
Provozujete AI startup a nejste si jisti, jaké právní povinnosti na vás dopadají s novým nařízením EU, známým jako AI Act? Obáváte se vysokých pokut, řešení autorských práv nebo ochrany dat? V tomto článku vám poskytneme jasné odpovědi a praktický návod, jak se v nové legislativě zorientovat, ochránit svůj byznys a soustředit se na inovace. Zjistíte, jaké konkrétní kroky musíte podniknout, abyste byli v souladu s právem.
Autor článku: ARROWS advokátní kancelář (JUDr. Jakub Dohnal, Ph.D., LL.M., office@arws.cz, +420 245 007 740)
Doba divokého západu ve vývoji umělé inteligence definitivně končí. Evropská unie se rozhodla převzít iniciativu a prostřednictvím přelomového nařízení, známého jako AI Act, nastavit globální standard pro vývoj a používání AI. Pro inovativní startupy, jako je ten váš, to znamená novou realitu – realitu plnou pravidel, povinností, ale i nečekaných příležitostí.
Představte si příběh fiktivního startupu „InnovaAI“. Tým talentovaných vývojářů vytvořil špičkový nástroj pro automatizaci náborového procesu v HR. Jsou nadšení z technologie, která slibuje revoluci v personalistice. Zároveň jsou ale zahlceni zprávami o nové regulaci, hrozbě likvidačních pokut a právních rizicích, která jim nedají spát. Cítí nejistotu a obávají se, že by je právní složitosti mohly zbrzdit, odradit investory a v konečném důsledku pohřbít jejich sen. Možná se v jejich příběhu poznáváte.
Je důležité pochopit, že cílem AI Actu není inovace brzdit. Naopak, jeho smyslem je vytvořit předvídatelné a bezpečné prostředí, kde může důvěryhodná umělá inteligence vzkvétat. Nařízení má za cíl vytvořit rovnováhu mezi ochranou základních práv občanů a podporou inovací. Důkazem toho je například koncept tzv. regulačních sandboxů – kontrolovaných prostředí, kde si startupy mohou bezpečně otestovat své systémy v reálných podmínkách, než je uvedou na trh. Progresivní firmy tak mohou získat konkurenční výhodu a budovat důvěru u klientů i investorů.
Jedním z největších rizik je podcenění faktu, že povinnosti z AI Actu nenabíhají najednou, ale postupně. Na první pohled se může zdát, že na přípravu je dostatek času, ale opak je pravdou. Některé klíčové zákazy platí již od začátku roku 2025. Tato stupňovitá implementace je skrytou pastí pro ty, kteří nejsou připraveni. Mohou snadno promeškat některý z dřívějších termínů a vystavit se tak riziku vysokých pokut. Naopak proaktivní startup, který si vytvoří jasnou "compliance roadmapu", získá strategickou výhodu – může lépe plánovat zdroje, budovat důvěru a vyhnout se panice na poslední chvíli.
Nezapomeňte také, že AI Act má globální dosah. Vztahuje se na všechny subjekty, které uvádějí AI systémy na trh Evropské unie nebo je zde používají, a to bez ohledu na to, kde sídlí. Pokud tedy se svým startupem míříte na evropský trh, tato pravidla se vás týkají.
Právníci v ARROWS pomáhají klientům vytvořit právě takovéto strategické "compliance roadmaps", aby se z legislativní povinnosti stala konkurenční výhoda.
Následující tabulka shrnuje nejdůležitější milníky, které byste měli mít ve svém kalendáři.
Datum účinnosti |
Povinnost |
Praktický dopad na vás |
2. února 2025 |
Zákaz nepřijatelných praktik AI |
Musíte okamžitě přestat používat nebo vyvíjet systémy pro sociální skórování, manipulativní techniky nebo jiné zakázané praktiky. |
2. srpna 2025 |
Pravidla pro obecné modely AI (GPAI) |
Pokud vyvíjíte základní modely (jako např. jazykové modely), musíte splnit požadavky na transparentnost a dodržování autorských práv. |
2. srpna 2026 |
Většina povinností pro vysoce rizikové systémy |
Pokud váš produkt spadá do kategorie vysokého rizika, musíte mít plně implementovaný systém řízení rizik, technickou dokumentaci a další opatření. |
2. srpna 2027 |
Zbytek povinností pro vysoce rizikové systémy |
Dokončení implementace pro specifické vysoce rizikové systémy, které jsou již na trhu. |
Základní filozofií AI Actu je přístup založený na riziku: čím vyšší je potenciální riziko pro zdraví, bezpečnost nebo základní práva lidí, tím přísnější jsou pravidla. Správné zařazení vašeho produktu do jedné ze čtyř kategorií je naprosto klíčové pro vaši další strategii.
