EU AI Act8 min24. května 2026

EU AI Act pro MSP: co reálně musíte řešit v roce 2026

„My AI nevyvíjíme, takže nás AI Act netýká." Tato věta je jedním z nejnebezpečnějších omylů v EU compliance prostoru roku 2026.

Autor: Splnit.eu, Redakce Splnit.eu

Co je EU AI Act a kdy se plně aplikuje

EU AI Act (Nařízení EU č. 2024/1689) vstoupil v platnost v srpnu 2024. Povinnosti se zavádějí postupně:

**Pro MSP je klíčový srpen 2026** — od tohoto data musíte plně plnit povinnosti pro systémy vysokého rizika, které ve firmě nasazujete.

Termín	Co vstupuje v platnost

Riziková klasifikace: klíč k pochopení povinností

EU AI Act třídí AI systémy do kategorií podle míry rizika. Vaše povinnosti závisí primárně na tom, do jaké kategorie váš AI systém spadá.

Nepřijatelné riziko — zakázáno

Tyto systémy je zakázáno vyvíjet, prodávat i používat:

**Pro MSP prakticky irelevantní** — pokud nepracujete pro bezpečnostní složky nebo státní aparát.

Sociální skórování státem (hodnocení občanů na základě jejich chování)
Manipulativní AI, která využívá psychologické slabosti nebo podprahové techniky
Biometrická identifikace osob v reálném čase na veřejných místech (až na výjimky pro bezpečnostní složky)
AI systémy predikující kriminální chování na základě osobnostních rysů
Neoprávněné skenování obličeje a vytváření databází

Vysoké riziko — nejpřísnější povinnosti

Toto je kategorie, kde většina MSP podceňuje svou expozici.

**Systém vysokého rizika je každý AI systém, který:**

**Kdy se to týká MSP v praxi:**

**Klíčový test:** Má AI systém přímý nebo nepřímý vliv na rozhodnutí, která ovlivňují lidská práva, přístup k příležitostem nebo fyzickou bezpečnost lidí?

1. Je součástí produktu regulovaného specifickými EU direktivami (zdravotnické prostředky, hračky, automobily, letectví), NEBO
2. Spadá do jedné z oblastí Přílohy III AI Actu:
Biometrická identifikace a kategorizace
Kritická infrastruktura (energetika, voda, doprava)
**Vzdělávání a odborné vzdělávání** (hodnocení studentů, přijímací procesy)
**Zaměstnání a řízení pracovníků** — sem spadá velká část HR nástrojů

Omezené riziko — transparentnost

Tyto systémy nemají přísné povinnosti, ale musejí být transparentní:

**Praktický dopad pro MSP:** Pokud váš produkt nebo zákaznická podpora využívá AI chatbota — musíte uživatele informovat, že mluví s AI. To platí od již od srpna 2026.

**Chatboti** musejí být označeni jako AI — uživatel musí vědět, že komunikuje s automatizovaným systémem, ne člověkem.
**Syntetická média** (deepfake, AI generovaný obraz/video/audio) musejí být označena jako uměle vytvořená.
**AI generovaný text** vydávaný za zprávy nebo jiný autorský obsah musí být označen.

Minimální riziko — bez specifických povinností

Naprostá většina AI nástrojů v podnikání spadá sem:

Pro tyto systémy AI Act nevyžaduje žádné specifické povinnosti — ale dobrá praxe zahrnuje základní dokumentaci o tom, jaké AI nástroje používáte a proč.

Spam filtry, antivir s ML prvky
AI doporučovací systémy (Netflix typ)
Prediktivní analytika pro interní rozhodování
AI nástroje produktivity (přepis, shrnutí, asistence při psaní)
Většina AI vývojářských nástrojů

Co musí nasazovatel se systémem vysokého rizika konkrétně dělat

1. Inventura a riziková klasifikace — první a nejdůležitější krok

Než plníte jakékoli povinnosti, musíte vědět, jaké AI systémy používáte. Projděte:

Pro každý systém určete: jde o systém vysokého rizika? Kdo je jeho poskytovatel? Jakou má dokumentaci?

