Povinnosti se dělí do čtyř oblastí. Poskytovatelé AI systémů určených k přímé interakci s uživateli – chatbotů a virtuálních asistentů – musí zajistit, aby byli uživatelé informováni o tom, že komunikují s umělou inteligencí. Výjimka platí pouze tehdy, pokud je to z kontextu zřejmé průměrnému, dostatečně pozornému uživateli. Výjimka rovněž platí pro systémy zákonem pověřené odhalováním trestné činnosti.

Druhá oblast se týká syntetického obsahu. Poskytovatelé AI systémů generujících syntetická obrazová, zvuková, video nebo textová data musí zajistit strojově čitelné označení, že obsah byl uměle vytvořen nebo upraven. Tato povinnost dopadá zejména na modely a platformy pro generování obrázků, videí, hlasu a textu – tedy na nástroje, které jsou dnes masově využívány v komunikaci, marketingu i mediální produkci.

Třetí oblastí jsou deepfakes. Provozovatelé, kteří nasazují AI ke generování nebo úpravě obrazového, zvukového nebo video obsahu připomínajícího skutečné osoby nebo události, musí uživatele zřetelně informovat o tom, že jde o umělý nebo upravený obsah. Výjimky existují pro zákonem povolené využití v bezpečnostních a donucovacích účelech a pro umělecká nebo satirická díla – ta jsou povinnosti zveřejnění oproštěna, nicméně existenci umělé povahy obsahu musí stále uvádět.

Čtvrtou oblastí jsou systémy rozpoznávání emocí a biometrické kategorizace. Provozovatelé nasazující takové systémy jsou povinni o tom informovat dotčené osoby, a to v souladu s pravidly GDPR o informačních povinnostech.

Veškeré informace musí být poskytnuty „jasně a odlišitelně, nejpozději při prvním kontaktu nebo expozici" a musí splňovat požadavky na přístupnost.

Organizace, které mají GDPR compliance v pořádku, mají část práce hotovou – zejména u biometrických systémů a rozpoznávání emocí, kde se informační povinnosti GDPR (čl. 13 a 14) a AI Act překrývají. Nicméně AI Act jde v několika ohledech dál. GDPR ukládá informovat o zpracování osobních údajů; AI Act nově ukládá informovat i o samotné povaze systému jako takového – tedy i tam, kde zpracování osobních údajů neprobíhá nebo není primárním účelem. Povinnost strojově čitelného označování syntetického obsahu nemá v GDPR žádný ekvivalent a jde o zcela nový požadavek, který si vyžádá technickou implementaci.

Za porušení povinností transparentnosti podle čl. 50 AI Act hrozí pokuta až 15 milionů eur nebo 3 % celosvětového ročního obratu – bere se nižší z obou hodnot. AI Act je nařízení EU a platí přímo, bez nutnosti transpozice do českého práva. Pro české organizace z toho plyne, že neexistuje žádné přechodné období čekání na český zákon – povinnosti nastávají 2. srpna 2026 bez dalšího.

Praktickou komplikací je, že ČR dosud neurčila svůj národní příslušný orgán pro dozor nad AI Act. AI Act ukládá každému členskému státu jmenovat takový orgán; v Česku probíhají diskuse, zda tuto roli převezme Úřad pro ochranu osobních údajů, nebo zda vznikne nový specializovaný orgán. Tato nejistota organizacím neulehčuje přípravu – není jasné, kdo bude provádět kontroly a jak bude výkladová praxe vypadat. Je přesto nutné požadavky splnit: absence dozorce neznamená absenci povinnosti.

Evropská komise připravuje ve spolupráci s průmyslem Kodex postupů pro označování AI obsahu (Code of Practice on AI-generated content), jehož třetí a závazná verze se očekává v červnu 2026. Komise rovněž oznámila publikaci obecných pokynů ke transparentním AI systémům ve druhém čtvrtletí 2026. Pro organizace to znamená, že detailní výkladová pravidla budou zveřejněna teprve několik týdnů před datem účinnosti.

Přesto nelze čekat na finální pokyny. Základní požadavky jsou z textu nařízení dostatečně čitelné již nyní a organizace, které s implementací nezačaly, riskují, že nebudou schopny splnit povinnosti k 2. srpnu 2026. To platí zejména pro větší organizace, které provozují vlastní chatboty, interní generativní nástroje nebo zákaznická řešení s AI prvky – nasazení technického řešení pro označování obsahu nebo informační sdělení pro uživatele totiž zpravidla vyžaduje zapojení vývojových, právních i komunikačních týmů.

Prvním krokem je inventura AI nástrojů, které organizace provozuje nebo nasazuje, a posouzení toho, zda na ně dopadají povinnosti čl. 50. Zvláštní pozornost si zaslouží chatboty zákaznické podpory, nástroje pro generování marketingového obsahu, systémy pro zpracování hlasu nebo video a jakékoli nástroje schopné generovat nebo upravovat obsah zobrazující reálné osoby. Druhým krokem je příprava technického řešení pro strojově čitelné označování syntetického obsahu (watermarking nebo metadata) a uživatelsky srozumitelných upozornění. Třetím krokem je sledování Kodexu postupů a pokynů Komise, jejichž vydání se očekává do konce června 2026.

Nařízení EU

Herbert Smith Freehills Kramer

European Commission

Jones Day