Bezpečné používanie AI vo firme: AI Act a ochrana údajov

Špeciálny návod: AI Act pre firmy - čo musíte dodržiavať, čo nesmiete robiť a ako používať umelú inteligenciu v súlade s právnymi predpismi

Praktický právny a organizačný návod | Slovensko, Česko, Poľsko | Právny stav: 17. október 2026

Pre živnostníkov aj firmy

Európska legislatíva

Právny základ: nariadenie (EÚ) 2024/1689 v znení nariadenia (EÚ) 2026/1744. Spracované podľa konsolidovaného znenia a výkladových materiálov Európskej komisie.

1. Čo AI Act znamená pre bežnú firmu

Spoločnosť s desiatimi zamestnancami používa ChatGPT na prípravu obchodných ponúk. Marketingová agentúra vytvára reklamné obrázky pomocou generatívnej AI. Internetový obchod plánuje zaviesť chatbota. Personálne oddelenie chce automaticky vyhodnocovať životopisy uchádzačov.

Každá z týchto firiem používa umelú inteligenciu, ale ich povinnosti podľa AI Act nie sú rovnaké.

Európske nariadenie o umelej inteligencii, známe ako AI Act, neurčuje jednu súpravu pravidiel pre všetky firmy používajúce AI. Povinnosti závisia najmä od účelu systému, jeho rizikovosti a postavenia firmy.

Pre väčšinu malých a stredných podnikov, ktoré používajú bežných AI asistentov, nie je potrebná certifikácia každého nástroja ani registrácia každého spôsobu používania. To však neznamená, že sa ich nariadenie netýka.

Firma musí predovšetkým vedieť, aké systémy používa, na čo ich využíva, či nejde o zakázaný spôsob použitia, ktoré povinnosti transparentnosti sa na ňu vzťahujú a ako zabezpečuje primeranú AI gramotnosť pracovníkov.

AI Act sa uplatňuje priamo vo všetkých troch krajinách - na Slovensku, v Českej republike aj Poľsku. Národné predpisy upravujú najmä inštitucionálne a vykonávacie otázky. Na používanie AI sa súčasne vzťahujú ďalšie právne predpisy vrátane GDPR, pracovného práva, ochrany spotrebiteľa a autorského práva.

Základným dokumentom je konsolidované znenie AI Act na EUR-Lexe. V júli 2026 došlo k významnej novelizácii prijatím nariadenia 2026/1744, preto niektoré staršie návody uvádzajú už neaktuálne termíny.

EUR-Lex

+2

2. Najprv zistite, v akom postavení firma AI používa

AI Act rozlišuje niekoľko subjektov. Pre bežného podnikateľa sú najdôležitejšie dve roly: poskytovateľ (provider) a nasadzujúci subjekt (deployer).

Nasadzujúcim subjektom je napríklad obchodná spoločnosť používajúca zakúpeného AI asistenta pri svojich podnikateľských činnostiach. Poskytovateľom môže byť spoločnosť, ktorá vyvíja AI systém alebo si ho dá vyvinúť a uvádza ho na trh či do prevádzky pod svojím názvom alebo značkou.

Firma môže mať viac rolí súčasne.

Situácia

Pravdepodobná rola firmy

Čo preveriť

Zamestnanci používajú AI asistenta na e-maily

Nasadzujúci subjekt

Účel, údaje, gramotnosť

E-shop používa zakúpeného chatbota

Spravidla nasadzujúci subjekt

Transparentnosť a bezpečnosť

Firma vytvorí a predáva vlastný AI systém

Poskytovateľ

Povinnosti poskytovateľa

Spoločnosť významne upraví vysokorizikový AI systém

Za určitých podmienok poskytovateľ

Článok 25

Agentúra integruje AI do riešenia pre klienta

Závisí od spôsobu dodania

Roly podľa zmluvy a skutočného fungovania

Samotné použitie API alebo napísanie vlastného promptu automaticky neznamená, že sa firma stáva poskytovateľom všeobecného AI modelu. Pri vývoji a uvádzaní vlastného AI systému na trh však môže nadobudnúť povinnosti poskytovateľa, aj keď základný model pochádza od inej spoločnosti.

