Příprava firmy na AI Act: praktický postup a checklist

Příprava firmy na AI Act nemusí znamenat rozsáhlý projekt s týmem právníků. Pro většinu českých firem, které umělou inteligenci používají, ale samy nevyvíjejí, jde hlavně o to udělat si pořádek: vědět, jaké AI nástroje se používají, kdo s nimi pracuje, jaká rizika nesou a jaká pravidla platí. V tomto článku najdete praktický postup v sedmi krocích, vzorovou tabulku pro soupis nástrojů, rozdělení úkolů podle velikosti firmy a na konci stručný AI Act checklist. Pokud potřebujete nejprve základní přehled o tom, co nařízení obsahuje, přečtěte si článek co je AI Act.

Upozornění: Tento článek není právní poradenství. Slouží jako obecný návod. Konkrétní povinnosti vaší firmy konzultujte s právníkem.

AI Act termíny, které je dobré znát

AI Act (nařízení EU 2024/1689) platí přímo ve všech členských státech včetně Česka. V platnost vstoupil 1. srpna 2024 a povinnosti se uplatňují postupně. V červenci 2026 navíc vstoupila v platnost novela, takzvaný digitální omnibus (nařízení EU 2026/1744), která část termínů posunula. Aktuálně platí:

• od 2. února 2025 platí zákazy nepřijatelných praktik a pravidla AI gramotnosti (článek 4),
• od 2. srpna 2025 platí povinnosti pro obecné modely AI – ty dopadají hlavně na jejich poskytovatele,
• od 2. srpna 2026 platí povinnosti transparentnosti (článek 50) – například informování, že člověk komunikuje s AI, a označování umělého obsahu; u strojově čitelného označení obsahu ze systémů uvedených na trh dříve platí přechodné období do 2. prosince 2026,
• od 2. prosince 2026 platí nové zákazy doplněné omnibusem (například AI vytvářející intimní snímky lidí bez jejich souhlasu),
• od 2. prosince 2027 platí povinnosti pro samostatné vysoce rizikové systémy, například AI v náboru nebo ve vzdělávání (původně srpen 2026),
• od 2. srpna 2028 platí povinnosti pro AI zabudovanou do regulovaných výrobků.

Odklad se tedy týká hlavně vysoce rizikových systémů. Zákazy, AI gramotnost i transparentnost už platí, takže první kroky dávají smysl hned. V Česku má na dodržování pravidel dohlížet Český telekomunikační úřad, který 1. září 2026 spustil oddělení pro dohled nad AI; dozorové pravomoci ale začne vykonávat až po přijetí českého zákona, který připravuje ministerstvo průmyslu a obchodu.

Příprava firmy na AI Act v sedmi krocích

Krok 1: Soupis AI nástrojů a systémů

Sepište všechny AI nástroje a systémy, které se ve firmě používají:

• obecné asistenty (ChatGPT, Copilot, Gemini, Claude a podobné),
• AI funkce vestavěné do běžného softwaru (CRM, účetnictví, e-mail, kancelářské balíky),
• chatboty a voiceboty pro zákazníky,
• vlastní nebo na míru vyvinuté AI řešení,
• nástroje, které si zaměstnanci zavedli sami bez schválení.

U každého nástroje zapište, k čemu se používá, kdo ho používá, s jakými daty pracuje a kdo je dodavatel. Stačí jednoduchá tabulka. Na neoficiálně používané nástroje se ptejte otevřeně – cílem je přehled, ne hledání viníků. Osvědčuje se krátký anonymní dotazník („Které AI nástroje používáte při práci a k čemu?“), doplněný o kontrolu licencí a faktur v účetnictví.

Vzorová tabulka může vypadat takto:

Nástroj	Účel	Kdo používá	Data	Dodavatel	Role firmy	Kategorie rizika
Firemní AI asistent	psaní e-mailů, shrnutí	obchod, administrativa	interní texty, bez osobních údajů	poskytovatel SaaS	provozovatel	minimální
Chatbot na webu	odpovědi zákazníkům	zákazníci	dotazy, kontaktní údaje	externí agentura	provozovatel	omezené (transparentnost)
Třídění životopisů	předvýběr uchazečů	HR	životopisy	dodavatel ATS	provozovatel	prověřit – možná vysoké

Poslední dva sloupce doplníte v dalších krocích.

Krok 2: Určení rolí

Pro každý systém určete, v jaké roli vůči němu firma vystupuje. Nejčastěji jde o roli provozovatele – firma AI systém používá ve své činnosti. Pokud ale firma AI vyvíjí, nechává vyvinout a uvádí pod svým jménem na trh, nebo na obecném modelu staví vlastní produkt pro zákazníky, může být poskytovatelem, a ten má povinností výrazně víc. Pozor také na situace, kdy firma vysoce rizikový systém od dodavatele podstatně upraví nebo změní jeho účel – i tím se může dostat do role poskytovatele. U hraničních případů se vyplatí konzultace.

