EU AI Act po AI Omnibusu: co musí český CEO udělat teď

Pro většinu českých firem proto není hlavní otázkou, zda mají objednat právní analýzu.

Hlavní otázka zní:

Pokud ne, problém nevytváří AI Act. Regulace pouze zviditelňuje skutečnost, že vaše firma používá technologii bez jasného provozního vlastníka.

Rozhodnutí pro vedení

Co se změnilo 27. července 2026

Dne 27. července 2026 vstoupilo v platnost nařízení EU 2026/1744, označované jako Digital Omnibus on AI. Upravilo původní AI Act a posunulo některé termíny, protože evropské standardy, metodiky a národní dozorová infrastruktura nebyly připraveny včas.[1][2]

Pro běžnou českou firmu jsou podstatné čtyři změny.

1. Pravidla pro vysoce rizikové systémy se odložila

Povinnosti pro systémy zařazené mezi vysoce rizikové podle přílohy III se začnou používat od 2. prosince 2027.

Týká se to například některých AI systémů používaných:

• při náboru, výběru a hodnocení zaměstnanců;
• ve vzdělávání;
• při posuzování úvěruschopnosti;
• při přístupu k některým základním službám;
• v biometrice;
• v kritické infrastruktuře.

Pravidla pro AI zabudovanou do regulovaných výrobků se použijí od 2. srpna 2028.[2][3]

To ale neznamená, že můžete rizikový systém nasadit dnes a začít se o něj zajímat až za rok.

Stále platí GDPR, pracovní právo, ochrana spotřebitele, kybernetické požadavky, smluvní odpovědnost a povinnosti vedení jednat s péčí řádného hospodáře. Nákladné AI řešení nasazené bez vlastníka, dokumentace a lidské kontroly je špatně řízená investice bez ohledu na datum účinnosti konkrétního článku AI Actu.

2. AI gramotnost zůstává povinností

Článek 4 AI Actu platí od 2. února 2025.

AI Omnibus jeho znění zmírnil: firma už nemusí garantovat konkrétní nebo „dostatečnou“ úroveň AI gramotnosti každého jednotlivce. Nadále ale musí přijímat přiměřená opatření podporující rozvoj AI gramotnosti zaměstnanců a dalších osob, které jejím jménem s AI pracují.[2][4]

To neznamená koupit všem zaměstnancům jeden obecný webinář o promptování.

Rozsah opatření má odpovídat:

• používaným systémům;
• znalostem konkrétních uživatelů;
• účelu použití;
• souvisejícím rizikům;
• skupinám lidí, na které mohou výstupy AI dopadat.

Člověk, který používá AI na korekturu marketingového textu, potřebuje jinou úroveň přípravy než personalista pracující s AI hodnocením kandidátů nebo zaměstnanec, který schvaluje výstup autonomního agenta nad CRM.

Firma nemusí získávat zvláštní certifikát. Měla by však být schopna doložit, jaká opatření přijala, koho se týkala a proč byla vzhledem k používaným systémům přiměřená.[4]

3. Transparentnost se neodkládá

Článek 50 se začne používat od 2. srpna 2026.

Povinnosti se liší podle toho, zda je firma poskytovatelem AI systému, nebo jej pouze používá. Mohou zahrnovat zejména:

• informování člověka, že komunikuje s AI;
• technické označení AI generovaného nebo upraveného obsahu;
• informování osob vystavených systémům rozpoznávání emocí nebo biometrické kategorizace;
• označení deepfake obsahu;
• označení některých AI generovaných textů publikovaných za účelem informování veřejnosti o otázkách veřejného zájmu.

Pro systémy generující syntetický obsah, které byly uvedeny na trh před 2. srpnem 2026, existuje omezené přechodné období do 2. prosince 2026. Týká se však pouze poskytovatelské povinnosti zajistit strojově čitelné označení podle čl. 50 odst. 2. Nejde o všeobecný odklad transparentnosti.[2][5]

4. Dozor se stává praktickou otázkou

AI Act je evropské nařízení, a proto se používá přímo. Český zákon má zejména určit národní dozorovou a podpůrnou infrastrukturu, kompetence orgánů a praktické vymáhání.

