AI Act 2026: co musí české firmy vědět, než začnou platit pokuty

Shadow AI ve firmách je riziko, o kterém vedení nemusí vědět

Když dělám školení v českých firmách, setkávám se s jedním tématem prakticky pokaždé. Zaměstnanci si přinášejí vlastní AI nástroje, používají osobní účty v ChatGPT nebo jiných službách a vedení o tom buď nemá ponětí, nebo to tiše přehlíží, protože vidí, že práce jde rychleji. Tohle chování má v oboru své jméno.

Čísla, která o shadow AI existují, stojí za pozornost. Podle mezinárodní poradenské společnosti Gartner 69 % firem ví nebo tuší, že jejich lidé používají neschválené AI nástroje. Průzkum Microsoftu uvádí, že 78 % zaměstnanců si do práce nosí vlastní AI, nejčastěji používají osobní účty v ChatGPT a dalších nástrojích. A neuvěřitelných 57 % z nich do těchto nástrojů vkládá citlivá firemní data.

To poslední číslo je alarmující. Víc než polovina zaměstnanců pracujících s AI posílá citlivé informace na servery třetích stran, aniž by firma měla kontrolu nad tím, co se s daty děje.

Jak shadow AI vypadá v praxi

Představte si personalistku, která má za odpoledne porovnat 30 životopisů uchazečů na pozici obchodního zástupce. Ručně by jí to zabralo hodiny. Otevře proto ChatGPT na svém osobním účtu, nahraje životopisy a napíše: „Vyber pět nejlepších kandidátů a seřaď je." Za minutu má výsledek a ušetřila spoustu času.

Jenže v tu chvíli se staly dvě věci. Za prvé, osobní údaje 30 uchazečů (jména, adresy, pracovní historie) odešly na servery v zahraničí bez vědomí firmy. Za druhé, firma právě zapojila AI do procesu výběru zaměstnanců. A to je podle AI Actu jedna z oblastí, kterou zákon řadí do kategorie takzvaného vysokého rizika (vysvětlím podrobně v dalších kapitolách). Přitom nikdo ve vedení o tom nemá ponětí.

Podobné situace se ve firmách odehrávají denně. Obchodník nahraje zákaznickou databázi do AI, aby dostal personalizované nabídky. Marketér generuje texty na web přes soukromý účet, kde se vstupy mohou použít k dalšímu trénování modelu. Účetní vloží faktury s osobními údaji do AI nástroje na rozpoznávání textu. A někdo z IT zkopíruje kus firemního kódu do AI asistenta, aby ho odladil.

Jeden z nejznámějších případů se odehrál v roce 2023 u korejského Samsungu. Inženýři v divizi polovodičů vložili do ChatGPT zdrojové kódy firemních čipů, aby je AI pomohla opravit. Následně i zápis z interní porady a testovací sekvence. Během pouhých dvaceti dnů se to stalo třikrát. Jak informoval Bloomberg, Samsung musel ChatGPT okamžitě zakázat, ale vložená data už byla pryč. A podle zprávy IBM o nákladech úniků dat z roku 2025 (IBM Cost of a Data Breach Report 2025) stojí incidenty spojené se shadow AI firmy v průměru o 670 000 dolarů navíc oproti běžným bezpečnostním incidentům.

Co je AI Act a koho se v Česku týká

AI Act (oficiálně Nařízení EU 2024/1689) je první ucelený právní rámec pro umělou inteligenci na světě. Jako nařízení EU platí v Česku přímo a má sílu zákona. Český adaptační rámec, který připravuje Ministerstvo průmyslu a obchodu, řeší hlavně institucionální a procesní věci kolem dohledu a vymáhání, ale samotná pravidla pro firmy plynou už z evropského nařízení.

Zákon se neptá, jakou technologii používáte, ale jaký dopad má na životy lidí. Čím vyšší riziko pro lidi, tím přísnější pravidla pro firmy.

Dvě role, které AI Act rozlišuje

• Poskytovatelé (anglicky providers) vyvíjejí AI systémy nebo je uvádějí na trh. Patří sem firmy jako OpenAI (tvůrce ChatGPT), Google (Gemini) nebo Anthropic (Claude).
• Zavádějící subjekty (anglicky deployers) AI systémy používají ve svém podnikání. Spadá sem většina českých firem. Stačí, že vaši lidé při práci používají ChatGPT, Copilot v Microsoft Office, AI funkci v účetním softwaru, AI asistenta v CRM nebo třeba AI nástroj na přepis porad. To všechno z vás dělá zavádějící subjekt.

