PRŮVODCE AI ACTEM

Co AI Act reguluje a co ne

Akt o umělé inteligenci — nařízení (EU) 2024/1689 — je produktová regulace, ne etický kodex. Systémy AI dělí podle toho, k čemu se používají a jaké riziko z toho plyne, ne podle toho, jaká technologie je uvnitř. Definice systému AI v čl. 3 bodě 1 je záměrně široká: strojový systém, který z obdržených vstupů odvozuje, jak generovat výstupy jako predikce, obsah, doporučení nebo rozhodnutí.

Nařízení vstoupilo v platnost 1. srpna 2024, ale použitelné je po částech a jednotlivé kapitoly se rozbíhají v různých termínech. Zakázané praktiky platí od února 2025, povinnosti poskytovatelů obecných modelů AI od srpna 2025, transparentnostní povinnosti od srpna 2026 a povinnosti u vysoce rizikových systémů byly v roce 2026 posunuty — tomu se věnuje hned další sekce.

Co pod nařízení nespadá: systémy uváděné na trh, do provozu nebo používané výhradně pro vojenské, obranné a národně bezpečnostní účely (čl. 2 odst. 3), činnosti výzkumu a vývoje před uvedením na trh, s výjimkou testování v reálných podmínkách (čl. 2 odst. 8), čistě osobní neprofesionální činnost fyzické osoby (čl. 2 odst. 10) a systémy pod svobodnou licencí či licencí s otevřeným zdrojovým kódem, pokud nejsou uváděny na trh jako vysoce rizikové nebo nespadají pod čl. 5 či 50 (čl. 2 odst. 12).

AI Act nenahrazuje GDPR ani zákon o kybernetické bezpečnosti. Běží vedle nich a v konkrétním nasazení se povinnosti sčítají, nevylučují. U ochrany osobních údajů to nařízení říká výslovně v čl. 2 odst. 7; u kyberbezpečnostní regulace to plyne z toho, že ji nařízení nijak neomezuje a míří na jiný předmět — na produkt, ne na provoz služby.

Co změnilo nařízení (EU) 2026/1744 a proč má většina článků špatnou osu

Dne 8. července 2026 bylo přijato nařízení (EU) 2026/1744, tzv. souhrnný balíček pro digitální oblast týkající se umělé inteligence (digital omnibus). Vyhlášeno bylo 24. července 2026 a v platnost vstoupilo třetí den po vyhlášení, tedy 27. července 2026. Mění AI Act, nařízení o strojních zařízeních a základní nařízení o civilním letectví.

Praktický důsledek pro čtenáře: podstatná část českého obsahu o AI Actu vznikla před ním a má proto neplatnou časovou osu. Pokud vám někde tvrdí, že povinnosti u vysoce rizikových systémů začínají 2. srpna 2026, je to text napsaný před omnibusem. Čtyři změny s největším praktickým dopadem jsou tyto:

• Posun termínů u vysoce rizikových systémů. Kapitola III oddíly 1, 2 a 3 — tedy klasifikace, technické požadavky a povinnosti provozovatelů — se u systémů z přílohy III (čl. 6 odst. 2) použijí od 2. prosince 2027 místo 2. srpna 2026 a u systémů zabudovaných do produktů z přílohy I (čl. 6 odst. 1) od 2. srpna 2028 místo 2. srpna 2027. Oddíly 4 a 5 kapitoly III — oznámené subjekty, harmonizované normy, posuzování shody a registrace — posunuty nebyly.
• Změkčení čl. 4 o gramotnosti v oblasti AI. Původní znění ukládalo poskytovatelům a zavádějícím subjektům přijmout opatření k zajištění dostatečné úrovně gramotnosti. Nové znění mluví o opatřeních na podporu zlepšení gramotnosti a výslovně dodává, že garantovat konkrétní úroveň u jednotlivých osob nemusí nikdo z nich.
• Zúžení pojmu bezpečnostní komponenta. Nová definice v čl. 3 bodě 14 váže bezpečnostní funkci na zamýšlený účel, který stanoví poskytovatel. Nové odstavce 1a až 1c v čl. 6 z bezpečnostních komponent vyjímají systémy používané výhradně pro uživatelskou podporu, optimalizaci výkonnosti, efektivitu služeb, automatizaci, pohodlí nebo kontrolu kvality, pokud to nesouvisí s bezpečností. Zároveň ale platí, že systém, jehož selhání nebo chybné fungování by ohrozilo zdraví a bezpečnost, bezpečnostní komponentou je.
• Dva nové zákazy. Do čl. 5 odst. 1 se doplnila písmena ba) a bb) — systémy generující nebo manipulující intimní obrazový materiál identifikovatelné osoby bez jejího souhlasu a materiál zobrazující sexuální zneužívání dětí. Nové odstavce 1a a 1b k nim upřesňují, kdy se zákaz na uvedení na trh a na použití vztahuje. Použijí se od 2. prosince 2026, tedy později než ostatní zákazy.

Omnibus změnil i další věci, které jsou dál v tomto průvodci: rozšířil výlučnou působnost Evropského úřadu pro AI (čl. 75), doplnil čl. 4a o zpracování zvláštních kategorií osobních údajů pro odhalování a nápravu zkreslení, zavedl v čl. 42 domněnku splnění kyberbezpečnostních požadavků pro systémy pokryté nařízením o kybernetické odolnosti, upřesnil čl. 25 o rolích v hodnotovém řetězci a doplnil sankční ustanovení čl. 99.

Čtyři úrovně rizika

AI Act nemá jednu sadu povinností pro všechno. Rozděluje systémy do čtyř pásem a v každém platí něco jiného, včetně jiných termínů. Zařazení konkrétního nástroje je proto první věc, kterou má smysl udělat — bez něj se povinnosti řešit nedají.

• Nepřijatelné riziko (čl. 5). Zakázané praktiky, použitelné od 2. února 2025. Pro běžné firmy jsou nejrelevantnější dva zákazy: zákaz odvozování emocí fyzických osob na pracovišti a ve vzdělávacích institucích (odst. 1 písm. f)), z něhož nařízení připouští výjimku jen pro použití určené k zavedení nebo uvedení na trh z lékařských nebo bezpečnostních důvodů, a zákaz biometrické kategorizace odvozující rasu, politické názory, členství v odborech, náboženské či filozofické přesvědčení, sexuální život nebo orientaci (písm. g)). I písm. g) má vlastní výjimku — nevztahuje se na označování nebo filtrování legálně získaných souborů biometrických údajů ani na kategorizaci biometrických údajů v oblasti vymáhání práva.
• Vysoké riziko (čl. 6). Dvě cesty. Buď je systém bezpečnostní komponentou produktu podle přílohy I, který podléhá posouzení shody třetí stranou, anebo jde o případ použití vyjmenovaný v příloze III — mimo jiné nábor a řízení zaměstnanců, přístup ke vzdělávání, hodnocení úvěruschopnosti, oceňování v životním a zdravotním pojištění, provoz kritické infrastruktury. Plný režim požadavků a povinností, od 2. prosince 2027, resp. 2. srpna 2028.
• Omezené riziko (čl. 50). Není to lehčí verze vysokého rizika, ale samostatná sada transparentnostních povinností. Použitelná od 2. srpna 2026 a dopadá i na firmy, které samy nic nevyvíjejí.
• Minimální riziko. Zbytek — a to je většina firemního používání AI. Z nařízení zůstává čl. 4 a případně čl. 50. Nic dalšího. Nařízení pro tuto kategorii nepředepisuje žádnou dokumentaci ani registraci.