V českém prostředí je gestorem implementace Ministerstvo průmyslu a obchodu. Návrh národní infrastruktury počítá s rozdělením kompetencí mezi více institucí podle typu systému a regulované oblasti.[9]

Pro CEO z toho plyne jednoduchý závěr:

Nejdřív určete svou roli

AI Act rozlišuje několik rolí. Pro většinu firem jsou nejdůležitější dvě.

Deployer: systém používáte

Deployer je organizace, která používá AI systém pod svou pravomocí v rámci profesionální činnosti.[6]

Typický příklad:

• zaměstnanci používají Microsoft Copilot;
• obchodní tým používá AI funkce v CRM;
• marketing používá ChatGPT nebo Claude;
• zákaznické centrum používá voice agenta dodaného externím vendorem;
• HR používá cizí nástroj pro předvýběr kandidátů.

Většina běžných firem bude u většiny svých nástrojů v roli deployera.

Provider: systém uvádíte pod vlastním jménem

Provider je subjekt, který AI systém vyvíjí nebo si jej nechá vyvinout a uvádí jej na trh či do provozu pod vlastním jménem nebo značkou.[6]

Do této role se můžete dostat například tehdy, když:

• prodáváte vlastní AI službu zákazníkům;
• dodáváte white-label chatbot pod svou značkou;
• necháte si vytvořit AI produkt a nabízíte jej jako vlastní;
• významně měníte účel nebo fungování cizího systému;
• integrujete model třetí strany do produktu, za jehož výslednou funkci odpovídáte vy.

To, že systém používá model OpenAI, Anthropic nebo Google, automaticky neznamená, že všechny povinnosti nese tato společnost.

Model, výsledný AI systém, uživatelské rozhraní a konkrétní firemní nasazení jsou různé vrstvy odpovědnosti.

Sedm běžných use-casů české firmy

1. Zaměstnanci používají ChatGPT, Claude nebo Copilot

Pravděpodobná role: deployerBezprostřední problém: AI gramotnost, data a odpovědnost za výstup

Firma by měla vědět:

• kdo nástroje používá;
• jaké typy dat do nich smí vkládat;
• zda se používají osobní nebo klientská data;
• kdo kontroluje výsledky;
• ve kterých procesech je AI pouze pomocník a kde už ovlivňuje rozhodnutí.

Pouhé zakoupení enterprise licence není governance.

Licence může řešit část podmínek zpracování dat. Neřeší, zda zaměstnanec pozná halucinaci, zda má oprávnění daný dokument zpracovat a zda výstup AI smí použít jako podklad pro rozhodnutí.

2. Na webu běží chatbot nebo voice agent

Pravděpodobná role: deployer, u vlastního nebo white-label řešení případně providerBezprostřední problém: transparentnost a odpovědnost za jednání systému

Zákazník musí v relevantních situacích vědět, že komunikuje s AI.[5]

To ale není jediná otázka.

Vedení musí rozhodnout:

• co agent smí zákazníkovi slíbit;
• k jakým systémům a datům má přístup;
• zda může měnit objednávky nebo termíny;
• kdy musí předat konverzaci člověku;
• kdo odpovídá za chybnou informaci;
• jak se zaznamenávají incidenty;
• jak se měří obchodní přínos.

Označení „Jsem AI asistent“ je nejsnazší část celého nasazení.

3. Marketing generuje texty, obrázky a videa

Pravděpodobná role: deployerBezprostřední problém: původ obsahu, lidská kontrola a reputační riziko

AI Act neznamená, že každý text opravený pomocí AI musí mít viditelný štítek.

Zvláštní pozornost je ale potřeba u:

• deepfake obrazu, zvuku nebo videa;
• obsahu, který by mohl být mylně považován za autentický;
• AI generovaných publikací o otázkách veřejného zájmu;
• automatického publikování bez lidské kontroly;
• obsahu, za který nikdo nepřevzal redakční odpovědnost.

