Firma si nechá postavit aplikaci. Klientský portál, interní systém, e-shop. Někde v něm je funkce, která volá jazykový model: chatbot odpovídá zákazníkům, aplikace shrnuje smlouvy nebo navrhuje odpovědi na e-maily. A majitel se ptá, jestli tím na sebe nebere povinnosti podle evropského nařízení o umělé inteligenci.
Tenhle text není výklad celého nařízení. Ten najdete u Evropské komise. Je to pohled na jednu situaci: firma, dodavatel a jedna aplikace. A není to právní rada. Softero vyvíjí software, ne advokátní posudky, a u konkrétního nasazení na hraně vysokého rizika se vyplatí advokát, který se AI regulaci věnuje.
Poskytovatel je ten, pod čím jménem aplikace běží
Akt o umělé inteligenciNařízení EU 2024/1689, anglicky AI Act. Platí přímo ve všech členských státech a podle míry rizika ukládá povinnosti těm, kdo systémy AI vyvíjejí, nechávají vyvíjet a používají.Celá definice →, nařízení (EU) 2024/1689, rozlišuje role. Pro firmu s jednou aplikací jsou podstatné dvě.
Poskytovatel je podle čl. 3 bodu 3 ten, kdo systém AI vyvíjí, nebo ho nechává vyvíjet, a uvádí ho na trh nebo do provozu pod svým vlastním jménem, názvem nebo ochrannou známkou. Ať už za úplatu, nebo zdarma.
Zavádějící subjekt je podle bodu 4 ten, kdo systém AI v rámci své činnosti používá.
Ta dvě slova „nechává vyvíjet" rozhodují. Když vám vývojářská firma postaví aplikaci na zakázku a vy ji spustíte pod svou značkou, poskytovatelem jste vy. Dodavatel je v roli toho, kdo vám systém vyrobil, podobně jako výrobce dílů pro cizí značku. Smlouvou si můžete rozdělit práci, ale roli podle nařízení si nepřepíšete.
Jak to vypadá v praxi:
- Zaměstnanci používají ChatGPT nebo Claude k psaní textů. Jste zavádějící subjekt cizího systému. Poskytovatelem je firma, která ho provozuje.
- Necháte si postavit portál, ve kterém chatbot odpovídá vašim zákazníkům, a pod kapotou volá model přes API. Jste poskytovatel systému AI, i když samotný model vyvinul někdo jiný. Na výrobce modelu se vztahují jeho vlastní povinnosti pro obecné modely AI, vaše za vás nesplní.
- Koupíte hotový software s AI funkcí a používáte ho pod značkou výrobce. Jste zavádějící subjekt, poskytovatelem je výrobce.
Hranici neurčuje, kdo napsal kód, ale kdo produkt uvádí do světa. Proto se týká i firem, které si software nechávají vyvíjet na míru a samy by o sobě nikdy neřekly, že dělají umělou inteligenci.
Většina firemních aplikací vysoce riziková není
Nařízení dělí systémy AI podle rizika. Hlavní náklady, tedy řízení rizik, technická dokumentace, posuzování shody a registrace, dopadají na vysoce rizikové systémy. Ty vymezuje čl. 6 a příloha III výčtem oblastí, například:
- nábor a řízení zaměstnanců, třeba třídění životopisů nebo hodnocení uchazečů,
- přístup ke vzdělávání a hodnocení studentů,
- posuzování úvěruschopnosti fyzických osob,
- přístup k základním veřejným službám a dávkám,
- biometrie, kritická infrastruktura, justice a vymáhání práva.
Chatbot, který odpovídá na dotazy k objednávce, shrnuje dokumenty nebo navrhuje odpověď na e-mail, do výčtu nepatří. Takový systém nese hlavně povinnosti transparentnosti.
I systém z oblasti v příloze III nemusí být vysoce rizikový. Podle čl. 6 odst. 3 se za něj nepovažuje, pokud plní úzký procesní úkol nebo jen připravuje podklady pro člověka a podstatně neovlivňuje výsledek rozhodování. Výjimka ale neplatí, když systém profiluje osoby. A poskytovatel, který se na ni odvolá, musí své posouzení zdokumentovat a systém zaregistrovat v databázi EU. Tuhle povinnost novela nezměnila.
Co platí pro běžnou aplikaci s AI funkcí
Pro typickou firemní aplikaci, která do vysokého rizika nespadá, se povinnosti zúží na tři okruhy.
