PročProč firma potřebuje směrnici k AI?
Protože vaši lidé AI už používají a bez pravidel s ní pracují s firemními daty každý po svém. AI v Česku letos používá 35 % firem s 10 a více zaměstnanci, dvakrát víc než loni.1 Pravidla ale za tímhle tempem zaostávají:
českých firem do 250 zaměstnanců má jasná pravidla a směrnice pro používání AI. U mikrofirem je to 18 %.2
českých zaměstnanců říká, že jejich firma má jasná pravidla pro bezpečné používání AI.3
zaměstnanců ve světě už nahrálo citlivé firemní nebo klientské údaje do veřejného AI nástroje.4
Tomu se říká shadow AI: lidé používají nástroje, které firma neschválila, typicky soukromý účet ve veřejném chatbotu. Nedělají to ze zlé vůle. Chtějí si ušetřit práci a nikdo jim neřekl, kde je hranice. Podle studie KPMG a Melbournské univerzity 44 % zaměstnanců ve světě použilo AI v rozporu s pravidly firmy, 66 % používá výstupy AI bez kontroly a 61 % své používání AI raději tají.4
Firmu to stojí peníze. Podle IBM zvýšila vysoká míra shadow AI průměrnou cenu úniku dat o 670 000 USD a 63 % firem, které únik zažily, nemělo pravidla pro AI vůbec, nebo je teprve připravovalo.5
„Na Shadow AI je zrádné, že firma je zároveň obětí i pachatelem.“
Michal Nulíček, advokát a partner, ROWAN LEGAL (2026)6
Obětí proto, že jí unikají data a know-how. Pachatelem proto, že za osobní údaje klientů a zaměstnanců, které někdo vloží do chatbotu, odpovídá podle GDPR firma, ne chatbot ani zaměstnanec. Směrnice je nejlevnější způsob, jak tohle změnit.
PrávoJe směrnice k AI povinná?
Žádný zákon přímo nenařizuje mít písemnou směrnici k AI. Prakticky ji ale potřebujete, protože jinak neprokážete, že plníte povinnosti, které platí už dnes. Jde o tři předpisy:
-
AI Act: AI gramotnost Zákon
Článek 4 platí od 2. 2. 2025 pro každou firmu, která AI používá. Firma musí přijmout opatření, aby lidé, kteří s AI pracují, rozuměli jejím možnostem a rizikům podle své role. Novela Digital Omnibus z července 2026 upřesnila, že firma nemusí zaručit určitou úroveň znalostí každého člověka, povinnost ale trvá.7 Evropská komise ve svých odpovědích píše, že certifikát není potřeba a firma si může vést interní evidenci školení a dalších opatření. Upozorňuje také, že lidé, kteří s ChatGPT píšou texty, mají vědět o riziku halucinací.8
-
GDPR: odpovědnost za data Zákon
Za osobní údaje vložené do AI nástroje odpovídá firma jako správce. Musí umět doložit, že je chrání, a to i když je tam vložil zaměstnanec přes soukromý účet. Bez schváleného nástroje se smlouvou o zpracování dat to doložit nejde.
-
Zákoník práce: prokazatelně sdělená pravidla Výklad advokátů
Zaměstnavatel smí určit, jaké nástroje lidé používají, a AI omezit nebo zakázat. Když ale pravidla nemá sepsaná a lidem prokazatelně sdělená, má ve sporu slabou pozici. Se směrnicí je vložení klientských dat do veřejného chatbotu porušením pracovních povinností.9
Dohled nad AI Actem bude v Česku mít Český telekomunikační úřad, v některých oblastech také ČNB a Úřad pro ochranu osobních údajů. Vláda schválila návrh zákona 9. 11. 2026 a míří do Poslanecké sněmovny. Za některá porušení má úřad nejdřív vydat upozornění a výzvu k nápravě.10 Kdo má směrnici, školení a přehled nástrojů, má tu nápravu hotovou předem.
Přísnější pravidla platí pro vysoce rizikové použití AI, například při výběru zaměstnanců nebo jejich hodnocení. Tyto povinnosti se po novele posunuly na 2. 12. 2027.11 Už dnes ale platí zákaz rozpoznávání emocí zaměstnanců pomocí AI.12
JádroCo smí do AI a co ne?
