Kolem AI Actu kolují dva extrémy: „od příštího roku je zakázané všechno" a „nás se to netýká, my jen používáme ChatGPT". Oba jsou špatně. AI Act nabíhá postupně, povinnosti se liší podle role a rizikovosti — a část z nich se týká i běžných firem, které AI jen používají. Tady je střízlivý přehled: co řešit už teď, co si ohlídat a co je mýtus.
Mýtus č. 1: „AI Act začne platit jedním dnem"
Ne. Nařízení nabíhá po etapách — některé povinnosti už jsou účinné (například zákazy nepřijatelných praktik a požadavek na AI gramotnost personálu), další se postupně přidávají podle typu systému. Konkrétní dopad na vaši firmu se proto nedá odečíst z jednoho data v novinovém titulku; odvíjí se od toho, jaké AI systémy reálně používáte a v jaké roli.
Mýtus č. 2: „Jsme jen uživatelé, povinnosti mají výrobci"
Nejpřísnější povinnosti skutečně nesou poskytovatelé (výrobci) AI systémů. Ale AI Act zná i roli zavádějícího subjektu (deployer) — tedy firmy, která AI používá v provozu. A té ukládá vlastní povinnosti, zejména u vysokorizikových použití: lidský dohled, používání systému podle návodu, monitoring provozu, vedení logů. Typický příklad: pokud AI používáte při náboru, hodnocení zaměstnanců nebo scoringu klientů, jste v zóně, kterou AI Act sleduje nejpřísněji.
Mýtus č. 3: „Sankce jsou pro každého 35 milionů eur"
Sankce jsou odstupňované podle typu porušení — horní hranice (až 35 mil. EUR / 7 % celosvětového obratu) míří na nejzávažnější porušení, tedy zakázané praktiky. Pro běžnou firmu není reálné riziko „likvidační pokuta zítra", ale něco jiného: že si nasazením AI do citlivé oblasti bez klasifikace a dohledu vyrobí problém, který se zpětně těžko opravuje — smluvně, reputačně i vůči regulátorovi.
Co má smysl udělat už teď
- Inventura AI use-casů. Sepsat, kde všude ve firmě AI reálně běží — včetně „stínového" používání, kdy si zaměstnanci pomáhají vlastními účty. Bez inventury nelze klasifikovat rizika; s ní je to jednorázová, zvládnutelná práce.
- Riziková klasifikace. U každého use-casu určit, do jaké kategorie spadá: zakázané praktiky (nesmí běžet vůbec), vysoké riziko (přísný režim), omezené riziko (transparentnost), minimální riziko (bez zvláštních povinností).
- Lidský dohled u citlivých výstupů. Definovat, které výstupy AI musí před použitím schválit člověk. Tohle je mimochodem dobrá praxe i bez AI Actu — halucinace nečekají na účinnost nařízení.
- AI gramotnost. Zajistit, aby lidé, kteří s AI pracují, rozuměli jejím limitům. Stačí krátké interní školení a jasná pravidla — ne certifikační cirkus.
- Dokumentace. Založit jednoduchou auditní stopu: jaký systém, k čemu, kdo odpovídá, jak se kontroluje. Až se regulátor, zákazník nebo pojišťovna zeptá, odpověď existuje.
Co naopak řešit nemusíte
Nemusíte rušit ChatGPT, nemusíte mít „AI Act certifikát" (žádný univerzální neexistuje) a nemusíte platit paniku. Většina firemních use-casů spadá do nižších rizikových kategorií, kde jde hlavně o transparentnost a zdravý provozní režim. Klíčové je vědět, které vaše použití do vyšší kategorie spadá — a to je otázka na hodiny analýzy, ne měsíce projektu.
Jak to uchopit prakticky
Přesně tohle dělá AI Act Readiness Audit: projde reálné používání AI ve firmě, vytvoří seznam use-casů, klasifikuje rizika, pojmenuje mezery a dá vedení executive summary s konkrétními opatřeními. Není to právní služba — je to technicko-analytický podklad, se kterým pak právník nebo compliance tým pracuje řádově rychleji.
První krok je zdarma: AI Risk Scan — 20 minut online, orientační mapa rizik a doporučení, co řešit dřív a co počká.