Pokud ve vaší firmě někdo pracuje s jakýmkoliv AI nástrojem, AI Act se vás týká také.

Kdy AI Act začal platit a co přijde v srpnu 2026

Evropská unie záměrně rozložila účinnost AI Actu do několika fází, aby firmy měly čas se připravit. Pravidla nabíhají postupně ve třech vlnách a dvě z nich už platí:

Firmy podcenily AI gramotnost zaměstnanců

AI gramotnost je pojem, kterým AI Act označuje povinnost firmy zajistit, aby zaměstnanci pracující s AI rozuměli tomu, co dělají, znali limity nástrojů a věděli, jaká data do nich smějí vkládat a jaká ne. Obecné AI modely (GPAI) jsou velké jazykové modely typu ChatGPT nebo Gemini, které se dají použít na širokou škálu úkolů. A sankční režim znamená, že úřady mohou za nedodržení pravidel udělovat pokuty.

Jsme pět měsíců od klíčového srpnového termínu 2026. Ale pozor: pokud jste ještě nezačali řešit AI gramotnost svých lidí, jste pozadu o víc než rok, protože tato povinnost platí už od února 2025. Podrobně se jí věnuji v další kapitole.

Chcete pomoct se zorientovat a naučit své lidi základy i pokročilé dovednosti v práci s AI? Podívejte se na moji nabídku školení →

Proč byste měli vědět, do jaké kategorie rizika vaše AI spadá

Celá logika AI Actu stojí na jednom principu. Zákon se neptá, jakou technologii používáte, ale jaký dopad má na životy lidí. Pokud AI rozhoduje o tom, jestli někdo dostane práci, úvěr nebo lékařskou péči, musíte splnit výrazně víc, než když ji používáte jen na psaní e-mailů. AI Act proto rozděluje AI systémy do čtyř kategorií podle míry rizika:

Do které kategorie spadá AI ve vaší firmě

Aby bylo jasnější, jak se to vztahuje na běžnou firmu, tady je přehled typických situací seřazených od nejrizikovějších po nejméně rizikové:

• Aplikace na monitoring emocí zaměstnanců při videohovorech
• Systém, který hodnotí zaměstnance na základě jejich chování mimo pracoviště

• AI třídění životopisů uchazečů o práci
• AI automaticky hodnotí výkon zaměstnanců
• AI rozhoduje o schválení úvěru nebo pojistky

• Chatbot nebo voicebot na webu, který komunikuje se zákazníkem
• AI video, audio nebo obraz napodobující konkrétní osobu
• AI text zveřejněný k informování veřejnosti o věcech veřejného zájmu

• Zaměstnanci používají ChatGPT nebo Copilot na běžné pracovní úkoly, jako jsou shrnutí, osnovy nebo překlady
• AI doporučuje produkty na e-shopu
• Marketing pracuje s AI na draftu textu nebo vizuálu, který pak člověk upraví a schválí

Řada firem přitom nemá tušení, co všechno pod AI systém spadá. Autokorekce v e-mailu? To ne. Ale AI funkce v účetním softwaru, která automaticky páruje faktury? Už ano. AI modul v CRM, který vyhodnocuje obchodní příležitosti? Taky ano. Proto je prvním krokem zmapovat, kde všude ve firmě AI běží.

Chcete si tyhle věci probrat a zorientovat se v tom? Napište mi a domluvíme se →

Firmy podcenily AI gramotnost zaměstnanců a AI Act ji vyžaduje už od roku 2025

Článek 4 AI Actu nařizuje všem firmám, které AI jakkoli používají, aby zajistily dostatečnou úroveň AI gramotnosti svých zaměstnanců. Povinnost platí od 2. února 2025 a vztahuje se na všechny AI systémy, i ty s minimálním rizikem. To znamená, že se týká každé firmy, kde někdo při práci otevře ChatGPT.

Co ale znamená ta „dostatečná úroveň"? Evropská komise v květnu 2025 vydala podrobné vysvětlení a řekla jasně: povinnost AI gramotnosti není splněna tím, že zaměstnancům pošlete odkaz na video nebo návod, jak používat ChatGPT. To Komise označila doslova za „neefektivní a nedostatečné".

