AI Act od 2. srpna: váš chatbot se musí přiznat, že není člověk

Na webu vám odpovídá chatbot. Do produktového katalogu jste letos dali vizuály, které dotvořila umělá inteligence. Na sociálních sítích běží texty, jež napsal jazykový model a po cestě je nikdo nečetl. Do 1. srpna je to otázka vkusu a marketingové poctivosti. Od 2. srpna otázka práva — s pokutou až 15 milionů eur nebo 3 % celosvětového obratu.

2. srpna 2026 nabývá evropský akt o umělé inteligenci obecné použitelnosti a spolu s ním se zapínají transparenční povinnosti. Poslední nejistota padla až koncem července: novela AI Actu, známá jako digitální omnibus, tedy nařízení (EU) 2026/1744, vyšla v Úředním věstníku 24. července 2026 a platnosti nabyla 27. července. Tři dny předtím, než se nová pravidla začnou používat. Finální text tak firmy dostaly s odstupem, který se počítá na prstech jedné ruky.

Odklad, o kterém se mluví, se transparentnosti netýká

V debatě o AI Actu se mísí dvě různé věci: kdy nařízení vstoupilo v platnost a odkdy se používají jednotlivé povinnosti. Platí od 1. srpna 2024, jeho části ale nabíhají postupně. Omnibus posunul tu nejtěžší vlnu — povinnosti pro vysoce rizikové systémy. Samostatné systémy podle přílohy III, kam patří AI v náboru zaměstnanců, hodnocení úvěruschopnosti nebo biometrická identifikace, se odkládají na 2. prosince 2027; systémy vestavěné do regulovaných výrobků na 2. srpna 2028. Právě to je ta drahá compliance: řízení rizik, technická dokumentace, posouzení shody, registrace.

Transparenční pravidla podle čl. 50 nařízení (EU) 2024/1689 se ale neodkládají. Platí od 2. srpna 2026 a dopadají na řádově víc subjektů než pravidla pro vysoce rizikové systémy, protože se netýkají jen vývojářů modelů. Týkají se každého, kdo AI nasadí do provozu — e-shopu s chatbotem stejně jako výrobní firmy, která si nechala vygenerovat produktové fotografie.

Omnibus přitom není deregulací. Většinu povinností zachoval a některé přidal: zakázal takzvané nudifikační aplikace a centralizoval dohled nad velkými hráči do Evropského úřadu pro AI. A pozor na povinnost, která platí už od února 2025 — AI gramotnost podle čl. 4 AI Actu. Kdo ve firmě s AI pracuje, má rozumět tomu, co nástroj umí a kde jsou jeho limity. Omnibus tuto povinnost zmírnil, nezrušil. Pokud jste školení odložili s tím, že „AI Act se přece odkládá", odložili jste něco, co platí rok a půl.

Chatbot, hlasový asistent, AI agent: co musí zákazník vědět

Nejviditelnější novinkou je povinnost dát člověku jasně a včas najevo, že nemluví s člověkem. Dopadá na zákaznické chatboty, virtuální i hlasové asistenty. Zní to banálně. Naráží to ale na způsob, jakým většina firem tuto informaci dnes podává.

U AI agentů, kteří samostatně rezervují, objednávají nebo vyřizují korespondenci, jde Evropská komise v čerstvě vydaných pokynech dál: agent musí prozradit nejen to, že je umělou inteligencí, ale i za koho jedná. Pokud tedy váš agent objednává u dodavatelů, vyjednává termíny nebo odpovídá na e-maily z obecné adresy, musí z komunikace vyplývat obojí — že jde o AI a že jedná za vaši společnost. To je zásah do designu automatizací, které si firmy během posledního roku nasadily rychle a bez právní revize.

Namítne-li někdo, že jeho firma AI nevyvíjí, jen ji používá, míjí se s konstrukcí nařízení. Povinnosti se dělí mezi poskytovatele nástroje a subjekt, který jej zavádí do provozu, a část těch transparenčních dopadá právě na druhého z nich. Kdo deepfake nebo syntetický vizuál zveřejní, ten jej má označit — bez ohledu na to, že model natrénoval někdo v Kalifornii. Argument „to je věc dodavatele" funguje u strojového značení, ne u informace, kterou má vidět zákazník.

Právě tady padá nejčastější firemní řešení. Podle průzkumů, na které upozorňuje advokát Jaroslav Kuba z poradenské společnosti Rödl, řeší více než třetina společností problematiku AI jen povrchně: typicky jedinou větou v obchodních podmínkách o tom, že v rámci služby využívají umělou inteligenci. Plošné prohlášení schované v podmínkách od srpna nestačí. Informace musí být srozumitelná a musí být tam, kde k interakci skutečně dochází — v okně chatu, na začátku hovoru s hlasovým asistentem, v automaticky odeslaném e-mailu.

Deepfake není jen politické video. Je to i vaše produktová fotka

Druhý blok povinností se týká obsahu. Označen musí být každý obraz, zvuk či video vytvořené nebo upravené umělou inteligencí, které připomínají reálné osoby a události. Většina lidí si pod tím představí podvržené video politika. Komise ale mezi deepfakes výslovně řadí i to, co běžně vzniká v marketingovém oddělení: reklamní vizuály a produktové fotografie vytvořené AI, pokud mohou klamat o skutečném vzhledu nebo vlastnostech výrobku, syntetické avatary manažerů ve firemních videích a virtuální influencery.

Přeloženo do praxe: produkt „dovylepšený" generativním modelem tak, že vypadá jinak než ten v krabici, je od srpna problém dvakrát. Jednou podle AI Actu kvůli chybějícímu označení, podruhé podle práva proti nekalé soutěži a ochrany spotřebitele kvůli obsahu sdělení. Druhé platilo vždycky. Nové je, že vzniká samostatná sankce už za samo neoznačení, bez ohledu na to, zda někoho ten vizuál skutečně uvedl v omyl.

