Nová kapitola AI regulace v Evropě: Omnibus a jeho dopady na AI Act
AI Act představuje právní rámec, který Evropská unie přijala v roce 2024 jako odpověď na rostoucí společenské a právní výzvy spojené s vyvíjením a používáním systémů umělé inteligence. Ačkoli zdaleka není jediným právním předpisem dopadajícím na vývoj a používání AI, je dosud nejkomplexnějším souborem pravidel cíleně regulujícím umělou inteligenci na světě.
Pravidla AI Actu nabývají účinnosti postupně. Například úplný zákaz některých AI systému platí už od minulého roku. V průběhu tohoto rozjezdu se však začaly hromadit signály, že vše nepůjde podle plánu. Harmonizované technické normy nebyly připravené, národní dozorové úřady nestíhaly a ti, na které měl právní předpis dopadat, volali po jasnějších pokynech a delších přechodných obdobích.
Současně začal s rostoucí intenzitou rezonovat narativ o ohrožené konkurenceschopnosti Evropy v oblasti AI. Zpráva Maria Draghiho ze září 2024 (The future of European competitiveness) označila regulatorní fragmentaci a administrativní zátěž za jeden z důvodů, proč EU technologicky zaostává za Spojenými státy a Čínou. Také sílil tlak od průmyslových svazů, big tech společností i části vlád členských států na úpravu pravidel ve prospěch větší flexibility a nižších compliance nákladů. Občanská společnost a část akademické obce naopak varovaly před oslabením ochrany občanů a před otevřením již těžce dohodnutých kompromisů, které navíc z větší části ještě ani nezačaly platit.
V této atmosféře předložila Evropská komise v listopadu 2025 návrh nazvaný Digital Omnibus on AI, tedy soubor cílených změn AI Actu. Legislativní cesta byla mimořádně rychlá a už 7. května došlo k finální politické dohodě v rámci trialogu (vyjednávání Evropské komise, Rady EU a Europarlamentu).
Tento článek nabízí strukturovaný přehled všech podstatných změn obsažených v politické dohodě a jejich praktických dopadů. Ačkoli formální přijetí omnibusu Parlamentem a Radou teprve proběhne v nadcházejících týdnech, věcný obsah dohody by se v této fázi již neměl měnit. Text, který zde rozebíráme, je tedy s vysokou pravděpodobností finální podobou novelizace AI Actu.
Nejdůležitější změny AI Actu v kostce
Tento přehled slouží jako rychlá orientace. Detailní analýza jednotlivých změn včetně dotčených ustanovení AI Actu následuje v druhé polovině článku.
1. Odložení povinností pro vysoce rizikové systémy:
- Povinnosti pro systémy podle Přílohy III (např. biometrika, kritická infrastruktura, vzdělávání, zaměstnávání) se posouvají na 2. prosince 2027;
- Povinnosti pro systémy podle Přílohy I (AI jako bezpečnostní komponent regulovaných výrobků) se posouvají na 2. srpna 2028.
2. Nový zákaz nudifier apps. Seznam zakázaných AI systémů se rozšiřuje o nástroje generujících nekonsenzuální intimní obsah a materiál zobrazující sexuální zneužívání dětí.
3. Vynětí strojních zařízení z duálního režimu. Strojní zařízení (machinery) se přesouvají v rámci Přílohy I ze sekce A do sekce B. Pro AI funkce ve strojních zařízeních se tak ruší souběžná aplikace AI Actu a Nařízení o strojních zařízeních; AI bezpečnostní požadavky budou integrovány přímo do sektorové úpravy.
4. Zúžení definice bezpečnostního komponentu. AI funkce sloužící výhradně k uživatelské podpoře, optimalizaci výkonu, automatizaci či kontrole kvality nesouvisející s bezpečností již automaticky nespadají do režimu vysoce rizikových systémů, pokud jejich selhání nepředstavuje riziko pro zdraví nebo bezpečnost.
5. Právní základ pro zpracování citlivých údajů za účelem detekce zkreslení. Zavádí se nový právní titul pro zpracování zvláštních kategorií osobních údajů za účelem detekce a opravy biasu. Nově se vztahuje na všechny AI systémy, nejen vysoce rizikové, a podléhá standardu nezbytnosti a odpovídajícím zárukám.
