Jen několik dní předtím ale Evropská unie změnila harmonogram další části regulace. Digital Omnibus on AI, publikovaný 24. července 2026, posunul klíčové povinnosti pro samostatné vysoce rizikové AI systémy uvedené v příloze III až na 2. prosince 2027. U vysoce rizikových systémů zabudovaných do regulovaných produktů se počítá s termínem 2. srpna 2028.
Výsledkem je podle technologické společnosti Apertia značný zmatek. Část firem má pocit, že se AI Act odložil. Jiní naopak očekávají, že od srpna musí označovat prakticky všechno, co vzniklo s pomocí umělé inteligence.
„Největší omyl, který teď ve firmách vidíme, je věta: AI Act se odložil. Neodložil. Odložila se část povinností týkajících se vysoce rizikových systémů. Řada dalších pravidel už platí a firmy by měly především vědět, jakou AI vlastně používají, kde ji používají a zda se jich konkrétní povinnost týká,“ říká David Strejc ze společnosti Apertia.ai.
Chatbot už nemá předstírat, že je člověk
Jednou z nejviditelnějších změn jsou pravidla transparentnosti podle článku 50 AI Actu, která se uplatňují od letošního 2. srpna. Interaktivní AI systémy mají uživatele informovat, že komunikují s umělou inteligencí, pokud to není z okolností zřejmé. Pravidla se vztahují také na deepfakes, systémy rozpoznávání emocí či biometrické kategorizace a na některé druhy AI generovaného nebo upraveného obsahu. Pro firmy to může v praxi znamenat úpravu zákaznických chatbotů, hlasových operátorů, automatizované komunikace nebo procesů, při kterých pomocí AI vzniká obsah určený veřejnosti.
„Doteď se firmy u chatbotů soustředily hlavně na to, aby působili co nejvíc lidsky. Regulace přináší trochu opačný požadavek: uživatel má vědět, že na druhé straně není člověk. Technologicky je to většinou jednoduchá úprava. Složitější je vůbec zjistit, na kolika místech už dnes firma AI používá,“ upozorňuje Strejc.
Právě to může být podle něj největší problém především u středních a velkých společností. Generativní AI se během posledních let dostala do marketingu, zákaznické podpory, HR, obchodu, analytiky i interních systémů. V řadě případů přitom jednotlivé nástroje začaly používat samostatně konkrétní týmy nebo zaměstnanci a firma nemá jejich centrální evidenci.
Ne vše vytvořené s AI musí dostat nálepku
AI Act současně neznamená, že musí firmy ke každému textu, e-mailu nebo obrázku, na jehož vzniku se nějakým způsobem podílela umělá inteligence, automaticky přidat viditelné upozornění.
Pravidla rozlišují různé situace. Poskytovatelé generativních systémů například řeší strojově čitelné označení syntetického obsahu, zatímco u deepfaků nebo některých textů týkajících se věcí veřejného zájmu vznikají povinnosti také jejich uživatelům. U textu veřejného zájmu existuje mimo jiné výjimka v případech, kdy obsah prošel lidskou kontrolou nebo redakčním procesem a za jeho zveřejnění nese odpovědnost konkrétní osoba či subjekt.
„AI Act podle mě nemá vést k tomu, že budeme internet zaplavovat větou ‚tento text vytvořila AI‘ pokaždé, když někdo použil ChatGPT ke korektuře. Smyslem je transparentnost tam, kde by člověk mohl být uveden v omyl – například když nepozná, že komunikuje se strojem, nebo když AI vytvoří obsah, který se tváří jako autentická fotografie, hlas nebo video,“ vysvětluje David Strejc.
High-risk AI dostala více času, firmy by ho neměly promarnit
Nejvýraznější změnou červencového Digital Omnibusu je odklad hlavních povinností pro vysoce rizikové systémy. U systémů spadajících pod přílohu III – například některých aplikací AI využívaných v zaměstnávání, vzdělávání, kritické infrastruktuře nebo dalších citlivých oblastech – se klíčové povinnosti posunuly na 2. prosince 2027. U systémů AI, které jsou bezpečnostní součástí regulovaných produktů podle přílohy I, jde o 2. srpen 2028.
Přečtěte si také:
Jak připravit organizaci na požadavky CRA? Začněte u přehledu kybernetických rizik
Právě tento odklad může být podle odborníků pro firmy nebezpečný, pokud jej pochopí jako důvod problém vůbec neřešit. Prosinec 2027 sice zní jako strašně vzdálená budoucnost, pokud ale firma zjistí až na podzim 2027, že má zásadní AI systém v high-risk kategorii, začíná pozdě. Ten čas navíc by měla využil k inventuře AI, dokumentaci a nastavení odpovědnosti, ne k tomu, že téma na rok odloží.
Firmy potřebují především inventuru AI
Prvním krokem podle Apertie nemusí být rozsáhlý compliance projekt. Firma by měla především získat přehled o tom:
- jaké AI systémy a modely používá,
- které z nich komunikují přímo se zákazníky nebo zaměstnanci,
- kde pomocí AI vzniká veřejně publikovaný obsah,
- která řešení rozhodují nebo doporučují v citlivých oblastech,
- kdo za jednotlivé systémy odpovídá,
- jaká data do nich vstupují a kam jsou předávána,
- a zda firma používá vlastní AI řešení, nebo službu externího dodavatele.
Ve spoustě firem dnes přitom není největší problém samotná regulace, ale fakt, že vedení nedokáže dát dohromady seznam AI nástrojů, které firma používá. A dokud neví, co má, nemůže seriózně řešit, která část AI Actu se jí týká.
Evropská komise zároveň upozorňuje, že transparentní pravidla jsou od 2. srpna 2026 vymahatelná. Omezené přechodné období do 2. prosince 2026 se týká pouze některých povinností označování a detekce u systémů, které byly uvedeny na trh již před 2. srpnem 2026.
Nejhorší strategií tak není AI používat, ale používat ji bez kontroly. „AI Act podle mě není důvod AI brzdit. Je to důvod začít ji ve firmách řídit stejně jako jakoukoli jinou důležitou technologii. Vědět, kde ji máme, kdo za ni odpovídá, s jakými daty pracuje a co dělá směrem k zákazníkovi. Firma, která tohle zvládne, se regulace nemusí bát. A zároveň bude mít výrazně lépe zvládnutou samotnou AI,“ uzavírá Strejc.