AI a české právo: Co potřebujete vědět o regulaci v roce 2026
Za čtyři měsíce — 2. srpna 2026 — vstoupí v plnou účinnost EU AI Act. Regulace, která poprvé v historii systematicky kategorizuje umělou inteligenci podle rizika a stanovuje tvrdé podmínky pro její vývoj, nasazení i používání.
A Česká republika? Ta právě dokončuje vlastní zákon o umělé inteligenci, který doplní evropský rámec o národní pravidla. Český telekomunikační úřad se chystá začít kontrolovat. Regulační sandbox se připravuje. Sankce jsou astronomické — až 35 milionů eur nebo 7 % celosvětového obratu.
Přesto — podle průzkumu Deloitte mezi 500 manažery — pouze 35,7 % firem se cítí na AI regulaci adekvátně připraveno. Více než polovina organizací nemá ani základní inventář svých AI systémů. A standardizační orgány CEN a CENELEC nestihly dokončit technické normy, podle kterých mají firmy compliance prokazovat.
Tento článek je kompletním průvodcem regulací AI v České republice — od evropského rámce přes český zákon až po praktický compliance checklist. Bez právnického žargonu, s reálnými daty a konkrétními kroky. Detailní 100denní runbook pro přípravu do 2. 8. 2026 — týden po týdnu, s rolemi a Kč kalkulacemi — přináší samostatný článek EU AI Act: Co začne platit 2. srpna 2026 a jak se připravit.
1. EU AI Act: Přelomová regulace, která mění pravidla hry
EU AI Act (Nařízení Evropského parlamentu a Rady 2024/1689) je první komplexní právní rámec pro umělou inteligenci na světě. Není to směrnice, kterou musí každý stát transponovat po svém — je to nařízení, tedy přímo účinné ve všech 27 členských státech EU, včetně České republiky.
Cíl je ambiciózní: zajistit, aby AI systémy v EU byly bezpečné, transparentní a respektovaly základní práva — a zároveň nezbrzdit inovace. Regulace proto používá tzv. rizikový přístup (risk-based approach), který klasifikuje AI systémy do čtyř úrovní podle míry rizika, které představují.
Proč právě teď?
Práce na EU AI Act začaly již v dubnu 2021. Finální text byl schválen v březnu 2024. Nařízení vstoupilo v platnost 1. srpna 2024 s postupným náběhem povinností:
- Únor 2025: Zákaz zakázaných AI praktik + povinnost AI gramotnosti
- Srpen 2025: Povinnosti pro poskytovatele obecných AI modelů (GPAI)
- Srpen 2026: Plná účinnost — povinnosti pro vysoce rizikové AI systémy (Příloha III)
- Srpen 2027: Povinnosti pro vysoce rizikové AI systémy integrované do regulovaných produktů (Příloha I)
Časová osa EU AI Act: Kdy co platí
Na koho se regulace vztahuje?
Klíčové je pochopit, že EU AI Act se nevztahuje jen na firmy se sídlem v EU. Regulace pokrývá každého, kdo uvádí AI systém na trh EU nebo ho v EU používá — bez ohledu na to, kde sídlí. To znamená, že se týká:
- Poskytovatelů (providers) — ti, kdo AI systém vyvíjejí nebo nechají vyvinout a uvádějí na trh pod svým jménem
- Nasazovatelů (deployers) — ti, kdo AI systém používají v rámci své profesionální činnosti
- Dovozců a distributorů — ti, kdo AI systém přivádějí na evropský trh
Česká firma, která nasadí AI chatbota pro zákaznický servis? Spadá pod regulaci jako nasazovatel. Startup, který vyvíjí AI model pro hodnocení úvěrové bonity? Spadá jako poskytovatel vysoce rizikového systému.
2. Riziková pyramida: 4 úrovně, 4 režimy
Jádrem EU AI Act je klasifikace AI systémů podle míry rizika. Čím vyšší riziko, tím přísnější pravidla. Toto je zásadní koncept, který musí pochopit každý, kdo s AI pracuje.