6. Úlevy pro menší poskytovatele. Omnibus používá novou kategorii small mid-cap enterprise (SMC) pro podniky, které vyrostly z SME, ale nedosahují kapacit velkých společností, a rozšiřuje na ně většinu dosavadních SME výhod. Současně rozšiřuje zjednodušený režim systému řízení kvality, který doposud platil pouze pro mikropodniky, na celý segment SME.
7. Zavedení EU regulatorního sandboxu. Vedle stávajících národních sandboxů se zřizuje EU sandbox provozovaný AI Office, s prioritním přístupem pro SME a SMC.
8. Rozšíření testování v reálných podmínkách. Možnost testovat vysoce rizikové AI systémy v reálných podmínkách mimo regulační sandbox se rozšiřuje z dosavadních systémů Přílohy III i na systémy spadající pod Přílohu I.
9. Posílení kompetencí AI Office. AI Office získává výlučnou pravomoc nad AI systémy postavenými na obecných AI modelech, pokud model i systém pochází od stejného poskytovatele nebo podniků v rámci jedné skupiny a také nad AI systémy v platformách VLOP/VLOSE dle DSA.
10. Zjednodušená registrace v EU databázi. Komise původně navrhovala zrušit povinnost registrace pro systémy klasifikované poskytovatelem jako ne-vysoce rizikové. Finální dohoda registraci zachovává, ale ve zjednodušené podobě.
11. Zmírnění standardu AI gramotnosti. Povinnost AI gramotnosti zůstává v platnosti, ale standard se zmírňuje z povinnosti zajistit určitou úroveň gramotnosti na povinnost podporovat její rozvoj.
12. Přechodné období pro watermarking. Pro systémy generativní AI uvedené na trh před 2. srpnem 2026 je compliance s povinností označování AI-generovaného obsahu vyžadován od 2. prosince 2026.
Skutečně zjednodušení?
Slovo „zjednodušení“ patří mezi nejčastěji opakovaná hesla současné evropské politiky. V případě AI omnibusu však výsledná dohoda ukazuje, jak obtížné je tento pojem naplnit konkrétním obsahem. Aktéři, kteří prosazovali simplifikaci od počátku, dál volají po změnách a označují dohodu za promarněnou příležitost. Lidskoprávní organizace naopak upozorňují na to, že zásahy mohou vést k oslabení ochrany základních práv. Výsledkem je kompromis, který část pravidel odsouvá, část zpřesňuje a část rozšiřuje.
Někteří odborníci označují „zjednodušení“ v případě omnibusu především za politickou nálepku, která neodpovídá obsahu dohody. Vedle jistých úlev, například zúžení definice bezpečnostního komponentu, rozšíření výhod pro SME na novou kategorii small mid-cap, totiž dohoda zároveň rozšiřuje záběr regulace. Například nový zákaz nudifier aplikací neznamená jen rozšíření seznamu zakázaných AI systémů, ale může vyžadovat i dodatečná technická a organizační opatření u poskytovatelů generativních systémů. Také posílení pravomocí AI Office přidává další vrstvu dozoru, ve které se budou poskytovatelé muset orientovat. Komplexita systému se celkově nezmenšuje.
Rozpor mezi rétorikou a výsledkem dobře ilustruje osud Přílohy I sekce A. Komise původně navrhovala přesunout celou sekci (zdravotnické prostředky, hračky, výtahy a další regulovaná odvětví) do sekce B, čímž by zamezila duální compliance pro část vysoce rizikových AI systémů. Výsledek vyjednávání ale vyňal jen strojní zařízení; pro zbytek sektorů duální režim zůstává. Pro značnou část evropského průmyslu se tak prakticky nic nemění.
Řada obtíží, které se kolem AI Actu nahromadily, nesouvisela primárně se samotným textem zákona, ale s jeho implementační infrastrukturou: opožděnými harmonizovanými normami, nedostatečně připravenými národními dozorovými orgány, nejasnými pokyny a chybějící kapacitou pro conformity assessment. Část odborné obce poukazovala na to, že logickou alternativou či doplněním k plošnému odsunu některých povinností by tak bylo posílení financování standardizačních organizací, AI Office a národních úřadů.
