Kontrolní seznam souladu s EU AI Act: průvodce FAQ krok za krokem

Kontrolní seznam souladu s EU AI Act formou otázek a odpovědí: rozsah, zbývající lhůty, klasifikace rizika, zakázané praktiky, GPAI, shoda vysoce rizikových systémů a rozdělení povinností mezi poskytovatele a provozovatele.

Tento průvodce odpovídá na otázky souladu v pořadí, v jakém skutečně přicházejí: dosáhne na mě nařízení, co mě váže už dnes, které z mých systémů jsou vysoce rizikové, co musím předložit a kolik stojí chyba. Každá odpověď je ukotvena v právním základu citovatelném ve vnitřní zprávě.

Kdo musí tímto seznamem projít?

Každá organizace, která vyvíjí, provozuje, dováží nebo distribuuje systém AI používaný v EU — bez ohledu na to, kde je usazena. Čl. 2 dosahuje na poskytovatele a provozovatele ze třetích zemí, jakmile se výstup systému používá v Unii: americký dodavatel SaaS s evropskými zákazníky spadá do působnosti stejně jako česká banka.

Čtyři otázky určují váš soubor povinností a všechny čtyři jsou potřeba, než seznam získá smysl:

Poslední řádek uniká většině inventur. Povinnosti transparentnosti dopadají na systémy, které vysoce rizikové vůbec nejsou: chatbot zákaznické podpory dnes nese povinnost, aniž by nesl cokoli z břemene shody, jemuž se věnuje zbytek tohoto seznamu.

Co vás váže už dnes a co teprve přijde?

Pět dat použitelnosti již uplynulo; hlavní práce na shodě připadá na prosinec 2027. Následující data odpovídají datové sadě lhůt, kterou tento web publikuje a která zohledňuje odklady provedené nařízením (EU) 2026/1744.

Digital Omnibus posunul čtyři z těchto dat a přepsal čl. 4; úplný rejstřík před/po je publikován na /changes/. Neodstranil žádnou povinnost a nevytvořil výjimku, takže program postavený na původních datech zůstává správným programem — má jen delší rozběh.

Krok 1 — Je vaše inventura AI úplná?

Bez úplné inventury není nic z následujícího obhajitelné. Založte registr všech systémů AI, jichž se organizace dotýká:

• Systémy, které vyvíjíte a prodáváte nebo licencujete (jste poskytovatel)
• Systémy, které nakupujete nebo licencujete a používáte interně (jste provozovatel)
• Systémy vestavěné do výrobků, které vyrábíte nebo dovážíte
• Systémy, k nimž přistupujete přes API třetích stran (cloudová AI, API základových modelů)

U každého: název, funkce, vstupní a výstupní data, kontext užití, dopad rozhodnutí a dotčené osoby. Označte systémy s nejistou klasifikací — vyžadují právní posouzení, nikoli inženýrskou odpověď.

Dvě kategorie se systematicky podhodnocují: funkce AI dodávané v nástrojích SaaS, které firma už platí, a modely postavené jednotlivými týmy mimo nákupní proces. Vyžádejte si od financí seznam dodavatelů a od vývoje registr modelů; sjednocení obou je blíže pravdě než každý zvlášť.

Krok 2 — Neprovozujete už něco nezákonného?

Projděte čl. 5 před jakoukoli klasifikací rizika, protože zakázaný systém nelze uvést do souladu. Porovnejte každý systém se seznamem:

• Podprahové, manipulativní nebo klamavé techniky podstatně narušující chování
• Zneužívání zranitelnosti dané věkem, zdravotním postižením nebo sociální či ekonomickou situací
• Sociální skórování vedoucí k nepříznivému zacházení v nesouvisejících kontextech
• Necílené získávání obličejových snímků k budování rozpoznávacích databází
• Odvozování emocí na pracovišti nebo ve vzdělávání
• Biometrická kategorizace k odvození citlivých charakteristik
• Biometrická identifikace na dálku v reálném čase na veřejných prostranstvích pro vymáhání práva

→ Vyřadit nebo od základu přepracovat. Tyto zákazy platí od 2. února 2025 a spadají do sankční hladiny 35 milionů EUR / 7 %. Průvodce zakázanými praktikami rozebírá úzké výjimky u každého z nich.

Od 2. prosince 2026 přibývá zákaz systémů generujících materiály zobrazující sexuální zneužívání dětí nebo intimní snímky bez souhlasu.

Krok 3 — Jste poskytovatelem obecného modelu?