Jedna z největších regulačních pastí pro startupy spočívá v takzvaném "dvojím užití". Ten samý algoritmus může být považován za nízkorizikový, pokud jej použijete pro analýzu marketingových trendů. Jakmile jej ale prodáte bance pro účely úvěrového skóringu nebo HR oddělení pro třídění životopisů, stává se z něj rázem vysoce rizikový systém.
To znamená, že vaše strategie musí zahrnovat nejen vývoj technologie, ale i pečlivé zvážení, na jaké trhy a pro jaké účely budete svůj produkt nabízet. Špatná volba vás může vrhnout do nejpřísnějšího regulačního režimu s neúměrnými náklady na compliance.
Vraťme se k našemu příběhu. Startup "InnovaAI" se svým nástrojem pro nábor zaměstnanců téměř jistě spadá do kategorie vysokého rizika, protože oblast zaměstnanosti je explicitně uvedena jako vysoce riziková. To pro ně znamená nutnost splnit celou řadu přísných povinností.
Nejste si jisti, kam váš produkt spadá? To je přesně první otázka, kterou s našimi klienty z řad AI startupů řešíme. Správná klasifikace je základem celé vaší právní strategie. V ARROWS vám pomůžeme provést tuto analýzu a vyhnout se nákladným chybám.
Tato tabulka vám pomůže rychle se zorientovat a odhadnout, kam by váš produkt mohl spadat.
Kategorie rizika |
Praktické příklady |
Co to pro vás znamená? (Klíčové požadavky) |
Nepřijatelné |
Sociální skórování občanů, manipulativní techniky cílící na zranitelné skupiny, rozpoznávání emocí v práci a ve vzdělávání. |
Absolutní zákaz. Tyto systémy nesmí být na trhu EU vůbec používány. |
Vysoké |
AI pro nábor zaměstnanců, úvěrové skóring, diagnostické lékařské přístroje, řízení kritické infrastruktury. |
Přísná regulace. Povinnost zavést systém řízení rizik, vést technickou dokumentaci, zajistit lidský dohled, registrace v databázi EU atd. |
Omezené |
Chatboti, systémy generující deepfakes. |
Povinnost transparentnosti. Uživatelé musí být jasně informováni, že interagují s AI nebo že je obsah uměle vytvořený. |
Minimální |
Spamové filtry, AI ve videohrách, systémy pro řízení zásob. |
Žádné specifické právní povinnosti. Doporučuje se dobrovolné dodržování etických kodexů. |
Pokud váš AI systém spadá do kategorie vysokého rizika, čeká vás řada povinností, které musíte splnit ještě před jeho uvedením na trh. Tento checklist shrnuje ty nejdůležitější.
1. Systém řízení rizik: Nejde o jednorázový audit, ale o nepřetržitý proces identifikace, hodnocení a zmírňování rizik spojených s vaším AI systémem po celou dobu jeho životnosti. Musíte mít zavedené postupy pro řešení chyb, algoritmického zkreslení (bias) a odolnosti vůči útokům.
2. Kvalita dat (Data Governance): Váš model je jen tak dobrý jako data, na kterých je trénován. AI Act vyžaduje, aby trénovací, validační a testovací data byla relevantní, reprezentativní a co nejvíce bezchybná a úplná. Musíte být schopni doložit, jaké postupy pro správu dat a zmírňování zkreslení používáte.
3. Technická dokumentace: Ještě před uvedením produktu na trh musíte vytvořit a průběžně aktualizovat podrobnou technickou dokumentaci. Ta musí popisovat účel systému, jeho schopnosti, omezení, použité algoritmy a datové sady. Tato dokumentace je klíčovým důkazem pro regulační orgány, že váš systém splňuje požadavky nařízení.
4. Záznamy a logování: Váš systém musí být technicky navržen tak, aby automaticky zaznamenával události (logy) během svého provozu. To zajišťuje zpětnou sledovatelnost výsledků a je nezbytné pro vyšetřování případných incidentů.
5. Transparentnost a informace pro uživatele: Koncoví uživatelé musí od vás dostat jasné a srozumitelné instrukce k použití, které jim umožní správně interpretovat výstupy systému, pochopit jeho omezení a uvědomit si rizika.
