Akt o umělé inteligenci pro veřejné instituce: co připravit do prosince 2027

01Stav na podzim 2026

Akt o umělé inteligenci (otevře externí web), nařízení (EU) 2024/1689, vstoupil v platnost 1. srpna 2024 a uplatňuje se postupně. V červenci 2026 přijala EU nařízení (EU) 2026/1744 (otevře externí web), souhrnný balíček pro digitální oblast týkající se umělé inteligence (známý jako digitální omnibus pro AI), které odložilo pravidla pro vysoce rizikové systémy a změnilo řadu dalších ustanovení. V platnost vstoupilo 27. července 2026, několik dní před původním datem pro vysoce rizikové systémy.

Výsledkem je harmonogram, v němž některé povinnosti už platí, některé přijdou na konci tohoto roku a ty nejnáročnější pro veřejné instituce jako zavádějící subjekty následují v prosinci 2027.

Nařízení (EU) 2026/1744 také přepsalo článek 4 o gramotnosti v oblasti AI. Poskytovatelé a zavádějící subjekty nyní mají přijímat opatření na podporu gramotnosti svých zaměstnanců v oblasti AI, místo aby zajišťovali její dostatečnou úroveň. Povinnost zůstává; změnilo se, co musíte doložit. Školení přizpůsobené jednotlivým rolím a záznam o něm jsou dál rozumnou odpovědí.

02Poskytovatel, nebo zavádějící subjekt

Většina veřejných institucí, od ministerstev po krajské úřady a obce, je v roli zavádějícího subjektu: používá systém AI v rámci své pravomoci. Poskytovatelem jste, když systém AI vyvinete nebo si ho necháte vyvinout a uvedete ho do provozu pod vlastním jménem. To zahrnuje systémy postavené interně nebo dodavatelem podle vaší specifikace.

Role se také mohou změnit. Podle článku 25 přebírá povinnosti poskytovatele zavádějící subjekt, který vysoce rizikový systém podstatně změní, nebo změní jeho zamýšlený účel tak, že se systém stane vysoce rizikovým. Zamýšlené role uveďte v zadávací dokumentaci a ve smlouvách, aby je nikdo neobjevil až při auditu.

03Které případy užití jsou vysoce rizikové

Příloha III vyjmenovává oblasti, v nichž se systémy AI považují za vysoce rizikové. Pro veřejné instituce jsou nejdůležitější:

• Přístup k základním veřejným službám a dávkám: posuzování nároku a přiznávání, snižování, odnímání nebo vymáhání dávek a služeb.
• Migrace, azyl a ochrana hranic, vymáhání práva a výkon spravedlnosti.
• Vzdělávání a odborná příprava: přijímání, hodnocení výsledků učení, sledování při testech.
• Zaměstnávání: nábor, povyšování, přidělování úkolů a sledování zaměstnanců. Veřejné instituce jsou také zaměstnavatelé.
• Kritická infrastruktura: bezpečnostní komponenty při řízení a provozu digitální infrastruktury, silniční dopravy a dodávek vody, plynu, tepla a elektřiny.

Zařazení do oblasti přílohy III ještě není konec analýzy. Podle čl. 6 odst. 3 není systém v takové oblasti vysoce rizikový, pokud nepředstavuje významné riziko újmy, například protože plní úzce vymezený procesní úkol, zlepšuje výsledek práce, kterou už člověk dokončil, odhaluje vzorce, aniž by nahrazoval lidské posouzení, nebo plní přípravný úkol. Systém, který provádí profilování osob, je vysoce rizikový vždy. Pokud se na tuto výjimku spoléháte, zdokumentujte zdůvodnění.

Ilustrativní příklad: na úřadě obce s rozšířenou působností bude systém, který třídí došlá podání a navrhuje odpovědi, obvykle plnit přípravný úkol. Systém, který by posuzoval nárok na dávku nebo příspěvek, může být vysoce rizikový. Mnoho užitečných nástrojů vysoce rizikových vůbec není: podpora při psaní, interní vyhledávání ve znalostech, překlad, shrnování. I na ně se vztahují povinnosti transparentnosti a GDPR, ale ne režim vysoce rizikových systémů.

04Co musí dělat zavádějící subjekty vysoce rizikových systémů

Od 2. prosince 2027 má veřejná instituce, která zavádí vysoce rizikový systém z přílohy III, povinnosti podle článku 26 (otevře externí web). Hlavní z nich:

• Používat systém v souladu s návodem k použití od poskytovatele a s vhodnými technickými a organizačními opatřeními.
• Svěřit lidský dohled osobám s potřebnou odborností, školením a pravomocí a poskytnout jim podporu.
• Zajistit, aby vstupní data pod vaší kontrolou byla relevantní a dostatečně reprezentativní pro zamýšlený účel.
• Sledovat provoz a bez zbytečného odkladu informovat poskytovatele a orgány o rizicích a závažných incidentech.
• Uchovávat automaticky generované protokoly nejméně šest měsíců, pokud právo Unie nebo vnitrostátní právo nestanoví jinak.
• Před nasazením vysoce rizikového systému na pracovišti informovat zástupce zaměstnanců a dotčené zaměstnance.
• Jako orgán veřejné moci zaregistrovat použití systému v databázi EU před jeho nasazením (čl. 26 odst. 8 a článek 49). Neregistrovaný systém se nesmí používat.
• Informovat lidi, když se vysoce rizikový systém používá k rozhodování o nich nebo jako pomoc při něm (čl. 26 odst. 11). Lidé mají také právo na vysvětlení jednotlivých rozhodnutí (článek 86).

