Zamestnanec otvorí firemný notebook, do ChatGPT vloží celý text zmluvy s klientom vrátane rodného čísla a čísla účtu, nechá si ho prepísať do „právnickejšej“ podoby a výsledok pošle ďalej.
Nikto o tom nevie, nikto to nezaznamenal, žiadne pravidlo neexistuje. Presne tu začína interný AI audit - nie ako jednorazová revízia, ale ako systém, ktorý určí, kto smie čo, s akými dátami a s akým záznamom.
V magazíne aiporadca.sk sa témou „zákaz AI vo firme nefunguje“ už zaoberal príbuzný článok. Tento text preto ide o krok ďalej: nehovorí, prečo zákaz zlyháva, ale ako postaviť interné pravidlá tak, aby boli vymáhateľné a zároveň nezabili produktivitu. To je iná rovina - rovina návrhu, nie varovania.
Kde presne začať: inventár, nie zákaz
Prvý krok AI auditu nie je zákaz, ale mapa používania. Bez nej neviete, či máte vo firme tri modely, alebo tridsať.
- Zozbierajte nástroje - oficiálne firemné účty (ChatGPT Team, Microsoft Copilot, Gemini) aj tie, ktoré si ľudia platia sami z vlastnej karty.
- Zaraďte ich do kategórií podľa rizika: textové modely, generovanie obrázkov, prekladače, kódovací asistenti, hlasové prepisy.
- Pri každom nástroji overte jednu vec: či sa vstupné dáta použijú na tréning modelu. Pri firemných tarifoch to výrobcovia uvádzajú v podmienkach; pri bezplatných verziách je odpoveď často opačná.
Toto je najnudnejšia a zároveň najdôležitejšia časť. Bez nej sú pravidlá len papier.
Klasifikácia dát: tri úrovne, nič zložitejšie
Firmy zlyhávajú na tom, že pravidlá píšu ako právnici - všeobecne a neaplikovateľne. Pomáha jednoduchá stupnica:
- Zelená - verejné a interné dáta bez osobných údajov: marketingové texty, koncepty, súhrny verejných dokumentov. Smú ísť do akéhokoľvek schváleného modelu.
- Oranžová - interné, ale nie citlivé: obchodné čísla bez osobných údajov, interná dokumentácia. Len do firemných taríf s vypnutým tréningom.
- Červená - osobné údaje, zmluvy, zdravotné a finančné údaje, zdrojový kód produktu. Buď vôbec, alebo výhradne do lokálneho či privátneho nasadenia.
Kľúčové je, že zamestnanec nemá rozhodovať o farbe dát. Rozhoduje o nej klasifikácia, ktorú pripravil niekto zodpovedný za ochranu údajov. Ak to necháte na odhad jednotlivca, pravidlá padnú pri prvom termíne.
Rámec (framework) pravidiel v piatich bodoch
Aby bol audit použiteľný, musí pokryť tieto vrstvy:
- Povolené nástroje - konkrétny zoznam, nie „AI nástroje vo všeobecnosti“. Váš zoznam sa mení rýchlejšie, než si myslíte; datujte ho.
- Povolené vstupy - čo smie do modelu, podľa farebnej stupnice vyššie.
- Povinné overenie - výstup modelu pred použitím skontroluje človek. Pri kóde, práve a financiách vždy.
- Záznam - kto, kedy, aký nástroj, na aký účel. Nemusí to byť sledovanie každého kliknutia; stačí, keď sa dá dohľadať, čo sa stalo pri incidente.
- Reakcia na incident - čo robiť, keď dáta uniknú. Bez tohto bodu sú ostatné štyri dekorácia.
Kde sa skrývajú náklady a pasce
Pri zavádzaní pravidiel sa oplatí počítať s tým, čo nie je na prvý pohľad vidieť:
- Firemné tarify nie sú zadarmo. Rozdiel medzi bezplatnou a firemnou verziou je často 20–30 € na používateľa mesačne (ceny k augustu 2026 sa líšia podľa výrobcu a počtu licencií - overte aktuálny cenník priamo u dodávateľa).
- Lokálne modely znamenajú hardware. Ak chcete spracúvať červené dáta bez odchodu z firmy, potrebujete buď server s GPU, alebo cloud s privátnym nasadením. Oboje má inú cenovku aj inú latenciu.
- Školenie nie je jednorazové. Model, ktorý dnes zvládne sumarizáciu dobre, o pol roka vyzerá inak. Pravidlá treba revidovať aspoň raz za pol roka.
- Pasce pri meraní: nesnažte sa merať „produktivitu AI“ v hodinách. Merajte to, čo viete overiť - počet incidentov, počet schválených nástrojov, dodržanie overenia výstupu.
Čo si vybrať: tri režimy podľa veľkosti firmy
Neexistuje jedna univerzálna odpoveď. Rozumné východiská:
- Malá firma (do 20 ľudí) - jedna firemná tarifa, jeden zoznam povolených nástrojov, jasná farebná stupnica, žiadne lokálne modely. Realistické a lacné.
- Stredná firma (20–200) - firemné tarify plus jeden privátny endpoint pre červené dáta, povinné overenie výstupu, polročná revízia.
- Väčšia firma - lokálne alebo privátne nasadenie pre citlivé údaje, oddelené prostredia, záznam o použití a menovaný vlastník pravidiel.
Technický záver: Ako nastaviť AI pravidlá, ktoré prežijú prvý incident
Interný AI audit nie je dokument, ktorý sa podpíše a odloží. Je to živý systém s tromi vrstvami - inventár nástrojov, farebná klasifikácia dát a reakcia na incident - a s jedným vlastníkom, ktorý ho drží aktuálny. Ak zvládnete len jednu vec, nech je to klasifikácia dát: práve tam sa láme väčšina reálnych problémov. Zvyšok sa dá doplniť postupne, ale bez tohto základu budú aj tie najkrajšie pravidlá len text, ktorý nikto nepoužije.
Zdroje
- Nariadenie EÚ 2024/1689 (AI Act) - eur-lex.europa.eu (citované 28. 9. 2026)
- Nariadenie EÚ 2016/679 (GDPR), čl. 5 a 32 - eur-lex.europa.eu (citované 28. 9. 2026)
- Úrad na ochranu osobných údajov SR - dataprotection.gov.sk (citované 28. 9. 2026)
