EU AI Act – Kompletní průvodce pro firmy: Compliance, sankce a nové příležitosti

26 března, 2025

Umělá inteligence se v posledních letech stala klíčovým hnacím motorem inovací napříč všemi obory – od finančnictví, přes e-commerce, až po výrobu či veřejné služby. Evropský AI Act představuje první komplexní právní rámec, který má nastavit jednotná pravidla pro vývoj a nasazení umělé inteligence v celé Evropské unii. Tato regulace vznikla proto, aby vyvážila rostoucí potenciál AI s nutností chránit základní práva, bezpečnost a soukromí občanů.

1. Proč je EU AI Act zásadní?

Povinnosti a potenciální sankce vyplývající z AI Actu mohou mít zásadní dopad na provozní, právní i hospodářské výsledky firem. Přestože se na první pohled může zdát, že AI regulace se týká pouze firem, které samy vyvíjejí algoritmy, právní předpisy se vztahují i na organizace, které umělou inteligenci „pouze“ implementují ve svém byznysu.

Motivace pro firmy

• Příležitosti: Chytré AI nástroje dokáží výrazně zefektivnit procesy, automatizovat rutinní úkony, redukovat náklady, zlepšit zákaznickou zkušenost a usnadnit expanzi na nové trhy.
• Rizika: Špatně nastavený AI systém může vést k diskriminačním rozhodnutím, poškodit reputaci značky a hrozí i vysoké pokuty za nesoulad s předpisy (tzv. non compliance).

2. Proč vznikl AI Act a čeho se týká

Evropská unie si uvědomuje, jak strategicky důležitá je umělá inteligence pro další digitální rozvoj. Zároveň se ale snaží předcházet scénářům, kdy by se rychle se rozvíjející technologie vymkla kontrole. EU AI Act proto vytváří rámec důvěry založený na etických, právních a bezpečnostních principech. Cílem je umožnit udržitelnou inovaci bez ohrožení soukromí, bezpečí a nediskriminačního přístupu k uživatelům.

Tato regulace umělé inteligence zapadá do širšího obrazu digitální dekády, jejíž součástí je i GDPR, Data Governance Act a další unijní předpisy. Dohromady vytvářejí prostředí, kde mohou data a algoritmy fungovat v předvídatelných legislativních mantinelech.

Motivace pro vznik AI Actu: časté „faily“ AI

• Rasistické chatboty – Nevhodně trénované jazykové modely převzaly zkreslená data a šířily urážlivý obsah.
• Diskriminace v HR – Náborové nástroje generovaly podjaté výsledky kvůli historickým předsudkům v datech.
• Havárie autonomních vozidel – Chyby v rozpoznávání obrazu měly nebezpečné důsledky na silnicích.

Evropská unie tak prostřednictvím AI Actu nastavuje pravidla, jejichž společným jmenovatelem je bezpečnost, transparentnost a férový přístup ke všem uživatelům.

3. Hlavní dopady na firmy: Co by měl management vědět

Vymezení AI systémů

Zásadním východiskem EU AI Actu je odlišení „běžného software“ a skutečného AI systému. V praxi je nutné si položit otázku, zda dané řešení pracuje autonomně a adaptivně – tedy učí se z dat a optimalizuje výsledky, nebo jen vykonává statické instrukce (if then else logika).

Splnění kritérií EU: Pokud váš model či nástroj vykazuje znaky strojového učení, spadá pod regulaci umělé inteligence. Patří sem nejen neuronové sítě či velké jazykové modely (LLM), ale i regresní modely, klasifikační algoritmy a další formy AI.

Rizikové kategorie AI

EU AI Act zavádí stupnici rizikovosti od zakázaných až po nízkorizikové systémy:

Zakázané praktiky

Zahrnují sociální scoring po vzoru Číny, manipulaci zranitelných skupin a další nástroje, jež vážně ohrožují lidská práva. Takové systémy musí být okamžitě staženy z provozu.

