AI Act: právní analýza AI systému – jak probíhá a kolik stojí

💡Downstream integrátor je firma, která integruje model AI pro obecné účely (tzv. GPAI model, např. GPT-4, Claude, Gemini) do vlastního produktu nebo služby. Touto integrací může získat postavení poskytovatele AI systému s plnou škálou compliance povinností.

3. Co se v analýze posuzuje

Právní analýza AI systému podle AI Actu (někdy označovaná také jako audit AI systému nebo posouzení shody AI) má jasně danou strukturu. Její rozsah se liší případ od případu, ale vždy pokrývá tyto klíčové oblasti:

3.1 Klasifikace rizik – jádro celé analýzy

AI Act rozlišuje čtyři úrovně rizika. Analýza systematicky prochází každou z nich a posuzuje, zda se na váš systém vztahuje:

Klasifikace není triviální. Jeden a tentýž systém může spadat do různých kategorií v závislosti na tom, kde a jak je nasazen. Překladač znakového jazyka je v běžné komunikaci systém s omezeným rizikem. Ale nasaďte ho na úřadě, kde překlad ovlivňuje přístup občana k veřejné službě, a rázem se pohybujete na hranici vysoce rizikového systému.

Proto je analýza vždy prováděna s ohledem na konkrétní zamýšlené účely a kontexty nasazení vašeho systému – ne „od stolu".

3.2 Posouzení zakázaných praktik

Prvním krokem je vyloučení, že váš systém nespadá mezi zakázané AI praktiky definované v článku 5 AI Actu. To jsou systémy, které EU považuje za nepřijatelné z hlediska základních práv — například podprahové manipulativní techniky, zneužívání zranitelnosti osob, sociální scoring nebo plošná biometrická identifikace na veřejných místech.

Zákazy platí od 2. února 2025, pokud jste si tímto testem dosud neprošli, měli byste to udělat co nejdříve.

3.3 Posouzení high-risk kategorií

Pokud systém není zakázaný, posuzujeme, zda spadá pod některou z osmi kategorií vysoce rizikových AI systémů uvedených v příloze III nařízení. Ty zahrnují mimo jiné biometrii, kritickou infrastrukturu, vzdělávání, zaměstnávání, přístup k veřejným službám, vymáhání práva, migraci a justici. Dále se jedná o systémy podléhající povinnosti posouzení shody.

Analýza prochází všech osm kategorií systematicky a ke každé uvádí, zda je relevantní pro váš systém a proč. To je důležité nejen pro vaši interní jistotu, ale i pro případnou komunikaci s dozorovým orgánem.

3.4 Výjimky z klasifikace

I systém, který formálně spadá pod kategorie vysoce rizikový, nemusí být finálně jako vysoce rizikový posouzen. AI Act obsahuje výjimku pro systémy, které plní úzce zaměřený procesní úkol, nepředstavují významné riziko a neslouží k profilování osob. Analýza posuzuje, zda se tato výjimka na váš případ vztahuje. Pokud ano, dokumentuje to způsobem, který obstojí při případné kontrole.

3.5 Povinnosti transparentnosti

I systémy s omezeným rizikem mají povinnosti. Musíte informovat uživatele, že komunikují s AI systémem. Pokud váš systém generuje syntetický obsah (text, obraz, video, hlas), musí být výstupy označeny ve strojově čitelném formátu. Pokud systém rozpoznává emoce nebo provádí biometrickou kategorizaci, musíte o tom uživatele informovat.

Analýza identifikuje, které konkrétní povinnosti transparentnosti se na váš systém vztahují, a navrhne, jak je implementovat.

3.6 Tréninková data a GDPR

Pokud váš AI systém pracuje s osobními údaji, ať už při tréninku modelu, nebo při provozu, analýza posuzuje i soulad s GDPR. Více o našich službách v oblasti ochrany osobních údajů na stránce Ochrana osobních údajů.

Zaměřujeme se zejména na:

• Právní základ pro zpracování tréninkových dat (souhlas, oprávněný zájem, plnění smlouvy)
• Potřebu provést DPIA (posouzení vlivu na ochranu osobních údajů) – u AI systémů je DPIA často povinná
• Licenční podmínky datasetů třetích stran – některé zdroje výslovně zakazují použití pro trénink AI
• Povinnosti informovat dotčené osoby o zpracování jejich dat

3.7 GPAI modely

Pokud váš systém využívá modely AI pro obecné účely (GPT, Claude, Gemini, Llama apod.), posuzujeme, zda se na vás jako downstream integrátora vztahují povinnosti z kapitoly V AI Actu a zda integrací modelu do vlastního produktu nezískáváte pozici poskytovatele s plnými compliance povinnostmi.