6. Lidský dohled: Systém musí být navržen tak, aby nad ním mohl efektivně dohlížet člověk. To znamená, že musí existovat možnost lidského zásahu, přehodnocení rozhodnutí učiněného AI nebo okamžité zastavení systému v případě potřeby. To je naprosto klíčové u rozhodnutí s vysokým dopadem, jako je zamítnutí žádosti o úvěr nebo vyřazení uchazeče z výběrového řízení.
7. Přesnost, robustnost a kybernetická bezpečnost: Musíte prokázat, že váš systém dosahuje odpovídající úrovně přesnosti, je odolný vůči chybám a má implementovaná adekvátní opatření kybernetické bezpečnosti proti případným útokům.
8. Registrace v databázi EU: Poskytovatelé vysoce rizikových systémů budou mít povinnost registrovat své produkty ve veřejné databázi EU.
Veškerá tato dokumentace (záznamy o řízení rizik, technická specifikace, logy) není jen byrokratickou zátěží pro úřady. V budoucnu se stane vaším hlavním obranným valem. Jak si ukážeme dále, nová legislativa usnadňuje žalování poskytovatelů AI o náhradu škody. Právě pečlivě vedená dokumentace, která prokazuje, že jste splnili všechny své povinnosti, bude klíčovým důkazem u soudu, který vás může ochránit před odpovědností. Kdo na dokumentaci šetří, podřezává si pod sebou větev pro budoucí spory.
Jedna povinnost se týká téměř všech firem využívajících AI, bez ohledu na kategorii rizika: zajistit odpovídající úroveň AI gramotnosti pro své zaměstnance. Ačkoliv za porušení této konkrétní povinnosti nehrozí přímá pokuta, může být považována za přitěžující okolnost při posuzování jiných prohřešků. Proškolený tým je nejlepší prevencí chyb.
Vytvoření takto komplexní dokumentace a zavedení interních procesů je náročný úkol. V ARROWS nejenže známe požadavky zákona, ale máme i praktické zkušenosti s tím, jak tyto procesy nastavit efektivně, aby vás co nejméně zatěžovaly v běžném provozu a zároveň vás maximálně chránily.
Data jsou palivem pro umělou inteligenci, ale zároveň představují největší právní minové pole. AI Act a nařízení o ochraně osobních údajů (GDPR) jdou ruku v ruce a nelze je řešit odděleně.
Pro jakékoli zpracování osobních údajů – včetně trénování AI modelů – musíte mít platný právní titul podle GDPR. Častou volbou je "oprávněný zájem", ale pozor, není to žádná zkratka. Abyste se na něj mohli odvolat, musíte provést a pečlivě zdokumentovat tzv. tříkrokový test :
1. Identifikace oprávněného zájmu: Musíte jasně definovat, v čem váš legitimní zájem spočívá (např. vylepšení produktu, prevence podvodů).
2. Posouzení nezbytnosti: Musíte prokázat, že zpracování osobních údajů je pro dosažení tohoto cíle nezbytné a neexistuje méně invazivní cesta.
3. Balanční test: Musíte zvážit, zda váš zájem nepřevažuje nad právy a svobodami lidí, jejichž data zpracováváte.
Že se nejedná o formalitu, dokazuje případová studie společnosti OpenAI v Itálii. Italský dozorový úřad v roce 2023 dočasně zakázal provoz ChatGPT právě z důvodu porušení GDPR. Hlavními argumenty byly chybějící právní základ pro masivní sběr a zpracování osobních údajů pro trénink algoritmů a nedostatečná transparentnost vůči uživatelům, jejichž data byla použita. Tento případ je jasným varováním, že regulátoři neváhají tvrdě zasáhnout.
Nejlepší cestou je samozřejmě minimalizovat použití osobních údajů. Pokud to není možné, techniky jako pseudonymizace (nahrazení přímých identifikátorů kódem) nebo diferenciální soukromí (přidání statistického "šumu" do dat) mohou výrazně snížit riziko.
U generativní AI narážíte na dva hlavní problémy s autorským právem:
1. Problém na vstupu (Trénovací data): Byly modely jako ChatGPT trénovány legálně? Masivní stahování obsahu z internetu (tzv. web scraping) pro trénink AI je předmětem řady soudních sporů, například žaloby deníku The New York Times proti OpenAI. AI Act na to reaguje novou povinností pro vývojáře obecných modelů AI: musí zveřejňovat podrobná shrnutí obsahu chráněného autorským právem, který byl použit k tréninku.