Praktická úloha: Založte dokument Register AI systémov.

AI systém

Účel

Oddelenie

Rola

Zodpovedný pracovník

Firemný AI asistent

Obchodné texty

Obchod

Nasadzujúci subjekt

Vedúci obchodu

AI chatbot

Zákaznícke otázky

Podpora

Overiť podľa integrácie

IT manažér

AI analýza životopisov

Nábor

HR

Nasadzujúci subjekt

HR manažér

Ku každému systému doplňte poskytovateľa, spôsob spracúvania údajov, používateľov a dátum poslednej kontroly.

Právne rozlíšenie rolí vychádza z článkov 3 a 25 AI Act.

AI Act Service Desk

+1

3. Overte, či firma nepoužíva zakázaný AI systém

Niektoré spôsoby použitia AI nie sú iba rizikové. Nariadenie ich zakazuje.

Pre podniky je mimoriadne relevantný zákaz určitých systémov rozpoznávania emócií na pracovisku. Firma napríklad nesmie používať AI, ktorá z biometrických údajov zamestnancov vyhodnocuje ich emočný stav, aby vedenie identifikovalo údajných nespokojných alebo málo motivovaných pracovníkov. Existujú úzko vymedzené výnimky na zdravotné a bezpečnostné účely.

Článok 5 zakazuje aj určité manipulatívne techniky spôsobujúce alebo pravdepodobne spôsobujúce významnú ujmu, niektoré formy sociálneho skórovania a vybrané postupy biometrickej kategorizácie.

Nie každé hodnotenie pracovného výkonu je sociálnym skórovaním v zmysle nariadenia. O právnej kvalifikácii rozhodujú konkrétne znaky systému a dôsledky jeho používania.

Praktické príklady

Zamýšľané použitie

Posúdenie

AI sumarizuje anonymný zamestnanecký dotazník

Spravidla nie je samo osebe zakázané

AI odhaduje emócie pracovníka z jeho tváre na pracovisku

Spravidla zakázané

AI pripravuje pracovné inštrukcie

Spravidla prípustné

AI vytvára osobné skóre zamestnancov spájajúce nesúvisiace údaje na neprimerané znevýhodňovanie

Môže napĺňať zakázanú praktiku

AI triedi kandidátov podľa vhodnosti na pracovné miesto

Potenciálne vysokorizikové, nie automaticky zakázané

Pri zákaze nestačí zmeniť názov aplikácie alebo vložiť do rozhodovania formálne schválenie človekom.

Ak systém vykonáva zakázanú praktiku, samotná prítomnosť zamestnanca pri jej používaní zákaz neodstraňuje.

Kontrolný postup: Pri každom systéme používanom na hodnotenie ľudí zistite, aké údaje analyzuje, aké závery vytvára a aké dôsledky z nich firma vyvodzuje. Potenciálne zakázané použitie pozastavte a nechajte právne posúdiť.

Od 2. decembra 2026 sa začnú uplatňovať aj ďalšie zákazy doplnené novelou z roku 2026, ktoré sa týkajú konkrétnych foriem zneužívania AI na vytváranie sexuálneho a zneužívajúceho materiálu.

AI Act Service Desk

+1

4. Rozpoznajte vysokorizikové použitie AI

Pre bežnú firmu je jedným z najdôležitejších rozdielov hranica medzi administratívnou podporou a systémom, ktorý významne ovplyvňuje práva alebo príležitosti ľudí.

Predstavme si, že personálne oddelenie používa AI na návrh pracovného inzerátu. Takéto použitie spravidla nespadá medzi vysokorizikové systémy len preto, že sa odohráva v HR.

Iná situácia vzniká, ak AI analyzuje životopisy, hodnotí uchádzačov a rozhoduje alebo významne ovplyvňuje, kto postúpi do ďalšieho kola.

Systémy určené na nábor, výber pracovníkov, rozhodovanie o pracovných podmienkach, povýšení alebo ukončení pracovného vzťahu môžu patriť medzi vysokorizikové podľa prílohy III. Posúdenie závisí aj od konkrétneho účelu a zákonných kritérií klasifikácie.

