení jsou totiž astronomické.

Co je EU AI Act a proč je teď klíčový?

EU AI Act byl schválen v roce 2024 a postupně se zavádí do praxe. Jeho cílem je zajistit, aby AI systémy v EU byly bezpečné, transparentní, etické a respektovaly základní práva. Akt je založen na rizikovém přístupu, což znamená, že míra regulace závisí na potenciálním riziku, které daný AI systém představuje. Pro firmy to znamená povinnost aktivně posoudit, do jaké kategorie rizika jejich AI nástroje spadají, a podle toho nastavit interní procesy. Už 2. února 2025 nabyly účinnosti zákazy nepřijatelných rizikových praktik. Následně 2. srpna 2025 začaly platit povinnosti pro poskytovatele obecných AI modelů (GPAI). Aktuální datum 28. září 2026 je tedy v době, kdy jsou klíčové části již aplikovatelné a dohledové orgány mají plné pravomoci k vymáhání.

Kategorie rizika: Kde se vaše AI nachází?

AI Act rozděluje AI systémy do čtyř kategorií, od nichž se odvíjí míra povinností:

• Nepřijatelné riziko: Tyto systémy jsou zcela zakázány. Jde například o AI pro sociální bodování, manipulativní techniky ovlivňující chování nebo některé formy vzdálené biometrické identifikace v reálném čase na veřejných místech. Pokud vaše firma používá takové systémy, musíte je okamžitě přestat používat.
• Vysoké riziko: Tyto systémy mají potenciál způsobit značnou újmu zdraví, bezpečnosti nebo základním právům. Podléhají nejpřísnějším požadavkům, včetně posouzení shody, řízení rizik, lidského dohledu a technické dokumentace. Příklady zahrnují AI v kritické infrastruktuře, vzdělávání (např. hodnocení studentů), zaměstnání (např. screening životopisů), finanční služby (úvěrové hodnocení) nebo biometrické identifikační systémy. Většina běžných marketingových aktivit do této kategorie nespadá, ale výjimkou mohou být AI systémy pro nábor zaměstnanců nebo personalizované nabídky s výrazným dopadem na život jednotlivce. Povinnosti pro systémy vysokého rizika (Annex III) začnou platit 2. prosince 2027, pro systémy integrované do produktů (Annex I) pak 2. srpna 2028.
• Omezené riziko: Sem spadají systémy, které vyžadují transparentnost, aby si uživatelé byli vědomi, že interagují s AI. Typickým příkladem jsou chatboti nebo generativní AI, která vytváří obsah. Uživatelé musí být informováni, že komunikují se strojem, nebo že obsah byl vytvořen AI. Tato pravidla transparentnosti (článek 50) jsou v platnosti od 2. srpna 2026.
• Minimální riziko: Většina AI systémů, jako jsou spamové filtry nebo AI pro hry, spadá do této kategorie a nepodléhá žádným specifickým povinnostem.

Praktické povinnosti pro firmy

Bez ohledu na to, zda jste poskytovatel AI systému, nebo ho jen nasazujete (tzv. deployer), vaše firma má povinnosti. Klíčové oblasti zahrnují:

• Řízení rizik: Zavést a udržovat systém pro identifikaci, analýzu a zmírňování rizik po celou dobu životního cyklu AI systému. To není jednorázový audit, ale nepřetržitý proces.
• Lidský dohled: Zajistit, aby lidé mohli efektivně dohlížet na AI systémy, rozumět jejich limitům a v případě potřeby zasáhnout nebo systém zastavit.
• Kvalita dat: Trénovací, validační a testovací datové sady musí být relevantní, dostatečně reprezentativní a co nejvíce bez chyb, aby se minimalizovalo riziko diskriminace.
• Transparentnost (článek 50): Pokud vaše firma používá generativní AI k tvorbě obsahu (texty, obrázky, videa), který by mohl být zaměněn za lidskou tvorbu, musíte ho zřetelně označit jako AI-generovaný. To platí i pro interakce s chatboty, kde musí být zřejmé, že uživatel komunikuje s AI. Pro syntetická média, jako jsou deepfakes, platí ještě přísnější pravidla označování.
• Technická dokumentace: Udržovat podrobnou dokumentaci o fungování, účelu a souladu AI systému s požadavky aktu.

