Odklad některých povinností AI Actu neznamená, že mají firmy s umělou inteligencí ještě čas. Právě naopak. Od 2. srpna 2026 se začala uplatňovat další významná část evropského AI Actu, mimo jiné pravidla týkající se transparentnosti. Současně ale zůstává problém, který řada firem stále přehlíží – takzvaná Shadow AI.
Shadow AI označuje situaci, kdy zaměstnanci používají ChatGPT, Gemini, Claude nebo jiné veřejně dostupné AI nástroje bez vědomí či souhlasu zaměstnavatele. Často tak činí s dobrým úmyslem – chtějí si urychlit práci, vytvořit text, analyzovat dokument nebo vyřešit rutinní úkol. Problém nastává ve chvíli, kdy do AI nástroje vloží informace, které tam vůbec nepatří.
Může jít například o firemní know-how, zdrojové kódy, informace o maržích, obchodní strategie, smlouvy nebo osobní údaje zákazníků a zaměstnanců. Jakmile se taková data dostanou do neschváleného nástroje, firma nad nimi může ztratit kontrolu a současně může dojít k porušení GDPR, povinnosti mlčenlivosti nebo smluvních závazků.
Riziko navíc není vůbec okrajové. Podle průzkumu UpGuard z listopadu 2025 využívalo při práci neschválené AI nástroje až 80 % zaměstnanců a studie KPMG uváděla, že 57 % zaměstnanců používání těchto nástrojů aktivně tají.
A kdo za problém odpovídá? Nejen zaměstnanec. V řadě případů ponese právní následky především firma. Ta může vystupovat jako správce osobních údajů podle GDPR, být vázána smluvní mlčenlivostí a současně podléhat povinnostem vyplývajícím z AI Actu. Firmě tak mohou hrozit sankce za jednání zaměstnance, který se pouze snažil „ušetřit čas“.
Řešením přitom nemusí být plošný zákaz AI. Ten může být v praxi obtížně vymahatelný a zaměstnance spíše zatlačit do ještě většího utajování. Firmám se doporučuje především zmapovat, jaké AI nástroje zaměstnanci skutečně používají, stanovit jasná interní pravidla, určit, jaká data se do AI nesmějí vkládat, zajistit bezpečné firemní nástroje a zaměstnance proškolit.
Odklad části AI Actu tedy rozhodně není důvodem k čekání. Některé povinnosti totiž platí už nyní a problémy spojené s neoprávněným nakládáním s osobními údaji nebo citlivými firemními informacemi mohou firmu dohnat bez ohledu na to, kdy začne platit další část regulace AI.