Ďalšími relevantnými oblasťami sú určité použitia v úverovom hodnotení, vzdelávaní, prístupe k základným súkromným a verejným službám alebo pri bezpečnostných komponentoch regulovaných výrobkov.

Rozhodovací postup

Na čo firma AI používa?

Ide o použitie uvedené v článku 6 a prílohách I alebo III?

Nie

Skontrolovať ostatné povinnosti AI Act a GDPR

Áno alebo nejasné

Právne posúdiť klasifikáciu, výnimky a povinnosti

Zjednodušená orientačná schéma. Nenahrádza úplný test vysokorizikového systému podľa článku 6.

Čo musí firma preveriť pri vysokorizikovom systéme

Ak spoločnosť vystupuje ako nasadzujúci subjekt, musí podľa relevantných ustanovení najmä zabezpečiť používanie v súlade s pokynmi, primeraný ľudský dohľad, monitorovanie fungovania, vhodnosť vstupných údajov v rozsahu, ktorý kontroluje, a požadovanú evidenciu.

Článok 26 v príslušných prípadoch upravuje aj informovanie pracovníkov, uchovávanie automaticky generovaných záznamov a postup pri riziku alebo závažnom incidente.

Niektoré subjekty musia pred prvým nasadením určitých vysokorizikových systémov vykonať posúdenie vplyvu na základné práva podľa článku 27. Táto povinnosť sa nevzťahuje automaticky na každú súkromnú firmu používajúcu akúkoľvek AI.

Pozor na termíny. Po legislatívnej zmene z júla 2026 sa hlavná časť pravidiel pre vysokorizikové systémy podľa prílohy III začne uplatňovať 2. decembra 2027. Pre príslušné systémy viazané na regulované produkty je stanovený termín 2. augusta 2028. Existujú aj prechodné ustanovenia, ktoré treba posúdiť podľa konkrétneho systému.

Odklad preto nemožno vykladať ako povolenie používať zakázané praktiky alebo ignorovať GDPR.

Shaping Europe’s digital future

+2

5. AI gramotnosť zamestnancov: čo firma skutočne musí urobiť

Článok 4 AI Act ukladá poskytovateľom a nasadzujúcim subjektom povinnosť prijímať opatrenia podporujúce AI gramotnosť pracovníkov a ďalších osôb používajúcich AI v ich mene.

Po novele z roku 2026 je výslovne uvedené, že povinnosť neznamená garanciu určitej úrovne AI gramotnosti každého jednotlivca.

Nariadenie nepredpisuje univerzálny osemhodinový kurz, konkrétny certifikát ani jednotnú periodicitu školenia pre všetky firmy.

Čo teda urobiť v praxi?

Najprv identifikujte zamestnancov, ktorí AI používajú. Následne ich rozdeľte podľa úloh a súvisiacich rizík.

Skupina pracovníkov

Obsah školenia

Administratíva

Zadávanie úloh, správnosť odpovedí, ochrana dokumentov

Marketing

Generovaný obsah, autorské práva, označovanie obsahu

Obchod

Kontrola cien, ponúk a zákazníckych informácií

HR

Osobné údaje, diskriminácia, vysokorizikové systémy

IT

Bezpečnosť, integrácie, prístupy, evidencia systémov

Vedenie

Zodpovednosť, schvaľovanie, riziká, kontrola

Pri základnom školení vysvetlite účastníkom, na čo môžu nástroje používať, aké údaje do nich nesmú vkladať, ako overovať výsledky a ako oznamovať chyby.

Vykonanie školenia zaznamenajte. Odporúčaná evidencia môže obsahovať dátum, obsah, školiteľa, účastníkov a použitý materiál.

Nie je to univerzálna zákonná požiadavka na presne takýto formulár. Evidencia však pomáha preukázať, aké opatrenia spoločnosť prijala.

Pri zavedení nového rizikového použitia školenie doplňte. Firma by nemala predpokladať, že jednorazová všeobecná prezentácia dostatočne pripraví napríklad pracovníkov na používanie AI pri výbere zamestnancov.

Právnym základom je aktuálne znenie článku 4.