Stojí za to zdůraznit, že jádro AI Actu zůstává netknuté: rizikově orientovaný přístup, klasifikace do čtyř kategorií rizik, povinnosti pro poskytovatele i zavádějící subjekty, režim pro obecné modely AI, dvouvrstvý dozor i sankční rámec. Omnibus je cílená, úzká úprava v rámci stávajícího systému, nikoli jeho přehodnocení.
Aktualizovaný harmonogram povinností
Co už platí a AI omnibus na tom nic nemění
- 2. února 2025: zákazy nepřijatelných praktik podle čl. 5
- 2. února 2025: povinnost AI gramotnosti podle čl. 4 (omnibus zmírňuje standard, ale samotná povinnost nadále trvá)
- 2. srpna 2025: povinnosti pro poskytovatele obecných modelů AI podle čl. 51 a násl.; ustanovení o institucionálním dohledu, notifying authorities a sankčním rámci
Budoucí termíny po úpravě omnibusem:
- 2. srpna 2026: povinnosti transparentnosti podle čl. 50
- 2. prosince 2026: konec přechodného období pro watermarking podle čl. 50 odst. 2 u systémů generativní AI uvedených na trh před 2. srpnem 2026; účinnost nového zákazu nudifier aplikací
- 2. srpna 2027: deadline pro Komisi vydat delegované akty o equivalence clause pro Přílohu I sekce A; deadline pro Komisi vydat pokyny pro subjekty s vysoce rizikovými AI systémy v sektorech Přílohy I; deadline pro národní regulatorní sandboxy
- 2. prosince 2027: aplikace povinností pro vysoce rizikové systémy podle Přílohy III
- 2. srpna 2028: aplikace povinností pro vysoce rizikové systémy podle Přílohy I
Deep dive: co se v AI Actu konkrétně mění
Následující rozbor postupuje vzestupně podle číselného pořadí dotčených ustanovení AI Actu v původním znění, s pragmatickými konsolidacemi tam, kde jedno věcné téma sahá do více článků.
1. Zúžení pojmu „bezpečnostní komponent“ (čl. 3 odst. 14, čl. 6)
Původní znění. AI Act v čl. 3 odst. 14 definuje bezpečnostní komponent jako součást produktu nebo AI systému, která plní bezpečnostní funkci pro daný produkt či systém, případně jejíž porucha nebo selhání ohrožuje zdraví a bezpečnost osob nebo majetku. Tento pojem je klíčový pro klasifikaci AI systémů jako vysoce rizikových podle čl. 6 odst. 1. Toto ustanovení mimo jiné stanoví, že AI systém integrovaný do regulovaného výrobku z Přílohy I spadá do vysoce rizikové kategorie, pokud v něm plní roli bezpečnostního komponentu. Původní formulace však nechávala interpretační prostor.
Co se mění. Omnibus do čl. 6 vkládá tři nové odstavce (1a, 1b a 1c), které zužují aplikaci pojmu „bezpečnostní komponent“ pomocí kauzálního testu. Podle odstavce 1a se za bezpečnostní komponent nepovažují AI systémy používané výhradně pro úkoly nesouvisející s bezpečností, například uživatelská podpora, optimalizace výkonu, efektivita služby, automatizace, pohodlí nebo kontrola kvality. Tato úleva je ale podmíněná: odstavec 1b stanoví, že AI systémy, jejichž selhání nebo nesprávné fungování by ohrozilo zdraví a bezpečnost, kvalifikaci jako bezpečnostní komponent nadále podléhají bez ohledu na 1a. Odstavec 1c dále vyjímá produkty, které musí projít posuzováním shody třetí stranou výhradně z důvodů nesouvisejících se zdravím a bezpečností, typicky kvůli rizikům souvisejícím s rádiovým spektrem nebo elektromagnetickou interferencí.
Praktické dopady. Nová struktura znamená, že z vysoce rizikové kategorie podle Přílohy I vypadnou AI funkce, které lze charakterizovat jako čistě podpůrné nebo optimalizační, typicky AI asistenti pro obsluhu strojů, systémy pro doporučení nastavení nebo prediktivní údržba bez bezpečnostního dopadu. Pojmu bezpečnostního komponentu, jeho rozdělení na intent-based a consequence-based scénář a praktickým příkladům napříč sektory (strojní zařízení, zdravotnické prostředky, výtahy, vozidla, hračky, chytré spotřebiče) se podrobně věnuje sekce III.2.2.2 v druhém ze tří dokumentů draft Commission Guidelines on the classification of high-risk AI systems publikovaných Komisí 19. května 2026, které jsou nyní v konzultační fázi.