2. Problém na výstupu (Kdo je autorem?): Může být obrázek, text nebo kód vygenerovaný umělou inteligencí chráněn autorským právem? První český soudní spor v této věci dospěl k jasnému závěru. Městský soud v Praze zamítl žalobu muže, který se domáhal autorství k obrázku vygenerovanému nástrojem DALL-E. Soud konstatoval, že pouhé zadání textového příkazu (promptu) nelze považovat za jedinečnou tvůrčí činnost. Jedná se spíše o námět či myšlenku, které samy o sobě autorským právem chráněny nejsou.
Pro vás jako startup to znamená zásadní věc: pokud je výstup vaší AI vytvořen bez významného a prokazatelného lidského tvůrčího zásahu, není autorským dílem a nepožívá právní ochrany. Kdokoliv ho může volně zkopírovat a použít. Pokud chcete své výstupy chránit, musíte být schopni prokázat kreativní vklad člověka – například pomocí série komplexních, iterativních příkazů, následných úprav a kurátorství výsledku.
Právní nejistota v oblasti dat představuje pro AI startupy skryté existenční riziko. Pokud trénujete model na datech s nejasným právním statusem, riskujete, že vám úřad nařídí celý dataset smazat nebo model nákladně přetrénovat, což může zničit hodnotu celé firmy. Klíčem k řízení tohoto rizika jsou proto nejen technická opatření, ale především robustní smluvní dokumentace – licenční podmínky a smlouvy s dodavateli dat i s klienty, které jasně rozdělují práva a odpovědnost.
Správa dat je pro AI startupy Achillovou patou. V ARROWS provádíme audity datových zdrojů, pomáháme nastavit procesy v souladu s GDPR a připravujeme smluvní dokumentaci, která chrání hodnotu vašeho byznysu a minimalizuje rizika plynoucí z právní nejistoty.
Tato část je přímá a bez obalu. Nejde o strašení, ale o realistické zhodnocení rizik, která vás mají motivovat k proaktivním krokům.
Sankce za porušení AI Actu jsou srovnatelné s nejpřísnějšími pokutami podle GDPR. Pro startup mohou být likvidační.
Typ porušení |
Maximální pokuta |
Použití zakázané praktiky AI (čl. 5) |
Až 35 000 000 EUR nebo 7 % z celosvětového ročního obratu |
Nesplnění povinností u vysoce rizikové AI (např. chybějící řízení rizik, dokumentace) |
Až 15 000 000 EUR nebo 3 % z celosvětového ročního obratu |
Poskytnutí nesprávných informací úřadům |
Až 7 500 000 EUR nebo 1,5 % z celosvětového ročního obratu |
Současná pravidla odpovědnosti za škodu jsou pro případy způsobené AI často nedostatečná. Kvůli složitosti a neprůhlednosti algoritmů (tzv. efekt "černé skříňky") je pro poškozeného téměř nemožné prokázat, co přesně se pokazilo a kdo za to nese vinu.
Proto EU připravuje novou Směrnici o odpovědnosti za umělou inteligenci (AI Liability Directive), která má tuto situaci změnit ve prospěch poškozených. Zavádí klíčový koncept – vyvratitelnou domněnku příčinné souvislosti. Zjednodušeně to znamená, že pokud poškozený u soudu prokáže tři věci:
1. Že jste jako poskytovatel porušili nějakou povinnost (např. povinnost z AI Actu).
2. Že je "přiměřeně pravděpodobné", že toto porušení ovlivnilo chybný výstup AI.
3. Že mu tento výstup způsobil škodu.
...pak soud automaticky předpokládá, že vaše pochybení bylo příčinou škody. Důkazní břemeno se v tu chvíli přesouvá na vás. Vy musíte prokázat, že vaše porušení povinnosti škodu nezpůsobilo, což může být extrémně obtížné.
Zde se ukazuje zásadní propojení mezi AI Actem a Směrnicí o odpovědnosti. Porušení povinnosti z AI Actu (např. absence lidského dohledu) se stává spouštěčem pro uplatnění této domněnky. Důsledné plnění povinností z AI Actu a pečlivá dokumentace tedy nejsou jen o prevenci pokut od regulátora. Jsou naprosto zásadní pro vybudování vaší obranné pozice v budoucích civilních sporech o náhradu škody. Investice do compliance je tak přímo investicí do snížení rizika odpovědnosti.
Kromě finančních ztrát je v sázce i to nejcennější: vaše reputace a důvěra klientů i investorů. Zpráva o vysoké pokutě nebo prohraném sporu může váš startup poškodit mnohem víc než samotná finanční ztráta. Naopak, prokazatelný soulad s právem je silným marketingovým argumentem.
