Co nevkládat do AI: šest věcí a jedna stránka pravidel

Většina firem řeší tuhle otázku pozdě. Nejdřív se pár lidí naučí, že jim nástroj ušetří hodinu denně, a teprve potom někdo řekne, že by se možná mělo domluvit, co se tam smí dávat. Do té doby už v cizí službě leží mzdová sestava, seznam zákazníků a nabídka od dodavatele.

Nechci vás strašit. Chci vám dát seznam, který si vytisknete a přilepíte na zeď, a k němu jednu stránku pravidel, kterou napíšete za dvacet minut. Nic víc na to v malé firmě nepotřebujete.

Nejsem právník a tohle není právní rada. Jsem podnikatel, který provozuje čtyři kavárny a pražírnu na Mělníku a AI si do toho provozu postavil sám. Tenhle seznam používám u sebe.

#Proč zákaz nefunguje

První reakce většiny majitelů je zakázat to. Chápu ji a je špatná, protože zákaz nezmění chování, jen ho schová.

Výzkum KPMG a University of Melbourne z roku 2025 uvádí, že 57 % zaměstnanců skrývá, že AI používají, 48 % už vložilo citlivá firemní data do veřejných nástrojů a jen 47 % dostalo od firmy jakékoliv školení. Jsou to globální data a sebehodnocení respondentů, takže je neberte jako přesné měření vaší firmy. Berte je jako informaci o směru: lidé to používají, protože jim to šetří čas, a když jim to zakážete, budou to dělat z telefonu.

Rozdíl mezi firmou, která má pravidla, a firmou, která má zákaz, není v tom, kolik AI se používá. Je v tom, jestli o tom majitel ví.

#Šest druhů dat, které tam nepatří

Tenhle seznam je záměrně krátký. Když má pravidlo dvacet bodů, nikdo si ho nezapamatuje a všichni ho poruší. Šest si zapamatujete.

#1. Osobní údaje zaměstnanců a zákazníků

Jména, adresy, telefony, rodná čísla, čísla účtů, data narození, fotky. Když potřebujete, aby vám nástroj pomohl s textem, ve kterém osobní údaje jsou, nahraďte je před vložením značkou. Místo „Jana Nováková, Krombholcova 3474" napíšete „ZÁKAZNÍK A, ADRESA A" a do hotového textu si to doplníte zpátky. Zabere to deset sekund a vyřeší to devadesát procent případů.

#2. Mzdové sestavy

Mzdy jsou nejcitlivější dokument v malé firmě, protože jejich únik nepoškodí jen firmu, ale i vztahy uvnitř týmu. Sestava se vším všudy do veřejného nástroje nepatří nikdy. Když potřebujete zkontrolovat výpočet, vložte jeden anonymní řádek s čísly a bez jmen.

#3. Hesla, klíče a přístupy

Nikdy, za žádných okolností, ani „jen na chvíli, ať mi to zkontroluje". Tohle je jediný bod ze šesti, který nemá výjimku. Když už se to stalo, heslo se mění, ne omlouvá.

#4. Smlouvy a ceny dodavatelů

Nákupní ceny, marže, rabaty a podmínky, které jste si vyjednali, jsou váš konkurenční náskok a často jsou i smluvně chráněné. Podívejte se do smlouvy s dodavatelem, jestli tam není doložka o mlčenlivosti. Bývá tam a vztahuje se i na vkládání do cizích služeb.

#5. Zdravotní údaje

Pracovní neschopnosti, omezení, posudky, cokoliv o zdraví zaměstnance nebo zákazníka. Zvláštní kategorie osobních údajů má přísnější režim a v malé firmě není jediný rozumný důvod, proč by měla projít nástrojem.

#6. Data, která vám dal někdo jiný

Nejčastěji zapomínaná kategorie. Export z databáze klienta, podklady od partnera, seznam, který vám poslal dodavatel. Nejsou vaše, takže o jejich vložení nerozhodujete vy. Když to potřebujete, zeptejte se toho, kdo vám je dal.

#Co se vkládat smí

Nechci, aby z toho vznikl dojem, že se nesmí nic. Naopak, většina užitečné práce se odehrává na datech, která do žádné ze šesti kategorií nespadají.

