AI Act: odklad pro vysoce rizikové systémy není oddech

Podle původního harmonogramu AI Actu měl 2. srpen 2026 znamenat nabytí účinnosti většiny povinností pro vysoce rizikové systémy: zdokumentované řízení rizik, řízení dat pro trénování modelů, technická dokumentace, lidský dohled, zápis do evropské databáze. Za nedodržení hrozily sankce až do výše 15 milionů eur nebo 3 % celosvětového obratu.

Pak balíček zjednodušení Digital Omnibus přešel z politické dohody do práva: nařízení (EU) 2026/1744, zveřejněné v Úředním věstníku 24. července a účinné od 27. července 2026, odsouvá tyto povinnosti na 2. prosince 2027 pro systémy z přílohy III, a na srpen 2028 pro vysoce rizikové systémy zabudované do regulovaných produktů.

Nedávná regulatorní historie už tuto scénu odehrála. GDPR nechalo mezi přijetím a účinností dva roky; část organizací tento čas využila k vybudování svého systému, druhá část jej jen sledovala plynout. V květnu 2018 byly ty první připravené; ty druhé improvizovaly ve spěchu, a některé improvizují dodnes.

Regulatorní odklad nikdy neznamená získaný čas, znamená přidělený čas. Otázka nezní „kdy nastane termín“, ale „co je do té doby třeba mít vybudováno“, protože obsah povinností se nemění: inventarizace systémů, kvalifikace rizik, řízení, dokumentace, důkazy.

Příloha III pokrývá případy užití, které mnohé organizace provozují, aniž by si to uvědomovaly: třídění uchazečů a personální rozhodnutí, úvěrové skórování, přístup ke vzdělávání, biometrii, řízení kritické infrastruktury, zásadní veřejné služby. A povinnosti nedopadají jen na dodavatele těchto systémů: provozovatelé, tedy organizace, které je používají, mají povinnosti vlastní, od lidského dohledu po sledování fungování systému.

Mnoho firem je tak provozovatelem vysoce rizikových systémů, aniž by o tom vědělo, třeba prostřednictvím HR nástroje nebo skórovacího modulu koupeného jako hotové řešení. První otázka přitom není právní, ale faktická: jaké systémy, koupené nebo vyvinuté interně, u nás skutečně běží a pro jaké účely?

Debata o odkladu nesmí zastínit podstatné: část nařízení už platí. Zakázané praktiky, od sociálního skórování po některé formy biometrické identifikace, platí od února 2025. Povinnosti transparentnosti pro obecné modely AI běží od srpna 2025. A požadavek na AI gramotnost týmů se už týká každého zaměstnavatele, který tyto systémy nasazuje. Pokud jde o transparentnost podle článku 50, účinnou od 2. srpna 2026, Komise 20. července přijala závazné finální pokyny: konverzační systémy se musí deklarovat hned od prvního kontaktu, generovaný obsah musí být označen ve strojově čitelném formátu, bez zpětné účinnosti na dříve vytvořený obsah.

Jinak řečeno, diskutovaný odklad se týká jen bloku vysokého rizika; základ naopak platí. Organizace, která čeká na „vyjasnění harmonogramu“, než se pustí do práce, už teď zaostává za stabilizovanou částí textu.

Racionální postup se tedy ani o den nemění: zmapovat své využití AI, včetně toho, které přichází skrze běžné nástroje z trhu; změřit vyspělost svého řízení na strukturovaném referenčním rámci; a převést zjištěné mezery na datovaný akční plán, navázaný na harmonogram, který se nakonec přijme. Ti, kdo měří už dnes, si zvolí vlastní tempo; ti, kdo čekají na konečný text, podlehnou tempu cizímu.

Náš katalog nabízí 19 referenčních rámců pro data a AI, od rámce řízení po specifické regulatorní požadavky. Harmonogram se ještě možná posune; vaši výchozí pozici ale můžete znát už teď.