Výjimka u písm. g) míří na práci s již legálně získanými soubory údajů a na oblast vymáhání práva; na běžné komerční nasazení, typicky nástroj v HR nebo v marketingu, nedopadá. Čl. 6 odst. 3 pak umožňuje u systémů z přílohy III doložit, že významné riziko nepředstavují — jde-li o úzký procedurální úkol, zlepšení výsledku dříve dokončené lidské činnosti, detekci vzorců v rozhodování nebo přípravný úkol. Vyžaduje to zdokumentované posouzení před uvedením na trh a registraci podle čl. 49 odst. 2. Pokud systém provádí profilování fyzických osob, tuto výjimku použít nelze nikdy.

Role: poskytovatel, zavádějící subjekt, dovozce, distributor

Povinnosti nedopadají na firmu jako takovou, ale na roli, ve které u konkrétního systému stojíte. U jednoho nástroje můžete být zavádějící subjekt, u druhého poskytovatel. Nařízení role používá důsledně — když u nějaké povinnosti stojí „poskytovatel“, zavádějícího subjektu se netýká, a naopak.

Zastřešující pojem je provozovatel (čl. 3 bod 8): poskytovatel, výrobce produktu, zavádějící subjekt, zplnomocněný zástupce, dovozce nebo distributor. Objevuje se hlavně v ustanoveních o dozoru a o sankcích, takže když nařízení mluví o provozovateli, míní tím kohokoli z výše uvedených.

• Poskytovatel (čl. 3 bod 3) — vyvíjí systém AI či obecný model AI nebo si ho nechává vyvinout a uvádí ho na trh či do provozu pod svým vlastním jménem, názvem nebo ochrannou známkou, ať za úplatu nebo zdarma.
• Zavádějící subjekt (čl. 3 bod 4) — používá systém AI v rámci své pravomoci, s výjimkou použití při osobní neprofesionální činnosti. Tohle je role většiny českých firem.
• Dovozce (čl. 3 bod 6) — usazený v Unii, uvádí na trh systém označený jménem nebo značkou osoby usazené ve třetí zemi.
• Distributor (čl. 3 bod 7) — je v dodavatelském řetězci, dodává systém na trh Unie a není poskytovatelem ani dovozcem.

Role se určuje ke konkrétnímu systému, ne k firmě. Vyplatí se to zapsat do evidence nástrojů: u každého nástroje jedna role, jeden vlastník, jedno zařazení do rizikové kategorie. Bez toho se nedá odpovědět ani na otázku, kdo má u kterého nástroje co hlásit.

Kdy se ze zavádějícího subjektu stane poskytovatel

Pro české firmy nejpraktičtější a nejčastěji opomíjená část nařízení. Podle čl. 25 odst. 1 se distributor, dovozce, zavádějící subjekt nebo jiná třetí strana stává poskytovatelem vysoce rizikového systému — se všemi povinnostmi podle čl. 16 — ve třech situacích uvedených níže.

Když k tomu dojde, původní poskytovatel podle čl. 25 odst. 2 přestává být poskytovatelem daného systému. Omnibus tady doplnil, co konkrétně má původní poskytovatel novému poskytnout: technickou dokumentaci dostatečnou pro posouzení shody s požadavky čl. 16, informace o známých omezeních a režimech selhání a cílený technický přístup včetně přístupu pro testování a validaci. Zároveň platí výjimka — pokud původní poskytovatel jasně uvedl, že se jeho systém nemá měnit na vysoce rizikový, povinnost spolupráce a předání dokumentace ho netíží.

Omnibus k tomu přidal i sankci: porušení čl. 25 odst. 2 a 4 je nově uvedeno v čl. 99 odst. 4 písm. da), tedy v pásmu až 15 milionů eur nebo 3 % celkového celosvětového ročního obratu, podle toho, co je vyšší.