Vaše vlastní texty, vaše popisy produktů, vaše veřejné ceníky, vaše webové stránky, obecné dotazy bez firemního kontextu, hotové materiály, které stejně vydáváte ven. Zápis z porady, kde jsou jen úkoly a příjmení bez dalších údajů, je hraniční případ, a proto je potřeba, aby ve firmě někdo takové případy rozhodoval.

#Rozdíl mezi nástrojem a účtem

Tohle je věc, kterou přehlíží skoro každý, a přitom mění podstatu problému.

Stejný nástroj se chová jinak podle toho, pod jakým účtem ho spustíte. U firemních a placených verzí bývá ve smluvních podmínkách napsáno, že se vaše vstupy nepoužívají k trénování modelu. U bezplatných spotřebitelských verzí to napsáno nebývá, nebo je tam volba, kterou musíte sami vypnout.

Praktický důsledek pro malou firmu: nestačí říct „používáme ten a ten nástroj". Musíte říct „používáme ten a ten nástroj pod firemním účtem, který platíme, a soukromé účty se na firemní práci nepoužívají". Bez té druhé půlky věty je pravidlo k ničemu, protože nikdo neví, kterou verzi má zrovna otevřenou.

Než začnete cokoliv nastavovat, je dobré vědět, co u vás lidi doopravdy používají. Jak to zjistit za hodinu, jsem popsal v článku Shadow AI v malé firmě.

#Jedna stránka pravidel: tři odstavce a víc nic

Interní politika používání AI v malé firmě nemá mít deset stran. Má mít tři odstavce, které si přečte nový člověk za dvě minuty.

Odstavec první: co se nikdy nevkládá. Vypíšete těch šest kategorií výše, klidně vlastními slovy a s příklady z vašeho provozu.

Odstavec druhý: jmenovaný nástroj a jmenovaný účet. Který nástroj je povolený, pod jakým účtem, kdo ho platí a že soukromé účty na firemní práci nejsou. Když povolíte dva nástroje, napíšete oba. Když nepovolíte žádný, napište i to, ale počítejte s tím, že to je zákaz a ten nefunguje.

Odstavec třetí: jedno jméno. Kdo rozhoduje v nejasném případě. Musí to být jeden konkrétní člověk, ne „vedení" a ne „IT". Bez jmenované osoby se každý hraniční případ vyřeší tak, že to ten člověk prostě udělá a neřekne.

Pod to datum, seznam lidí, kteří to prošli, a podpisy. Právě tenhle papír je záznam o proškolení, o kterém mluví Evropská komise v souvislosti s AI gramotností podle článku 4 nařízení o umělé inteligenci. Co z toho předpisu opravdu platí a co je jen strašení, jsem rozebral v článku AI Act a malé firmy.

#Co dělat, když se to už stalo

Předpokládejme, že se to stalo, protože statisticky se to nejspíš stalo.

Nejdřív zjistěte co a kdy, ne kdo. Když první otázka bude „kdo to udělal", podruhé se to nedozvíte. Potom v nástroji smažte konverzaci a historii, u firemních účtů se to většinou dá udělat i za celou organizaci. Když šlo o hesla nebo klíče, měňte je hned. Když šlo o osobní údaje, sepište, o jaké šlo a kolika lidí se týkají, protože to je první věc, na kterou se ptá každý, kdo bude případ posuzovat. A nakonec doplňte tu jednu stránku pravidel o případ, který se stal, aby byl příště jasný.

#Co se vás netýká

Nemusíte kupovat žádný nástroj na hlídání dat a nemusíte si najímat pověřence pro ochranu osobních údajů jen proto, že jste začali používat AI. Malá firma, která zpracovává osobní údaje běžným způsobem, si vystačí s tím, co už má.

Nepotřebujete ani žádný certifikát. Certifikát podle AI Actu neexistuje a kdo vám ho nabízí, prodává vám papír, který nemáte komu ukázat.

#Co si z toho odnést

Šest kategorií, jeden povolený nástroj s jedním účtem, jedno jméno, které rozhoduje. Napíšete to na jednu stránku, projdete to s lidmi a uděláte zápis. Odpoledne práce a máte hotovo víc než většina firem, které za tohle platily externí poradně.

Když si nejste jistí, kde ve vlastním provozu ta rizika opravdu jsou a kde si je jen představujete, projdeme to spolu na diagnostice.