Rozhoduje kombinace nástroje a dat, ne nástroj sám. Stejný chatbot může být v pořádku pro veřejný text a zakázaný pro klientská data. Proto vzorová směrnice veřejné správy schvaluje vždy konkrétní nástroj pro konkrétní účel a druh dat.13 Pro menší firmu stačí tři barvy:
| Barva | Jaká data | Kam smějí | Příklad |
|---|---|---|---|
| ZelenáVolně | Veřejné informace, obecné dotazy, vlastní texty bez citlivých údajů | Do každého schváleného nástroje | Osnova prezentace, vysvětlení pojmu, korektura veřejného článku |
| OranžováS podmínkou | Interní dokumenty, vlastní zdrojový kód, zápisy z porad bez osobních údajů | Jen do firemního nástroje se smlouvou, který na datech netrénuje. Výstup vždy kontroluje člověk. | Shrnutí interní analýzy, revize kódu, návrh nabídky |
| ČervenáNikdy | Hesla a API klíče, rodná čísla, mzdy, zdravotní údaje, data klientů bez jejich souhlasu | Nikam, ani do schváleného nástroje, pokud to výslovně nepovolí vlastník dat | Export CRM, výplatní pásky, přístupové údaje k serveru |
K tomu jedno výchozí pravidlo, které najdete ve vzoru veřejné správy i u advokátů: když si nejsem jistý, data do AI nevkládám a zeptám se.13
VzorVzor směrnice k používání AI ke stažení
Vzor má 14 článků a čtyři přílohy. Sestavili jsme ho ze vzoru vnitřního předpisu zveřejněného na eAkademii Digitální a informační agentury,13 ze směrnice o AI Vysoké školy ekonomické v Praze14 a z doporučení advokátů.6,9,15 Části určené pro úřady jsme vypustili a text zkrátili pro firmu do 250 lidí. Hranaté závorky nahraďte svými údaji.
Účel a působnost
Hned na začátku řekněte, že nejde o zákaz. Lidé pak směrnici berou jako pomoc, ne jako hrozbu.
Vzorové znění1.1 Tato směrnice stanoví pravidla pro bezpečné a odpovědné používání nástrojů umělé inteligence (dále jen „AI“) při práci pro [název společnosti]. Jejím cílem není AI zakazovat, ale umožnit její přínosné využití bez ohrožení dat, klientů a dobrého jména společnosti.
1.2 Směrnice platí pro všechny zaměstnance a pro externí spolupracovníky, kteří pracují s daty společnosti, na firemních i soukromých zařízeních, pokud je používají k práci.
Pojmy
Do definice AI nástroje patří i AI funkce zabudované v kancelářských programech, prohlížečích a vývojových nástrojích. Právě ty lidé používají, aniž by je za AI považovali.
Vzorové znění2.1 AI nástrojem se rozumí každá aplikace, webová služba, doplněk nebo funkce, která na základě zadání vytváří, upravuje nebo vyhodnocuje text, kód, obrázky, zvuk nebo jiný obsah.
2.2 Chráněnými informacemi se rozumí zejména osobní údaje, informace o klientech a jejich projektech, obchodní tajemství, nezveřejněný zdrojový kód, přístupové údaje a finanční údaje.
Základní zásady
Dvě věty, které si má každý pamatovat, i když zbytek směrnice zapomene.
Vzorové znění3.1 AI je pomocník, ne autor ani rozhodovatel. Za každý výstup odpovídá zaměstnanec, který ho použil, stejně jako by ho vytvořil sám.
3.2 Kdo si není jistý, zda smí data do AI vložit, nevloží je a obrátí se na [správce AI].
Role a odpovědnosti
V malé firmě stačí vlastník směrnice a jeden správce AI. Ve větší přidejte v každém týmu člověka, na kterého se kolegové obrátí.
Vzorové znění4.1 Vlastníkem směrnice je [jednatel / ředitel]. Schvaluje seznam povolených nástrojů a změny směrnice.
4.2 [Správce AI] vede registr AI nástrojů, posuzuje žádosti o nové nástroje, organizuje školení a přijímá dotazy a hlášení incidentů.
4.3 Vedoucí týmů dbají na dodržování směrnice a určují, které výstupy musí zkontrolovat druhá osoba.
Schválené nástroje
Nejdůležitější článek. Schvalujte jen firemní tarify se smlouvou o zpracování dat, u kterých dodavatel na vašich datech netrénuje. Seznam dejte do přílohy, ať ho můžete měnit bez nového vydání směrnice.
Vzorové znění5.1 K práci se smějí používat jen AI nástroje uvedené v Příloze 1, jen přes firemní účty a jen v rozsahu tam uvedeném.
5.2 Schválit lze jen nástroj, ke kterému má společnost uzavřenou smlouvu se zpracovatelskými podmínkami a jehož poskytovatel ve výchozím nastavení nepoužívá vstupy ani výstupy k trénování modelů.
5.3 Používat bezplatné nebo soukromé účty AI služeb pro pracovní data je zakázáno.
Nový nástroj
Lidé budou chtít zkoušet nové věci. Dejte jim jednoduchou cestu, jak o nástroj požádat, jinak ho začnou používat potají.
Vzorové znění6.1 Kdo chce používat nový AI nástroj nebo doplněk, požádá [správce AI] a uvede účel, druh dat a poskytovatele. Do schválení nástroj pro práci nepoužívá.
6.2 Schválení platí pro konkrétní účel a druh dat. Stejný nástroj může být povolen pro veřejné texty a zakázán pro klientská data.
