AI Act v praxi: čo musí splniť firma, ktorá AI iba používa

Pri európskom nariadení o umelej inteligencii ľahko zaznie: AI nevyvíjame, len ju používame, takže sa nás to netýka. Nie je to presné. AI Act, úradne akt o umelej inteligencii, teda nariadenie (EÚ) 2024/1689, rozdeľuje povinnosti medzi tých, ktorí systémy AI vyvíjajú, a tých, ktorí ich používajú. Používatelia ich majú menej, no nie žiadne.

Modelový príklad: rovnaký jazykový model môže v jednej firme písať newsletter, kde sa uplatní najmä AI gramotnosť, a v inej triediť uchádzačov, kde sa od 2. 12. 2027 môže uplatniť prísny režim pre vysokorizikové systémy. AI Act povinnosti totiž neukladá podľa nástroja, ale podľa roly firmy a účelu použitia. Text opisuje stav overený k 16. 9. 2026 a nie je právnym poradenstvom pre konkrétny prípad.

Prečo „nevyvíjame AI“ neznamená „netýka sa nás to“

Prvým zdrojom omylu sú pravidlá pre modely AI na všeobecné účely, teda veľké modely, na ktorých stoja aplikácie ako ChatGPT. Týkajú sa poskytovateľov modelov, no kto model zapojí do vlastného systému AI, napríklad do zákazníckeho chatbota pod svojou značkou, musí podľa Komisie plniť príslušné povinnosti pre systémy AI.

Druhým je prehliadnutá definícia. Nasadzujúci subjekt je každý, kto systém AI používa v rámci svojej právomoci, okrem osobnej neprofesionálnej činnosti, teda spravidla aj firma, ktorej zamestnanci AI používajú pri práci. Je to bežná situácia: podľa Eurostatu z podnikov v EÚ s 10 a viac zamestnancami mimo finančného sektora, ktoré v roku 2024 používali AI, takmer 58 % využívalo komerčný softvér pripravený na použitie a necelých 22 % AI vyvinutú vlastnými zamestnancami.

Čo platí k 16. 9. 2026 a od kedy

Akt o AI nadobudol účinnosť 1. 8. 2024 a uplatňuje sa postupne. Harmonogram a niektoré povinnosti zmenilo nariadenie (EÚ) 2026/1744, známe ako Digital Omnibus on AI, účinné od 27. 7. 2026. Nejde o návrh, ale o platné a účinné právo. Termíny pre firmy:

• 2. 2. 2025: zákazy neprijateľných praktík a AI gramotnosť, tá od 27. 7. 2026 v zmiernenom znení.
• 2. 8. 2025: pravidlá pre poskytovateľov modelov AI na všeobecné účely.
• 2. 8. 2026: pravidlá transparentnosti a začiatok presadzovania aktu orgánmi členských štátov a Úradom pre AI pri Komisii.
• 2. 12. 2026: nové zákazy AI, ktorá vytvára materiál zobrazujúci sexuálne zneužívanie detí alebo intímny či sexuálne explicitný obsah s identifikovateľnou osobou bez jej súhlasu, a koniec prechodného obdobia na strojovo čitateľné označovanie obsahu pri generatívnych systémoch uvedených na trh pred 2. 8. 2026.
• 2. 12. 2027: pravidlá pre vysokorizikové systémy z citlivých oblastí v prílohe III, napríklad nábor či hodnotenie úverovej bonity.
• 2. 8. 2028: pravidlá pre vysokorizikové systémy v regulovaných výrobkoch podľa prílohy I.

Digital Omnibus on AI nezamieňajte so samostatným návrhom Digital Omnibus Regulation o dátach, GDPR a cookies, ktorý bol podľa Európskeho parlamentu k 1. 8. 2026 iba predložený, a teda firmám nič neukladá. Na Slovensku vláda 26. 8. 2026 schválila návrh zákona, podľa ktorého má byť všeobecným orgánom dohľadu nad trhom s AI Ministerstvo investícií, regionálneho rozvoja a informatizácie SR (MIRRI). Účinnosť sa plánuje od 1. 1. 2027, k dátumu overenia teda nový zákon ešte nie je účinný.

Poskytovateľ, nasadzujúci subjekt a kedy sa roly vymenia

Poskytovateľ systém AI alebo model AI na všeobecné účely vyvíja alebo si ho dá vyvinúť a uvádza ho na trh či do prevádzky pod vlastným menom alebo ochrannou známkou. Modelový príklad: vývojár nástroja na triedenie životopisov je poskytovateľ a podnik, ktorý si nástroj predplatí, je nasadzujúci subjekt.

Rolu však neurčuje iba zmluva, ale najmä to, čo s AI robíte. Podľa čl. 25 sa poskytovateľom vysokorizikového systému stáva aj ten, kto naň dá svoje meno alebo ochrannú známku, podstatne ho zmení alebo zmení účel iného systému, vrátane systému AI na všeobecné účely, tak, že sa stane vysokorizikovým. Modelový príklad: personálne oddelenie začne všeobecného chatbota systematicky používať na hodnotenie uchádzačov a firma sa tým môže dostať do roly poskytovateľa.