Riziková pyramida EU AI Act
Zakázané AI praktiky (nepřijatelné riziko)
Některé AI aplikace jsou v EU zakázány úplně — od února 2025. Jde o osm kategorií AI systémů, které jsou neslučitelné s evropskými hodnotami:
- Sociální scoring — hodnocení občanů veřejnými institucemi na základě jejich chování
- Podprahová manipulace — AI, která využívá podvědomé techniky k ovlivnění rozhodování
- Zneužití zranitelných skupin — cílená manipulace dětí, seniorů nebo osob se zdravotním postižením
- Biometrická kategorizace — třídění osob podle citlivých atributů (rasa, sexuální orientace, politické názory)
- Necílený sběr obličejů — hromadné stahování obličejových snímků z internetu nebo kamer
- Rozpoznávání emocí — na pracovišti a ve vzdělávacích institucích (s výjimkami pro bezpečnost)
- Prediktivní policie — hodnocení rizika spáchání trestného činu na základě profilování
- Biometrická identifikace v reálném čase — ve veřejných prostorách (s úzkými výjimkami pro závažné trestné činy)
Na rozdíl od ostatních povinností EU AI Act, zakázané AI praktiky jsou v platnosti již od 2. února 2025. Firmy, které provozují systémy spadající do těchto kategorií, jsou již nyní v rozporu s nařízením. Pokuta? Až 35 milionů eur nebo 7 % celosvětového obratu.
Vysoce rizikové AI systémy
Toto je nejrozsáhlejší a nejdůležitější kategorie EU AI Act. Vysoce rizikové AI systémy nejsou zakázány, ale podléhají přísným požadavkům. Spadají sem AI systémy v těchto oblastech:
| Oblast | Příklady AI systémů | Typické české využití |
|---|---|---|
| Biometrická identifikace | Systémy vzdálené biometrické identifikace | Kamerové systémy v bankách, letiště |
| Kritická infrastruktura | AI řízení provozu vody, elektřiny, dopravy | Smart grid ČEZ, řízení dopravy v Praze |
| Vzdělávání | AI pro přijímací řízení, hodnocení studentů | Adaptive learning platformy, přijímačky na VŠ |
| Zaměstnání | AI screening CV, hodnocení výkonu | ATS systémy s AI filtrem, HR analytics |
| Finanční služby | Credit scoring, pojistné hodnocení | Bankovní scoring, pojišťovací modely |
| Vymáhání práva | Prediktivní analytika, hodnocení důkazů | Policejní analytické nástroje |
| Migrace a azyl | Hodnocení žádostí, detekce na hranicích | Systémy cizinecké policie |
| Justice | AI asistence při rozhodování soudů | Právní analytika, předvídání rozsudků |
Podle studie appliedAI, která analyzovala 106 podnikových AI systémů, spadá do kategorie vysoce rizikových 18 % systémů. Dalších 40 % je v šedé zóně, kde není jasné, zda jde o vysoce rizikový systém nebo ne. V průzkumu mezi 113 EU AI startupy se 33 % domnívalo, že jejich systém bude klasifikován jako vysoce rizikový — oproti odhadu Evropské komise (5–15 %).
Povinnosti pro vysoce rizikové AI systémy
Pokud váš AI systém spadá do kategorie vysoce rizikových, musíte splnit celou řadu povinností:
- Systém řízení rizik — průběžná identifikace a mitigace rizik po celou dobu životního cyklu
- Správa dat — trénovací, validační a testovací data musí splňovat kritéria kvality, relevance a reprezentativnosti
- Technická dokumentace — podrobný popis systému včetně architektury, tréninkového procesu a výkonnostních metrik
- Automatické logování — systém musí zaznamenávat svou činnost pro zpětnou kontrolu
- Transparentnost — jasné instrukce pro uživatele, popis schopností a omezení systému
- Lidský dohled — zajištění, že člověk může systém efektivně kontrolovat a zastavit
- Přesnost, robustnost, kybernetická bezpečnost — měřitelné standardy spolehlivosti
- Posouzení shody — formální hodnocení, zda systém splňuje všechny požadavky
- Registrace — zápis do EU databáze vysoce rizikových AI systémů
Omezené a minimální riziko
AI systémy s omezeným rizikem (chatboti, deepfake generátory, generativní AI) mají jednu hlavní povinnost: transparentnost. Uživatel musí vědět, že komunikuje s AI. Deepfake obsah musí být označen jako uměle vytvořený.