Pokud organizace vyvíjí a zveřejňuje základový model, povinnosti kapitoly V platí od 2. srpna 2025. Tři testy:

• Je model trénován samoučením ve významném rozsahu?
• Zvládá kompetentně široké spektrum různých úloh?
• Je zpřístupněn dalším subjektům, místo aby byl užíván čistě interně?

Pokud ano: dokumentace modelu pro Úřad pro AI a pro navazující poskytovatele, politika autorského práva a dostatečně podrobné veřejné shrnutí trénovacího obsahu. Nad 10²⁵ FLOPs trénovacího výpočtu se předpokládá systémové riziko, což přidává hodnocení modelu, adverzní testování, hlášení incidentů a kybernetickou bezpečnost. Viz průvodce povinnostmi GPAI.

Od 2. srpna 2026 vymáhá tuto kapitolu přímo Komise — nikoli vnitrostátní orgány — s pokutami až 15 milionů EUR nebo 3 %.

Krok 4 — Které z vašich systémů jsou vysoce rizikové?

Klasifikujte podle přílohy III a přílohy I, použijte filtr čl. 6 odst. 3 a výsledek zapište. Příloha III uvádí osm samostatných kategorií: biometrika, kritická infrastruktura, vzdělávání a odborná příprava, zaměstnanost a řízení pracovníků, přístup k základním soukromým a veřejným službám, vymáhání práva, migrace a ochrana hranic a výkon spravedlnosti. Příloha I zachycuje AI působící jako bezpečnostní prvek výrobku, který již reguluje unijní právo bezpečnosti výrobků.

Výjimka podle čl. 6 odst. 3 uvolňuje systém, který sice spadá do kategorie přílohy III, ale nepředstavuje významné riziko: úzký procedurální úkol, zlepšení výsledku dokončené lidské činnosti, odhalování rozhodovacích vzorců bez nahrazení lidského posouzení nebo čistě přípravná práce. Nikdy neplatí při profilování fyzických osob. Posouzení je nutné zdokumentovat před uvedením na trh a registrační povinnost trvá.

Rozhodnutí o klasifikaci jsou nejčastěji kontrolovaným artefaktem tohoto seznamu. Zaznamenejte zvažovanou kategorii, úvahu, důkazy, datum a odpovědnou osobu.

Krok 5 — Jste poskytovatel, nebo provozovatel?

Role určuje asi 80 % zátěže a nákupní smlouva ji nefixuje. Čl. 25 z vás činí poskytovatele vysoce rizikového systému, který jste nepostavili, pokud na něj umístíte své jméno či známku, podstatně jej změníte nebo jej přesměrujete tak, že se stane vysoce rizikovým. Doladění dodavatelského modelu na vlastních datech a jeho dodání pod vlastní značkou je běžnou cestou, jak zdědit nerozpočtované povinnosti poskytovatele.

Průvodce poskytovatel vs. provozovatel rozebírá hraniční případy včetně dovozců a distributorů, kteří nesou ověřovací, nikoli shodové povinnosti.

Kroky 6–10 — Co program pro vysoké riziko vlastně vytváří?

Šest artefaktů v pořadí závislostí. Každý je vstupem pro další, a proto program, který začíná dokumentací a postupuje zpět k řízení, uvázne.

1. Systém řízení kvality (čl. 17) — politiky, odpovědnosti, řízení změn, správa dat, monitorování po uvedení na trh a postupy pro incidenty. Na to se orgán dozoru nad trhem zeptá první.
2. Záznamy o řízení rizik (čl. 9) — iterativní cyklus identifikace, odhadu a zmírňování vedený po celý životní cyklus, nikoli odsouhlasený jednou.
3. Doklady o správě dat (čl. 10) — původ, reprezentativnost, přezkoumání a zmírnění zkreslení u trénovacích, validačních a testovacích sad.
4. Technická dokumentace podle přílohy IV — soubor popsaný v průvodci technickou dokumentací, včetně zkoušek vůči požadavkům na přesnost, robustnost a kybernetickou bezpečnost podle čl. 15.
5. Posouzení shody a prohlášení — vlastní posouzení podle přílohy VI nebo oznámený subjekt tam, kde to vyžaduje biometrika či výrobkové předpisy přílohy I. Viz průvodce posouzením shody.
6. Registrace, označení CE a monitorování — zápis do databáze EU před uvedením na trh, označení CE na dokumentaci a poté plán monitorování po uvedení na trh a hlášení závažných incidentů podle čl. 73.

Miřte na 2. prosince 2027 u samostatných systémů přílohy III a na 2. srpna 2028 u vestavěných systémů přílohy I. Realistický program pro jediný vysoce rizikový systém trvá 12 až 24 měsíců: start na konci roku 2026 se do okna vejde bez rezervy a kapacita oznámených subjektů se s blížícím se termínem bude zužovat.

