Shadow AI: jak zjistit, co u vás lidé opravdu používají

Shadow AI je jednoduchá věc se špatným názvem. Znamená to, že lidé ve firmě používají nástroje umělé inteligence, o kterých firma neví.

Nikdo přitom nedělá nic zlého. Účetní si nechá zkontrolovat text, obchodník si nechá napsat nabídku, provozní si nechá přepsat poradu. Každý z nich řeší svůj problém a nikoho nenapadne, že by to měl hlásit, protože nikdo neřekl, že se to hlásit má.

Provozuji čtyři kavárny a pražírnu na Mělníku a tenhle článek je návod, jak si za hodinu udělat obrázek o tom, co se u vás děje. Bez auditu, bez nákupu nástroje a bez toho, abyste kohokoliv vyslýchali.

#Proč se to nedozvíte na poradě

Když se na poradě zeptáte „používá tady někdo umělou inteligenci", většinou nikdo nezvedne ruku. Ne proto, že by lidé lhali, ale proto, že otázka zní jako kontrola a odpověď na kontrolu je vždycky opatrná.

Výzkum KPMG a University of Melbourne z roku 2025 uvádí, že 57 % zaměstnanců skrývá, že AI používají, 48 % už vložilo citlivá firemní data do veřejných nástrojů a jen 47 % dostalo od firmy jakékoliv školení. Jsou to globální data a sebehodnocení respondentů, takže je neberte jako přesné měření vaší firmy. Berte je jako informaci o směru: pravděpodobnost, že se to u vás vůbec nepoužívá, je malá.

Druhý důvod, proč to na poradě nezjistíte, je jazyk. Lidé si to jako umělou inteligenci nepojmenovávají. Řeknou, že si „nechali něco přepsat" nebo že „použili tu appku, co překládá". Ptáte-li se na technologii, dostanete odpověď o technologii. Musíte se ptát na činnost.

#Jak to zjistit za hodinu

Tři kroky, žádný z nich nevyžaduje nic kupovat.

#Krok 1: výpis z firemní karty za tři měsíce

Nejrychlejší a nejpřesnější zdroj, jaký v malé firmě máte. Projděte platby kartou a bankovní výpis za poslední tři měsíce a hledejte měsíční částky v nižších stovkách korun, které se opakují a u kterých si nepamatujete, proč tam jsou.

Předplatné nástrojů se platí měsíčně a v malé firmě je obvykle vidět na první pohled, protože ostatní položky jsou buď velké, nebo jednorázové. Tenhle krok zabere dvacet minut a řekne vám víc než jakýkoliv dotazník.

Zároveň hledejte opak: platby, které nenajdete. Když někdo používá bezplatnou verzi pod soukromým účtem, na výpisu nebude a je to horší případ, protože bezplatné verze mívají jiné podmínky pro nakládání se vstupy.

#Krok 2: rozšíření v prohlížečích

Na pracovních počítačích se podívejte do seznamu doplňků v prohlížeči. Rozšíření pro asistenty, přepisovače schůzek a psaní textů jsou nejčastější způsob, jakým se nástroj do firmy dostane, protože se instaluje na dvě kliknutí a nikdo si u toho nepřipadá, že něco pořizuje.

Stejně tak se podívejte, jaké nástroje jsou připojené k firemnímu e-mailu a k firemnímu kalendáři. Přepisovače porad si často berou přístup ke kalendáři, aby se samy připojovaly ke schůzkám, a je dobré vědět, na kterých schůzkách tedy sedí.

#Krok 3: otázka bez sankce

Až teď, když už máte obrázek z prvních dvou kroků, se zeptejte lidí. Formulace rozhoduje o výsledku.

Nefunguje: „Používá někdo AI?"

Funguje: „Potřebuju vědět, co vám v práci šetří čas, abych to mohl dát ostatním. Co používáte, i kdyby to bylo něco, co jste si zapnuli sami? Nikdo za to nebude mít problém, naopak to chci rozšířit."

Rozdíl je v tom, že první otázka hledá viníka a druhá hledá dobrý nápad. A opravdu to myslete tak, jak to říkáte, protože jestli po odpovědi následuje kázání, druhá kolo se nekoná.

#Proč zákaz situaci zhorší

Představte si dvě firmy. V první je zákaz a v druhé jsou pravidla.