Naši právníci se specializují nejen na prevenci (soulad s AI Act), ale i na obranu. Pomůžeme vám nastavit interní procesy a dokumentaci tak, abyste byli v případě sporu schopni účinně vyvrátit domněnku příčinné souvislosti a chránit svůj byznys.
Po všech povinnostech a rizicích je čas zaměřit se na ochranu toho nejcennějšího, co máte – vaší technologie, algoritmů a know-how.
Existují tři hlavní cesty, každá s jinými výhodami a nevýhodami:
Zde narážíme na strategické dilema. AI Act po vás u vysoce rizikových systémů vyžaduje vysokou míru transparentnosti a podrobnou technickou dokumentaci. Ochrana obchodního tajemství naopak vyžaduje důvěrnost. Jak tedy splnit požadavky regulace a zároveň si neprozradit své "korunovační klenoty"?
Řešení vyžaduje sofistikovaný právní přístup. Je třeba pečlivě definovat, které informace jsou nezbytně nutné pro splnění regulačních požadavků a mohou být sdíleny (například v režimu důvěrnosti s dozorovým orgánem), a které tvoří jádro vašeho obchodního tajemství a musí být chráněny za každou cenu.
Klíčem k ochraně vašeho duševního vlastnictví jsou proto neprůstřelné smlouvy:
IP strategie není jen o registraci ochranných známek. V ARROWS vám pomůžeme navrhnout komplexní strategii ochrany vašeho know-how, která kombinuje režim obchodního tajemství s precizní smluvní dokumentací, a to vše v souladu s požadavky AI Actu.
Jak vidíte, svět AI startupů je plný obrovských příležitostí, ale i komplexních právních výzev. Čeká vás spletitá regulace, hrozba vysokých pokut, nejasnosti v oblasti duševního vlastnictví a zvýšené riziko odpovědnosti za škodu.
V ARROWS tomu rozumíme, protože sami umělou inteligenci nejen právně řešíme, ale i aktivně implementujeme a používáme v naší praxi. Naše zkušenosti jsme sdíleli při školeních pro Komoru daňových poradců, banky a další významné instituce. Nejsme jen právníci, jsme vaši strategičtí partneři pro růst.
Na základě našich zkušeností jsme připravili balíček služeb na míru pro AI startupy, který vám zajistí právní jistotu a klid na inovace:
1. AI Compliance Audit (Právní prověrka): Zmapujeme vaše AI systémy, klasifikujeme je podle rizikovosti a identifikujeme mezery v souladu s AI Act a GDPR. Výstupem bude jasný a srozumitelný checklist úkolů, které je třeba udělat.
2. Návrh AI Governance a interních směrnic: Pomůžeme vám vytvořit a implementovat systém řízení rizik, politiku pro používání AI zaměstnanci a další interní procesy, které zákon vyžaduje a které budou prakticky fungovat.
3. Neprůstřelná smluvní dokumentace: Připravíme nebo zrevidujeme vaše klíčové smlouvy – SaaS smlouvy, SLA, licenční podmínky, NDA – s ohledem na specifika AI, jako jsou práva k datům, rozdělení odpovědnosti a ochrana vašeho IP.
4. Jistota v datech (GDPR & Copyright): Provedeme audit vašich trénovacích dat, pomůžeme nastavit procesy pro jejich legální získávání a zpracování a poradíme s problematikou autorských práv k vstupům i výstupům.
5. Školení vašeho týmu: Proškolíme vaše zaměstnance na míru tak, aby rozuměli rizikům a pravidlům bezpečného využívání AI, čímž splníte svou zákonnou povinnost a minimalizujete riziko lidské chyby.
6. Zastupování a obrana: V případě potřeby vás zastoupíme při jednání s dozorovými úřady nebo vás budeme bránit v soudních sporech.
Nenechte právní nejistotu brzdit vaše inovace. Svět AI se mění a my jsme tu od toho, abychom vám zajistili, že budete vždy o krok napřed.
Domluvte si s námi nezávaznou konzultaci. Společně probereme vaši situaci a ukážeme vám, jak přeměnit regulatorní výzvy ve vaši konkurenční výhodu.
Nechcete tenhle problém řešit sami? Advokátní kanceláři ARROWS věří více než 2000 klientů a jsme oceněni jako Právnická firma roku 2024. Podívejte se ZDE na naše reference a bude nám ctí pomoci vám při řešení vašeho problému. Poptávka je zdarma.