AI systémy s minimálním rizikem — což je většina AI aplikací (spamové filtry, hry, doporučovací systémy) — nepodléhají žádným specifickým regulatorním požadavkům. Můžete je vyvíjet a nasazovat volně.
3. Český zákon o umělé inteligenci: Národní pravidla
EU AI Act je nařízení — platí tedy přímo. Proč potřebujeme ještě český zákon? Protože nařízení vyžaduje, aby si každý členský stát určil dozorové orgány, nastavil sankční mechanismy a vytvořil regulační sandbox. A přesně to řeší návrh zákona o umělé inteligenci, který připravilo Ministerstvo průmyslu a obchodu (MPO).
Co český zákon přináší
Český zákon je záměrně minimalistický — neukládá firmám žádné nové technické požadavky nad rámec EU AI Act. Jeho účelem je:
- Určit dozorové orgány a rozdělit kompetence
- Nastavit pravidla pro regulační sandbox — testovací prostředí pro inovativní AI
- Definovat sankční mechanismus — kdo a jak bude pokutovat
- Zajistit koordinaci mezi jednotlivými orgány
Česká republika zvolila pro-inovační přístup. Zákon záměrně neklade na firmy žádné další povinnosti nad rámec EU nařízení. MPO explicitně uvádí, že cílem je „ochrana občanů a bezpečné využívání AI" při současném vytvoření „pro-inovačního prostředí, ve kterém se AI může rozvíjet na plný potenciál".
Dozorová struktura v ČR
Klíčovou otázkou bylo, kdo bude AI v Česku dozorovat. Výsledek je třístupňová struktura:
Dozorová struktura AI v České republice
Český telekomunikační úřad (ČTÚ) bude hlavním dozorovým orgánem i kontaktním místem (single point of contact). Bude provádět kontroly, inspekce a ukládat pokuty za porušení EU AI Act. V oblasti finančních služeb bude dozor vykonávat Česká národní banka (ČNB). Pro biometrické systémy a průnik s ochranou osobních údajů je relevantní Úřad pro ochranu osobních údajů (ÚOOÚ).
Důležitá role připadá také Úřadu pro technickou normalizaci, metrologii a státní zkušebnictví (ÚNMZ), který jako notifikující orgán jmenuje a dohlíží na orgány posuzování shody — tedy subjekty, které budou certifikovat vysoce rizikové AI systémy.
Regulační sandbox
EU AI Act vyžaduje, aby každý členský stát do 2. srpna 2026 zřídil alespoň jeden regulační sandbox. Jde o kontrolované testovací prostředí, ve kterém firmy mohou vyvíjet a testovat inovativní AI systémy pod dohledem regulátora, s možností dočasných výjimek z některých požadavků.
V ČR bude sandbox spravovat Česká agentura pro standardizaci (ČAS). Pro startupy a menší firmy je to potenciálně cenná příležitost — možnost vyvinout vysoce rizikový AI systém s podporou a zpětnou vazbou regulátora, místo aby se compliance řešilo až post factum.
4. GDPR a AI: Dvojitá regulace, kterou nesmíte ignorovat
EU AI Act nenahrazuje GDPR — oba předpisy platí současně. A právě jejich průnik je jedním z nejsložitějších compliance hlavolamů, kterým české firmy čelí.