EUR-Lex

6. Musíte označovať obsah vytvorený umelou inteligenciou?

Odpoveď závisí od druhu obsahu a od toho, či firma vystupuje ako poskytovateľ alebo nasadzujúci subjekt.

Nie je správne tvrdiť, že každá fotografia, e-mail, produktový opis alebo marketingový text vytvorený s pomocou AI musí automaticky obsahovať označenie.

Článok 50 rozlišuje povinnosti poskytovateľov a nasadzujúcich subjektov a stanovuje osobitné pravidlá pre priame interakcie s AI, syntetický obsah, deepfaky a určité publikované texty o záležitostiach verejného záujmu.

Modelové situácie

Použitie

Praktické posúdenie

AI pripraví interný e-mail

Spravidla bez osobitného označenia podľa článku 50

AI pomôže napísať produktový opis

Nie je automaticky povinné označenie

Zákazník komunikuje s AI chatbotom

Treba overiť povinnosť informovať o interakcii

Firma zverejní realistické AI video predstavujúce osobu, ktorá niečo údajne povedala

Môže ísť o deepfake s povinnosťou oznámenia

AI pripraví publikovaný text o veci verejného záujmu

Posúdiť článok 50 a výnimku pri ľudskej kontrole a redakčnej zodpovednosti

AI vytvorí bežnú grafiku bez predstierania reálnej udalosti

Označenie nemožno vyžadovať plošne iba pre použitie AI

Príklad: firemný chatbot

Internetový obchod zavedie na svoju stránku chatbota, ktorý odpovedá na otázky zákazníkov.

Odporúčaným transparentným riešením je jasne uviesť, že zákazník komunikuje s AI.

Napríklad:

Komunikujete s virtuálnym asistentom využívajúcim umelú inteligenciu. Odpovede môžu obsahovať nepresnosti. Ak potrebujete individuálnu pomoc, môžete požiadať o spojenie s naším pracovníkom.

Konkrétne povinnosti poskytovateľa a firmy používajúcej systém treba rozlíšiť. Priamo interagujúce AI systémy musia byť navrhnuté tak, aby boli používatelia informovaní, pokiaľ interakcia s AI nie je zjavná podľa podmienok článku 50.

Príklad: reklamné video

Reklamná agentúra pripraví realistické video, v ktorom digitálne vytvorená osoba vystupuje ako reálny odborník a prednáša údajné odporúčanie produktu.

Pred zverejnením treba posúdiť, či obsah napĺňa definíciu deepfaku, aké označenie je povinné a či zároveň neporušuje práva konkrétnej osoby alebo pravidlá ochrany spotrebiteľa.

Povinnosti článku 50 sa uplatňujú od 2. augusta 2026. Pre časť povinností poskytovateľov na strojovo čitateľné označovanie starších systémov existuje osobitná prechodná lehota do 2. decembra 2026.

AI Act Service Desk

+2

7. AI Act a GDPR nie sú to isté

Jednou z najčastejších chýb je predpoklad, že firma používa nástroj v súlade s AI Act, a preto môže bez ďalšej kontroly spracúvať akékoľvek osobné údaje.

GDPR sa uplatňuje nezávisle od rizikovej kategórie AI systému.

Ak napríklad firma vloží do AI asistenta životopis uchádzača, spracúva osobné údaje. Musí posúdiť právny základ, účel, minimalizáciu údajov, informačné povinnosti, prístupové oprávnenia, uchovávanie a zapojenie dodávateľa.

Používanie firemného predplatného automaticky nepredstavuje právny základ spracúvania.

Osobitnú pozornosť si vyžaduje automatizované individuálne rozhodovanie vrátane profilovania podľa článku 22 GDPR. Niektoré výlučne automatizované rozhodnutia s právnymi alebo podobne významnými účinkami sú obmedzené a podliehajú osobitným podmienkam.

Praktický test pred vložením údajov do AI

Obsahuje dokument osobné údaje?

Je vloženie údajov do AI nevyhnutné na zamýšľaný účel?

Má firma právny základ na takéto spracúvanie?

Je poskytovateľ zmluvne a technicky primerane posúdený?

