AI Act od srpna 2026: co musí česká firma s chatbotem a AI obsahem reálně udělat

Od 2. srpna 2026 platí transparentnostní povinnosti AI Actu - a pro většinu českých firem se scvrknou do dvou vět: chatbot musí přiznat, že je stroj, a uměle vytvořený obsah se musí označit. Vysoce rizikové povinnosti, kvůli kterým je nejvíc strachu, se naopak posouvají na konec roku 2027 (a zatím ani nejsou formálně přijaté). Tohle není právní rozbor - je to provozní návod: co reálně udělat, bod po bodu, a hlavně jak to technicky zadrátovat, aby vám compliance vypadla jako vedlejší produkt slušně postavené AI.

Ptají se mě na to klienti - advokátní a účetní kanceláře, e-shopy, výrobní firmy: „Musíme od srpna něco označovat? A co když máme na webu chatbota?" Tady je odpověď bez paniky a bez právničiny.

Co se 2. srpna 2026 reálně mění - a co ne Link to heading

Mění se transparentnost. Vysoké riziko ne - to se odkládá. AI Act nabíhá po vlnách a je snadné si je splést. Tady je časová osa tak, jak na vás reálně dopadá:

Panika posledních měsíců je o vysokém riziku - to je ta těžká váha: řízení rizik, technická dokumentace, posuzování shody, lidský dohled. A přesně ta se posouvá. V rámci tzv. Digital Omnibusu Evropský parlament odklad schválil 16. 6. 2026; Rada EU o něm má hlasovat 29. června 2026 a publikace v Úředním věstníku se očekává v červenci. Dokud to nevyjde, technicky platí původní termíny - ale směr je jasný: vysoké riziko není váš problém na příští rok.

Co váš problém je: transparentnost od srpna a gramotnost, která platí už od loňského února. A většina firem nespadá do vysokého rizika tak jako tak - běžný chatbot, RAG nad firemními daty nebo vytěžování faktur je limited nebo minimal risk.

Týká se to vůbec vaší firmy? Poskytovatel vs. nasazovatel Link to heading

Skoro jistě ano - ale jako nasazovatel, ne jako tvůrce AI. AI Act rozděluje role. Poskytovatel (provider) AI vyvíjí nebo uvádí na trh - OpenAI, Google, Anthropic. Nasazovatel (deployer) ji používá ve svém podnikání. Sem spadá drtivá většina českých firem.

Čl. 50 řeší čtyři situace; pro běžnou firmu jsou podstatné tyhle:

A teď postřeh, který v právních přehledech většinou chybí: těžké není označování, ale rozdělení rolí. Když vám marketing dělá externí agentura a ta generuje obsah AI, kdo nese povinnost ho označit - vy, nebo ona? To je otázka do smlouvy, ne do nástroje. Tady reálná compliance práce začíná.

Co udělat - bod po bodu Link to heading

Šest kroků, žádný z nich není raketová věda:

• 1. Inventura AI. Sepište do tabulky, kde všude firma AI používá (od Canvy a ChatGPT po účetní software), k čemu, s jakými daty a kdo je dodavatel. U každého řádku určete svou roli: nasazovatel, nebo poskytovatel?
• 2. Označte chatboty. Kdekoli AI komunikuje s lidmi, jasně a při první interakci sdělte „Komunikujete s AI asistentem". Viditelně, ne schované v podmínkách.
• 3. Označte syntetický obsah. AI-generované obrázky, video, zvuk nebo text, který se tváří autenticky, označte jako uměle vytvořený; u deepfaků výslovně.
• 4. Znejte výjimku pro redakčně zkontrolovaný text. Pokud člověk text před publikací věcně zkontroluje a vezme za něj redakční odpovědnost, označení „vygenerováno AI" není povinné. Musí jít o substantivní kontrolu (ne spell-check, ne formální klik) a jasně identifikovatelnou osobu s pravomocí text upravit nebo zamítnout. Vaše blogy a newslettery se tím nemusí proměnit v přehlídku varování jako krabička od cigaret.
• 5. Smluvně rozdělte role. Ve smlouvách s AI dodavateli a agenturami určete, kdo nese kterou povinnost. Smlouvy podepsané před 2. 8. 2026 by to měly říkat.
• 6. Zajistěte AI gramotnost (čl. 4). Platí od února 2025 a většina firem ji ignoruje. Lidé pracující s AI musí vědět, co dělají - kde hrozí únik dat, co je halucinace, kdy je nutný lidský dohled.

Disclosure podle možnosti napojte na existující GDPR oznámení, místo abyste vytvářeli samostatné AI cedule. O technickém provedení dál.

Jak to zadrátovat - co právní přehledy přeskakují Link to heading

Disclosure je UX, značení je provenance, a důkaz, že to děláte, je audit log. Tady je provozní podstata, kterou přehledy obvykle nedají:

Disclosure chatbota není odškrtnutí v podmínkách. Je to viditelný, trvalý indikátor na začátku konverzace („Jsem AI asistent, ne člověk"), čitelný i pro odečítače obrazovky. Technicky banner nebo úvodní zpráva ve widgetu - triviální, ale musí být při první interakci a jasná.

Strojové značení obsahu (50(2)) je povinnost poskytovatele AI, ne vaše. Výstupy musí být strojově čitelně detekovatelné jako AI. Vznikajícím standardem jsou C2PA Content Credentials - kryptograficky podepsaný manifest vložený do souboru, který říká, co obsah vygenerovalo, kdy a kdo to podepsal. Code of Practice (finální verze vyšla 10. června 2026) počítá s vícevrstvým značením: podepsaná metadata (C2PA) + neviditelný watermark + volitelně fingerprint/logging - žádná jedna metoda sama nestačí. Pro vás jako nasazovatele to znamená dvě věci: vyžadujte značení smluvně od dodavatele a nestrhávejte ho ve své pipeline (např. při exportu nebo úpravě).