EU AI Act to říká explicitně: nařízení je „bez dotčení" GDPR. To znamená, že pokud váš AI systém zpracovává osobní údaje (a většina jich to dělá), musíte splnit požadavky obou regulací.
| Aspekt | EU AI Act | GDPR | Průnik / Dopad |
|---|---|---|---|
| Zaměření | Bezpečnost a důvěryhodnost AI systémů | Ochrana osobních údajů | Oba regulují AI zpracovávající osobní data |
| Posouzení dopadu | Posouzení shody (conformity assessment) | DPIA — posouzení vlivu na ochranu údajů | Vysoce rizikové AI vyžaduje obojí |
| Transparentnost | Informovat uživatele o AI systému | Informovat subjekty údajů o zpracování | Informační povinnost je dvakrát — vůči uživateli AI i subjektu dat |
| Automatizované rozhodování | Lidský dohled u vysoce rizikových AI | Čl. 22 — právo nebýt předmětem čistě automatizovaného rozhodování | AI scoring/hiring musí mít lidský přezkum podle obou předpisů |
| Pokuty | Až 35 mil. € / 7 % obratu | Až 20 mil. € / 4 % obratu | Pokuty se nesčítají, ale mohou běžet paralelně |
| Dozor v ČR | ČTÚ (primárně) | ÚOOÚ | Firmy mohou čelit kontrolám od obou úřadů |
| Tréninková data | Kvalita, relevance, reprezentativnost | Právní základ, minimalizace, účelové omezení | AI trénink na osobních datech musí splnit oba sety pravidel |
Klíčové oblasti průniku
1. Tréninková data: EDPB (Evropský sbor pro ochranu osobních údajů) ve svém stanovisku z roku 2024 potvrdil, že trénování AI modelů na osobních údajích vyžaduje platný právní základ podle GDPR. AI Act k tomu přidává požadavky na kvalitu a reprezentativnost dat. Firma tedy musí řešit obojí.
2. Privacy by design: GDPR vyžaduje „ochranu údajů od návrhu a ve výchozím nastavení" (čl. 25). AI Act vyžaduje „bezpečnost od návrhu" pro vysoce rizikové systémy. V praxi to znamená, že architektura AI systému musí od začátku integrovat oba přístupy.
3. Automatizované rozhodování: Článek 22 GDPR dává subjektům právo nebýt předmětem čistě automatizovaného rozhodování s právními účinky. AI Act vyžaduje lidský dohled u vysoce rizikových systémů. Pokud váš AI systém automaticky zamítá žádosti o úvěr nebo filtruje kandidáty, musíte splnit požadavky obou předpisů.
Firma provozující AI credit scoring systém, který porušuje požadavky na transparentnost i zpracovává osobní údaje bez řádného právního základu, může čelit sankci od ČTÚ za porušení AI Act (až 15 mil. € / 3 % obratu) i od ÚOOÚ za porušení GDPR (až 20 mil. € / 4 % obratu). Pokuty běží paralelně. Konkrétní scénáře postihu pro českou SME modeluje AI a GDPR v praxi: Co skutečně hrozí českým firmám — tři scénáře, DPIA rozhodovací strom a rámec MAPA do 2. 8. 2026.
5. Připravenost firem: Varovná čísla
Data o připravenosti firem na AI regulaci jsou alarmující. A to nejen v Česku — celá EU je pozadu.
Evropský stav připravenosti
Průzkum Deloitte mezi 500 manažery odhalil znepokojivý obraz:
- 35,7 % firem se cítí „adekvátně připraveno" na AI regulaci
- 19,4 % se popisuje jako „špatně připraveno"
- Pouze 26,2 % zahájilo konkrétní compliance aktivity
- Více než 50 % organizací nemá systematický inventář svých AI systémů
K tomu McKinsey uvádí, že 88 % organizací již AI používá alespoň v jedné obchodní funkci. Většina C-level manažerů považuje nesoulad s AI regulacemi za největší riziko spojené s AI.