Poskytovatelé generativních systémů mají řešit strojově čitelné označení syntetického obsahu. Firma používající takový nástroj by měla ověřit, zda její technologický a publikační řetězec potřebná metadata zachovává.[5]

4. AI vybírá kandidáty nebo hodnotí zaměstnance

Možná klasifikace: vysoce rizikový systém podle konkrétního účeluBezprostřední problém: diskriminace, lidská kontrola a dokumentace rozhodnutí

AI systémy určené například pro výběr kandidátů, rozhodování o pracovních vztazích, přidělování úkolů nebo hodnocení výkonu mohou spadat do přílohy III AI Actu.[7]

Hlavní povinnosti pro tuto kategorii byly odloženy do 2. prosince 2027. To ale není důvod systém nekontrolovaně zavést.

Nejdřív musíte vědět:

• co systém skutečně hodnotí;
• z jakých dat vychází;
• zda výstup pouze připravuje podklady, nebo fakticky rozhoduje;
• kdo může jeho doporučení změnit;
• zda je možné rozhodnutí vysvětlit;
• zda jsou výsledky průběžně kontrolovány na systematické zkreslení.

HR nesmí být testovací laboratoř pro nástroj, jehož logiku nikdo ve firmě neumí obhájit.

5. Interní AI asistent pracuje nad firemními dokumenty

Pravděpodobná klasifikace: běžný nebo omezeně rizikový systémBezprostřední problém: oprávnění, kvalita znalostí a únik dat

Interní knowledge assistant zpravidla nebude vysoce rizikovým systémem jen proto, že používá generativní AI.

Může však způsobit reálné škody, pokud:

• zpřístupní dokument člověku bez oprávnění;
• použije zastaralou směrnici;
• spojí informace z různých klientských složek;
• prezentuje nepotvrzenou poznámku jako závazný postup;
• vytvoří výstup bez odkazu na zdroj.

Regulatorní klasifikace je pouze jedna část rozhodnutí. Druhou je provozní riziko a třetí ekonomická návratnost.

6. AI hodnotí bonitu nebo přístup ke službě

Možná klasifikace: vysoce rizikový systémBezprostřední problém: dopad na práva osob a vysvětlitelnost rozhodnutí

Některé systémy používané pro posuzování úvěruschopnosti, rizika nebo přístupu k základním službám mohou spadat mezi vysoce rizikové use-casy.[7]

Zde nestačí otázka, zda systém „jen doporučuje“.

Pokud zaměstnanec doporučení AI téměř vždy mechanicky potvrdí, lidská přítomnost nemusí představovat skutečnou lidskou kontrolu.

7. AI rozpoznává emoce zaměstnanců

Klasifikace: některá použití jsou zakázánaBezprostřední rozhodnutí: nenasazovat bez specializovaného posouzení

Používání AI k odvozování emocí lidí na pracovišti je v zásadě zakázáno, kromě omezených případů souvisejících například s medicínou nebo bezpečností.[8]

Pokud vám vendor nabízí analýzu nálady zaměstnanců z hlasu, obličeje nebo biometrických projevů, nejde o nevinný HR dashboard.

Je to důvod projekt zastavit a nechat jeho zákonnost i skutečný účel nezávisle prověřit.

Bez registru AI nevíte, co řídíte

Prvním praktickým výstupem AI governance nemá být padesátistránková směrnice.

Má to být registr používaných AI systémů a use-casů.

Minimálně by měl obsahovat:

Bez registru nemůžete:

• určit, které povinnosti se vás týkají;
• navrhnout přiměřenou AI gramotnost;
• řídit přístupy k datům;
• posoudit dodavatele;
• sledovat incidenty;
• doložit lidskou kontrolu;
• spočítat skutečnou návratnost;
• rozhodnout, který experiment zastavit.

Registr není compliance evidence vytvořená pro kontrolní orgán.

Je to manažerský nástroj pro řízení investic a rizika.

Proč nestačí právník, IT ani vendor

AI Act je mezioborový problém. Právě proto často zůstane bez skutečného vlastníka.