2. AI gramotnost (čl. 4)
Původní znění. Čl. 4 AI Actu, který nabyl účinnosti 2. února 2025, ukládá poskytovatelům a zavádějícím subjektům přijmout opatření k zajištění dostatečné úrovně AI gramotnosti svých zaměstnanců a dalších osob pracujících s AI systémy jejich jménem. Při určení adekvátní úrovně se zohledňují technické znalosti, zkušenosti, vzdělání a kontext nasazení systému.
Co se mění. Omnibus mění výchozí standard z povinnosti dosáhnout výsledku na povinnost podporovat (z „shall ensure“ na „shall take measures to support“). Poskytovatelé a zavádějící subjekty nadále musí přijímat opatření k rozvoji AI gramotnosti, ale samotná formulace nového čl. 4 odst. 1 explicitně dodává, že povinnost nelze chápat jako požadavek zaručit konkrétní úroveň gramotnosti u jednotlivců. Vedle toho omnibus přidává nové odstavce, které ukládají Komisi a členským státům podporovat subjekty při plnění této povinnosti.
Praktické dopady. Změna působí spíše interpretačně než věcně. Povinnost AI gramotnosti dále trvá a poskytovatelé i zavádějící subjekty ji od února 2025 musí naplňovat. Posun standardu z „obligation of result“ na „obligation of means“ však snižuje riziko sankcí za to, že některý konkrétní zaměstnanec či externí spolupracovník nedosáhl měřitelné úrovně AI gramotnosti, pokud poskytovatel nebo zavádějící subjekt doložitelně přijímá adekvátní vzdělávací a metodická opatření. Část odborné obce upozorňuje, že tento posun vytváří riziko formálního, nikoli věcného plnění povinnosti, protože není vyžadováno reálné dosažení kompetencí. Jiné hlasy naopak vidí změnu jako formalizaci dosavadní praxe, protože i původní formulace „dostatečné úrovně“ byla v praxi obtížně objektivně měřitelná. Pro compliance praxi se každopádně přesouvá důraz z výsledku na proces, tedy na zavedené vzdělávací programy, dokumentaci školení a využití podpůrných zdrojů.
Praktickou inspirací může být Repository of AI literacy practices, který AI Office spravuje a v němž shromažďuje přes 40 příkladů AI gramotnostních iniciativ implementovaných firmami a veřejným sektorem.
3. Bias detection a zpracování citlivých údajů (nový čl. 4a)
Původní znění. AI Act v čl. 10 odst. 5 umožňoval poskytovatelům vysoce rizikových AI systémů výjimečně zpracovávat zvláštní kategorie osobních údajů (čl. 9 GDPR) za účelem detekce a opravy zkreslení (bias). Mimo režim vysoce rizikových systémů AI Act srovnatelný právní základ neposkytoval.
Co se mění. Omnibus vkládá do AI Actu nový čl. 4a, který strukturuje právní základ pro zpracování citlivých údajů za účelem bias detection systematicky a rozšiřuje jeho dostupnost. Možnost zpracování citlivých dat pro poskytovatele vysoce rizikových systémů zůstává zachována (odstavec 1, věcně odpovídá původnímu čl. 10 odst. 5). Odstavec 2 nově rozšiřuje obdobnou možnost na zavádějící subjekty vysoce rizikových AI systémů a na poskytovatele i zavádějící subjekty ostatních (nikoli vysoce rizikových) AI systémů a AI modelů. Pro AI systémy, které nejsou vysoce rizikové, navíc platí, že zpracování musí směřovat k detekci zkreslení, která pravděpodobně ovlivní zdraví, bezpečnost, základní práva nebo by vedla k zákonem zakázané diskriminaci.