Připravenost firem na EU AI Act (Deloitte, 2025)
Chybějící technické standardy
Situaci komplikuje fakt, že evropské standardizační organizace CEN a CENELEC nestihly vydat technické normy, které by firmám řekly, jak konkrétně prokázat soulad s AI Act. Původní termín byl rok 2025 — nový cíl je konec roku 2026. To znamená, že firmy musí plnit regulaci, ale detailní návod, jak to udělat, ještě neexistuje.
Podobně — jen 8 z 27 členských států EU k březnu 2026 určilo své dozorové orgány. Termín přitom vypršel v srpnu 2025. EU je tedy v implementaci vlastní regulace výrazně pozadu.
Chybějící standardy a zpožděná implementace v jiných státech neznamená odklad povinností. EU AI Act je nařízení s přímým účinkem — povinnosti platí od stanoveného data bez ohledu na stav národní implementace. ČR je navíc jedním ze států, které implementaci aktivně řeší, s alokovaným rozpočtem 232 mil. Kč a jasnou dozorovou strukturou.
6. Praktický compliance checklist: Co udělat teď
Teorie stačí. Pojďme na to, co konkrétně musíte udělat, abyste byli na regulaci připraveni. Tento checklist je navržený pro české firmy, od startupů po korporáty.
6 kroků ke compliance s EU AI Act
Detailní checklist pro české firmy
Fáze 1: Inventář a klasifikace (hned)
Fáze 2: Compliance příprava (do 2 měsíců)
Fáze 3: Governance a kultura (průběžně)
„Regulace AI není brzda inovací — je to pravidla silničního provozu. Bez nich by nikdo nejel."
— Margrethe Vestager, výkonná místopředsedkyně Evropské komise pro digitální věk
7. Specifika pro různé sektory v ČR
Dopad EU AI Act se liší podle odvětví. Podívejme se na nejvíce zasažené sektory v českém kontextu:
Bankovnictví a finanční služby
České banky a pojišťovny jsou mezi nejvíce regulovanými. AI systémy pro credit scoring, pojistné hodnocení a detekci podvodů spadají do kategorie vysoce rizikových. Dozor vykonává ČNB, která má bohaté zkušenosti s dohledem nad finančním sektorem. Pro banky to znamená dvojí compliance: AI Act + sektorová regulace (CRD, PSD2, MiFID II).
Zdravotnictví
AI diagnostické nástroje, systémy pro doporučování léčby nebo alokaci zdravotnických zdrojů jsou vysoce rizikové. Navíc se překrývají s regulací zdravotnických prostředků (MDR). České nemocnice experimentující s AI diagnostikou (IKEM, radiologie FN Motol) musí sledovat oba regulatorní rámce.
HR a nábor
AI systémy pro screening životopisů, hodnocení kandidátů nebo monitoring výkonu zaměstnanců jsou výslovně uvedeny jako vysoce rizikové v Příloze III AI Act. Každá česká firma používající AI v HR (a je jich stále více — podle průzkumů Grafton Recruitment/LMC kolem 30 % velkých firem) musí zajistit plnou compliance.
E-commerce a marketing
Většina marketingových AI nástrojů (personalizace, doporučovací systémy, chatboti) spadá do kategorie minimálního nebo omezeného rizika. Chatboti musí být transparentně označeni jako AI. Deepfake obsah v reklamě musí být označen. Ale standardní AI pro personalizaci e-shopu? Bez specifických povinností.