AI Act vám nepřikazuje vytvořit pozici Head of AI ani konkrétní governance strukturu.[4]

Přikazuje nebo postupně zavádí povinnosti, které musí někdo převést do reality.

To je podstatný rozdíl.

Právník může určit právní interpretaci. Nemůže sám rozhodnout, zda se voice agent ekonomicky vyplatí, jaká oprávnění potřebuje, kde musí předávat konverzaci člověku a který vendor nabízí nejlepší architekturu bez lock-inu.

IT může připojit systém k CRM. Nemůže samo rozhodnout, zda má agent právo měnit cenu, slibovat termín nebo odmítnout zákazníka.

Vendor vám vysvětlí, proč je jeho produkt bezpečný. Nebude vám však nezávisle říkat, že jeho produkt ve vašem procesu nedává ekonomický smysl.

Někdo musí držet celý řetězec:

Pokud tento člověk neexistuje, AI agendu fakticky řídí směs zaměstnanců, dodavatelů, IT a náhodně zakoupených licencí.

Třicetidenní plán pro CEO

Týden 1: zjistěte, co ve firmě skutečně běží

Nespoléhejte pouze na centrálně nakoupené licence.

Zmapujte také:

• individuálně používané generativní nástroje;
• AI funkce zabudované v CRM, ERP a kancelářských aplikacích;
• automatizace vytvořené jednotlivými odděleními;
• externí agentury používající AI vaším jménem;
• piloty, které už ovlivňují zákazníky nebo zaměstnance.

Výstupem je první verze registru AI.

Týden 2: určete roli, riziko a vlastníka

U každého use-casu určete:

• proč existuje;
• kdo jej vlastní;
• zda jste provider nebo deployer;
• jaká data používá;
• koho ovlivňuje;
• zda může spadat mezi zakázaná nebo vysoce riziková použití;
• zda se na něj vztahuje transparentnost;
• kdo právně a provozně odpovídá za výstup.

Systém bez jmenovaného vlastníka nesmí přejít do produkce.

Týden 3: nastavte minimální kontrolní vrstvu

Pro každý schválený systém definujte:

• přístupy a minimální oprávnění;
• povolená a zakázaná data;
• lidské schvalovací body;
• logování;
• způsob hlášení incidentu;
• pravidla pro transparentnost;
• požadovanou přípravu uživatelů;
• fallback při selhání;
• možnost zásah vrátit nebo systém vypnout.

Cílem není nulové riziko. Cílem je známé, přiměřené a řízené riziko.

Týden 4: převeďte registr do board rozhodnutí

Každý use-case zařaďte do jedné ze čtyř kategorií:

• Continue — pokračovat za současných podmínek;
• Remediate — pokračovat až po odstranění konkrétní mezery;
• Pilot only — omezit na kontrolovaný pilot;
• Suspend — pozastavit, protože riziko nebo ekonomika nejsou přijatelné.

Board nemá dostat seznam AI nástrojů.

Má dostat přehled:

• co AI firmě vydělává nebo šetří;
• kde vzniká riziko;
• kdo za systém odpovídá;
• co musí být opraveno;
• kolik bude stát další fáze;
• které projekty mají být zastaveny.

Největší riziko není pokuta

Pokuty jsou viditelná část regulace. Pro většinu středních firem ale nebude největším nákladem první regulatorní sankce.

Větší provozní náklady často vzniknou dříve:

• několik oddělení platí stejné nebo překrývající se nástroje;
• firemní data končí ve službách bez schválení;
• AI agent provede akci, za kterou nikdo nepřevzal odpovědnost;
• firma musí hotovou integraci nákladně předělat;
• zaměstnanci přestanou výstupům systému věřit;
• zákazník dostane chybný slib;
• vendor lock-in znemožní levnou změnu modelu;
• systém nemá KPI, takže nelze rozhodnout, zda jej rozšířit nebo ukončit.

Dobrá AI governance proto není náklad vytvořený Bruselem.

Je to provozní disciplína, kterou firma potřebuje i v případě, že by AI Act neexistoval.