Štyri úrovne rizika na príkladoch

AI Act povinnosti odvodzuje aj od toho, do ktorej zo štyroch úrovní rizika patrí konkrétne použitie.

• Neprijateľné riziko, teda zakázané praktiky. Zakázané je napríklad odvodzovať emócie ľudí na pracovisku, okrem zdravotných alebo bezpečnostných dôvodov. Modelový príklad: call centrum nasadí doplnok, ktorý z hlasu operátorov vyhodnocuje ich emócie.
• Vysoké riziko. Vysokorizikový systém AI môže významne zasiahnuť do zdravia, bezpečnosti alebo základných práv ľudí. Patrí sem napríklad AI na nábor, prideľovanie úloh podľa správania či osobných čŕt, hodnotenie výkonu zamestnancov alebo úverovej bonity fyzických osôb. Výnimkou môže byť napríklad úzko vymedzená procedurálna alebo prípravná úloha bez významného rizika, nikdy však profilovanie fyzických osôb. Modelový príklad: e-shop nechá AI hodnotiť bonitu zákazníkov, ktorým ponúka nákup na splátky.
• Riziko transparentnosti. Ľudia majú v určených prípadoch vedieť, že ide o AI. Modelový príklad: firemné video, v ktorom AI napodobní tvár a hlas konateľa.
• Minimálne riziko. Akt preň nezavádza osobitné pravidlá, AI gramotnosť však platí aj tu. Podľa Komisie sem patrí prevažná väčšina systémov AI používaných v EÚ, napríklad spamové filtre.

Čo musí urobiť bežná firma

AI gramotnosť: podporovať, nie certifikovať

AI gramotnosť sú zručnosti, vedomosti a pochopenie potrebné na informované používanie AI. Podľa čl. 4 v znení od 27. 7. 2026 poskytovatelia aj nasadzujúce subjekty „prijmú opatrenia na podporu rozvoja gramotnosti v oblasti AI“ zamestnancov a ďalších osôb, ktoré AI používajú v ich mene, bez povinnosti zaručiť konkrétnu úroveň. Podľa Komisie sa to týka aj firmy, ktorej ľudia píšu v ChatGPT reklamné texty, a zamestnanci majú poznať napríklad riziko halucinácií, teda presvedčivo podaných nepravdivých výstupov. Nejde o formalitu: v globálnom dotazníkovom prieskume KPMG a University of Melbourne 66 % zamestnancov používajúcich AI uviedlo, že sa na jej výstup spoliehajú bez overenia, a 56 % urobilo v práci chybu v dôsledku AI. Certifikát ani funkcia typu AI officer sa podľa Komisie nevyžadujú, firma môže viesť internú evidenciu školení.

Transparentnosť voči ľuďom

Pravidlá podľa čl. 50 platia od 2. 8. 2026. Pri chatbotoch musí informovanie o AI zabezpečiť poskytovateľ, pri kúpenom riešení to teda overte u dodávateľa a pri chatbote postavenom pod vašou značkou je to vaša povinnosť. Nasadzujúci subjekt musí informovať ľudí vystavených rozpoznávaniu emócií alebo biometrickej kategorizácii a označiť deep fake, teda obraz, zvuk alebo video od AI, ktoré napodobňuje skutočné osoby či udalosti a mohlo by pôsobiť ako pravé. Ak AI vytvorí alebo upraví text na informovanie verejnosti o veciach verejného záujmu, treba to zverejniť, pokiaľ text neprešiel ľudskou alebo redakčnou kontrolou s redakčnou zodpovednosťou.

Vysokorizikové systémy: nábor a úvery

Pri vysokorizikových systémoch z prílohy III platia od 2. 12. 2027 povinnosti nasadzujúcich subjektov podľa čl. 26 a 27. Na systémy uvedené na trh alebo do prevádzky pred týmto dátumom sa vzťahujú až po ich významnej zmene dizajnu. Nasadzujúci subjekt musí najmä:

• používať systém podľa návodu a prideliť ľudský dohľad ľuďom so spôsobilosťou a právomocou,
• ak má kontrolu nad vstupnými údajmi, dbať na ich relevantnosť a reprezentatívnosť,
• sledovať prevádzku, pri riziku informovať poskytovateľa a orgán dohľadu nad trhom a používanie pozastaviť, závažný incident nahlásiť,
• uchovávať automaticky generované záznamy pod svojou kontrolou aspoň šesť mesiacov, ak osobitné predpisy neurčujú inak,
• pred nasadením na pracovisku informovať zástupcov pracovníkov a dotknutých pracovníkov,
• informovať ľudí, o ktorých systém rozhoduje alebo pomáha rozhodovať,
• pri hodnotení úverovej bonity fyzických osôb, pri hodnotení rizika a stanovovaní cien v životnom a zdravotnom poistení alebo ak firma poskytuje verejné služby, urobiť pred nasadením posúdenie vplyvu na základné práva, teda rozbor možných škôd pre ľudí, a výsledok oznámiť orgánu dohľadu nad trhom.