Firma musí zajistit, aby její lidé skutečně chápali, s čím pracují. Konkrétně to zahrnuje porozumění tomu, jak daný AI systém funguje a kde jsou jeho limity, schopnost správně posoudit výstupy AI (ne slepě kopírovat, co model vygeneruje), znalost rizik spojených s ochranou dat a soukromí, a povědomí o tom, jaká firemní data smějí do AI vkládat a jaká rozhodně ne.

Koho všeho ve firmě se AI gramotnost podle AI Actu týká

V zásadě všech, kdo se s AI ve firmě potkávají. A to je dnes skoro každý. Obsah školení ale musí odpovídat konkrétní roli, jak výslovně požaduje AI Act. Jiný rozsah potřebuje personalista, který pracuje s životopisy uchazečů, jiný marketér, který generuje texty a obrázky, jiný obchodník, který do AI vkládá zákaznická data, jiný účetní, která pracuje s fakturami obsahujícími osobní údaje, jiný IT správce, který má mít přehled o tom, jaké nástroje lidé používají, a jiný vedení firmy, které nese odpovědnost za to, že školení proběhlo a je zdokumentované.

Povinnost AI gramotnosti se navíc nevztahuje jen na zaměstnance. Podle výkladu Komise pokrývá i dodavatele a kontraktory, kteří AI používají vaším jménem.

A důležitý detail na závěr. Nedostatečná AI gramotnost není sama o sobě sankcionována, ale regulátor ji bude brát jako přitěžující okolnost při posuzování jiných porušení. Pokud se ve firmě něco pokazí a vy nemáte doklad o proškolení, bude to při kontrole horší.

Shrnuto jednoduše: AI gramotnost zaměstnanců už není firemní benefit. Je to zákonná povinnost.

AI v náboru a HR: kdy už jde o vysoké riziko

Tahle kapitola je důležitá pro každého, kdo ve firmě rozhoduje o lidech. Pokud AI systém používáte k filtrování kandidátů, doporučování uchazečů, hodnocení zaměstnanců nebo k rozhodování, které má reálný dopad na člověka, velmi pravděpodobně vstupujete do režimu vysokého rizika.

Důležitá je ale jedna věc. Ne každá práce s ChatGPT v HR automaticky znamená, že jste v high-risk režimu. Rozhoduje konkrétní účel a role AI v procesu. Jiná situace je, když si personalista nechá od AI pomoci s návrhem otázek na pohovor. Jiná situace je, když AI systém systematicky třídí kandidáty, doporučuje pořadí uchazečů nebo výrazně ovlivňuje rozhodnutí o přijetí či nepřijetí.

Co si firmy často pletou

Pokud používáte hotový nástroj od dodavatele, nejste automaticky v roli poskytovatele systému. To znamená, že ne vždy na vás dopadají stejné povinnosti jako na firmu, která AI systém vyvinula a uvedla na trh. Jako firma, která AI nasazuje, ale pořád nesete odpovědnost za to, jak nástroj používáte v praxi.

U rizikového nasazení v HR proto řešte hlavně tyto otázky:

• Používáme AI jen jako pomocníka, nebo reálně ovlivňuje rozhodnutí o lidech?
• Máme lidský dohled a je jasné, kdo rozhodnutí finálně kontroluje?
• Jsou lidé, kteří s nástrojem pracují, dostatečně proškolení?
• Víme, co od dodavatele potřebujeme doložit a jaké limity systému máme respektovat?
• Máme interní postup pro stížnost, chybu, diskriminační výstup nebo jiný incident?

Prakticky řečeno: pokud firma používá AI v náboru nebo HR systematicky, nestačí říct „to je jen pomocník“. Je potřeba mít popsaný proces, člověka odpovědného za dohled a jasně říct, co AI smí a co už nesmí dělat bez lidské kontroly.

Transparentnost AI obsahu od srpna 2026: co opravdu musíte označit

Tohle je téma, ve kterém panuje největší zmatek. Často slýchám otázku: „Musíme psát ‚vytvořeno s pomocí AI‘ ke každému textu na webu?“ Odpověď zní: ne automaticky. AI Act rozlišuje, co má zajistit poskytovatel AI nástroje a co musí zveřejnit firma, která AI obsah používá nebo publikuje.