V první firmě se AI používá stejně, jen z telefonu a pod soukromým účtem. Majitel nemá jak zjistit, co tam kdo vložil, protože ta konverzace není nikde, kde by na ni viděl. Když se něco stane, nedozví se to.

V druhé firmě je jeden povolený nástroj pod firemním účtem, jedna stránka pravidel a jedno jméno, které rozhoduje v nejasných případech. Používá se stejně, ale je to vidět a dá se to opravit.

Zákaz nesnižuje množství AI ve firmě. Snižuje množství informací, které o ní majitel má. Je to stejný mechanismus jako u soukromých telefonů: zákaz je nevypnul, jen je poslal pod stůl.

#Co udělat místo zákazu

Tři věci, žádná z nich netrvá déle než odpoledne.

#Jedna povolená cesta

Vyberte jeden nástroj, pořiďte k němu firemní účet a řekněte, že tudy se to dělá. Firemní a placené verze mívají ve smluvních podmínkách napsáno, že se vstupy nepoužívají k trénování modelu, kdežto u bezplatných spotřebitelských verzí to napsáno nebývá, nebo je tam volba, kterou musíte sami vypnout.

Věta v pravidlech tedy nezní „používáme ten a ten nástroj", ale „používáme ten a ten nástroj pod firemním účtem, který platíme, a soukromé účty se na firemní práci nepoužívají".

#Jedno jméno

Musí existovat jeden konkrétní člověk, kterého se lidé zeptají, když si nejsou jistí. Ne „vedení" a ne „IT". Když to jméno chybí, každý hraniční případ se vyřeší tak, že ho ten člověk prostě udělá a neřekne, a jste zpátky na začátku.

#Jedna stránka pravidel

Tři odstavce: co se nikdy nevkládá, jmenovaný nástroj a jmenovaný účet, jedno jméno, které rozhoduje. Vytisknout, projít s lidmi, udělat zápis s datem a seznamem účastníků.

Šest kategorií dat, které do nástroje nepatří, a hotová struktura té jedné stránky jsou v článku Co nevkládat do AI.

Vedlejší efekt, který stojí za zmínku: ten zápis z porady je přesně to, čemu Evropská komise ve svém Q&A říká záznam o proškolení, a je to uznávaný způsob, jak doložit opatření k AI gramotnosti podle článku 4 nařízení o umělé inteligenci. Co z toho předpisu opravdu platí, rozebírám v článku AI Act a malé firmy.

#Když už se něco stalo: pět kroků

1. Zjistěte co a kdy, ne kdo. Když první otázka bude „kdo to udělal", podruhé se to nedozvíte.
2. Smažte konverzaci a historii v nástroji. U firemních účtů se to většinou dá udělat i za celou organizaci.
3. Když šlo o hesla nebo klíče, měňte je hned. Tohle nemá výjimku.
4. Když šlo o osobní údaje, sepište jaké a kolika lidí se týkají. Je to první otázka, na kterou se ptá každý, kdo bude případ posuzovat.
5. Doplňte pravidla o případ, který se stal. Aby příště nebyl hraniční.

Poslední bod je ten, který se nejčastěji vynechává, a přitom je to jediný, který mění budoucnost.

#Co se vás netýká

Nemusíte pořizovat nástroj na sledování zaměstnanců a nemusíte číst lidem konverzace. Tři kroky výše fungují bez toho a všechno, co jde nad ně, si v malé firmě vyberete na důvěře, kterou budete potřebovat víc.

Nemusíte také řešit audit podle NIS2 ani provoz vysoce rizikových systémů. To jsou jiné disciplíny a jiní dodavatelé, a když je budete potřebovat, poznáte to podle toho, čím se vaše firma živí.

#Co si z toho odnést

Shadow AI není bezpečnostní incident, je to informační mezera. Zavírá se výpisem z karty, seznamem rozšíření a jednou otázkou položenou tak, aby se na ni dalo bez rizika odpovědět.

Zákaz tu mezeru rozšíří. Jeden povolený nástroj, jedno jméno a jedna stránka pravidel ji zavřou, a stihnete to za odpoledne.

Když jste do pěti lidí a nechce se vám do toho samotným, je to jedna z věcí, které se probírají na otevřeném půldni pro malé firmy, jehož cenu najdete v ceníku. Když chcete projít rovnou svůj provoz, začněte diagnostikou.