Krok 3: Klasifikace rizik

AI Act rozlišuje čtyři kategorie: zakázané praktiky, vysoce rizikové systémy, omezené riziko (povinnosti transparentnosti) a minimální riziko. U každé položky ze soupisu si položte otázky:

• Nejde o praktiku, kterou nařízení zakazuje (například manipulace nebo zneužívání zranitelnosti)?
• Nepoužívá se AI v oblasti, kterou nařízení řadí mezi vysoce rizikové – například při náboru a hodnocení zaměstnanců, ve vzdělávání nebo při rozhodování o přístupu k důležitým službám?
• Komunikuje AI přímo se zákazníky nebo vytváří obsah, který se zveřejňuje?
• Nebo jde o běžné interní použití s minimálním rizikem?

Většina firemního využití – psaní textů, shrnutí, překlady, analýzy – vyjde jako minimální riziko. Pokud ale narazíte na vysoce rizikové použití, zpozorněte a vyhledejte odbornou pomoc. Typickým příkladem je personalistika: rozdíl mezi AI, která náboráři pomáhá formulovat inzerát, a AI, která sama rozhoduje, kdo postoupí do dalšího kola, rozebírá článek AI v HR a náboru. Posunutý termín do prosince 2027 je dobrou příležitostí nastavit lidský dohled a dokumentaci v klidu, ne na poslední chvíli.

Krok 4: Transparentnost vůči lidem

Tam, kde AI komunikuje s lidmi nebo vytváří obsah, nastavte pravidla transparentnosti. Tyto povinnosti už platí, proto je tento krok pro firmy s chatbotem nebo AI obsahem prioritou. Prakticky to znamená:

• chatbot nebo voicebot se na začátku představí jako AI asistent,
• obsah vytvořený AI, který by mohl klamat (například realistické obrázky nebo videa), se vhodně označí,
• zákazník ví, jak se dostat k člověku.

Konkrétní příklad: místo neutrálního „Dobrý den, jak vám mohu pomoci?“ může chatbot začít větou „Dobrý den, jsem virtuální asistent s umělou inteligencí. Pokud budete chtít mluvit s kolegou, napište ‚operátor‘.“ U marketingových vizuálů stačí srozumitelná poznámka typu „Ilustrace vytvořena pomocí AI“.

Transparentnost souvisí i s ochranou osobních údajů. Jak obě oblasti spojit u chatbota, popisuje článek AI chatbot a GDPR.

Krok 5: Školení a AI gramotnost

Pravidla AI gramotnosti platí od února 2025 a dopadají na každou firmu, která AI používá. Novela z roku 2026 je přeformulovala: firma má přijímat opatření, která rozvoj AI gramotnosti lidí podporují, a nemusí garantovat konkrétní úroveň znalostí u každého jednotlivce. Na praktickém postupu se tím mnoho nemění. Rozdělte lidi podle toho, jak s AI pracují, a připravte pro každou skupinu odpovídající vzdělávání:

• běžní uživatelé – jak AI funguje, proč se plete, jaká data do ní nepatří, jak kontrolovat výstupy,
• vedoucí – rizika, odpovědnost, jak nastavit pravidla v týmu,
• ti, kdo AI vybírají a nastavují – hodnocení dodavatelů, klasifikace rizik, dokumentace, lidský dohled.

O každém školení si veďte záznam: datum, obsah, účastníky. Podrobněji se tématu věnuje článek co je AI gramotnost, praktické školení na míru vašim procesům nabízí firemní školení AI.

Krok 6: Interní pravidla

Sepište stručnou směrnici pro používání AI. Měla by obsahovat schválené nástroje, zakázaná data (osobní údaje, obchodní tajemství), povinnost kontroly výstupů, pravidla transparentnosti vůči zákazníkům a kontakt na odpovědnou osobu. Určete také, kdo ve firmě za AI odpovídá – nemusí to být nová pozice, stačí jasně pověřený člověk nebo malý tým. Širší rámec hodnot, na kterých lze směrnici postavit, popisuje článek zodpovědná AI ve firmě.

Dobrá směrnice se vejde na jednu až dvě strany a je psaná lidsky. Místo „Zaměstnanec je povinen respektovat zásady ochrany informací“ napište „Do AI nevkládejte jména, rodná čísla ani údaje o zákaznících, pokud nástroj není schválený pro práci s osobními údaji.“

Krok 7: Dokumentace a průběžná revize

Uchovávejte soupis nástrojů, klasifikaci rizik, interní pravidla, záznamy o školeních a rozhodnutí o nových nástrojích. Dokumentaci pravidelně aktualizujte – při zavedení nového nástroje, při změně použití a alespoň jednou ročně. Zaveďte jednoduché pravidlo: žádný nový AI nástroj bez krátkého zápisu do soupisu a posouzení rizika. Firmy, které pracují s velkým objemem dokumentů a osobních údajů, mohou část této agendy podpořit i technicky, například pomocí AI agenta pro GDPR, který pomáhá s evidencí zpracování a odpovědmi na žádosti.