Co by měl CEO schválit tento týden

1. Jmenovat jednoho vlastníka AI agendy. Ne pracovní skupinu bez pravomoci. Jednoho člověka, u kterého končí odpovědnost.
2. Zahájit inventuru všech AI use-casů. Včetně neoficiálních nástrojů a AI funkcí zabudovaných v existujícím softwaru.
3. Zakázat přechod nového systému do produkce bez registrace. Každý produkční use-case musí mít účel, vlastníka, data, lidskou kontrolu a KPI.
4. Prověřit zákaznicky orientované systémy před 2. srpnem 2026. Zejména chatboty, voice agenty, deepfake obsah a automaticky publikovaný obsah.
5. Zavést cílenou AI gramotnost. Podle rolí a systémů, nikoliv jako jeden obecný kurz pro všechny.
6. Zvýšeně kontrolovat HR, scoring, biometrii a rozhodování o lidech. Odklad high-risk povinností není souhlas s nekontrolovaným nasazením.
7. Oddělit právní stanovisko od provozního vlastnictví. Právník má potvrdit sporné klasifikace. Někdo jiný musí řídit celý systém.

Moje doporučení

Nezačínejte rozsáhlým „AI Act compliance projektem“.

Začněte převzetím kontroly nad AI, kterou už používáte.

Pro firmu s jedním jednoduchým AI nástrojem může agendu dočasně zvládnout CEO, CTO nebo jiný schopný interní vlastník.

Ve chvíli, kdy ale AI:

• běží napříč více odděleními;
• používá firemní nebo osobní data;
• komunikuje se zákazníky;
• ovlivňuje zaměstnance;
• provádí akce v podnikových systémech;
• spotřebovává významný rozpočet;
• nebo má přinést měřitelný dopad,

už nejde o vedlejší IT úkol.

Firma potřebuje člověka s mandátem spojit business case, technologii, governance, dodavatele, nasazení a board reporting do jednoho řízeného systému.

To je role Head of AI.

Časté otázky

Důvěryhodné zdroje

1. Nařízení Evropského parlamentu a Rady (EU) 2024/1689 — Artificial Intelligence Act. Základní text evropské regulace AI, účinný od 1. srpna 2024. eur-lex.europa.eu
2. Nařízení Evropského parlamentu a Rady (EU) 2026/1744 — Digital Omnibus on AI. Finální právní text změn, publikovaný v Úředním věstníku EU a účinný od 27. července 2026. eur-lex.europa.eu
3. Evropská komise: AI Act — application timeline. Aktuální přehled termínů včetně 2. prosince 2027 pro přílohu III a 2. srpna 2028 pro regulované výrobky. ai-act-service-desk.ec.europa.eu
4. Evropská komise: AI Literacy — Questions & Answers. Oficiální výklad změněného článku 4, přiměřených opatření, dokumentace a dohledu. digital-strategy.ec.europa.eu
5. Evropská komise: Transparency obligations under Article 50. Pokyny a FAQ k chatbotům, označování syntetického obsahu, deepfake a textům o veřejném zájmu. digital-strategy.ec.europa.eu
6. EU AI Act Service Desk: Article 3 — Definitions. Oficiální evropský informační portál s definicemi provider, deployer a dalších rolí. ai-act-service-desk.ec.europa.eu
7. EU AI Act Service Desk: Annex III a povinnosti deployerů high-risk systémů. Kategorie citlivých použití včetně zaměstnávání, vzdělávání, biometriky a základních služeb. ai-act-service-desk.ec.europa.eu
8. Evropská komise: Guidelines on prohibited AI practices. Výklad zakázaných praktik včetně rozpoznávání emocí na pracovišti a ve vzdělávání. digital-strategy.ec.europa.eu
9. Ministerstvo průmyslu a obchodu ČR: implementace AI Actu v Česku. Informace o české implementaci, dozorové infrastruktuře a transparentnosti AI obsahu. mpo.gov.cz

Stav zdrojů a legislativních termínů ověřen 28. července 2026. Text je praktickou analýzou AI governance pro vedení firem, nikoliv individuálním právním stanoviskem.