Lidé musí vědět, že mluví se strojem. Čl. 50 odst. 1 ukládá poskytovateli navrhnout systém určený k přímé interakci s lidmi tak, aby věděli, že komunikují s AI, pokud to není zřejmé z okolností. Platí od 2. srpna 2026. V aplikaci to znamená viditelnou informaci u chatbota, ne větu schovanou v obchodních podmínkách.
Vygenerovaný obsah má být strojově označený. Čl. 50 odst. 2 chce po poskytovatelích systémů, které vytvářejí syntetický text, obraz, zvuk nebo video, aby výstupy byly označené ve strojově čitelném formátu. Neplatí to pro funkce, které jen asistují při běžné editaci nebo podstatně nemění vstup. Pro systémy uvedené na trh před 2. srpnem 2026 dala novela čas do 2. prosince 2026. Komise k tomu podporuje kodexy správné praxe, které mají ukázat, jak označování technicky řešit.
Lidé, kteří s AI pracují, jí mají rozumět. Čl. 4 o gramotnosti v oblasti AI platí od února 2025 pro poskytovatele i zavádějící subjekty. Novela ho přepsala: firma přijímá opatření na podporu gramotnosti svých lidí, ale nemusí zaručit konkrétní úroveň u každého jednotlivce. Školení přiměřené tomu, jak AI ve firmě doopravdy používáte, stačí. Certifikát pro každého zaměstnance nařízení nechce.
Za porušení povinností transparentnosti hrozí podle čl. 99 pokuta až 15 milionů eur nebo 3 % celosvětového obratu. U malých a středních podniků se uplatní nižší z obou částek a novela to rozšířila i na malé podniky se střední tržní kapitalizací.
Co novela z července 2026 doopravdy změnila
Novela vyšla v Úředním věstníku EU 24. července 2026 jako nařízení (EU) 2026/1744 a účinná je od 27. července. Ministerstvo průmyslu a obchodu o ní informovalo 29. července s tím, že zjednodušuje a zpřesňuje provádění. Pro firmu s jednou aplikací jsou podstatné tyto body:
| Co | Před novelou | Po novele |
|---|---|---|
| Vysoce rizikové systémy z přílohy III (nábor, vzdělávání, úvěry…) | 2. 8. 2026 | 2. 12. 2027 |
| Vysoce rizikové systémy v produktech podle přílohy I (stroje, zdravotnické prostředky…) | 2. 8. 2027 | 2. 8. 2028 |
| Strojové označování AI obsahu u systémů uvedených na trh před 2. 8. 2026 | 2. 8. 2026 | 2. 12. 2026 |
| Gramotnost v oblasti AI | „v co největší možné míře zajistit dostatečnou úroveň" | podporovat, bez povinnosti zaručit úroveň u jednotlivce |
| Úlevy pro malé a střední podniky | jen MSP | i malé podniky se střední tržní kapitalizací (zjednodušená technická dokumentace, nižší pokuty) |
| AI pro uživatelskou podporu a pohodlí ve výrobku | nařízení výslovně neřešilo | výslovně se nepovažuje za bezpečnostní komponentu |
| Nové zákazy | — | od 2. 12. 2026 systémy na intimní obrázky bez souhlasu a na zneužívající materiál s dětmi |
Novela naopak nezměnila definici poskytovatele a zavádějícího subjektu, datum povinnosti informovat o chatbotu ani registraci systémů, které se odvolávají na výjimku z vysokého rizika.
Kdy se z běžné aplikace stane vysoce riziková
Čl. 25 popisuje situace, kdy se poskytovatelem vysoce rizikového systému stane i ten, kdo jím původně nebyl. Pro firmu s aplikací na zakázku je nejdůležitější změna účelu.
Představte si interní aplikaci, která shrnuje dokumenty. Personální oddělení ji začne používat k třídění životopisů a k pořadí uchazečů. Tentýž kód, tentýž model, ale účel spadá do přílohy III. Podle čl. 25 odst. 1 písm. c) jste se tím stali poskytovatelem vysoce rizikového systému se všemi povinnostmi, které k tomu patří.
Proto se vyplatí mít zamýšlený účel aplikace sepsaný. Je to výchozí bod pro posouzení rizika. A když se účel změní, víte, že je potřeba posouzení zopakovat dřív, než funkci pustíte k rozhodování o lidech.
Novela zároveň rozepsala, jak má spolupracovat původní a nový poskytovatel: zpřístupnit technickou dokumentaci, informovat o známých omezeních a poskytnout přístup k testování. Neplatí to, pokud původní poskytovatel jasně stanovil, že jeho systém se na vysoce rizikový měnit nemá. U vysoce rizikových systémů navíc nařízení chce písemnou dohodu mezi poskytovatelem a třetí stranou, která mu dodává komponenty, model nebo služby.