| Sektor | Typická riziková kategorie | Dozorový orgán v ČR | Hlavní povinnosti |
|---|---|---|---|
| Banky / Pojišťovny | 🔴 Vysoké riziko | ČNB | Posouzení shody, dokumentace, logování, DPIA |
| Zdravotnictví | 🔴 Vysoké riziko | ČTÚ + SÚKL | Posouzení shody + MDR compliance, klinická validace |
| HR / Nábor | 🔴 Vysoké riziko | ČTÚ | Lidský dohled, dokumentace, anti-bias audity |
| E-commerce | 🟢 Minimální riziko | — | Bez specifických povinností (standardní AI personalizace) |
| Chatboti / Zákaznický servis | 🔵 Omezené riziko | ČTÚ | Transparentnost — informovat uživatele, že komunikuje s AI |
| Výroba / Průmysl | 🟡 Záleží na aplikaci | ČTÚ | Prediktivní údržba = minimální; bezpečnostní systémy = vysoké |
| Veřejná správa | 🔴 Vysoké riziko | ČTÚ | Plná compliance + povinná registrace v EU databázi |
8. Co přijde dál: Výhled do budoucna
Regulace AI se nezastaví u AI Act. Právní krajina se bude rychle vyvíjet:
Srpen 2026: Plná účinnost AI Act pro vysoce rizikové systémy (Příloha III). ČTÚ začne provádět kontroly.
Konec 2026: Očekávané dokončení harmonizovaných technických standardů od CEN/CENELEC. Teprve pak budou firmy mít jasný „návod k použití" pro prokázání compliance.
Srpen 2027: Účinnost povinností pro vysoce rizikové AI systémy integrované do regulovaných produktů (Příloha I) — zdravotnické prostředky, strojírenství, automobilový průmysl.
2027–2028: Očekávané první sankce a rozhodnutí dozorových orgánů. Praxe ukáže, jak přísně budou regulátoři přistupovat. Evropský úřad pro AI (AI Office) bude hrát klíčovou roli v harmonizaci přístupu napříč členskými státy.
Leden 2026: EU přijala nový balíček reforem zahrnující AI a data (tzv. AI and Data Package od Baker McKenzie), který rozšiřuje regulatorní rámec o další oblasti. Tato legislativa bude postupně nabíhat v příštích letech.
Firmy, které se na regulaci připraví proaktivně, získají konkurenční výhodu. Zákazníci — zejména B2B klienti a veřejný sektor — budou stále více vyžadovat důkaz souladu s AI Act jako podmínku spolupráce. Kdo bude připravený, získá zakázky. Kdo ne, bude z tendrů vyloučen.
Klíčový závěr
EU AI Act není vzdálená budoucnost — je to realita, která platí teď. Zakázané praktiky jsou v účinnosti od února 2025. Povinnost AI gramotnosti běží. Plná účinnost pro vysoce rizikové systémy nastane za 4 měsíce. České firmy mají výhodu: jasná dozorová struktura (ČTÚ, ČNB, ÚOOÚ), pro-inovační přístup státu a alokovaný rozpočet 232 mil. Kč. Klíčem je začít teď — zmapovat AI systémy, klasifikovat rizika, připravit dokumentaci. Compliance není překážka inovací. Je to vstupenka na trh. Jak by verdikt v soudu Musk vs. OpenAI za $134 miliard mohl ovlivnit definici „providera" ve smyslu AI Actu, rozebíráme v samostatné analýze.
Zdroje a další čtení
- EU AI Act — oficiální text (Evropská komise)
- EU Artificial Intelligence Act — průběžně aktualizovaný přehled
- AI Akt — Digitální Česko (vládní portál)
- MPO — Návrh zákona o umělé inteligenci
- Česká asociace umělé inteligence — EU AI Act
- EDPB — Stanovisko k AI modelům a GDPR
→ Zajímá vás praktická stránka ochrany dat? Přečtěte si podrobný průvodce: Ochrana soukromí při práci s AI: Praktický průvodce 2026 — včetně frameworku SDÍLÍM, srovnání consumer vs. enterprise tierů a checklistu, co do AI nikdy nezadávat.
→ Jak AI mění právní praxi a analýzu smluv? AI pro analýzu smluv a právních dokumentů: Kompletní průvodce 2026 — srovnání 9 nástrojů, framework SMLOUVA pro bezpečnou analýzu a data o halucinacích v právní AI.