Platnost AI Actu má posunutý budíček a mnohé firmy spí. Co dělat, aby nezaspaly úplně

Když letos v červenci vstoupil v platnost balíček digitální legislativy, který odsunul platnost části pravidel evropského nařízení AI Act pro vysoce rizikové systémy umělé inteligence na prosinec 2027, respektive srpen 2028 (méně rizikové oblasti), mnoha firmám se ulevilo. Nejčastější reakce byla: máme čas, vrátíme se k tomu zase za rok. Ve skutečnosti jde jen o iluzi klidu, která se může velmi prodražit.

Samotný odklad smysl dává, protože stále chybějí některé technické standardy i podpůrné nástroje. Mnohé firmy si jej ale vykládají jako povolení přestat se připravovat. Jejich zaměstnanci přitom používají umělou inteligenci už dnes.

Pro tento jev se vžilo označení Shadow AI. Lidé v kancelářích běžně sahají po nástrojích jako ChatGPT, Gemini nebo Claude bez vědomí či schválení zaměstnavatele. Jejich motivace bývá nevinná. Jednoduše si chtějí usnadnit rutinní práci nebo rychleji splnit konkrétní úkol. Právě proto je Shadow AI tak zrádná. Nebezpečí zde nepředstavuje cílený útok zvenčí, nýbrž každodenní nevědomá rozhodnutí vlastních lidí. Do veřejných nástrojů umělé inteligence pak proudí firemní know‑how, marže, zdrojové kódy, obchodní smlouvy nebo osobní údaje zákazníků či zaměstnanců. Reálná úspora času je vykoupena tím, že firma ztrácí kontrolu nad informacemi s násobně vyšší hodnotou.

Žaloby za únik dat

Čísla mluví za vše. Podle průzkumu společnosti UpGuard mezi tisícovkou zaměstnanců v USA a Velké Británii využívá celkem 81 procent respondentů nepovolené AI nástroje. Globální studie KPMG z roku 2025 zase ukázala, že 57 procent zaměstnanců používání AI tají a její výstupy prezentuje jako vlastní práci. I když to nejsou česká data, bylo by naivní myslet si, že v Česku je situace jiná. Prakticky v každé firmě, kde se pracuje u počítače, už někdo AI využívá. Hlavní otázka zní, jaká data do ní vkládá.

Pro firmy jde o nepříjemnou past. Stávají se totiž obětí, ale zároveň i plně odpovědným subjektem. Data do nástroje sice vloží zaměstnanec, právní a obchodní následky ale dopadají na celou firmu. Ta totiž odpovídá za únik osobních údajů podle GDPR, porušení mlčenlivosti vůči partnerům i plnění pravidel AI Actu. Vedení se před úřady ani klienty neobhájí tím, že šlo o svévolné jednání jednotlivce, pokud samo zaspalo. Právní a finanční riziko ze sebe management sejme jen tehdy, když aktivně nastaví jasná pravidla, nabídne bezpečné AI nástroje a lidi řádně proškolí. Bez toho nejde o exces jednotlivce, ale o selhání firmy.

Finanční hrozba přitom nečíhá jen v astronomických pokutách podle AI Actu. Ty mohou dosáhnout až 35 milionů eur, ale vztahují se především na zakázané praktiky. Mnohem reálnějším a okamžitým problémem jsou žaloby za porušení smluv, vyzrazení obchodního tajemství nebo postihy za úniky dat. Spoléhat na tvrzení, že chybu udělala technologie, totiž před soudem ani před klienty neobstojí.

Výmluvným varováním je loňské rozhodnutí Ústavního soudu, který uložil pořádkovou pokutu advokátovi za citaci vymyšlených rozsudků ve své stížnosti. Dvanáct rozhodnutí, na která se odvolával, bylo z velké části neexistujících či hrubě zkreslených. Šlo o učebnicové halucinace jazykového modelu. Soud tím vyslal jasný vzkaz. Profesionál nese plnou odpovědnost za konečný výsledek bez ohledu na to, jaký AI nástroj při práci použil.

Přesto si nemyslím, že nejlepší reakcí na Shadow AI je plošný zákaz. V praxi je velmi často nevymahatelný a zaměstnanci jen přejdou na soukromé telefony a osobní účty, čímž firmy přijdou i o poslední zbytek kontroly. V průzkumu UpGuard 45 procent zaměstnanců uvedlo, že vědí, jak si k blokovaným aplikacím cestu najít. Jedinou funkční cestou je dát lidem schválený a prověřený nástroj a naučit je s ním správně pracovat.

Jednoduchý návod

Prvním krokem je zjistit reálný stav. Formální audit sice pomůže, v praxi však vidím, že se často nejlépe osvědčují otevřená školení zaměstnanců. V uvolněné diskusi u konkrétních ukázek lidé sami otevřeně popíšou postupy a aplikace, které by v oficiálním dotazníku raději zatajili.

Dále už je postup přímočarý. Vybrat vhodný nástroj, prověřit dodavatele a jeho smluvní podmínky, nastavit interní AI politiku a u autorizovaných nástrojů popsat, k čemu a jak je využívat. Zaměstnanec nepotřebuje třicetistránkovou směrnici, ale jednoduchý návod, co do nástroje nepatří a že klíčové výstupy musí vždy ověřit člověk. Formálnější směrnice pak zpravidla upravuje schvalovací proces, na jehož konci je implementace zvoleného AI nástroje do chodu společnosti. AI Act sice ještě zcela neplatí, ale předpisy na ochranu osobních údajů nebo povinnosti chránit obchodní tajemství a důvěrné informace platí bez ohledu na kalendář už dnes.

Odklad platnosti evropských nařízení o umělé inteligenci je tedy třeba vnímat tak, že firmám poskytl čas se s moderními AI technologiemi blíže seznámit a nastavit interní procesy bez zbytečného stresu. Není to bianko šek k ignorování rizik. Odklad sice posunul termíny v legislativním kalendáři, avšak data, která zaměstnanci nekontrolovaně vloží do veřejných nástrojů dnes, už firmám nikdo nevrátí.