Na co se zeptat dodavatele
Ze smlouvy se nestane povinnost, kterou nařízení neukládá, ani nezmizí ta, kterou ukládá. Dobrá smlouva ale určí, kdo co připraví. U aplikace s AI funkcí, která do vysokého rizika nespadá, si ověřte:
- Kde je v aplikaci AI a co dělá. Seznam funkcí, které volají model, s jejich účelem. Bez něj nevíte, co posuzovat.
- Jaký model a od koho. Kdo je poskytovatel modelu, kde běží a jaké informace k němu dodává.
- Jak aplikace informuje uživatele, že komunikují s AI, a jak označuje vygenerovaný obsah.
- Co se loguje. Záznamy vstupů a výstupů se hodí při reklamaci i při dotazu dozoru. Jen pozor na osobní údaje, ty dál řeší GDPR.
- Co se stane při změně účelu. Že dodavatel pomůže s posouzením a dodá dokumentaci, kdyby se aplikace měla posunout k citlivému rozhodování.
Bezpečnost AI funkcí je samostatná otázka. Model, který odpovídá zákazníkům, se dá zmanipulovat podvrženým vstupem a aplikace z něj může vynést data. Na to nařízení nemyslí, ale útočník ano. Rozebírali jsme to v článku o bezpečnosti AI generovaných aplikací a ověřujeme to při penetračních testech.
Český zákon zatím chybí, nařízení platí
Akt o umělé inteligenci je nařízení, platí tedy přímo. Český adaptační zákon má určit hlavně dozorové orgány a sankční řízení. Ministerstvo průmyslu a obchodu ho připravilo v září 2025 a počítá v něm s Českým telekomunikačním úřadem jako hlavním dozorem a jednotným kontaktním místem, vedle České národní banky a Úřadu pro ochranu osobních údajů.
K 20. říjnu 2026 je návrh podle databáze legislativních materiálů vlády zařazený v evidenci, do Sněmovny se zatím nedostal. Povinnosti z nařízení na tom nezávisí. Dokud zákon nebude, chybí hlavně jasná odpověď, kdo bude v Česku kontrolovat a jak.
Kde si ověřit aktuální stav
Nařízení se mění a výklad Komise přibývá. Než postavíte rozhodnutí na kterémkoli článku včetně tohohle, podívejte se na tři místa:
- EUR-Lex, nařízení (EU) 2024/1689 a novela (EU) 2026/1744. Oba texty jsou česky.
- Ministerstvo průmyslu a obchodu, které má v Česku AI regulaci na starosti a zveřejňuje pokyny Komise, třeba k transparentnosti podle čl. 50.
- Databáze legislativních materiálů vlády (VeKLEP), kde uvidíte, jak daleko je český zákon o umělé inteligenci.
Když chcete AI funkci do aplikace přidat a mít od začátku jasno v roli, účelu a označování, pomůžeme s tím v rámci integrace AI. Právní posouzení konkrétního nasazení na hraně vysokého rizika ale patří advokátovi.
Časté otázky
Jsem poskytovatel systému AI, když si nechám aplikaci s AI vyvinout od dodavatele?
Pokud aplikaci uvádíte na trh nebo do provozu pod svým jménem nebo značkou, ano. Nařízení výslovně počítá poskytovatelem i toho, kdo systém AI nechává vyvíjet. Dodavatel, který aplikaci napsal, poskytovatelem v takovém případě není.
Jsem poskytovatel, když naše aplikace jen volá model přes API?
Zpravidla ano, pokud aplikaci s AI funkcí nabízíte pod svou značkou. Výrobce modelu má vlastní povinnosti pro obecné modely AI, ty vaše jako poskytovatele systému ale nepokrývají.
Je chatbot na webu vysoce rizikový systém AI?
Běžný chatbot zákaznické podpory vysoce rizikový není. Musí ale lidem dát vědět, že komunikují s AI, a to od 2. srpna 2026.
Co změnila novela AI Aktu z července 2026?
Nařízení (EU) 2026/1744 posunulo povinnosti pro vysoce rizikové systémy na 2. prosince 2027 a 2. srpna 2028, dalo do 2. prosince 2026 čas na strojové označování obsahu u starších systémů, přepsalo povinnost gramotnosti v oblasti AI, rozšířilo úlevy na malé podniky se střední tržní kapitalizací a přidalo dva nové zákazy.
Platí v Česku zákon o umělé inteligenci?
K 20. říjnu 2026 ne. Vládní návrh zatím neprošel do Sněmovny. Evropské nařízení ale platí přímo a jeho povinnosti na českém zákoně nezávisí.