Kde sa akt o AI stretáva s GDPR

Akt o AI GDPR nenahrádza: ak systém pracuje s osobnými údajmi, platia oba predpisy. Podľa zmeneného čl. 27 môže nasadzujúci subjekt vysokorizikového systému v posúdení vplyvu na základné práva odkázať na posúdenie vplyvu na ochranu údajov alebo z neho prevziať časti, ktorými už povinnosti splnil. Rovnakú analýzu tak netreba robiť dvakrát.

Pri bežných nástrojoch sledujte aj vstupy: podľa spomínaného prieskumu KPMG takmer polovica zamestnancov priznala používanie AI v rozpore s firemnými pravidlami vrátane nahrávania citlivých firemných informácií do bezplatných verejných nástrojov. Ako nastaviť oprávnenia a obmedziť dáta posielané modelom, rozoberáme v článku AI vo firme bez chaosu.

Sankcie: stropy, nie sadzby

Maximálne pokuty majú tri stupne a spravidla platí vyššia z dvoch súm:

• porušenie zákazov: do 35 mil. EUR alebo 7 % celosvetového ročného obratu,
• porušenie ďalších povinností, napríklad nasadzujúcich subjektov podľa čl. 26 či transparentnosti podľa čl. 50: do 15 mil. EUR alebo 3 %,
• nesprávne, neúplné alebo zavádzajúce informácie orgánom: do 7,5 mil. EUR alebo 1 %.

Pri malých a stredných podnikoch (MSP) platí nižšia z hodnôt, pri malých podnikoch so strednou trhovou kapitalizáciou, ktoré už nie sú MSP, to isté v druhom a treťom stupni. Omnibus výšky stropov nezmenil. O konkrétnej pokute rozhoduje orgán podľa okolností, napríklad závažnosti a trvania porušenia, veľkosti firmy či spolupráce s orgánmi (čl. 99 ods. 7). Za AI gramotnosť akt výšku pokuty neurčuje, sankcie upravia vnútroštátne zákony a podľa Komisie sú pravdepodobnejšie, ak k incidentu dôjde pre nedostatočné školenie.

Praktický postup v štyroch krokoch

Pri minimálnom riziku netreba špeciálny softvér ani veľký projekt, často stačí tabuľka, jasné pravidlá a krátke školenie. Prvú orientáciu ponúka AI Act Service Desk Európskej komisie a pre malé a stredné podniky podľa Komisie aj európske centrá digitálnych inovácií.

1. Inventúra vrátane tieňovej AI. Tieňová AI je používanie nástrojov AI bez vedomia alebo schválenia firmy. Akt o AI tento pojem nepozná, do inventúry však patrí rovnako ako funkcie AI v softvéri, ktorý už máte. Keďže v prieskume KPMG 57 % zamestnancov používajúcich AI uviedlo, že jej používanie skrýva, pomôže anonymný dotazník. Nepotrebné nástroje vyraďte skôr, než ich začnete dokumentovať; prečo AI nemá zrýchľovať zbytočné kroky, vysvetľujeme v článku AI nezachráni zlý proces.
2. Klasifikácia a záznam. Pri každom použití určite rolu a úroveň rizika a zapíšte účel, dátum posúdenia a zodpovednú osobu, inak inventúra rýchlo zastará. Zakázané použitia vypnite hneď a vysokorizikové dajte podrobne posúdiť.
3. Pravidlá a školenie. Určite schválené nástroje, zakázané dáta a situácie, keď treba výstup overiť alebo označiť. Školenie prispôsobte rolám a evidujte ho.
4. Kontrola dodávateľov. Zistite zamýšľaný účel systému, či ho dodávateľ považuje za vysokorizikový, aký návod na použitie poskytne a ako rieši informovanie ľudí a označovanie obsahu. Odpovede premietnite do zmluvy.

Čo si z toho zobrať

• Ak AI vo firme používate, ste spravidla nasadzujúci subjekt a niektoré AI Act povinnosti sa vás týkajú už dnes, najmä AI gramotnosť a v určených prípadoch transparentnosť.
• Rozsah povinností určuje rola a účel použitia, nie značka nástroja. Vlastná značka, podstatná úprava alebo nový účel môžu z používateľa urobiť poskytovateľa.
• Povinnosti pri nábore či hodnotení úverovej bonity sa uplatnia od 2. 12. 2027, inventúru, pravidlá a školenie sa však oplatí pripraviť už teraz, keďže AI gramotnosť platí od 2. 2. 2025.
• Skôr než kúpite nástroj na súlad, zistite, čo a na aký účel naozaj používate.
• Stav je overený k 16. 9. 2026, preto termíny a slovenskú úpravu dohľadu pred rozhodnutím overte.