Praktické dopady. Pro poskytovatele a zavádějící subjekty mimo režim vysoce rizikových systémů ustanovení otevírá legitimní cestu, jak detekovat a opravovat zkreslení. European Data Protection Board upozorňoval, že rozšíření právního základu na všechny AI systémy oslabuje ochranu základních práv subjektů údajů. Z compliance perspektivy je důležité, že nový čl. 4a sám o sobě nevytváří povinnost bias detection provádět, pouze umožňuje to dělat v právně bezpečném režimu.
4. Rozšíření zákazů v čl. 5 (nudifier a CSAM)
Původní znění. Čl. 5 AI Actu obsahuje seznam zakázaných praktik.
Co se mění. Omnibus přidává do čl. 5 dvě nové zakázané praktiky: AI systémy generující nekonsenzuální intimní obrazy, videa nebo audio identifikovatelné osoby a AI systémy generující materiál zobrazující sexuální zneužívání dětí (CSAM – Child Sexual Abuse Material). Zákaz je strukturován do tří větví. Poskytovatel porušuje zákaz, pokud je generování takového obsahu zamýšleným účelem systému, nebo pokud systém k němu fakticky vede bez podstatné technické modifikace a nemá adekvátní bezpečnostní opatření. Zavádějící subjekt porušuje zákaz, pokud systém k takovému generování přímo použije.
Praktické dopady. Zákaz začne být účinný 2. prosince 2026. Pro poskytovatele generativní AI systémů znamená nový zákaz povinnost zavést účinná technická bezpečnostní opatření, která spolehlivě zamezí generování zakázaného obsahu. Definice „intimních partií“ je obsažena v recitálu 6b a zahrnuje například genitálie, obnažené hýždě nebo obnažená ženská prsa.
5. Vysoce riziková klasifikace, Příloha I a equivalence clause
Původní znění. AI systémy integrované do regulovaných výrobků uvedených v Příloze I AI Actu (zdravotnické prostředky, strojní zařízení, hračky, výtahy, plynová zařízení a další) spadají podle čl. 6 odst. 1 do vysoce rizikové kategorie. To znamená, že musí splňovat požadavky AI Actu (Kapitola III oddíl 2) současně s požadavky sektorové legislativy. Pro výrobce to v praxi znamenalo duální compliance, dvojí dokumentaci a potenciálně dvojí conformity assessment.
Co se mění. Omnibus reaguje na problém duální compliance kombinací tří úprav. Strojní zařízení (regulovaná Nařízením 2023/1230) se přesouvají z Přílohy I sekce A do sekce B; pro AI funkce ve strojních zařízeních se tak ruší souběžná aplikace AI Actu a Nařízení o strojních zařízeních a AI bezpečnostní požadavky budou prostřednictvím delegovaných aktů Komise integrovány přímo do Nařízení o strojních zařízeních (deadline 2. srpna 2028). Pro ostatní sektory Přílohy I sekce A zůstává duální režim zachován, ale Komise získává pravomoc přijmout delegované akty, které mohou omezit aplikaci konkrétních požadavků AI Actu (čl. 9-15 a 17-25), pokud sektorová legislativa zajišťuje rovnocennou nebo vyšší úroveň ochrany zdraví, bezpečnosti nebo základních práv. Tomuto mechanismu se říká „equivalence clause“ (klauzule rovnocennosti). Komise musí tyto delegované akty přijmout do 2. srpna 2027. Vedle toho je Komise povinna vydat do 1. srpna 2027 pokyny pro hospodářské subjekty s AI systémy v Příloze I k aplikaci stávajících mechanismů AI Actu, které již nyní umožňují snížit compliance zátěž (čl. 8 odst. 2, čl. 9 odst. 10, čl. 17 odst. 3).
Praktické dopady. Pro výrobce strojních zařízení s AI funkcemi přechod na sektorový přístup znamená, že compliance s AI bezpečnostními požadavky bude probíhat v rámci Machinery Regulation. Pro výrobce ostatních produktů Přílohy I sekce A duální compliance prozatím zůstává, potenciál úlev přes equivalence clause se otevírá až s vydáním konkrétních delegovaných aktů Komise. Rozsah a konkrétní podoba úlev pro jednotlivé sektory tedy zatím nejsou známé, předpokládá se sektorově specifický přístup.