Všechny SaaS nástroje a jejich AI funkce (zkontrolujte conditions of service)
HR systémy — zejména jakékoli automatizované hodnocení nebo filtrování
CRM s AI skórováním zákazníků
Bezpečnostní nástroje s AI detekcí

2. Zajistit technickou dokumentaci od providera

Než nasadíte systém vysokého rizika, musíte mít k dispozici technickou dokumentaci, která vám umožní posoudit, zda systém funguje tak, jak má. Vyžádejte si od poskytovatele:

Pokud vám to provider odmítne poskytnout — je to varovný signál.

Popis funkcionality a limitací systému
Informace o tréninkových datech (bylo použití dat zákonné?)
Výsledky testování a hodnocení přesnosti
Informace o tom, jak systém funguje při hraniční nebo neobvyklé vstupu (edge cases)

3. Zajistit lidský dohled (human oversight)

Pro systémy vysokého rizika musí existovat mechanismus, který umožňuje lidské přezkoumání a přepsání AI rozhodnutí.

**Co to konkrétně znamená:**

V praxi: pokud AI HR systém označí uchazeče jako nevhodného, musí existovat člověk, který toto rozhodnutí může přezkoumat a případně zvrátit. AI nesmí být jediným a konečným rozhodovacím prvkem v záležitostech, které mají právní nebo jiný závažný dopad na fyzické osoby.

**Jak to dokumentovat:** Zdokumentujte proces — kdo rozhodnutí AI přezkoumává, v jakých situacích, jak se přezkum zaznamenává.

4. Transparentnost vůči dotčeným osobám

Pokud AI systém vysokého rizika používáte v oblastech, kde zasahuje do práv nebo příležitostí fyzických osob (HR, úvěrování, vzdělávání), musíte tyto osoby informovat, že jsou předmětem automatizovaného zpracování.

**Příklad:** Zaměstnanci musejí být informováni, pokud HR systém používá AI ke sledování výkonu nebo hodnocení — a to způsobem, který je srozumitelný, ne jen skrytý v pracovní smlouvě.

5. Vedení záznamů o používání

Nasazovatelé systémů vysokého rizika musejí uchovávat záznamy o automaticky generovaných lozích na dobu odpovídající systému a použití — minimálně po dobu stanovenou provozovatelem nebo sektorovou legislativou.

**Prakticky:** Ujistěte se, že váš AI systém loguje svá rozhodnutí a že tyto logy uchováváte. Pro HR systémy to znamená uchovávat záznamy o AI hodnoceních po dobu stanovenou zákoníkem práce.

6. Posouzení dopadů na základní práva (FRIA)

Toto je povinné pro specifické kategorie nasazovatelů — zejména veřejné orgány a soukromé subjekty poskytující veřejné služby, pokud nasazují systémy vysokého rizika v oblastech uvedených v příloze III.

Pro typické MSP jde o okrajový požadavek, ale pokud vaše firma poskytuje platformy pro vzdělávání, HR procesy nebo hodnocení zákazníků ve větším měřítku — konzultujte s právníkem, zda FRIA potřebujete.

EU AI Act pro MSP: co reálně musíte řešit v roce 2026

Co je EU AI Act a kdy se plně aplikuje

Dvě základní role: poskytovatel vs. nasazovatel

Poskytovatel (provider)

Nasazovatel (deployer)

Riziková klasifikace: klíč k pochopení povinností

Nepřijatelné riziko — zakázáno

Vysoké riziko — nejpřísnější povinnosti

Omezené riziko — transparentnost

Minimální riziko — bez specifických povinností

Co musí nasazovatel se systémem vysokého rizika konkrétně dělat

1. Inventura a riziková klasifikace — první a nejdůležitější krok

2. Zajistit technickou dokumentaci od providera

3. Zajistit lidský dohled (human oversight)

4. Transparentnost vůči dotčeným osobám

5. Vedení záznamů o používání

6. Posouzení dopadů na základní práva (FRIA)

Praktický checklist: kde začít

Krok 1: Inventura AI nástrojů

Krok 2: Riziková klasifikace

Krok 3–6: Pro systémy vysokého rizika

Krok 7: Transparentnost

Nejčastější omyly MSP v kontextu AI Actu

TL;DR

Splňte požadavky bez zbytečné byrokracie