Audit log = důkaz compliance. Tady je operátorský bod, který právní texty míjejí: až se zeptá úřad - nebo klient při due diligence - „doložte, že AI přiznáváte a data směrujete správně", odpověď je log. Každé volání AI: co šlo kam, jaká třída dat, bylo to označené/přiznané, kdo za to odpovídá. Ten log není byrokracie - je to artefakt, který z „my to plníme" dělá „tady je důkaz".

Když to složím dohromady, padá tohle všechno z jedné věci, kterou stejně potřebujete z jiných důvodů: řízené AI - brána, která směruje požadavky podle citlivosti dat (lokální model / evropský / frontier), maže PII před cloudovým voláním a všechno loguje. Jakmile tahle vrstva existuje, čl. 50 (značení, disclosure) i GDPR (kde data jsou, kam tečou) z ní vypadnou jako vedlejší produkt - ne jako dva oddělené compliance projekty. Ne proto, že to vyžaduje AI Act, ale proto, že je to poctivá architektura. Regulace je jen další důvod, proč ji postavit pořádně.

Mimochodem, AI Act GDPR nenahrazuje - doplňuje ho. Zpracováváte-li osobní data, plníte obě regulace; splnění jedné nevyřeší druhou.

Kdo to v Česku reálně vymáhá - a proč na to nečekat Link to heading

Povinnost platí přímo z EU práva už teď. České zuby na vymáhání ale ještě nejsou nasazené - a přesto nečekejte.

AI Act je přímo použitelné nařízení, stejně jako GDPR - povinnosti platí bez ohledu na český zákon. Český adaptační zákon („zákon o umělé inteligenci" z dílny MPO) jen nastavuje institucionální a sankční mechanismy. Podle návrhu (zatím neúčinného) bude hlavním dozorovým orgánem a jednotným kontaktním místem ČTÚ, s doplňkovými rolemi ČNB (finance), ÚOOÚ (osobní údaje a biometrie) a ÚNMZ (oznamující orgán); gestorem je MPO. Přístup je minimalistický - žádný gold-plating navíc.

Háček: dokud adaptační zákon neprojde (v červnu 2026 stále pouze návrh, po podzimních volbách 2025 zpomalený), nemají české úřady plně nastavené sankční mechanismy - fakticky tedy zatím nemá kdo pokutu vyměřit, i když povinnost existuje.

Proč na to přesto nečekat:

• Povinnost plyne z evropského práva už teď, ne až z českého zákona.
• Zákon může projít kdykoli (očekává se v průběhu 2026) - a s ním zpětná expozice.
• A hlavně: vaši B2B klienti a partneři to budou chtít dřív než regulátor. Pro advokátní nebo účetní kancelář se „přiznáváte AI a označujete obsah?" stává otázkou due diligence od jejich klientů.

Pro úplnost čísla: porušení čl. 50 spadá do tieru „ostatní povinnosti" - pokuta až 15 milionů € nebo 3 % celosvětového ročního obratu (vyšší z toho). Pro střední českou firmu s obratem kolem 200 mil. Kč to reálně znamená řádově desítky milionů korun. Vymahatelné, jakmile bude adaptační zákon v účinnosti.

Časté otázky Link to heading

Musím označovat AI texty na blogu nebo v newsletteru? Ne nutně. Pokud text před publikací věcně zkontroluje člověk a vezme za něj redakční odpovědnost, označení není povinné - musí ale jít o substantivní kontrolu, ne spell-check, a jasně identifikovatelnou osobu s pravomocí text upravit nebo zamítnout. Plně automatický text o věcech veřejného zájmu, který redakcí neprošel, se značí.

Stačí napsat do obchodních podmínek, že používáme AI? Ne. Disclosure musí být jasná a při první interakci - u chatbota přímo v chatu, ne schovaná v podmínkách.

Jsme vysoce riziková AI? Skoro jistě ne. Běžný chatbot, RAG nebo vytěžování faktur = limited/minimal risk, jen transparentnost. Vysoké riziko je až rozhodování o přístupu k zásadním službám (úvěry, pojištění, nábor, biometrika).

Jak to souvisí s GDPR? AI Act GDPR doplňuje, nenahrazuje. Zpracováváte-li osobní data, plníte obě. Pro firmu s GDPR programem je to zhruba o 30–50 % víc compliance kapacity, ne nový svět od nuly.

Odkdy to v Česku reálně hrozí pokutou? Povinnost platí od 2. 8. 2026 z EU práva. Reálné pokutování čeká na český adaptační zákon (zatím návrh). Nečekejte - povinnost existuje a klienti se budou ptát dřív než úřad.

Toto je provozní a technický pohled, ne právní poradenství. Pro konkrétní situaci doporučuji konzultaci s advokátem specializovaným na regulaci AI. Stav regulace odpovídá červnu 2026; Digital Omnibus (odklad vysokorizikových pravidel) i český adaptační zákon se ještě mohou změnit - u rozhodování si datum ověřte.

Autor: František Břicháček - 30 let v IT a bezpečnosti, 3× dodané prostředí ISO 27001. V Alpha Solutions nasazuju a provozuju suverénní a hybridní AI pro české a evropské firmy na infrastruktuře, kterou vlastní ony - včetně governance vrstvy, ze které compliance jako čl. 50 nebo GDPR vypadne jako vedlejší produkt. Co doporučuju, sám provozuju.