AI Act po Digital Omnibusu: co se odložilo a co platí už teď

Co se v létě 2026 skutečně stalo

Komise návrh „AI Omnibusu“ předložila 19. listopadu 2025, předběžná politická shoda přišla 6. května 2026 a nařízení vstoupilo v platnost 27. července 2026. Přijato bylo 8. července, v Úředním věstníku vyšlo 24. července, tedy devět dní před původním termínem 2. srpna 2026, ke kterému se firmy měsíce připravovaly.

Podstatné je, že původně navrhovaný „plovoucí“ odklad navázaný na dostupnost norem nahradila pevná data. Recitál 40 nařízení to říká přímo: oddíly 1, 2 a 3 kapitoly III se použijí od 2. prosince 2027 pro systémy podle čl. 6 odst. 2 a přílohy III a od 2. srpna 2028 pro systémy podle čl. 6 odst. 1 a přílohy I.

Omnibus není jen odklad. Mění i čl. 4 o AI gramotnosti, přidává nové zakázané praktiky, zavádí úlevy pro menší podniky a posiluje pravomoci evropského Úřadu pro AI. A hlavně: řadu věcí nechává být.

Časová osa po Omnibusu

Data vycházejí z přehledu Komise (aktualizace 3. srpna 2026) a z rozborů Freshfields a Gibson Dunn.

Co se odložilo

Odklad se týká kapitoly III, oddílů 1 až 3. To jsou požadavky na vysoce rizikové systémy (řízení rizik, správa dat, technická dokumentace, logování, lidský dohled, přesnost a kybernetická bezpečnost) a povinnosti poskytovatelů i zavádějících subjektů včetně čl. 26.

Pro firmu, která AI nasazuje, se tím odsouvají hlavně povinnosti z čl. 26: používat systém podle návodu, přidělit lidský dohled kompetentním osobám, monitorovat provoz, uchovávat automaticky generované logy, informovat zaměstnance a jejich zástupce před nasazením na pracovišti a informovat osoby, o kterých systém rozhoduje nebo s rozhodováním pomáhá.

Kde na vysoce rizikové použití ve firmě nejčastěji narazíte? Komise mezi oblastmi přílohy III uvádí biometriku, kritickou infrastrukturu, vzdělávání a zaměstnanost. V praxi jde typicky o nástroje pro třídění uchazečů nebo hodnocení zaměstnanců, ne o interního asistenta nad dokumentací.

Co platí už teď

Zakázané praktiky (čl. 5)

Použijí se od 2. února 2025 a Omnibus je rozšiřuje. Od 2. prosince 2026 přibude zákaz systémů generujících intimní materiál identifikovatelných osob bez souhlasu a materiál zobrazující sexuální zneužívání dětí. Sankce za porušení čl. 5 jsou podle čl. 99 nejvyšší: až 35 mil. EUR nebo 7 % celosvětového ročního obratu.

AI gramotnost (čl. 4): mírnější, ale nezrušená

Původní znění ukládalo „zajistit“ dostatečnou úroveň AI gramotnosti. Nové znění požaduje přijmout opatření na podporu rozvoje AI gramotnosti zaměstnanců a dalších osob, které systémy obsluhují. Podle rozboru textu z Úředního věstníku nařízení výslovně dodává, že povinnost nevyžaduje garantovat konkrétní úroveň gramotnosti.

Prakticky: povinnost má nadále každý poskytovatel i zavádějící subjekt, jen se posunula od výsledku k prokazatelné snaze. Školení, interní pravidla a záznam o nich mají smysl dál, už kvůli tomu, že totéž očekává bezpečnostní i personální praxe.

GPAI modely

Povinnosti poskytovatelů obecných modelů platí od 2. srpna 2025 a Omnibus se jich nedotkl. Od 2. srpna 2026 má Komise podle Mayer Brown k dispozici vymáhací pravomoci včetně pokut. Firmy, které model jen volají přes API, tyto povinnosti nenesou; týkají se výrobců modelů.

Transparentnost (čl. 50)

Tohle je část, která se většiny IT týmů týká nejvíc. Článek 50 rozděluje povinnosti takto:

• Odst. 1, poskytovatel: systém určený k přímé interakci s lidmi musí být navržen tak, aby člověk věděl, že komunikuje s AI (pokud to není z kontextu zřejmé).
• Odst. 2, poskytovatel: výstupy generativních systémů (zvuk, obraz, video, text) musí být označeny ve strojově čitelném formátu. Jen zde platí přechodné období do 2. prosince 2026, a to pro systémy uvedené na trh před 2. srpnem 2026.
• Odst. 3, zavádějící subjekt: při rozpoznávání emocí nebo biometrické kategorizaci informovat dotčené osoby.
• Odst. 4, zavádějící subjekt: označit deepfake a v určitých případech i AI generovaný text zveřejněný k informování veřejnosti o věcech veřejného zájmu.

Informace musí být podle odst. 5 jasná, rozlišitelná a poskytnutá nejpozději při první interakci. Pokyny Komise z 20. července 2026 upřesňují, že obecná zmínka v obchodních podmínkách nebo v patičce zpravidla nestačí. Komise k tomu 10. června 2026 vydala i dobrovolný kodex pro značení AI obsahu. Za porušení čl. 50 hrozí podle Stibbe pokuta až 15 mil. EUR nebo 3 % obratu.

Deployer, nebo poskytovatel? Hranice vede přes váš kód

Rozdíl mezi „zavádějícím subjektem“ (deployer) a „poskytovatelem“ (provider) rozhoduje o rozsahu povinností. A neurčuje ho to, zda trénujete vlastní model.