Semafor dat
Sem patří tabulka z předchozí kapitoly, upravená pro vaše data.
Vzorové znění7.1 Zelená, volně ve schválených nástrojích: veřejné informace, obecné dotazy, osnovy, korektura vlastních textů bez chráněných informací.
7.2 Oranžová, jen ve schváleném firemním nástroji a s kontrolou výstupu: interní dokumenty, zdrojový kód společnosti, zápisy z jednání bez osobních údajů.
7.3 Červená, zakázáno: přístupové údaje a klíče, osobní údaje nad rámec Přílohy 1, data klientů bez jejich souhlasu.
Ochrana dat
Smlouvy s klienty často používání AI omezují. Ať má směrnice jasné, co má přednost.
Vzorové znění8.1 Do AI nástroje se vkládá jen to, co je pro úkol nezbytné. Jména a identifikátory se před vložením odstraní nebo nahradí, pokud to úkol dovolí.
8.2 Hesla, API klíče, tokeny a jiné přístupové údaje se do AI nevkládají nikdy, ani do schváleného nástroje.
8.3 Pokud smlouva s klientem používání AI omezuje, má přednost před touto směrnicí.
Kontrola výstupů
AI si vymýšlí fakta i citace. Databáze Damiena Charlotina už eviduje přes 2 200 soudních rozhodnutí, která řešila obsah vymyšlený AI.16
Vzorové znění9.1 Každý výstup AI před použitím zkontroluje člověk: fakta, čísla, citace a odkazy, soulad se zadáním a s právem.
9.2 Kód vytvořený s pomocí AI prochází stejnou revizí a testy jako jiný kód a jeho autor mu musí rozumět.
9.3 AI nesmí samostatně rozhodovat o lidech, zejména o náboru, hodnocení nebo odměňování.
Transparentnost
AI Act vyžaduje označit deepfake a texty vytvořené AI, které informují veřejnost o věcech veřejného zájmu. Text, který zkontroloval a za který odpovídá člověk, označovat nemusíte.12
Vzorové znění10.1 Použití AI se uvádí tam, kde to vyžaduje zákon nebo smlouva, nebo kde by jeho zamlčení mohlo příjemce uvést v omyl. Například: „Při přípravě materiálu byl použit nástroj [název], obsah zkontroloval [jméno].“
10.2 Obraz, hlas nebo podoba skutečné osoby se pomocí AI bez jejího souhlasu nevytváří.
Autorská práva
Podmínky AI nástrojů se liší v tom, kdo smí výstup komerčně použít. Ověřte to dřív, než výstup předáte klientovi.
Vzorové znění11.1 Do AI se nevkládají cizí díla (texty, obrázky, kód), ke kterým společnost nemá potřebná práva.
11.2 Před komerčním použitím výstupu se ověří, že to podmínky nástroje dovolují.
Školení a AI gramotnost
Tím plníte článek 4 AI Actu. Evidence účasti je váš doklad.
Vzorové znění12.1 Každý zaměstnanec absolvuje do [30] dnů od nástupu nebo od účinnosti směrnice základní školení o AI a o této směrnici. Absolvování se eviduje.
12.2 Kdo AI používá intenzivně nebo spravuje AI nástroje, absolvuje rozšířené školení. Školení se opakuje nejméně jednou ročně nebo při podstatné změně nástrojů.
Incidenty
Lidé chyby nahlásí, jen když se za to nebudou bát. Napište to do směrnice výslovně.
Vzorové znění13.1 Kdo zjistí, že do AI byla vložena chráněná informace nebo že AI vytvořila škodlivý výstup, nahlásí to bez zbytečného odkladu [správci AI]. Včasné nahlášení se nepovažuje za přitěžující okolnost.
13.2 [Správce AI] incident zaeviduje, posoudí, zda nejde o porušení ochrany osobních údajů podle GDPR, a navrhne nápravu.
Kontrola, porušení a účinnost
Kontrolovat smíte přiměřeně a lidé o ní musí vědět předem. Plošné čtení konverzací zákoník práce nedovolí.15
Vzorové znění14.1 Společnost může v přiměřeném rozsahu sledovat, které AI služby se používají na firemních zařízeních a v síti, a blokovat neschválené nástroje. Zaměstnanci jsou o rozsahu kontroly informováni předem.
14.2 Porušení směrnice je porušením povinností vyplývajících z právních předpisů vztahujících se k vykonávané práci.
14.3 Směrnice nabývá účinnosti dnem [datum]. Vlastník ji přezkoumá nejméně jednou ročně a vždy po závažném incidentu nebo změně právní úpravy. Zaměstnanci potvrdí seznámení se směrnicí [podpisem / v systému].
Ke směrnici přidejte přílohy: seznam schválených nástrojů s povolenými účely, semafor dat, formulář žádosti o nový nástroj a potvrzení o seznámení. Najdete je ve vzoru ke stažení.