• Uvedete na vysoce rizikový systém, který je už na trhu nebo v provozu, své jméno, název nebo ochrannou známku (čl. 25 odst. 1 písm. a)). Typicky white-label nasazení nebo přeprodej pod vlastní značkou.
• Provedete podstatnou změnu vysoce rizikového systému, který je už na trhu, takovým způsobem, že vysoce rizikovým zůstává (písm. b)).
• Změníte zamýšlený účel systému — včetně systému založeného na obecném modelu AI — který dosud vysoce rizikový nebyl, tak, že se jím podle čl. 6 stane (písm. c)).

Písmeno c) je past, do které se dá spadnout bez jediné řádky vlastního kódu. Postavíte-li nad obecným modelem nástroj, který třídí životopisy nebo hodnotí úvěruschopnost, stáváte se poskytovatelem vysoce rizikového systému, i když jste jen napsali systémový prompt a připojili API. Hranice se dají vyjasnit dopředu — my to řešíme jako posouzení rizik AI nástrojů před nasazením, protože po nasazení už je změna zamýšleného účelu hotová věc.

Firma, která AI jen používá: Copilot, ChatGPT, Claude

Nejčastější situace v ČR a zdroj největšího zmatku. Firma nakoupí licence Microsoft 365 Copilot, ChatGPT nebo Claude a zaměstnanci je používají v práci. Z pohledu AI Actu je taková firma zavádějící subjekt, ne poskytovatel. Neposuzuje shodu, nevydává prohlášení o shodě, nevede technickou dokumentaci podle přílohy IV a nic neregistruje v databázi EU.

Povinnosti poskytovatelů obecných modelů AI z kapitoly V se vás také netýkají — platí od 2. srpna 2025 pro toho, kdo model vyvíjí a uvádí na trh. Model se považuje za model se systémovým rizikem, pokud kumulativní výpočetní výkon použitý na jeho trénování přesáhl 10 na 25 operací s pohyblivou řádovou čárkou (čl. 51 odst. 2), případně na základě rozhodnutí Komise. Sledovat to a plnit navazující povinnosti je věcí poskytovatele modelu, ne vaší.

Co na zavádějící subjekt z nařízení skutečně dopadá, jsou čtyři věci:

• Zákazy podle čl. 5, použitelné od 2. února 2025. Prakticky: nesmíte nasadit nástroj odvozující emoce zaměstnanců — analýzu nálady v hovorech kontaktního centra, skóre zaujetí z kamer, hodnocení uchazečů podle mimiky — pokud nejde o zdravotní nebo bezpečnostní důvod. Tohle je nejčastější reálné porušení, na které u českých firem narážíme, a bývá zabalené do modulu HR nebo analytického nástroje, který si nikdo nepřečetl.
• Čl. 4 — gramotnost v oblasti AI. Máte přijmout opatření na podporu zlepšení gramotnosti u zaměstnanců a dalších osob, které se vaším jménem zabývají provozem a používáním systémů AI, s přihlédnutím k jejich znalostem, vzdělání a prostředí použití. Zaručit konkrétní úroveň u konkrétní osoby nemusíte — nové znění to výslovně vylučuje.
• Čl. 50 odst. 3 a 4 — transparentnost na straně zavádějícího subjektu. Pokud generujete deepfake nebo publikujete AI text za účelem informování veřejnosti o věcech veřejného zájmu, musíte to uvést. Pokud nasazujete rozpoznávání emocí nebo biometrickou kategorizaci tam, kde nejsou zakázané, musíte dotčené osoby informovat o provozu systému. Od 2. srpna 2026.
• Čl. 26 — povinnosti u vysoce rizikových systémů. Až tehdy, když nasadíte systém z přílohy III, typicky v náboru, řízení zaměstnanců nebo hodnocení klientů. Od 2. prosince 2027. U některých zavádějících subjektů k tomu přistupuje posouzení dopadů na základní práva podle čl. 27.