6. Úlevy pro SME a SMC (čl. 11, 17, 63, 99)
Původní znění a zavedení kategorie SMC. AI Act od počátku obsahuje řadu úlev cílených na menší společnosti, jejichž cílem je snížit compliance zátěž úměrně k velikosti. Rozlišuje přitom dvě kategorie subjektů: mikropodniky (méně než 10 zaměstnanců, roční obrat nepřesahující 2 mil. EUR) a malé a střední podniky (SME) (méně než 250 zaměstnanců, obrat do 50 mil. EUR nebo bilanční suma do 43 mil. EUR). Pro podniky, které vyrostly z SME, ale stále nemají kapacity velkých společností, AI Act srovnatelnou kategorii neobsahoval.
Omnibus tuto mezeru zaplňuje použitím nové kategorie small mid-cap enterprise (SMC). Jde o podnik, který zaměstnává méně než 750 osob a jehož roční obrat nepřesahuje 150 mil. EUR nebo bilanční suma 129 mil. EUR.
Zjednodušená technická dokumentace (čl. 11 odst. 1). AI Act umožňoval SME poskytovat technickou dokumentaci k vysoce rizikovým AI systémům ve zjednodušené formě podle Přílohy IV. Komise měla pro tento účel vypracovat zjednodušený formulář zaměřený na potřeby malých podniků a mikropodniků. Omnibus tuto úlevu rozšiřuje na SMC a současně rozšiřuje působnost formuláře – má nově odpovídat potřebám všech SME a SMC, nikoli pouze malých podniků a mikropodniků. Operativně je v textu doplněna nová možnost zjednodušené dokumentace pro SMC, oznámené subjekty mají formulář akceptovat pro účely conformity assessment stejně jako u SME.
Zjednodušený systém řízení kvality (čl. 63 odst. 1). Toto je věcně nejvýraznější úleva pro SME v celém balíku. Původní znění čl. 63 umožňovalo zjednodušený režim plnění některých prvků systému řízení kvality pouze mikropodnikům. Omnibus tuto úlevu rozšiřuje na všechny SME. Komise k tomuto vypracuje pokyny. Pozor: rozšíření zde nesahá až na SMC.
Modulace sankcí (čl. 99 odst. 6 a nový odst. 6a). Sankční režim AI Actu obsahuje od počátku zvláštní úpravu pro SME: u nich se aplikuje nižší z procentuální a absolutní hranice pokuty (na rozdíl od velkých společností, u kterých se aplikuje vyšší). Omnibus rozšiřuje stejné pravidlo na SMC, ale s drobnou odlišností. SME se modulace týká všech sankčních hladin (odst. 3, 4 a 5 čl. 99), tedy včetně nejtěžších sankcí za porušení zákazů podle čl. 5. Nový čl. 99 odst. 6a, zavedený omnibusem pro SMC, modulaci omezuje pouze na odst. 4 a 5 – SMC se nevyhne plné sankci za porušení čl. 5 o zakázaných praktikách.
Vyjasnění proporcionality systému řízení kvality (čl. 17 odst. 2). Původní znění stanovilo, že implementace prvků QMS má být proporcionální velikosti organizace poskytovatele, bez explicitního zmínění SME nebo SMC. Omnibus toto pravidlo věcně nemění, pouze přidává explicitní zmínku, že proporcionalita platí „in particular, if the provider is SMC or SME“. Jde tedy o vyjasňující jazyk, ne věcné rozšíření výhody, proporcionalita byla v AI Actu obecnou normou platnou pro všechny organizace bez ohledu na velikost.
Praktické dopady. Změny v této oblasti znamenají snížení byrokratické zátěže pro menší poskytovatele. Pro SME je nejvýznamnější rozšíření zjednodušeného systému řízení kvality, doplněné možností používat zjednodušený formulář technické dokumentace. Pro nově zavedenou kategorii SMC aplikuje Omnibus většinu dosavadních SME výhod. Sankční modulace pro SMC je oproti SME mírně užší.
7. Vyjasnění vztahu k Cyber Resilience Act (čl. 42)
Co se mění (a co ne). Vztah AI Actu a Nařízení (EU) 2024/2847 (Cyber Resilience Act, CRA) byl od přijetí CRA řešen v jeho čl. 12 odst. 1: pokud vysoce rizikový AI systém spadající do působnosti CRA splňuje kybernetické požadavky CRA, považuje se za splňující požadavky čl. 15 AI Actu na kybernetickou bezpečnost. Omnibus toto pravidlo opakuje v novém čl. 42 odst. 2a AI Actu. Věcně se tedy nic nemění; cílem je zvýšit viditelnost stávajícího mechanismu přímo v textu AI Actu.
