Akt o umělé inteligenci: co skutečně čeká české MSP

Publikováno 2026-08-09· 6 min čteníČesko

Možná někdo z týmu začal používat Copilot na přípravu nabídek. Možná vám dodavatel ERP systému v rámci stejného předplatného nedávno přidal modul s prediktivní údržbou postaveným na strojovém učení. A pak se ve zpravodaji vašeho oborového svazu nebo v e-mailu od odběratele objeví slovní spojení „AI Act" s podtónem, který naznačuje, že už jste pozadu, i když ve firmě o tom nikdo formálně nerozhodl. Tenhle pocit zná řada majitelů a jednatelů menších firem — regulace se zdá objevit odnikud, aniž by někdo vysvětlil, co konkrétně znamená pro váš konkrétní provoz. Tenhle článek se snaží dát konkrétní odpověď, ne výčet paragrafů.

Nařízení EU, které v Česku už platí

Akt o umělé inteligenci — nařízení (EU) 2024/1689 — je nařízení, ne směrnice. Platí tedy přímo i v Česku, bez nutnosti samostatného vnitrostátního zákona, který by jeho obsah teprve přebíral, jak je tomu u směrnic. Povinnosti nabíhají postupně: zákazané praktiky umělé inteligence jsou zakázané od 2. 2. 2025, požadavky na obecné modely UI (GPAI) začaly platit od 2. 8. 2025 a většina pravidel pro vysoce rizikové systémy měla původně platit od 2. 8. 2026 — tzv. Digital Omnibus, který vstoupil v platnost 27. 7. 2026, ale tento termín posunul na 2. 12. 2027. Část požadavků na vysoce rizikové systémy vázané na již existující produktovou legislativu z přílohy I běží ještě s delší lhůtou, nově do srpna 2028. Česká republika, podobně jako řada dalších členských států, zatím dokončuje prováděcí zákon, který má přesně určit, které orgány dohled skutečně vykonávají — k tomu víc v další části.

V Česku tohle dopadá na trh, kde je algoritmické rozhodování už dávno součástí dodavatelských řetězců. Automotive — tedy síť dodavatelů druhé a třetí úrovně kolem Škoda Auto a jejích přímých partnerů — používá systémy strojového vidění pro vizuální kontrolu kvality na lince už řadu let, a řada z nich se učí z historických dat, což je typicky staví do působnosti Aktu o UI, i když ve firmě nikdo tento software neoznačuje slovem „umělá inteligence". Podobně strojírenské a elektrotechnické provozy zavádějí prediktivní údržbu a plánování výroby na základě modelů, často proto, že to vyžaduje větší odběratel v rámci auditu dodavatele. Pro řadu MSP tak Akt o UI poprvé nepřijde jako dopis od úřadu, ale jako položka v dotazníku k prověrce dodavatele nebo jako smluvní podmínka.

Kdo v Česku dohlíží na dodržování Aktu o UI?

Úřad pro ochranu osobních údajů (ÚOOÚ) je český nezávislý orgán pro ochranu osobních údajů a tato role zůstává beze změny: jakýkoliv systém UI, který zpracovává osobní údaje — nástroj pro předvýběr uchazečů, chatbot v zákaznické podpoře, model pro hodnocení bonity — nadále spadá pod dohled ÚOOÚ podle GDPR. Článek 70 Aktu o UI navíc ukládá každému členskému státu povinnost určit orgány dohledu nad trhem, které dohlížejí na širší použití nařízení bez ohledu na to, zda jde o osobní údaje. V době psaní tohoto textu česká vláda prováděcí zákon k Aktu o UI ještě dokončuje; v projednávaných verzích se objevuje ÚOOÚ jako jeden z klíčových orgánů, případně vedle Úřadu pro technickou normalizaci, metrologii a státní zkušebnictví (ÚNMZ) pro vysoce rizikové systémy vázané na produktovou bezpečnost. Tuto strukturu ale nemůžeme v tuto chvíli považovat za definitivní — doporučujeme si aktuální stav ověřit přímo na stránkách ÚOOÚ, než na ni budete stavět rozhodnutí. V praxi to ale znamená, že ÚOOÚ je už dnes orgán, se kterým se většina českých MSP pravděpodobně setká jako první, bez ohledu na to, jak se finální rozdělení kompetencí podle článku 70 nakonec ustálí.