Vedle označení čitelného pro člověka nařízení požaduje i strojově čitelné označení výstupů. Technicky to řeší primárně poskytovatel použitého nástroje, ne vy — ověřit, že to váš nástroj umí, ale musíte vy. Systémy uvedené na trh před 2. srpnem 2026 mají na strojové značení přechodné období do 2. prosince 2026; co jde na trh 2. srpna a později, musí odpovídat požadavkům okamžitě. Tuto lhůtu si zaslouží poznamenat do kalendáře každý, kdo generativní nástroj nasadil dřív než letos v srpnu.

Třetí pravidlo míří přímo na obsahový marketing a v diskusi se ztrácí: texty generované AI, které informují o otázkách veřejného zájmu a publikují se bez lidské kontroly, musí nést informaci, že jde o výstup umělé inteligence. Pokud tedy pouštíte automatizovaný blog či newsletter o legislativě, dotacích nebo zdraví bez toho, aby text někdo přečetl a schválil, potřebujete označení. Nebo redakční kontrolu — což je mimochodem levnější cesta, protože řeší i věcné chyby, které vám označení neodpustí.

Kdo to bude v Česku vymáhat a co udělat v příštích týdnech

Nařízení je přímo použitelné, povinnosti tedy platí bez ohledu na stav českého zákonodárství. Národní adaptační zákon, který má rozdělit dozor a upravit přestupkový režim, přijat není. Podle dosud publikovaných návrhů má být hlavním dozorovým orgánem a jednotným kontaktním místem Český telekomunikační úřad, pro finanční sektor Česká národní banka a pro oblast osobních údajů a biometriky Úřad pro ochranu osobních údajů. ČTÚ svůj tým pro dozor nad AI teprve staví. Návrh počítá i s měkčím postupem u méně závažných porušení: úřad nejprve upozorní a dá lhůtu k nápravě, teprve pak sankcionuje.

Z toho neplyne, že se do konce roku nic nekontroluje. Sankční limity vyplývají přímo z nařízení — u zakázaných praktik dosahují 35 milionů eur nebo 7 % obratu, u transparenčních povinností 15 milionů eur nebo 3 % obratu, přičemž pro malé a střední podniky se použije nižší z obou hodnot. Plyne z toho něco jiného: první měsíce budou o dokumentaci. Kdo bude mít v ruce inventuru nástrojů, interní směrnici a záznam o proškolení, projde s vysvětlením. Kdo bude mít jednu větu v obchodních podmínkách, bude vysvětlovat výrazně obtížněji.

Doporučujeme začít inventurou: které AI nástroje ve firmě reálně běží, včetně těch, které si kolegové zavedli sami bez vědomí vedení. Následuje kontrola, kudy do nich tečou osobní údaje, protože tam se k AI Actu přidává GDPR, a jak stojí autorské právo — u komerčního užití výstupů i u ochrany vlastního obsahu před trénováním modelů. Pak přichází úprava smluvní a GDPR dokumentace, interní směrnice pro práci s AI a doplnění školení. Formální a funkční governance se přitom liší podstatně: podle toho, zda téhož asistenta používáte v marketingu nebo v HR, se mění nejen míra rizika, ale i to, které předpisy se na vás vůbec vztahují.

Odklad povinností pro vysoce rizikové systémy navíc není prázdninami z ostatního práva. Pokud AI vstupuje do rozhodování o lidech — screening životopisů, scoring klientů, hodnocení zaměstnanců — platí GDPR bez ohledu na termíny AI Actu: informační povinnost vůči subjektu údajů, právní titul zpracování a u plně automatizovaného rozhodování s právními účinky i pravidla podle čl. 22 GDPR včetně práva na lidský zásah. Firma, která si od prosince 2027 slibuje klid, může mít problém už dnes, jen z jiného předpisu.

U dodavatele AI nástroje si proto nechte písemně potvrdit tři věci:

• že nástroj umí opatřit výstupy strojově čitelným označením, a v jakém formátu,
• že jeho řešení odpovídá požadavkům AI Actu, a že vás bude informovat o změnách, které soulad ovlivní,
• co se stane s vaším provozem a s vašimi daty, pokud služba skončí, změní podmínky nebo přestane být v Evropě dostupná.

Třetí bod se v compliance přehlíží nejčastěji — závislost na dodavateli. V červnu 2026 musela společnost Anthropic po zásahu amerických úřadů znepřístupnit své nejvýkonnější modely a firmy, které na nich postavily provozní procesy, řešily náhradu ze dne na den. Ke stejnému výsledku vede akvizice dodavatele, změna předpisů i jeho vlastní obchodní rozhodnutí; geopolitika je jen jedna z cest. Kdo staví provoz na jediném nástroji bez záložního scénáře, neřeší problém compliance, ale kontinuity podnikání.

Do 2. srpna zbývají dny. Doplnit informaci o AI do rozhraní chatbotu a označit generované vizuály zvládne firma za odpoledne. Revize smluv s dodavateli, interní směrnice a nastavení strojového značení je práce na týdny — a u strojového značení máte čas do 2. prosince 2026. Začněte tím, co je vidět zákazníkovi a kontrole na první pohled, a zbytek si naplánujte s reálným termínem.

Zdroj: Advokátní deník, 30. 7. 2026; nařízení Evropského parlamentu a Rady (EU) 2026/1744 (digitální omnibus k AI Actu), Úřední věstník EU ze dne 24. 7. 2026.