Nasadili jste AI chatbota. A smíte to vůbec? | Mňamka #559

Říjen 13, 2026

Scénář, který známe z praxe: firma nadšeně nasadí AI chatbota na web nebo do zákaznické podpory, všechno šlape - a pak přijde e-mail od právníka nebo od CEO: „a máme to vůbec ošéfované s tou evropskou regulací?" Dobrá zpráva je, že pro většinu firem je odpověď jednodušší, než se bojí. Pojďme si to přeložit do lidštiny.

AI Act v kostce

Evropský AI Act platí od srpna 2024 a nabíhá po fázích (zákazy nejrizikovějších praktik už od února 2025, pravidla pro velké obecné modely od srpna 2025). Funguje na principu rizika - čím víc může AI systém ublížit, tím víc povinností. Jsou čtyři kategorie:

  • Nepřijatelné riziko - zakázáno (např. sociální scoring obyvatel).

  • Vysoké riziko - přísné povinnosti (např. AI rozhodující o náboru, úvěrech, přístupu ke vzdělání).

  • Omezené riziko - lehké povinnosti kolem transparentnosti (sem patří většina chatbotů).

  • Minimální riziko - bez povinností (většina běžné analytiky a BI).

Kam obvykle patří běžná firma

Když provozujete zákaznického chatbota nebo generujete AI obsah, skoro jistě spadáte do omezeného rizika. Když děláte jen interní analytiku a reporting, většinou do minimálního. Ani jedno není drama. Vysoké riziko - a s ním těžká administrativa - se vás týká, jen když AI rozhoduje o lidech: nábor, hodnocení zaměstnanců, úvěrové skóre a podobně.

Praktické povinnosti pro chatbota v omezeném riziku jsou přehledné:

  • Řekněte lidem, že mluví s AI, ne s člověkem.

  • Označujte AI-generovaný obsah (týká se hlavně syntetických textů, obrázků, deepfake).

  • Dbejte na „AI gramotnost" - lidé, kteří nástroj obsluhují, mu mají rozumět. Tahle povinnost platí plošně už od února 2025.

Žádné certifikace, žádná registrace v evropské databázi. Ty přicházejí až s vysokým rizikem.

(Drobnost pro pořádek: termíny pro vysoce rizikové systémy se v roce 2026 posouvaly - tzv. Digital Omnibus odsunul část povinností až na prosinec 2027. Pokud se vás vysoké riziko týká, sledujte finální znění.)

AI Act není GDPR - a přesto se potkávají

Tady se to nejčastěji plete. AI Act a GDPR jsou dva různé režimy. AI Act je jako pravidla bezpečnosti výrobku - řeší, jak je AI systém postavený a jak rizikový je. GDPR řeší osobní údaje - na jakém základě je zpracováváte a kam smějí putovat. Váš chatbot může mít povinnosti podle obou najednou: musí přiznat, že je AI (AI Act), a zároveň mít pořádek v osobních datech (GDPR).

A právě „kam putují data" je otázka, kterou v BizzTreatu bereme vážně u každého nástroje. Je to totiž věc, která se rychle mění. Konkrétní příklad z letoška: Googlu konverzační analytika nad BigQuery donedávna neuměla udržet data v EU - a v polovině roku 2026 to změnil a evropskou residency doplnil. Naopak některé RAG služby v evropských regionech běží, ale formální garanci residency nedávají. Rozdíl, který na první pohled nevidíte, ale pro compliance je zásadní.

Praktický minimalistický checklist

Než chatbota pustíte do světa, projděte si:

  • Je návštěvníkovi jasné, že mluví s AI?

  • Zpracovává bot osobní údaje? Máte pro to právní základ a zmínku v zásadách ochrany soukromí?

  • Víte, ve které zemi/regionu poskytovatel data zpracovává a ukládá?

  • Nerozhoduje náhodou o lidech (nábor, scoring)? Pokud ano, jste v jiné lize - ozvěte se odborníkovi.

  • Rozumí tým, který to obsluhuje, tomu, co nástroj dělá a kde jsou jeho limity?

Co si z toho odnést

AI Act pro většinu firem neznamená stohy papírů - znamená hlavně poctivou transparentnost: přiznat, že je to AI, mít pořádek v datech a vědět, kde ta data končí. To poslední je pohyblivý terč, který se vyplatí kontrolovat průběžně, ne jednou za rok.

(Nejsme právníci a tenhle text není právní rada - je to praktický přehled. U vysoce rizikových use-caseů si vždy ověřte konkrétní povinnosti.)

Petr