Kto môže údaje a výstupy vidieť?

Ako dlho sa údaje uchovávajú?

Dá sa účel dosiahnuť anonymizovanými údajmi?

Nevyžaduje spracúvanie posúdenie vplyvu na ochranu osobných údajov?

Ak odpovede nie sú známe, nesprístupňujte nástroju ostré údaje len preto, že aplikácia technicky umožňuje nahrať súbor.

8. Čo hrozí pri porušení AI Act?

Nariadenie obsahuje vysoké maximálne sankčné limity, ktoré sa však nesmú zamieňať s automatickou pokutou za každé porušenie.

Pri zakázaných praktikách môže podľa článku 99 horný limit dosahovať 35 miliónov eur alebo 7 % celosvetového ročného obratu podniku za predchádzajúci finančný rok.

Pri vybraných ďalších porušeniach vrátane povinností podľa článkov 26 alebo 50 je limit až 15 miliónov eur alebo 3 % obratu.

Pri malých a stredných podnikoch sa uplatňujú pravidlá proporcionality a osobitné limity podľa aktuálneho znenia článku 99.

Pri ukladaní sankcie sa posudzujú okolnosti konkrétneho prípadu. Môžu sa uplatňovať aj iné nápravné alebo dozorné opatrenia.

Praktickým rizikom pre firmu preto nie je iba pokuta. Nesprávne použitie AI môže viesť aj k zmluvným sporom, úniku informácií, diskriminačnému rozhodnutiu alebo poškodeniu zákazníka.

Podrobné pravidlá obsahuje článok 99 AI Act.

AI Act Service Desk

9. Vykonajte jednoduchý interný AI Act audit

Nasledujúci postup môže uskutočniť konateľ malej firmy spoločne s pracovníkom zodpovedným za IT alebo administratívu. Pri nejasných rizikových systémoch je potrebná odborná právna pomoc.

Kontrolný zoznam - prvé posúdenie AI vo firme

Vybavené 0 z 12

Vynulovať

Máme zoznam používaných AI systémov.

Poznáme účel každého systému a jeho dodávateľa.

Určili sme, či sme poskytovateľ alebo nasadzujúci subjekt.

Preverili sme zakázané praktiky podľa článku 5.

Posúdili sme možné vysokorizikové použitia.

Vieme, kde sa spracúvajú osobné a dôverné údaje.

Zamestnanci poznajú základné pravidlá práce s AI.

Preverili sme povinnosti transparentnosti.

Máme určenú kontrolu a schvaľovanie výstupov.

Vieme, komu zamestnanci hlásia chyby a incidenty.

Máme uložené relevantné zmluvy a dokumentáciu.

Určili sme termín ďalšieho preverenia.

Kopírovať kontrolný zoznamChecklist je orientačný interný nástroj. Jeho úplné vyplnenie nepredstavuje právne potvrdenie súladu s AI Act.

10. Vzor základnej internej smernice pre používanie AI

Firma by mala zamestnancom poskytnúť praktické a zrozumiteľné pravidlá. Nemusí ísť hneď o rozsiahlu právnu dokumentáciu.

Základná interná smernica môže obsahovať:

Článok 1 - Účel: Určenie pravidiel bezpečného a zodpovedného využívania AI pri pracovných činnostiach.

Článok 2 - Povolené nástroje: Zoznam schválených aplikácií a podmienky ich používania.

Článok 3 - Ochrana informácií: Kategórie údajov, ktoré zamestnanci môžu a nesmú zadávať.

Článok 4 - Kontrola výstupov: Určenie výstupov, ktoré vyžadujú odbornú alebo manažérsku kontrolu.

Článok 5 - Zakázané používanie: Odkaz na zakázané praktiky AI a interné obmedzenia spoločnosti.

Článok 6 - Transparentnosť: Postup označovania obsahu a informovania osôb, ak to vyžadujú právne predpisy.

Článok 7 - Vzdelávanie: Zodpovednosť za primerané opatrenia AI gramotnosti.

Článok 8 - Incidenty a zmeny: Ohlasovanie chýb, nové použitia a pravidelná aktualizácia smernice.