Vysoké riziko

Sem spadají především řešení, která přímo ovlivňují životy a příležitosti lidí – např. AI v HR (výběr kandidátů, propouštění), zdravotnictví (diagnostika, léčebná doporučení) či bankovnictví (schvalování úvěrů). U těchto systémů lze očekávat nejpřísnější požadavky na transparentnost, audit a lidský dohled.

Střední a nízké riziko

Například chatboti pro péči o zákazníky, doporučovací systémy pro e‑shopy nebo antispamové filtry. I tyto nástroje musí respektovat základní pravidla pro ochranu dat a transparentní komunikaci, ale compliance režim je mírnější než u vysokorizikových systémů.

Povinnosti a pokuty

Nedodržení pravidel AI Actu se může velmi prodražit. Sankce mohou dosahovat až 7 % z celosvětového obratu firmy, přičemž se počítá globální revenue celé korporace (nikoli jen pobočky v EU).

Z obchodního pohledu se proto vyplatí včasná příprava a zajištění souladu s požadavky regulace: správným nastavením procesů, včetně dokumentace a lidského dohledu, můžete předejít daleko větším ztrátám, které by hrozily při vyšetřování nebo sankcích.

4. Konkrétní příklady (use cases) a jejich klasifikace

EU AI Act zdůrazňuje, že AI technologie samy o sobě nejsou nebezpečné, pokud existuje odpovídající kontrola a AI se nedostane do příliš autonomní role. Roli hraje míra dopadu na lidská práva a životní příležitosti.

Chatbot pro nábor (HR)

Doporučovací asistent:

Pokud HR chatbot pouze nabízí kandidátům relevantní pracovní inzeráty na základě jejich preferencí, zůstává v nižším riziku. Zájemce se sám rozhoduje, kam se přihlásí, a umělá inteligence nerozhoduje o tom, kdo postoupí do další fáze výběru.

Rozhodovací nástroj:

Jestliže ale tentýž chatbot vyřazuje uchazeče na základě skóre nebo jiného algoritmu, může se zařadit mezi vysoce rizikové aplikace. Jde totiž o přímý vliv na zaměstnání, což patří k životně důležitým oblastem, kde EU vyžaduje lidský dohled a transparentní způsob hodnocení.

Fraud detection

Podpůrný model:

Ve finančnictví a pojišťovnictví se AI často využívá ke zrychlenému odhalování podvodů. Dokud algoritmus jen předává vytipované případy ke kontrole lidem, riziko zůstává nižší. Rozhodující slovo má nadále člověk, takže nedochází k automatickému zamítnutí pojistného plnění.

Plně autonomní systém:

Vyšší riziko nastává ve chvíli, kdy AI sama blokuje výplaty či transakce, aniž by se na proces díval lidský specialista. Tady se už řeší větší zásah do finančních práv klientů. Podle AI Actu je proto nutné zajistit jak dostatečnou vysvětlitelnost modelu, tak možnost odvolání k lidskému posouzení.

Credit scoring

Predikční algoritmus:

Řada bank využívá AI k posouzení žadatelů o úvěr, avšak finální rozhodnutí zůstává na bankéři či risk manažerovi. V takovém případě spadá systém obvykle do střední rizikové kategorie. Klient může v případě neúspěchu žádat zdůvodnění a řešit situaci s člověkem.

Automatické rozhodování:

Pokud už není lidský faktor součástí schvalovacího procesu a algoritmus sám stanoví, kdo úvěr získá a kdo ne, zařazuje se aplikace mezi vysoce rizikové. Zde AI Act vyžaduje schopnost doložit, že model neobsahuje diskriminační prvky a že banka dodržuje princip „lidského dohledu“.

5. Role v AI ekosystému: Provider vs. Zavádějící subjekt

AI Act podrobně definuje, kdo nese odpovědnost za vývoj a provoz umělých inteligencí. Důvod je prostý: algoritmus může mít zásadní dopad na uživatele, a proto je třeba jasně určit, kdo bude zodpovídat za případné chyby či nedostatky.