Posouzení dopadu na základní práva

Podle článku 27 (otevře externí web) provádějí subjekty veřejného práva a soukromé organizace poskytující veřejné služby posouzení dopadu na základní práva před prvním použitím většiny systémů z přílohy III. Výjimkou jsou systémy pro kritickou infrastrukturu. Posouzení popisuje:

1. 01procesy, v nichž se systém bude používat v souladu se svým zamýšleným účelem;
2. 02dobu a četnost použití;
3. 03kategorie osob a skupin, kterých se použití pravděpodobně dotkne;
4. 04konkrétní rizika újmy pro tyto osoby;
5. 05jak je zajištěn lidský dohled;
6. 06co se stane, pokud se rizika naplní, včetně vnitřního řízení a mechanismů pro stížnosti.

Výsledky oznamujete orgánu dozoru nad trhem. Posouzení doplňuje posouzení vlivu na ochranu osobních údajů podle článku 35 GDPR (otevře externí web) a může na něm stavět, proto obě dělejte společně. Podle čl. 27 odst. 5 vypracuje úřad pro AI vzor dotazníku; než navrhnete vlastní, ověřte, v jakém je stavu. Některé země už vlastní metody mají, například metodiku nizozemské vlády Impact Assessment Mensenrechten en Algoritmes (IAMA).

05Povinnosti transparentnosti, které už platí

Od 2. srpna 2026 se uplatňuje článek 50. Poskytovatelé musí systémy, které komunikují s lidmi, navrhnout tak, aby lidé věděli, že jednají se systémem AI, pokud to není zřejmé, a syntetický obsah musí strojově čitelně označovat. Zavádějící subjekty musí zveřejnit, že jde o deep fake, a označit text vytvořený nebo upravený pomocí AI, který se zveřejňuje za účelem informování veřejnosti o věcech veřejného zájmu, pokud ho nezkontroloval člověk a nenese za něj někdo redakční odpovědnost.

Pro veřejnou instituci je nejčastějším případem chatovací asistent na webu nebo v kanálu pro klienty úřadu. Jasně uveďte, že jde o systém AI, vysvětlete, s čím umí a s čím neumí pomoci, a nabídněte cestu k člověku.

06Plán přípravy na roky 2026 a 2027

1. 01Soupis, hned. Sepište každý systém AI v provozu nebo v zadávacím řízení, včetně funkcí AI v platformách, které už licencujete. Zaznamenejte vlastníka, účel, poskytovatele, použitá data a dotčené osoby.
2. 02Klasifikace, do začátku roku 2027. Zakázané, vysoce rizikové (se zdokumentovaným zdůvodněním podle čl. 6 odst. 3), jen povinnosti transparentnosti, nebo minimální riziko. U každého systému zaznamenejte svou roli poskytovatele, nebo zavádějícího subjektu.
3. 03Úprava smluv, během roku 2027. Žádejte od poskytovatelů návod k použití, dokumentaci o shodě a přístup k protokolům. Podporu pro vaše posouzení dopadu a hlášení incidentů udělejte smluvní povinností.
4. 04Návrh dohledu. Pojmenujte role, proškolte je, dejte jim pravomoc rozhodnutí systému změnit a cestu eskalace. Navrhujte s ohledem na zkreslení způsobené automatizací; jak na to, ukazuje náš článek Kde AI agenti potřebují schválení člověkem.
5. 05Logování a monitoring. Protokoly uchovávejte nejméně šest měsíců, určete, co je závažný incident a kdo ho hlásí.
6. 06Před prvním použitím. Proveďte posouzení dopadu na základní práva spolu s posouzením vlivu na ochranu osobních údajů (DPIA), zaregistrujte systém v databázi EU a informujte zaměstnance i dotčené osoby.
7. 07Průběžná gramotnost. Školení podle rolí pro uživatele, posuzovatele a rozhodující osoby, obnovované při změně systémů, se záznamem, kdo byl proškolen.

07Dozor v Česku a sankce

Pravidla pro sankce stanoví členské státy. Čl. 99 odst. 8 nechává na každém členském státu, zda a do jaké míry lze ukládat správní pokuty orgánům veřejné moci a veřejným subjektům usazeným v tomto státě; jak se k tomu postaví české právo, ověřte. To ale není důvod čekat. Orgány dozoru nad trhem mohou i tak požadovat nápravná opatření a legitimita veřejného rozhodnutí závisí na tom, zda ho lze vysvětlit a napadnout.

V Česku je zamýšleným hlavním orgánem dozoru nad trhem podle aktu o umělé inteligenci Český telekomunikační úřad (ČTÚ) (otevře externí web), který 1. září 2026 otevřel útvar pro dozor nad AI; stav na podzim 2026. Formální určení orgánů dozoru v českém právu a jejich první metodiku pro veřejné instituce sledujte průběžně.

08Co sledovat v příštích měsících

• Pokyny Komise ke klasifikaci vysoce rizikových systémů (čl. 6 odst. 5) a její stávající pokyny k zakázaným praktikám (otevře externí web).
• Harmonizované normy pro požadavky na vysoce rizikové systémy, kterými budou poskytovatelé dokládat shodu.
• Formální určení orgánů dozoru nad trhem v Česku a první metodiku ČTÚ pro veřejné instituce jako zavádějící subjekty.
• Vzor dotazníku úřadu pro AI pro posouzení dopadu na základní práva.

AI Act Service Desk (otevře externí web) Evropské komise udržuje aktuální oficiální harmonogram a vysvětlení k jednotlivým článkům. Uložte si ho do záložek a každou interní poznámku o aktu datujte: tento text se stále vyvíjí.