4. Jak analýza probíhá krok za krokem

Celý proces od první konzultace po předání hotové analýzy typicky trvá 1–4 týdny v závislosti na složitosti systému. Tady jsou jednotlivé kroky:

1. Úvodní konzultace – Projdeme váš systém, jeho účel, technickou architekturu a zamýšlené kontexty nasazení. Typicky 30–60 minut online. Tato schůzka je zdarma.
2. Dotazník a podklady – Zašleme vám strukturovaný dotazník pokrývající technický popis systému, zamýšlené účely, cílové uživatele, zpracování dat, obchodní model a regulatorní kontext. Čím konkrétnější odpovědi, tím přesnější analýza.
3. Právní analýza – Na základě podkladů provedeme komplexní klasifikaci systému podle AI Actu. Posoudíme zakázané praktiky, high-risk kategorie, výjimky, povinnosti transparentnosti, GDPR aspekty a povinnosti související s GPAI modely.
4. Compliance roadmapa – Navrhneme konkrétní krátkodobé, střednědobé a průběžné kroky, které musíte udělat pro dosažení souladu – včetně časového harmonogramu navázaného na deadliny AI Actu.
5. Návrhy textů a dokumentace – Podle rozsahu zakázky připravíme návrhy informačních textů pro koncové uživatele (transparentní povinnost dle čl. 50), disclaimer odpovědnosti a další dokumentaci potřebnou pro compliance.
6. Předání a follow-up – Analýzu předáme jako písemný dokument a projdeme ji s vámi na schůzce. Zodpovíme dotazy a domluvíme případné další kroky (implementace, DPIA, smluvní dokumentace, školení AI gramotnosti).

5. Co je výstupem – a co s ním dál

Výstupem právní analýzy AI systému je písemný právní dokument (typicky 15–25 stran), který obsahuje podrobnou argumentaci ke každé z posuzovaných high-risk kategorií a jasný klasifikační závěr. Konkrétně:

• Klasifikační závěr – do jaké ze 4 rizikových kategorií (nepřijatelné, vysoké, omezené, minimální) váš systém spadá a proč.
• Přehled povinností – konkrétní povinnosti (transparentnost, dokumentace, AI gramotnost, registrace apod.) s odkazy na relevantní články nařízení.
• Compliance roadmapa – krátkodobé kroky (do 3 měsíců), střednědobé (do 12 měsíců) a průběžné kroky, zasazené do časového harmonogramu AI Actu.
• Návrhy textů pro uživatele – informace o AI systému, disclaimer odpovědnosti, upozornění na omezení systému — texty připravené k implementaci.
• Doporučení k GDPR – posouzení potřeby DPIA, doporučení k tréninkovým datům a licenčním podmínkám datasetů.

S tímto dokumentem máte jasný obrázek o tom, kde stojíte a co musíte udělat. Pro většinu firem je analýza výchozím bodem – navazují na ni konkrétní implementační kroky:

• Příprava technické dokumentace pro high-risk systémy
• Provedení DPIA a posouzení vlivu na základní práva
• Nastavení obchodních smluv (licence, SaaS smlouvy) s ohledem na AI Act
• Školení AI gramotnosti pro tým
• Průběžný monitoring regulatorních změn

6. Časový harmonogram AI Actu

AI Act nabíhá postupně. Tady jsou klíčové milníky, které potřebujete znát:

• 1. srpna 2024 AI Act vstoupil v platnost.
• 2. února 2025 ✅ Zákaz nepřijatelných AI praktik (článek 5) a povinnost AI gramotnosti (článek 4). Již platí.
• 2. srpna 2025 Povinnosti pro GPAI modely (kapitola V). Týká se poskytovatelů modelů jako GPT, Claude apod. a downstream integrátorů.
• 2. srpna 2026 Hlavní vlna: povinnosti transparentnosti (článek 50), požadavky na vysoce rizikové systémy (příloha III), povinnosti provozovatelů, registrace, pokuty v plném rozsahu.
• 2. srpna 2027 Požadavky na vysoce rizikové systémy dle přílohy I (regulované produkty – zdravotnické prostředky, strojní zařízení apod.).

Do srpna 2026 zbývá méně než 5 měsíců. Pokud vyvíjíte nebo nasazujete AI systém, který může spadat pod přílohu III nebo pod povinnosti transparentnosti dle článku 50, je čas začít. Implementace compliance opatření trvá týdny až měsíce a čas teče.

7. Kolik analýza stojí a jak dlouho trvá

Rozsah (a tedy i cena) se liší podle složitosti systému, počtu zamýšlených kontextů nasazení a toho, zda potřebujete i navazující dokumentaci. Orientačně:

💡 Začněte nezávaznou konzultací zdarma. Řeknete nám o svém AI systému. My vám řekneme, co potřebujete udělat a kolik to bude stát.

Sjednat konzultaci zdarma