Poskytovatel (Provider)

Do této role spadá ten, kdo umělou inteligenci vyvine nebo ji výrazným způsobem upraví (např. přetrénuje či do ní zásadně zasáhne). Poskytovatelem může být externí firma specializovaná na vývoj AI, ale klidně také váš vlastní interní tým. Pokud z pohledu AI Actu vystupujete jako provider, připravte se na povinnost zajišťovat kompletní dokumentaci modelu (včetně trénovacích dat) a na nutnost průběžného auditu, který prokáže bezpečné a nediskriminační chování algoritmu.

Zavádějící subjekt (Developer)

Druhá hlavní role náleží organizaci, která AI systém reálně používá a nasazuje ve vlastních procesech. I když se zavádějící subjekt přímo nepodílel na samotném vývoji modelu, nese zodpovědnost za to, jak se AI chová v praxi – tedy zda plní právní i etické požadavky a zda dodržuje ochranu osobních údajů či transparentní komunikaci se zákazníky. V praxi to znamená, že v případě porušení může úřad stíhat nejen poskytovatele, ale i toho, kdo systém uvedl do provozu.

Společná odpovědnost a víceúrovňový přístup

Reálné nasazení AI často zahrnuje více stran než jen poskytovatele a zavádějícího subjektu. Typický příklad je spolupráce velkého vývojáře cloudových řešení, menšího integrátora a koncového provozovatele. Pokud jedna firma vyvine jádro AI modelu, druhá ho nasadí na vlastní cloudovou infrastrukturu a třetí jej nabídne svým klientům, sdílejí si řetězovitě odpovědnost. Každá z těchto rolí musí podle AI Actu plnit odlišné povinnosti, ale dohromady by měly zajistit komplexní kontrolu nad používáním umělé inteligence.

Praktický příklad

Podívejme se na nasazení pokročilého chatbotu v bance:

• Microsoft (poskytovatel) dodá large language model (LLM).
• Integrátor vyvine aplikaci, která model upraví pro firemní procesy a datové zdroje banky.
• Banka jako konečný uživatel (zavádějící subjekt) chatbot nasadí do svého systému zákaznické podpory.

Každá z těchto stran musí pokrýt jiné body compliance. Microsoft garantuje bezpečnost a robustnost své základní AI technologie, integrátor řeší technickou adaptaci a banka zodpovídá za to, že chatbot jedná s klienty v souladu s předpisy, nesbírá nepovolené údaje a nezkresluje obsah. Přestože AI Act poměrně přesně vymezuje hlavní role, až praxe ukáže, jak si firmy rozdělí jednotlivé povinnosti a případná rizika.

6. Jak se připravit: Governance a compliance v praxi

AI governance framework

Ve stále více firmách vzniká komplexní rámec pro řízení a kontrolu AI (AI governance). Ten zahrnuje:

• Interní směrnice pro tvorbu a nasazení AI,
• Metodiky pro validaci dat, risk management a lidský dohled,
• Zásady pro data governance a odstranění biasu.

Důležité je propojit tento rámec s IT politikami, etickými kodexy a smluvními checklisty, aby AI projekty od počátku reflektovaly legislativní požadavky.

Organizační a personální aspekty

Stejně jako při zavádění GDPR mohou firmy ustanovit AI board či jmenovat AI pověřence. Ten dohlíží na compliances AI Actem a řeší například:

• Zpracování osobních údajů v AI,
• Správu modelů, jejich aktualizaci a audit,
• Komunikaci s managementem a dalšími odděleními.

Proces výběru a nákupu AI řešení

Pokud nakupujete AI od externího vendora, vyplatí se:

• Připravit si checklist s klíčovými požadavky na bezpečnost a spolehlivost,
• Jednoznačně vymezit odpovědnost za případné incidenty,
• Vyžadovat doklad o kvalitě a nediskriminačním chování trénovacích dat.