Věcně největší riziko u tohoto scénáře v nařízení vůbec není. Je v tom, jaká data zaměstnanci do nástrojů vloží a které nástroje si obstarají mimo IT — a ty se dají dohledat jen z technických zdrojů, dotazníkem ne. Politiku používání AI a posouzení nástrojů, které už ve firmě běží, děláme jako jeden krok, mimo jiné proto, že právě ta politika je nejsnazší způsob, jak opatření podle čl. 4 doložit — ale jen tehdy, když popisuje nástroje a data, které ve firmě skutečně jsou. Znění převzaté odjinud tuhle vazbu nemá a při kontrole se jím nedoloží nic.

Označování AI výstupů podle čl. 50

Kapitola IV je použitelná od 2. srpna 2026 a je to část nařízení, která dopadá na nejvíc subjektů. Nevyžaduje posouzení shody ani technickou dokumentaci. Vyžaduje, aby bylo poznat, že jde o AI.

Povinnosti se dělí podle role. Poskytovatel podle odst. 1 zajistí, aby systémy určené k přímé interakci s lidmi byly navržené tak, že člověk pozná, že mluví se systémem AI — pokud to není zjevné. Podle odst. 2 zajistí, aby výstupy systémů generujících syntetický zvuk, obraz, video nebo text byly označené ve strojově čitelném formátu a rozpoznatelné jako umělé; nařízení mluví o účinných, interoperabilních, spolehlivých a robustních technických řešeních.

Zavádějící subjekt má povinnosti dvě. Podle odst. 4 uvede u deepfake, že obsah byl vytvořen nebo upraven umělou inteligencí, a totéž u AI textu publikovaného za účelem informování veřejnosti o věcech veřejného zájmu. Podle odst. 3 informuje osoby vystavené rozpoznávání emocí nebo biometrické kategorizaci o provozu systému — tam, kde takové použití není podle čl. 5 rovnou zakázané.

Omnibus tady zavedl přechodné období. Podle nového čl. 111 odst. 4 mají poskytovatelé systémů generujících syntetický zvuk, obraz, video nebo text, které byly uvedeny na trh před 2. srpnem 2026, přijmout nezbytná opatření ke splnění čl. 50 odst. 2 až do 2. prosince 2026.

• Výjimka u odst. 2: nepoužije se v rozsahu, v němž systémy plní pomocnou funkci při standardní editaci nebo podstatně nemění vstupní data poskytnutá zavádějícím subjektem ani jejich význam.
• Výjimka u odst. 4 pro zjevně umělecká, kreativní, satirická a fiktivní díla a programy — povinnost se zužuje na uvedení existence takto vytvořeného obsahu přiměřeným způsobem, který nenaruší vnímání díla.
• Výjimka u odst. 4 pro AI text, který prošel procesem lidského přezkumu nebo redakční kontroly a za jehož publikaci nese redakční odpovědnost fyzická či právnická osoba.
• Informace se podle odst. 5 poskytují jasně a rozpoznatelně nejpozději při první interakci nebo expozici a musí odpovídat požadavkům na přístupnost.

Komise k tomu 10. června 2026 zveřejnila dobrovolný kodex chování k transparentnosti obsahu vytvořeného AI, který pokrývá čl. 50 odst. 2, 4 a 5, a vedle něj pokyny k čl. 50. Kodex je dobrovolný a právní povinnost nenahrazuje — povinnost plyne z nařízení. Přihlášení ke kodexu je ale zamýšlené jako způsob, jak soulad doložit, a omnibus v čl. 50 odst. 7 upravil, jak Komise přiměřenost kodexu hodnotí.

Kyberbezpečnostní rovina: co v nařízení je a co v něm chybí

Čl. 15 ukládá vysoce rizikovým systémům přiměřenou úroveň přesnosti, robustnosti a kyberbezpečnosti po celou dobu životního cyklu. Odstavec 4 k tomu přidává povinnost řešit zpětnovazební smyčky u systémů, které se po uvedení na trh dál učí.

