ITRADY.CZ – komplexní služby v IT

Pokuta za AI Act? Nevyžádaný audit webu

· Phishing

Za poslední týdny nám tu falešné Spotify bralo hudbu a falešný webmail rušil schránku. Dnešní e-mail míří výš: pokuta až 15 milionů eur. Kvůli webu. Na takovou částku si člověk sedne, i když už sedí.

Tentokrát nejde o naši poštu. E-mail nám přeposlal jeden z našich klientů a dobře udělal. Přišel 21. října od Českého Institutu pro AI a Data a tvrdí, že klientův web nesplňuje evropské nařízení o umělé inteligenci. Pojďme se podívat, co v něm je a co v něm chybí.

Výstřižek hlavičky zprávy: odesílatel Nicolas Višovan se zvýrazněnou adresou martin@ciadcentrum.cz; předmět Porušení EU legislativy, zvýšené riziko - Nicolas Višovan z CIAD.cz, doručeno podle hlavičky 21. října 2026 v 11:09

A teď tělo zprávy:

Tělo e-mailu: oslovení Dobrý den, pane se skrytým příjmením, upozornění na AI Act a pokutu až 15 mil. EUR či 3 % ročního obratu podle nařízení (EU) 2024/1689, věta o auditu webu se skrytou adresou webu, prosba o telefonát jménem Českého Institutu pro AI a Data a podpis Nicolas Višovan, vedoucí auditor, s adresou visovan@ciad.cz a sídlem v Praze 1; příjmení, web a telefon jsou nahrazené šedými štítky

Proč je to v rubrice Phishing?

Phishingem v technickém smyslu tahle zpráva není. Nikdo se v ní za nikoho nevydává, nechce heslo ani platbu a nemá žádný odkaz ani přílohu. Chce jediné: abyste zavolali.

Pracuje ale se stejnými triky jako phishing: strach (pokuta), naléhavost („přednostně vyřešit“) a autorita (institut, nařízení EU, vedoucí auditor). A ty se vyplatí umět poznat, ať je za nimi kdokoli. Vezmeme je popořadě.

Strach: platí ta pokuta doopravdy?

Nařízení (EU) 2024/1689, známé jako AI Act, existuje a částka v e-mailu taky. Článek 99 odst. 4 stanoví za porušení vyjmenovaných povinností pokutu až 15 000 000 EUR, nebo u podniku až 3 % celosvětového ročního obratu. Mezi ty povinnosti patří i povinnosti průhlednosti podle článku 50. Ty se týkají poskytovatelů AI systémů a takzvaných zavádějících subjektů, tedy těch, kdo AI používají. Pokuty platí od 2. srpna 2025, povinnosti průhlednosti od 2. srpna 2026.

Jedna věta z nařízení se ale do e-mailu nevešla. Podle článku 99 odst. 6 platí u malých a středních podniků, včetně start-upů, z obou hodnot ta nižší. U malé firmy tedy rozhodují procenta z obratu, ne patnáct milionů eur. Při obratu deset milionů korun jsou 3 % rovných 300 000 Kč, a to je strop, ne sazba.

Hlavně ale e-mail neříká, kterou povinnost by měl web porušovat a proč by se měla týkat právě jeho. Jestli se vás AI Act týká, záleží na tom, jestli AI na webu nebo ve firmě používáte, třeba chatbota. E-mail nic takového neuvádí. Jestli se nařízení vztahuje na klientův web, nevíme. Z e-mailu se to nedozví nikdo.

Naléhavost: co je potřeba „přednostně vyřešit“?

„Dle mého auditu Vašeho webu uvedenou legislativu současně nesplňujete.“ Audit prý proběhl, ale ze zprávy nevyčtete ani jeden nález. Žádný seznam, žádná příloha, žádný odkaz na zprávu. Místo toho prosba: „Zavolejte mi prosím, ať to můžeme přednostně vyřešit.“

Všimněte si, že žádná lhůta v e-mailu není. Spěch tam je jen ve slově „přednostně“ a v předmětu „zvýšené riziko“. To může stačit, aby člověk sáhl po telefonu dřív, než si to promyslí.

Autorita: kdo je Český Institut pro AI a Data?

Název zní úředně. Ve veřejném rejstříku ARES najdete Český Institut pro AI a Data z.ú. pod IČO 29752736 se sídlem Příčná 1892/4, Nové Město, Praha 1, stejně jako v podpisu. Zkratka z.ú. znamená zapsaný ústav. Vznikl 2. července 2026, v době e-mailu mu tedy byly necelé čtyři měsíce.

K tomu titul „vedoucí auditor“ a číslo nařízení EU hned v prvním odstavci. Nic z toho samo o sobě neříká, jestli má váš web nějaký problém.

Kdo e-mail opravdu poslal?

Tady se zpráva liší od phishingu, který tu obvykle rozebíráme. Podpis DKIM domény ciadcentrum.cz je platný. Zprávu tedy opravdu odeslal server, který za tu doménu smí podepisovat, a cestou se nezměnila. SPF domény výslovně povoluje server, přes který zpráva odešla, a DMARC má doména nastavený (p=quarantine). Nikdo se za odesílatele nevydával.

Zajímavější je cesta zprávy. Začala na počítači, který se představil jako „Macbook.local“. Připojil se ale z adresy, která patří pronajatým serverům Amazonu (AWS) v Oregonu v USA. MacBook s adresou v datovém centru. Přihlásil se k poštovnímu serveru mail.ciad.cz, odtud zpráva šla přes další server určený k odesílání (mail5.oneflow-team.cz) a do schránky dorazila ve 12:20. Výstřižek nahoře ukazuje 11:09, to je čas odeslání. Cesta trvala 71 minut. Oslovení jménem a adresa webu působí osobně, cesta zprávy ale odpovídá spíš hromadné rozesílce než e-mailu, který někdo psal ručně.

A pak adresy. V hlavičce je jméno Nicolas Višovan, ale schránka martin@ciadcentrum.cz. V podpisu zase visovan@ciad.cz, tedy jiná doména: ciad.cz místo ciadcentrum.cz. Obě domény mají stejný poštovní server. Na jeden osobní dopis od vedoucího auditora dost adres.

Co s tím?

  • Nereagujte pod tlakem. E-mail nestanoví žádnou lhůtu. Na telefonát máte času, kolik chcete.
  • Ověřte odesílatele v ARES. Zjistíte, kde sídlí a jak dlouho existuje. U tohoto odesílatele to byly necelé čtyři měsíce.
  • Audit si objednejte sami. Kdo ho opravdu potřebuje, objedná si ho a dostane písemný výstup s konkrétními nálezy. Ne prosbu o zavolání.
  • Používáte na webu chatbota nebo jinou AI? Pak má smysl zjistit, které povinnosti z AI Actu se vás týkají. E-mail o žádné AI na webu nemluví.
  • Nejste si jistí? Napište nám na info@itrady.cz. Přesně to udělal náš klient a díky tomu tenhle článek vznikl.

A to je vše! Patnáct milionů eur, audit bez jediného jmenovaného nálezu, Nicolas na adrese martin@ a MacBook z Oregonu. Pokuta v nařízení existuje. Proč by se měla týkat zrovna tohoto webu, v e-mailu nenajdete. Mějte se fanfárově a volejte, až budete chtít vy. 🙂