Praktické dopady. Pro poskytovatele vysoce rizikových AI systémů, kteří současně spadají pod CRA jako produkty s digitálními prvky, platí, že jediné posouzení shody podle CRA pokrývá také kybernetickou dimenzi AI Actu. Tato možnost existovala už podle CRA; novelizace AI Actu pouze odstraňuje nejistotu při praktické aplikaci.
8. Registrace v EU databázi (čl. 49, Příloha VIII)
Původní znění. AI Act vyžaduje registraci vysoce rizikových AI systémů uvedených v Příloze III v EU databázi spravované Komisí. Registrační povinnost se vztahuje i na poskytovatele, kteří svůj AI systém spadající pod kategorii Přílohy III klasifikují podle čl. 6 odst. 3 jako ne-vysoce rizikový – i tehdy musí systém zaregistrovat. Registrace ne-vysoce rizikových systémů zahrnuje devět datových položek podle Sekce B Přílohy VIII, mezi něž patří mimo jiné stručný veřejný souhrn odůvodnění, proč poskytovatel považuje systém za ne-vysoce rizikový (bod 7).
Co se mění. Omnibus zachovává povinnost registrace, ale zjednodušuje její obsah vypuštěním bodů 7 a 9 Sekce B Přílohy VIII. Poskytovatel již nemusí v registraci uvádět veřejné odůvodnění své self-classification. Povinnost zdokumentovat samotné posouzení podle čl. 6 odst. 3 zůstává; národní dozorové orgány mohou toto posouzení požadovat k předložení.
9. Označení AI obsahu a přechodné období (čl. 50 odst. 2)
Původní znění. AI Act v čl. 50 odst. 2 ukládá poskytovatelům AI systémů generujících syntetický obsah (obraz, audio, video nebo text) povinnost zajistit, aby výstupy systému byly označeny ve strojově čitelném formátu jako uměle vytvořené nebo manipulované. Cílem je umožnit detekci AI-generovaného obsahu především v kontextu boje proti deepfake a dezinformacím. Povinnost se vztahuje na poskytovatele, technické řešení (watermark, metadata) je na jejich volbě, s tím, že má být robustní vůči snadnému odstranění a interoperabilní s ostatními systémy detekce. Aplikační datum pro tuto povinnost bylo stanoveno na 2. srpna 2026 spolu s ostatními povinnostmi transparentnosti podle čl. 50.
Co se mění. Omnibus aplikační datum pro nové systémy uvedené na trh od 2. srpna 2026 zachovává nezměněné. Pro systémy generativní AI, které byly uvedeny na trh před 2. srpnem 2026, omnibus zavádí přechodné období do 2. prosince 2026. Starší systémy tedy musí být v souladu s touto povinností nejpozději ke dni 2. prosince 2026, to znamená čtyři měsíce na technickou implementaci pro stávající produkty na trhu.
10. GPAI dohled, AI Office a VLOPs/VLOSEs (čl. 51-56, 75)
Původní znění. AI Act svěřil AI Office (v rámci Komise) výlučnou kompetenci pro dohled nad AI systémy postavenými na obecných AI modelech (GPAI), pouze pokud model i systém vyvinul stejný poskytovatel. Pro ostatní AI systémy zůstal dozor v rukou národních dozorových orgánů. AI systémy integrované do velkých online platforem (VLOP) a velkých online vyhledávačů (VLOSE) byly mimo speciální kompetenci AI Office, i když paralelně podléhaly DSA dohledu Komisí.
Co se mění. Omnibus rozšiřuje výlučnou kompetenci AI Office dvěma směry. Za prvé, pokrytí AI systémů postavených na GPAI modelech se rozšiřuje na případy, kdy model a systém vyvíjí stejný podnik nebo podniky tvořící součást jednoho podniku (same undertaking), nikoli tedy jen identický právní subjekt. Pro nadnárodní skupiny s odděleným model providerem a system providerem to znamená, že systém spadá pod AI Office, pokud jsou obě entity v rámci stejné skupiny. Z této rozšířené kompetence omnibus zároveň vyjímá čtyři kategorie AI systémů. Za druhé, AI Office získává novou výlučnou kompetenci nad AI systémy integrovanými do VLOP nebo VLOSE podle DSA (Nařízení 2022/2065).