Úrovně rizika ve zkratce

Nařízení nezachází se všemi systémy UI stejně, ale rozlišuje čtyři úrovně. Malá skupina praktik je zakázaná úplně kvůli nepřijatelnému riziku, například plošné sociální hodnocení osob. Vysoce rizikovou úroveň mají citlivá použití — nábor, hodnocení zaměstnanců, posuzování úvěruschopnosti nebo přístup ke klíčovým veřejným službám — a ta s sebou nese přísnější požadavky na řízení rizik, dokumentaci a lidský dohled. Omezené riziko přináší především požadavky na transparentnost, tedy povinnost dát najevo, že obsah vytvořila UI nebo že zákazník komunikuje s botem. Do minimálního rizika spadá většina běžných nástrojů a nepřináší zásadní nové povinnosti.

Detail relevantní pro strojírenské a automotive dodavatele je v příloze I: pokud systém UI funguje jako bezpečnostní komponenta v produktu, který už podléhá jiné produktové legislativě — například bezpečnostní systém výrobní linky spadající pod nařízení o strojních zařízeních — může se stát vysoce rizikovým na základě zařazení produktu, ne na základě účelu použití jako u přílohy III. Týká se to především výrobců zařízení, méně pak MSP v roli koncového uživatele, ale je dobré to znát, pokud takové komponenty dodáváte nebo integrujete v rámci subdodavatelského řetězce.

Sankce: čísla, která byste měli znát

Systém sankcí je popsaný v článku 99 a je stejný v celé EU, tedy i v Česku. Cílem je předcházet konkrétním rizikům, ne vybírat pokuty — přesto stojí za to znát řády čísel:

Až 35 milionů eur nebo 7 % celosvětového ročního obratu, podle toho, co je vyšší, za zakázané praktiky umělé inteligence.
Až 15 milionů eur nebo 3 % celosvětového ročního obratu za většinu ostatních porušení, včetně povinností poskytovatelů a provozovatelů vysoce rizikových systémů.
Až 7,5 milionu eur nebo 1 % celosvětového ročního obratu za poskytnutí nesprávných nebo zavádějících informací orgánům dohledu.

Co si ve firmě v praxi ověřit

Místo memorování paragrafů se vyplatí projít reálné použití UI ve firmě přes několik konkrétních otázek:

Jste „poskytovatel" (systém UI vyvíjíte nebo necháváte vyvíjet na zakázku), nebo „provozovatel" (nasazujete hotové nástroje třetích stran)? Většina českých MSP je provozovatelem, ne poskytovatelem — to povinnosti zmírňuje, ale nezbavuje jich úplně.
Spadá některé z vašich použití UI do vysoce rizikového seznamu v příloze III, například předvýběr uchazečů, hodnocení zaměstnanců nebo rozhodování o úvěru?
Používáte chatbot v zákaznické podpoře nebo publikujete obsah generovaný UI bez označení? To obvykle spouští povinnosti transparentnosti, i když nejde o vysoce rizikový systém.
Víte jistě, do kterého už používaného softwaru — třeba ERP nebo systému řízení kvality na lince — přibyla za poslední rok funkce založená na UI, aniž by ji ve firmě někdo formálně vyhodnotil?
Žádali jste od dodavatele UI dokumentaci k souladu s nařízením před podpisem smlouvy, nebo se spoléháte jen na jeho vlastní ujištění?

Obecné informace, ne právní poradenství

Vše výše uvedené je obecná, orientační informace, ne právní poradenství ke konkrétní situaci vaší firmy. Akt o UI má řadu nuancí, které jeden článek nemůže plně pokrýt, a jeho dopad závisí na konkrétním použití UI ve vaší firmě — stejně jako konečná podoba české struktury dohledu ještě není uzavřená. Když Komplya publikuje tento typ obsahu, jasně rozlišujeme, co je právně ověřené a co je zatím pracovní návrh, abyste s materiálem mohli pracovat s vědomím tohoto rozdílu.

Nejrychlejší cesta od mlhavého pocitu „tohle se nás asi taky týká" ke konkrétní odpovědi je projít použití UI ve firmě jedno po druhém. Vyplňte krátký dotazník o používání UI ve vaší firmě a získáte srozumitelný přehled, kde skutečně stojíte.