Odstavec 5 je na regulaci nezvykle konkrétní: technická řešení mají zahrnovat opatření k předcházení, detekci, reakci, řešení a kontrole útoků, které se snaží manipulovat trénovací datový soubor (data poisoning) nebo předtrénované komponenty použité při trénování (model poisoning), dále vstupů navržených tak, aby model udělal chybu (adversarial examples, evaze modelu), útoků na důvěrnost a chyb modelu.

Omnibus tady přidal praktickou zkratku. Nový čl. 42 odst. 3 říká, že vysoce rizikový systém, který spadá do oblasti působnosti nařízení o kybernetické odolnosti (CRA, nařízení (EU) 2024/2847) a splňuje podmínky jeho čl. 12 odst. 1, se považuje za splňující kyberbezpečnostní požadavky čl. 15. Kdo řeší CRA, neřeší tuhle část dvakrát.

Co v nařízení naopak nenajdete: prompt injection, exfiltraci dat přes výstupy modelu a nástroje obstarané mimo IT. Nejsou tam pojmenované. Prompt injection lze podřadit pod obecnou povinnost z čl. 15 odst. 5 — odolnost proti pokusům neoprávněných třetích stran změnit užití, výstupy nebo výkonnost systému využitím jeho zranitelností — ale nařízení k tomu nedává žádné vodítko a povinnost navíc míří jen na vysoce rizikové systémy. Taxonomii je proto potřeba vzít odjinud, typicky z OWASP Top 10 pro aplikace s velkými jazykovými modely.

• U nástrojů, které jen používáte, se riziko nemění na vaši povinnost podle čl. 15, ale zůstává vám jako riziko podle zákona č. 264/2025 Sb. — AI nástroj je aktivum a jeho dodavatel je dodavatel ICT služby, se vším, co k tomu v režimu nižších i vyšších povinností patří.
• Vložení osobních údajů do nástroje je zpracování podle GDPR. AI Act to neřeší; nový čl. 4a upravuje jen úzký případ zpracování zvláštních kategorií údajů pro odhalování a nápravu zkreslení, a to pod tvrdými podmínkami — pseudonymizace, striktní řízení a dokumentace přístupu, zákaz předávání dalším stranám, výmaz po nápravě zkreslení a odůvodnění nezbytnosti v záznamech o činnostech zpracování.
• Čl. 27 odst. 4 po změně omnibusem dovoluje v posouzení dopadů na základní práva odkazovat na relevantní části posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR nebo je do něj převzít. Dvě dokumentace se tak nemusí psát od nuly dvakrát.
• Poskytovatelé vysoce rizikových systémů pod výlučnou působností Evropského úřadu pro AI hlásí závažné incidenty jemu, ne národnímu orgánu (nový čl. 75 odst. 1a). Úřad pak předá informace národnímu orgánu dozoru nad trhem.

Praktický pohled: u zavádění AI je slabým místem obvykle to, co do nástroje teče, ne samotný model. Dá se to posuzovat stejnou logikou jako kterýkoli jiný ICT dodavatel — jaká data, kam, na jak dlouho, kdo k nim má přístup, co se s nimi děje při trénování, jak je dostanete zpátky a co zůstane po ukončení smlouvy. Děláme to jako posouzení bezpečnosti dat při zavádění AI a navazuje na to souběh se ZKB.

Dozor v ČR a sankce

Dozor je v ČR rozdělený a definitivně ho má nastavit zákon o umělé inteligenci, který k datu platnosti této stránky není ve Sbírce zákonů. Návrh z Ministerstva průmyslu a obchodu, které je gestorem implementace, počítá s Českým telekomunikačním úřadem jako jednotným kontaktním místem, s Českou národní bankou a Úřadem pro ochranu osobních údajů v jejich sektorech, s Úřadem pro technickou normalizaci, metrologii a státní zkušebnictví jako oznamujícím orgánem a s Veřejným ochráncem práv v otázkách ochrany lidských práv. Součástí návrhu je i národní regulatorní sandbox.