Schválená smernica má byť dostupná pracovníkom a pravidelne aktualizovaná. Ak firma používa vysokorizikové systémy, potrebuje podstatne podrobnejšiu dokumentáciu a kontrolné procesy.

11. Päť modelových prípadov z podnikateľskej praxe

Prípad A - Účtovnícka spoločnosť

Účtovnícka firma používa AI na prípravu vysvetlení účtovných pojmov a interných kontrolných zoznamov. Ak nevyužíva osobné ani dôverné údaje klientov, hlavnými otázkami sú AI gramotnosť, kontrola vecnej správnosti a interné pravidlá. Samotné používanie AI asistenta zvyčajne neznamená vysokorizikový systém.

Prípad B - Internetový obchod

E-shop zavedie virtuálneho asistenta pre zákazníkov. Musí preskúmať transparentnosť interakcie, ochranu údajov a presnosť informácií. Osobitným problémom by bolo, keby chatbot uvádzal nepravdivé ceny alebo predstieral schválenie reklamácie.

Prípad C - Personálna agentúra

Agentúra chce automaticky hodnotiť uchádzačov podľa životopisov a radiť ich podľa vhodnosti. Ide o potenciálne vysokorizikové použitie. Pred nasadením musí presne posúdiť účel, právne požiadavky, spracúvanie údajov a možné diskriminačné účinky. Skutočnosť, že hodnotenie vykonáva zakúpený softvér, agentúru nezbavuje vlastných povinností.

Prípad D - Marketingová agentúra

Agentúra vytvára produktové vizuály pomocou generatívnej AI. Samotné vytvorenie umelej produktovej scény neznamená automatickú povinnosť pripojiť ku každému vizuálu upozornenie podľa AI Act. Pri realistických manipuláciách s podobou skutočných osôb alebo pri predstieraní udalostí však môže vzniknúť povinnosť označenia a ďalšie právne otázky.

Prípad E - Výrobný podnik

Firma nasadí AI systém na prediktívnu údržbu stroja. Ak iba analyzuje technické údaje a odporúča údržbu, nemusí automaticky patriť medzi vysokorizikové systémy. Ak však vykonáva bezpečnostnú funkciu regulovaného zariadenia, jeho právne posúdenie môže byť odlišné.

Práve preto sa AI Act neposudzuje podľa názvu aplikácie, ale podľa jej skutočného účelu a spôsobu použitia.

12. Čo má firma pripraviť počas prvých 30 dní

Obdobie

Úloha

Výstup

1. týždeň

Zmapovanie nástrojov a používateľov

Register AI systémov

2. týždeň

Kontrola účelov, rizík a údajov

Predbežné právne posúdenie

3. týždeň

Príprava pravidiel a školení

Interná smernica a materiály

4. týždeň

Kontrola povinností a nápravných opatrení

Schválený akčný plán

Tridsať dní je organizačný návrh, nie zákonná lehota na splnenie povinností. Pravidlá, ktoré sa na spoločnosť už vzťahujú, musí dodržiavať bez čakania na dokončenie auditu.

Záver

Pre malú firmu nie je hlavným problémom AI Act samotné používanie ChatGPT alebo podobného nástroja. Najväčšie riziko vzniká, keď spoločnosť nevie, kde sa AI používa, na základe akých údajov vytvára výstupy a či jej rozhodnutia nezasahujú do práv zákazníkov alebo zamestnancov.

Začnite preto registrom systémov, klasifikáciou spôsobov použitia, kontrolou ochrany údajov a primeraným zaškolením pracovníkov. Pri zakázaných alebo vysokorizikových použitiach je nevyhnutné osobitné právne a technické posúdenie.

Hlavné právne a odborné zdroje

Nariadenie (EÚ) 2024/1689 - konsolidované znenie z 27. júla 2026

Nariadenie (EÚ) 2026/1744 - Digital Omnibus on AI

Článok 5 - zakázané praktiky

Článok 26 - povinnosti nasadzujúcich subjektov

Článok 27 - posudzovanie vplyvu na základné práva

Európska komisia - usmernenia k transparentnosti AI

Článok 99 - sankcie