Praktické dopady. Pro poskytovatele GPAI modelů a systémů z nich postavených znamená rozšíření kompetence AI Office centralizovaný kontaktní bod pro dohled, místo paralelního jednání s národními orgány. Totéž platí pro poskytovatele AI systémů v VLOP/VLOSE, s koordinací s DSA dohledem.
11. Regulatorní sandboxy (čl. 57, 58)
Původní znění. AI Act ukládá členským státům povinnost zřídit alespoň jeden národní regulatorní sandbox pro AI s deadlinem 2. srpna 2026. Sandboxy poskytují kontrolované prostředí pro vývoj, trénink, testování a validaci inovativních AI systémů před jejich uvedením na trh, a to podle plánu testování dohodnutého mezi poskytovatelem a příslušným orgánem. Pro SME jsou zakotveny konkrétní úlevy, zejména bezplatný přístup k sandboxům.
Co se mění. Omnibus zavádí tři související změny. Za prvé, deadline pro zřízení národních sandboxů se posouvá z 2. srpna 2026 na 2. srpna 2027, to je reakce na nedostatečnou připravenost členských států. Za druhé, omnibus zavádí nový sandbox na úrovni EU provozovaný AI Office pro AI systémy spadající pod jeho kompetenci (tedy GPAI-based AI systémy a systémy v VLOP/VLOSE). Tento EU sandbox bude fungovat v úzké spolupráci s národními orgány a poskytne prioritní přístup pro SME i nově zavedenou kategorii SMC. Za třetí, omnibus rozšiřuje některé SME výhody týkající se sandboxů na SMC.
12. Rozšíření real-world testing mimo sandbox (čl. 60, nový čl. 60a)
Původní znění. Čl. 60 AI Actu umožňoval poskytovatelům a potenciálním poskytovatelům vysoce rizikových AI systémů uvedených v Příloze III provádět testování v reálných podmínkách mimo regulační sandbox, a to po splnění řady podmínek.
Co se mění. Omnibus rozšiřuje real-world testing dvěma směry. Za prvé, čl. 60 nově pokrývá i vysoce rizikové AI systémy z Přílohy I sekce A (zdravotnické prostředky, hračky, výtahy, plynová zařízení a další). Pro tyto systémy se uplatní stejný režim jako pro systémy z Přílohy III, s tím, že právní úprava sektorové legislativy (např. MDR, Toy Safety Regulation) zůstává nedotčená a uplatní se paralelně. Za druhé, omnibus zavádí nový čl. 60a pro testování AI systémů z Přílohy I sekce B. Vzhledem k tomu, že systémy z Přílohy I sekce B podléhají pouze omezenému výběru ustanovení AI Actu, je pro ně zaveden speciální režim: členské státy mohou (ale nemusí) takové testování povolit.
Praktické dopady. Real-world testing mimo sandbox umožňuje poskytovatelům ověřit chování AI systému v reálných podmínkách provozu před formálním uvedením na trh, tedy v prostředí, které laboratorní testy ani sandbox nemohou plně simulovat.
13. Nový harmonogram povinností
- 2. srpna 2026: povinnosti transparentnosti podle čl. 50.
- 2. prosince 2026: konec přechodného období pro watermarking podle čl. 50 odst. 2 u systémů generativní AI uvedených na trh před 2. srpnem 2026; účinnost nového zákazu nudifier aplikací
- 2. srpna 2027: deadline pro Komisi vydat delegované akty o equivalence clause pro Přílohu I sekce A; deadline pro Komisi vydat pokyny pro subjekty s vysoce rizikovými AI systémy v sektorech Přílohy I; deadline pro národní regulatorní sandboxy
- 2. prosince 2027: aplikace povinností pro vysoce rizikové systémy podle Přílohy III
- 2. srpna 2028: aplikace povinností pro vysoce rizikové systémy podle Přílohy I