Dokumentace a auditní stopa

U vysokorizikových AI systémů požaduje EU detailní evidenci (tréninková data, výsledky testů, lidský dozor, verze modelu). Tento auditní trail chrání firmu během kontrol ze strany úřadů a minimalizuje riziko reputačního poškození.

7. Harmonogram a následující kroky

Klíčové milníky

• Únor 2025: Odstranění všech zakázaných AI aplikací (manipulativní, diskriminační systémy).
• 2026–2027: Postupný start pravidel pro high risk AI (HR, zdravotnictví, bankovnictví).
• Kolem roku 2030: Dokončení harmonizace ve všech členských státech EU a plná účinnost AI Actu.

Co můžete udělat hned

Pokud nechcete čekat na konkrétní pokyny od lokálních úřadů či metodiky, je vhodné už nyní:

1. Zmapovat stávající AI systémy

Udělejte si jasnou inventuru všech algoritmů, které v organizaci používáte. U každého posuďte, zda jde pouze o podpůrný software, nebo skutečně autonomní a adaptivní AI. Následně je zařaďte do příslušné rizikové kategorie.

2. Připravit interní směrnice a vzdělávání týmů

Zvažte, zda již máte dostatečný „AI governance framework“, který by řešil tvorbu a nasazování AI. Zapojte do příprav technické oddělení, právníky, HR i manažerské pozice a nepodceňujte potřebu školení – ať lidé vědí, proč se tato pravidla zavádějí.

3. Spustit dokumentační proces

I když vaše systémy ještě nespadají do vysokého rizika, vyplatí se začít vést ucelenou evidenci jejich vývoje a používání. V případě auditu nebo dotazů od regulátora budete schopni přesně doložit, jak AI funguje a které procesy ovlivňuje.

4. Konzultovat s právními experty a IT dodavateli

Diskutujte se specialisty, zda je vaše infrastruktura (cloud, datové toky, zabezpečení) připravena na nové požadavky. Totéž platí pro smluvní vztahy s dodavateli, zejména pokud využíváte externě vyvíjené AI modely. Může se ukázat, že některé smlouvy bude nutné upravit, aby splňovaly pravidla AI Actu.

Pokud ve firmě už nasazujete AI systémy hraničící s high risk scénáři, neodkládejte přípravu. Každý měsíc vám pomůže vyřešit slabá místa a vyhnout se překotným změnám, až nařízení vstoupí v účinnost.

8. Jak proměnit regulaci ve strategickou výhodu

Když se řekne „regulace“, většina firem si představí dodatečné náklady a omezení v inovacích. U AI Actu však platí, že splněním nových pravidel můžete nejen předejít sankcím, ale také posílit konkurenční postavení na trhu. Pokud dokážete prezentovat svou umělou inteligenci jako bezpečnou, transparentní a spravedlivou, posílíte důvěru partnerů, zákazníků a veřejných institucí.

1. Důvěra a reputace

Transparentní a etické používání AI posiluje dobré jméno značky. Zákazníci i obchodní partneři stále více preferují společensky odpovědné organizace, které dbají na férové a bezpečné inovace.

2. Risk management

Dodržení AI Actu snižuje riziko sankcí i reputačních ztrát. Funkční systém compliance vám umožní včas reagovat na požadavky úřadů nebo kontroly a předejít krizovým scénářům.

3. Nové příležitosti pro byznys

Firmy, které aktivně budují AI ready infrastrukturu a dokážou doložit bezpečnost a férovost svých AI modelů, mohou lépe navazovat mezinárodní spolupráce, oslovit korporátní klienty či získat investory, kteří vyžadují určitou právní jistotu.

Začněte dříve než později

Abyste měli situaci pevně v rukou, je vhodné sestavit interní tým (IT, právní, HR, compliance), který vyhodnotí stávající stav a připraví postup pro plnění požadavků EU AI Actu.

Začněte s inventurou a vzděláváním hned – každá prodleva vás může později stát nejen čas a peníze, ale i pověst na trhu.