Případová studie: Když se AI dostane do potíží

Evropská náborová společnost nasadila AI systém pro hodnocení uchazečů na základě video rozhovorů. Systém vyhodnocoval kandidáty podle kadence řeči a výrazů obličeje. Po stížnostech na nespravedlivé zacházení bylo zahájeno vyšetřování a systém byl klasifikován jako vysokorizikový. Společnost musela nástroj revidovat tak, aby zahrnoval lidský dohled a dokumentoval rozhodovací proces modelu, jak vyžaduje AI Act. Tento příklad názorně ukazuje, že i zdánlivě nevinné aplikace mohou mít dalekosáhlé dopady a vyžadují pečlivou kontrolu.

Důsledky nečinnosti: Pokuty a reputace

Pokuty za nedodržení EU AI Act jsou jedny z nejpřísnějších v digitální regulaci, překonávající i GDPR.

• Až 35 milionů eur nebo 7 % celosvětového ročního obratu (podle toho, co je vyšší) za porušení zákazu nepřijatelných AI praktik.
• Až 15 milionů eur nebo 3 % celosvětového ročního obratu za nedodržení jiných povinností (např. u vysokorizikových systémů nebo transparentnosti Article 50).
• Až 7,5 milionu eur nebo 1 % celosvětového ročního obratu za poskytnutí nesprávných, neúplných nebo zavádějících informací.

Kromě finančních sankcí hrozí také poškození reputace a nutnost stažení nevyhovujících AI systémů z trhu. Pro malé a střední podniky platí snížené limity pokut.

Jak se připravit: Audit a akční plán

Proaktivní přístup je klíčový. Nenechte se zaskočit a začněte s přípravou co nejdříve. Doporučuji následující kroky:

Kontrolní seznam pro připravenost na EU AI Act:

1. Inventura AI systémů: Vytvořte komplexní seznam všech AI systémů (včetně třetích stran), které vaše firma vyvíjí, nakupuje nebo používá. Zahrňte jejich účel, funkce a geografický dosah.
2. Klasifikace rizika: Pro každý systém určete kategorii rizika (nepřijatelné, vysoké, omezené, minimální) podle definic EU AI Act. Zaměřte se na Annex III pro vysokorizikové systémy.
3. Posouzení zákazu: Ověřte, zda některá z vašich AI funkcí nespadá do kategorie nepřijatelných rizik. Pokud ano, tyto systémy musíte okamžitě vyřadit nebo zásadně přepracovat.
4. Interní směrnice a procesy: Pro systémy vysokého a omezeného rizika zaveďte formální procesy řízení rizik, kontroly kvality dat, mechanismy lidského dohledu a rámce technické dokumentace.
5. Transparentnost obsahu: Pro všechny AI-generované marketingové materiály, které by mohly být zaměněny za lidskou tvorbu, zaveďte jasné a konzistentní označování. U chatbotů zajistěte, aby uživatelé věděli, že mluví s AI.
6. Školení týmu: Zajistěte, aby vaši zaměstnanci, zejména marketingoví specialisté a vývojáři, rozuměli požadavkům AI Act a interním směrnicím.
7. Průběžné monitorování: Řízení rizik není jednorázová záležitost. Musí jít o neustálý proces, který se aktualizuje s vývojem AI systémů a novými riziky.

Kdy už nestačí obecný návod?

Je zřejmé, že implementace EU AI Act není triviální záležitost. Pro mnoho firem, zejména ty, které pracují s komplexními AI systémy nebo působí v sektorech s vysokým rizikem (jako je HR, finance nebo zdravotnictví), už nestačí obecné rady. V takových situacích, kdy je potřeba hloubková analýza, audit stávajících systémů, nastavení specifických procesů řízení rizik nebo právní poradenství, dává smysl přizvat zkušeného partnera. Na one-o-one.cz pomáháme firmám s komplexním řešením AI governance a compliance, aby se mohly soustředit na inovace s jistotou, že dodržují platnou legislativu.

Závěr

EU AI Act je realitou a jeho dopad na firmy bude značný. Nejde jen o další regulaci, ale o příležitost budovat důvěru v AI a posílit vaši značku prostřednictvím etického a odpovědného přístupu. Proaktivní investice do compliance se vyplatí nejen v podobě vyhnutí se pokutám, ale také v budování důvěry u zákazníků a partnerů. Ignorování těchto pravidel by mohlo mít vážné finanční a reputační důsledky. Je čas jednat.