Co když používáte jen cizí AI?

Jste provozovatel a váš seznam je krátký, ale ne prázdný. Zde stojí většina organizací: žádný vlastní model, tucet funkcí AI konzumovaných přes SaaS a API.

• Gramotnost (čl. 4) platí nyní, pro každého provozovatele a na každé úrovni rizika.
• Transparentnost (čl. 50) platí nyní pro to, co vidí vaši uživatelé: informace o chatbotu, označování deepfake, označování generovaných textů zveřejněných k informování veřejnosti.
• Povinnosti provozovatele (čl. 26) začnou platit 2. prosince 2027 všude tam, kde případ užití spadá do kategorie přílohy III — výběr uchazečů, úvěrová rozhodnutí, řízení pracovníků.
• Čl. 25 je past: v okamžiku přeznačení nebo podstatné změny dědíte soubor poskytovatele.

Praktickým nástrojem kontroly je prověrka dodavatele: získat prohlášení o shodě, návod k použití a informace, které čl. 13 poskytovateli ukládá poskytnout. Průvodce AI třetích stran upřesňuje, co smluvně vyžadovat.

Co se mění podle odvětví?

Povinnosti jsou totožné; výsledky klasifikace a překrývající se režimy nikoli.

• Finanční služby — úvěrové skórování a stanovování cen pojištění spadají do přílohy III a provozovatel tam dluží posouzení dopadů podle čl. 27. Řízení rizik ICT podle DORA částečně naplňuje článek o řízení rizik, ale nepokrývá správu dat specifickou pro AI ani lidský dohled. Navrhněte jediný tok hlášení, který naplní čl. 19 DORA i čl. 73 AI Act. Viz průvodce finančním sektorem a průvodce konvergencí DORA / NIS2.
• Zdravotnictví a zdravotnické prostředky — AI jako bezpečnostní prvek prostředku podle MDR/IVDR spadá do přílohy I, použitelné od 2. srpna 2028. Stávající technická dokumentace a systém kvality ISO 13485 tvoří základ a musí být rozšířeny o požadavky kapitoly III; váš oznámený subjekt potřebuje samostatné jmenování podle AI Act.
• HR a nábor — kategorie zaměstnanosti přílohy III. Přezkoumání zkreslení podle čl. 10 je hlavní expozicí, transparentnost vůči uchazečům je povinností provozovatele a žádné konečné personální rozhodnutí nesmí spočívat na systému bez člověka schopného jej zvrátit.
• Veřejný sektor — posouzení dopadů je povinné a provozovatelé registrují své užití systémů přílohy III v databázi EU.

Odvětvoví průvodci probírají devět odvětví ve stejné struktuře.

Kolik stojí nesoulad?

Tři hladiny a pro běžný podnik je nejdůležitější ta prostřední. Čl. 99 stanoví 35 milionů EUR nebo 7 % celosvětového obratu za zákazy podle čl. 5, 15 milionů nebo 3 % za většinu ostatních povinností — včetně transparentnosti podle čl. 50 a celého bloku vysokého rizika — a 7,5 milionu nebo 1 % za zavádějící informace poskytnuté orgánům. Malé a střední podniky jsou omezeny nižší částkou.

Třetí hladina si zaslouží pozornost neúměrnou své výši: trestá špatnou odpověď regulátorovi nezávisle na jakémkoli podkladovém porušení. Právě dokumentace mění obhajitelnou pozici v prokazatelnou. Průvodce sankcemi rozvádí výpočet expozice.

Co udělat v následujících 90 dnech

1. Uzavřít mezeru v inventuře — seznam dodavatelů z financí ∪ registr modelů z vývoje.
2. Protáhnout celý park filtrem čl. 5. Je to jediný krok s již účinnou hladinou 7 %.
3. Nasadit informace podle čl. 50 na vše, co míří k uživateli; povinnost platí, nikoli teprve nastane.
4. Doložit gramotnost podle čl. 4: kdo byl školen, na co a kdy. Průvodce gramotností v oblasti AI upřesňuje, co přepsaný článek vyžaduje.
5. Klasifikovat kandidáty přílohy III a zapsat úvahu včetně rozhodnutí podle čl. 6 odst. 3.
6. U každého potvrzeného vysoce rizikového systému spustit systém řízení kvality. Prosinec 2027 je omezením a fronta u oznámených subjektů je před vámi, nikoli za vámi.

Pracovní šablony pro inventuru, registr rizik, technickou dokumentaci a prověrku dodavatelů najdete v sadách nástrojů pro soulad; Akademie AI Act pokrývá stejné území jako strukturované školení s certifikací.