Co má zajistit poskytovatel AI nástroje

Poskytovatelé systémů, které generují nebo manipulují text, obraz, zvuk nebo video, mají řešit technickou stránku věci. Jinými slovy: výstup má být v přiměřené míře technicky rozpoznatelný jako AI obsah, například pomocí metadat, vodoznaků nebo jiného strojově čitelného označení.

Co musíte řešit vy jako firma

Z pohledu firmy jsou od 2. srpna 2026 nejdůležitější tři situace:

• Chatboty a voiceboty musí dát člověku jasně najevo, že komunikuje s AI, pokud to není zjevné z kontextu.
• Deepfake obsah – tedy AI obraz, audio nebo video napodobující skutečnou osobu – musí být transparentně označený.
• Některé AI texty publikované za účelem informovat veřejnost o věcech veřejného zájmu musí být také zveřejněné jako AI obsah, pokud nedopadá relevantní výjimka.

Důležité upřesnění: AI Act nevyžaduje plošné označování všech textů vytvořených s pomocí AI. U textů řeší jen obsah publikovaný za účelem informovat veřejnost o věcech veřejného zájmu. Zároveň ale platí výjimka pro text, který prošel lidskou kontrolou nebo redakčním dohledem a za jeho publikaci nese odpovědnost konkrétní fyzická nebo právnická osoba.

Co to znamená pro firemní blog: Veřejně dostupný text ještě automaticky neznamená text o věci veřejného zájmu.

Prakticky pro firmy: neřešte otázku, jestli musíte označit každý blogový článek napsaný s pomocí AI. Řešte spíš to, zda publikujete text k veřejně významnému tématu bez skutečné lidské kontroly a bez jasné redakční odpovědnosti.

Žhavý trend vibe coding a co na něj říká AI Act

Pokud sledujete technologické novinky, pravděpodobně jste zaznamenali trend, kterému se říká vibe coding. Člověk popíše AI, co chce vytvořit, a ta mu vygeneruje celou aplikaci, web nebo automatizaci. Doslova „naprogramuje" fungující software, aniž by napsal jediný řádek kódu ručně. Nástroje jako Cursor, Lovable nebo Claude Code to dnes umožňují v podstatě každému.

Je to skvělé pro rychlé prototypy a experimenty. Jenže z pohledu AI Actu to přináší nové otázky, o kterých se zatím moc nemluví.

Představte si, že zaměstnanec pomocí AI vygeneruje interní aplikaci, která sbírá data od zákazníků a automaticky je vyhodnocuje. Aplikace funguje, vypadá profesionálně. Jenže nikdo ve firmě přesně neví, jak AI ten kód napsala, jestli v něm nejsou bezpečnostní díry a jestli celý systém náhodou nespadá do kategorie vysokého rizika. Podle analýzy společnosti Veracode z roku 2025 obsahuje 45 % kódu generovaného AI bezpečnostní chyby, přestože na první pohled vypadá v pořádku.

A kdo za takový systém zodpovídá? Odpověď AI Actu je jednoznačná: firma, která ho nasadila. Vibe coding je skvělý pro prototypy, ale než se takový systém dostane k zákazníkům nebo začne zpracovávat osobní data, potřebujete lidský dohled, bezpečnostní testování a dokumentaci. Přesně to, co AI Act vyžaduje.

AI Act v Česku a co dnes víme o Digital Omnibus

Český adaptační rámec k AI Actu

Ministerstvo průmyslu a obchodu připravuje český adaptační rámec, který má řešit hlavně institucionální a procesní věci kolem dohledu a vymáhání. Samotná pravidla pro firmy ale plynou přímo z evropského nařízení, ne až z českého zákona.

Je bezpečnější nepsat dnes o jednom definitivně potvrzeném „hlavním úřadu“. Přesnější je říct, že gestorem implementace je MPO a že finální rozdělení kompetencí mezi české instituce se ještě dopracovává.

• MPO jako gestor implementace a přípravy českého rámce
• ČNB pro finanční sektor
• ÚOOÚ tam, kde se AI kříží s ochranou osobních údajů
• další instituce podle finálního českého rozdělení kompetencí a adaptačního rámce

Důležité pro firmy: český rámec nemění to, že část povinností už platí teď. Nevyplatí se čekat, až bude hotová každá česká procesní věta nebo metodika.