Jak si rozdělit práci podle velikosti firmy

Rozsah přípravy se liší podle toho, jak velká je firma a jak intenzivně AI používá.

Malá firma do zhruba dvaceti lidí. Stačí jeden odpovědný člověk, jednoduchá tabulka nástrojů, směrnice na jednu stranu a společné školení pro všechny. Celé to lze zvládnout během několika týdnů. Pokud firma nemá chatbota ani nepoužívá AI v náboru, většina práce spočívá v gramotnosti a pravidlech pro data.

Střední firma. Vyplatí se malý tým – zástupce vedení, IT, osoba odpovědná za ochranu osobních údajů a někdo z provozu. Školení rozdělte podle rolí, soupis nástrojů veďte centrálně a nové nástroje schvalujte jednotným postupem. Důležitá je spolupráce s dodavateli: vyžádejte si od nich informace, jak plní své povinnosti.

Firma, která AI vyvíjí nebo prodává. Zde už jde o roli poskytovatele s výrazně širšími povinnostmi – technická dokumentace, řízení rizik, posouzení shody u vysoce rizikových systémů. Bez právní a technické expertízy se neobejdete. Úlevy pro malé a střední podniky, například zjednodušené šablony technické dokumentace, omnibus rozšířil i na takzvané malé společnosti se střední tržní kapitalizací.

Časový plán přípravy na 90 dní

Pokud s přípravou teprve začínáte, můžete postupovat podle jednoduchého plánu:

1. Dny 1–30: jmenujte odpovědnou osobu, udělejte soupis nástrojů a dotazník mezi zaměstnanci, zkontrolujte chatboty a AI obsah z hlediska transparentnosti.
2. Dny 31–60: určete role a kategorie rizik, sepište směrnici, naplánujte a spusťte školení podle skupin.
3. Dny 61–90: projděte smlouvy s dodavateli AI, založte složku s dokumentací, nastavte proces schvalování nových nástrojů a termín první revize.

AI Act pro podniky, které používají generativní AI

Povinnosti generativní AI se v AI Actu objevují ve dvou rovinách. Povinnosti pro obecné modely AI dopadají především na jejich poskytovatele – tedy na firmy, které velké modely vyvíjejí. Běžný podnik, který generativní AI jen používá, se jimi přímo zabývat nemusí. Pro něj jsou podstatné hlavně AI gramotnost, transparentnost u obsahu a komunikace se zákazníky a rozumná interní pravidla. Situace se mění, pokud firma na modelu staví vlastní produkt a nabízí ho dál.

Nejčastější chyby při přípravě

• Soupis jen oficiálních nástrojů. Zaměstnanci často používají AI na vlastní účty. Pokud je soupis vynechá, firma nemá skutečný přehled.
• Jednorázové školení bez pokračování. Nástroje se mění každých pár měsíců. Krátká pravidelná aktualizace funguje lépe než jeden dlouhý kurz.
• Pravidla, která nikdo nezná. Směrnice uložená na intranetu nestačí. Pravidla je potřeba vysvětlit, připomínat a zapracovat do nástupu nových lidí.
• Spoléhání na odklad. Posun termínů se týká hlavně vysoce rizikových systémů. Zákazy, gramotnost i transparentnost už platí.
• Přehlížení dodavatelů. Pokud AI dodává externí firma, ptejte se jí, jak řeší své povinnosti, a nechte si to potvrdit ve smlouvě.

AI Act checklist

• Máme soupis všech AI nástrojů včetně neoficiálně používaných?
• Víme u každého nástroje, v jaké roli vůči němu jsme?
• Ověřili jsme, že nepoužíváme zakázané praktiky?
• Prověřili jsme, zda nemáme vysoce rizikové použití (například nábor)?
• Informují naše chatboty a voiceboty, že jde o AI?
• Označujeme AI obsah tam, kde je to potřeba?
• Proškolili jsme zaměstnance podle rolí a máme o tom záznam?
• Máme písemná interní pravidla a odpovědnou osobu?
• Máme ve smlouvách s dodavateli AI ošetřené jejich povinnosti?
• Máme termín příští revize?

Závěr

Příprava firmy na AI Act je hlavně o přehledu a pravidlech: soupis nástrojů, určení rolí, klasifikace rizik, transparentnost, školení a dokumentace. Většinu kroků zvládne firma sama a vysoce riziková použití si zaslouží odbornou konzultaci. Odklad části termínů dává prostor připravit se v klidu, neznamená ale, že lze čekat.

Pokud chcete zaměstnance proškolit v povinnostech a bezpečném používání AI, podívejte se na školení AI Act. S mapováním AI nástrojů a nastavením pravidel vám může pomoci AI konzultace.

Zdroje

• Nařízení (EU) 2024/1689 – AI Act, EUR-Lex
• Orrick: EU AI Act Update – Digital Omnibus Finalizes 8 Compliance Changes (červenec 2026)
• Law & Technology: AI literacy – the Digital Omnibus rewrites Article 4
• Lupa.cz: ČTÚ rozjíždí dohled nad umělou inteligencí (1. 9. 2026)