Druhý řádek je nejčastější slepé místo. Stibbe mezi příklady systémů spadajících pod čl. 50 odst. 1 uvádí chatboty, hlasové asistenty i coding agenty. Tým, který poskládá vlastního agenta z modelu, promptů a nástrojů a pustí ho k zákazníkům, se vůči tomuto systému ocitá v roli poskytovatele, i když model sám vyrobil někdo jiný. U čistě interních nástrojů je výklad méně jednoznačný a vyplatí se ho ověřit s právníkem.

Český kontext: dozor bez zákona

AI Act je přímo použitelné nařízení, takže povinnosti platí bez ohledu na českou legislativu. Adaptační zákon má hlavně určit úřady, postupy a sankční řízení. A ten k říjnu 2026 přijat není: Legislativní rada vlády 6. srpna 2026 projednávání návrhu přerušila. Do Sněmovny tedy návrh podle dostupných zdrojů zatím nedorazil.

Rozdělení rolí je přesto známé ze zveřejněné implementační koncepce a z návrhu zákona. Podle přehledu Vlivoskop (stav k 10. srpnu 2026) má být hlavním orgánem dozoru nad trhem ČTÚ, pro finanční sektor ČNB, pro oblast osobních údajů ÚOOÚ, národním gestorem implementace je MPO a oznamující funkce má plnit ÚNMZ.

ČTÚ s dozorem počítá už teď: v tiskové zprávě z 31. července 2026 upozornil na pravidla transparentnosti podle čl. 50 a vyzval firmy, aby si povinnosti včas posoudily. Jak rychle a jak důrazně bude dozor bez adaptačního zákona fungovat, je otevřená otázka. Spoléhat na to, že nebude, je ale špatný plán: povinnost existuje a u části systémů ji vymáhá přímo evropský Úřad pro AI.

Co udělat teď: inventura místo právní analýzy

Většina práce, kterou AI Act od IT vyžaduje, je technická evidence. Bez seznamu AI systémů nejde určit role, rizikovou třídu ani to, kde chybí označení. Stačí jednoduchý registr ve verzovaném repozitáři:

# ai-inventory/zakaznicky-chatbot.yaml
name: zakaznicky-chatbot
owner: tym-digital
model: externí GPAI model přes API (dodavatel, region EU)
role: provider            # vlastní systém pod vlastním jménem
users: veřejnost
purpose: odpovědi na dotazy k objednávkám
risk_class: transparency  # prohibited | high | transparency | minimal
art50:
  ai_disclosure: "úvodní zpráva + trvalý štítek v UI"
  output_marking: n/a
personal_data: true
logging: "prompt, odpověď, verze modelu; retence 180 dní"
human_escalation: true
last_review: 2026-10-01

Hodnoty jsou ilustrační. Důležité je, aby záznam vznikal ve stejném procesu jako nasazení, ideálně jako povinná součást pull requestu, který AI funkci zavádí. Pokud nasazování řízené není, je to první věc k řešení; souvislosti rozebírá článek o infrastrukturním chaosu před nasazením AI.

Poslední bod má i čistě provozní důvod. Logy, které budete podle čl. 26 uchovávat, se nedají doplnit zpětně, a jejich návrh se kryje s tím, co už řeší bezpečnostní monitoring a logování.

Kdy toho stačí méně a kde je výklad nejistý

Ne každá firma potřebuje compliance program. Pokud používáte jen hotové nástroje pro interní produktivitu, neprovozujete nic veřejně a nic z přílohy III se vás netýká, zbývá vám z dnešních povinností v zásadě čl. 4 a kontrola čl. 5. Inventura na jednu stránku je v takovém případě přiměřená odpověď.

Naopak argument „počkáme do prosince 2027“ má tři slabiny. Zaprvé, transparentnost a zákazy se neodkládaly. Zadruhé, systémy nasazované dnes budou v roce 2027 v provozu a předělávat logování a dohled dodatečně je dražší. Zatřetí, klasifikace sama je nejistá: pokyny Komise k vysoce rizikové klasifikaci podle čl. 6 byly 19. května 2026 zveřejněny teprve jako návrh.

Nejisté zůstává i několik dalších věcí: jak bude vypadat český sankční režim, jak dozorové orgány vyloží roli poskytovatele u interních agentů a jak se v praxi uplatní přechodná ustanovení pro systémy uvedené na trh před novými lhůtami. Tento text není právní poradenství; u hraničních případů je namístě posouzení konkrétního systému.

Klíčové poznatky

• Odklad je pevný, ne podmíněný. Vysoce rizikové systémy podle přílohy III od 2. 12. 2027, podle přílohy I od 2. 8. 2028.
• Čl. 50 se neodložil. Informování o interakci s AI a označování deepfake se použije od 2. 8. 2026; jen strojově čitelné značení u starších systémů má čas do 2. 12. 2026.
• AI gramotnost změkla, nezmizela. Místo „zajistit“ je povinnost „přijmout opatření na podporu“. Stále ji musíte umět doložit.
• Roli určuje, co jste postavili. Vlastní chatbot nad cizím modelem z vás dělá poskytovatele AI systému se všemi povinnostmi z čl. 50 odst. 1.
• Český adaptační zákon chybí. Nařízení přesto platí přímo a ČTÚ na povinnosti z čl. 50 už veřejně upozornil.
• První krok je inventura. Registr AI systémů navázaný na deployment proces pokryje většinu toho, co bude potřeba teď i v roce 2027.