Týž návrh počítá se dvěma úlevami pro menší podniky: u méně závažného porušení má být možné udělit napomenutí místo okamžitého zahájení přestupkového řízení a má být stanovena nižší hranice pokut. Obojí je zatím záměr předkladatele, ne platný stav — dokud zákon není ve Sbírce, nedá se z něj nic dovodit. ČTÚ v tiskové zprávě z 31. července 2026 uvádí, že dohled nad povinnostmi podle čl. 50 budou v ČR vykonávat orgány dozoru nad trhem a že jedním z nich bude Český telekomunikační úřad — mluví tedy o sobě v budoucím čase, což je s nepřijatým zákonem konzistentní.

Nad částí systémů má výlučnou působnost Evropský úřad pro umělou inteligenci. Omnibus mu ji novým čl. 75 odst. 1 rozšířil na systémy AI založené na obecných modelech AI, kde model i systém pocházejí od téhož poskytovatele nebo od poskytovatelů z téhož podniku, a na systémy, které tvoří součást velmi velkých online platforem nebo vyhledávačů podle nařízení o digitálních službách. Pro zavádějící subjekty tato výlučná působnost platí jen tehdy, jsou-li zároveň poskytovateli nebo součástí téhož podniku — běžnou firmu, která takový systém jen používá, dozoruje národní orgán.

Sankční pásma stanoví čl. 99 a jsou tři. Ve všech se bere vyšší z pevné částky a procenta z celkového celosvětového ročního obratu za předchozí účetní rok. K pásmům patří dvě úpravy podle velikosti podniku a zvláštní režim pro poskytovatele obecných modelů AI:

• Až 35 milionů eur nebo 7 %. Nedodržení zákazů z čl. 5.
• Až 15 milionů eur nebo 3 %. Ostatní povinnosti provozovatelů a oznámených subjektů — mimo jiné povinnosti poskytovatelů podle čl. 16, dovozců podle čl. 23, distributorů podle čl. 24, zavádějících subjektů podle čl. 26, transparentnost podle čl. 50 a nově čl. 25 odst. 2 a 4.
• Až 7,5 milionu eur nebo 1 %. Poskytnutí nesprávných, neúplných nebo zavádějících informací oznámeným subjektům či příslušným orgánům.
• Úprava podle velikosti. U malých a středních podniků včetně startupů se podle čl. 99 odst. 6 uplatní nižší z obou hodnot, a to u odstavců 3, 4 a 5. Omnibus zavedl novým odstavcem 6a obdobnou úlevu pro malé podniky se střední tržní kapitalizací, ale jen ve vztahu k odstavcům 4 a 5 — u nejvyššího pásma za zákazy podle čl. 5 (odst. 3) tedy neplatí. Do čl. 99 odst. 1 omnibus doplnil, že členské státy mají brát v potaz zájmy a ekonomickou životaschopnost obou kategorií.
• Obecné modely AI. Jejich poskytovatelům ukládá pokuty přímo Komise podle čl. 101 — až 3 % nebo 15 milionů eur. Toto ustanovení je použitelné od 2. srpna 2026.

Kapitola XII o sankcích je použitelná od 2. srpna 2025, konkrétní pravidla a procesy ale podle čl. 99 odst. 1 stanovují členské státy. Dokud český adaptační zákon není účinný, chybí na národní úrovni procesní rámec pro ukládání pokut. Samotné povinnosti z nařízení tím dotčené nejsou — nařízení je přímo použitelné a platí bez ohledu na stav českého zákona.

Časová osa použitelnosti po omnibusu

Data odpovídají znění čl. 113 AI Actu po změně nařízením (EU) 2026/1744. Tam, kde se termín posunul, je uvedené i původní datum, aby bylo poznat, co se změnilo.

Oficiální zdroje

Tento průvodce je informativní. Autoritativní je úřední znění — u každého tvrzení o termínu nebo povinnosti výše najdete číslo článku, které se dá v těchto zdrojích dohledat.