Digital Omnibus a možné posuny termínů pro vysokorizikové systémy

Evropská komise v listopadu 2025 navrhla v balíčku Digital Omnibus upravit harmonogram pro část pravidel týkajících se vysokorizikových AI systémů. Důvod je praktický: technické standardy i podpůrné nástroje pro firmy nejsou hotové včas a hrozilo, že se pravidla začnou používat dřív, než bude existovat použitelný implementační rámec.

Aktuální politická debata už není jen o jednom obecném odkladu. Ve hře jsou dva různé termíny: 2. prosince 2027 pro samostatné high-risk systémy a 2. srpna 2028 pro high-risk systémy zabudované do produktů. Důležité ale je, že jde pořád o legislativní proces, ne o definitivně platnou změnu.

Pro firmy z toho plyne jednoduchý závěr: na vysokoriziková použití AI je rozumné se připravovat už teď, ale nepanikařit. A zároveň nečekat s věcmi, které už dnes platí.

• AI gramotnost zaměstnanců platí od 2. února 2025
• Zákazy nepřípustných AI praktik platí od 2. února 2025
• Povinnosti transparentnosti podle článku 50 začnou od 2. srpna 2026
• Inventura AI nástrojů, interní směrnice a práce s dodavateli se vyplatí řešit hned

Rozumný přístup je připravit se na srpen 2026. Pokud přijde odklad, budete mít náskok. Pokud ne, budete mít splněno.

Kolik může firmu stát porušení AI Actu

Přestože český přístup je vstřícnější a počítá s výzvou k nápravě, samotný pokutový rámec AI Actu je citelný a svou výší překonává i pokuty podle GDPR:

Vždy se uplatňuje vyšší z obou částek. U malých a středních podniků musí být pokuty přiměřené velikosti a ekonomické situaci firmy.

Reálně se menší firmy nemusí bát astronomických částek, ty míří na velké hráče. Ale i samotné řízení s regulátorem stojí čas, peníze a reputaci.

Praktický checklist připravenosti na AI Act

Rychlý test: je vaše firma na AI Act připravená?

Zkuste si odpovědět na těchto šest otázek. Každá odpověď „ne" je signál, že se vyplatí dané téma řešit:

• 1. Máte přehled o všech AI nástrojích, které zaměstnanci ve firmě používají?
• 2. Proškolili jste zaměstnance v bezpečné práci s AI?
• 3. Máte interní AI směrnici, která říká, co je dovoleno a co ne?
• 4. Jsou vaše chatboty na webu označené jako AI?
• 5. Víte, jestli některý z vašich AI systémů spadá do kategorie vysokého rizika?
• 6. Prověřili jste dodavatele AI nástrojů z pohledu shody s AI Actem?

Je AI Act přínosem pro firmy?

AI Act dostává od firem hodně kritiky. Další regulace, další starosti, další náklady navíc. Chápu to. Na školeních to slýchám pravidelně.

Ale je fér říct, že pokud firma nevyvíjí vlastní AI systémy a nepoužívá AI v opravdu citlivých případech použití, není praktická příprava na AI Act tak děsivá, jak to někdy zní. Zajistit AI gramotnost zaměstnanců, vytvořit vnitřní pravidla, zmapovat nástroje a transparentně řešit chatboty. To jsou kroky, které dávají smysl i bez zákona.

A když se podíváte na to, co AI Act skutečně chrání, zjistíte, že je to hlavně ochrana lidí, zákazníků, zaměstnanců, uchazečů o práci, kteří mohou být v případě zneužití sofistikovaných AI technologií zranitelní. Jako zákazník chcete vědět, jestli s vámi mluví člověk, nebo stroj. Jako uchazeč chcete, aby o vašem životopisu nerozhodoval jen algoritmus. A proškolit lidi v AI dovednostech navíc může firmu celkově posunout dál.

AI Act není nepřítel inovací. Je to pojistka, že inovace nepojedou na úkor lidí. A firmy, které se na něj připraví, budou mít na trhu silnější pozici, protože důvěra zákazníků, zaměstnanců i obchodních partnerů je konkurenční výhoda, kterou zákon sám o sobě nevytvoří, ale připravenost na něj ano.

Slovníček pojmů

Oficiální zdroje k AI Actu

Nařízení EU 2024/1689 na EUR-Lexu

AI Act na webu Evropské komise

AI literacy: Questions and Answers

Navigating the AI Act

Umělá inteligence na webu MPO

Často kladené otázky o AI Actu