Vaši lidé už AI používají. Nevíte kterou a s jakými daty.

Kde končí vaše smlouvy, když je nikdo nehlídá.

Účetní vloží tabulku s cenami do chatbota, aby jí poradil, jak ji zpřehlednit. Obchodník nechá AI přepsat nabídku s jmény a cenami zákazníka. Nikdo z nich nechce firmě ublížit - jen řeší úkol nejrychlejší cestou, kterou zná. Problém je, že data v tu chvíli opustí firmu a nikdo ve firmě neví kam, na jak dlouho a kdo si je smí přečíst.

U velké firmy tohle hlídá bezpečnostní tým a IT oddělení vidí, jaký provoz z firemní sítě odchází. Malá firma bez vlastního IT tenhle signál nemá vůbec - shadow AI se u ní neprojeví jako incident, ale jako mlčení. Přesně proto stojí za to udělat si přehled o datech dřív, než něco vlastní cestou nahradí (mapa toho, kudy ve firmě tečou data).

Plošný zákaz situaci nevyřeší. Lidé nástroj, který jim šetří čas, jen přesunou na soukromý telefon a firma přijde i o poslední přehled, který měla.

Tři čtvrtiny lidí to už dělají.

Podle společného průzkumu Microsoftu a LinkedIn si vlastní AI nástroje do práce nosí 78 % lidí, kteří AI vůbec používají - a v malých a středních firmách je to ještě častější, 80 % (Microsoft a LinkedIn, 8. 5. 2024). Jinak řečeno: v menší firmě je pravděpodobnost, že někdo pracuje s neschváleným AI nástrojem, vyšší než ve velkém podniku s bezpečnostním oddělením.

Bezpečnostní firma Securden k tomu dodává, v čem je neschválený nástroj nebezpečnější než běžná firemní aplikace: skutečné riziko není v tom, co AI s přehnaně širokým oprávněním umí, ale v tom, jak rychle to umí (Securden, Hackernoon, 25. 9. 2026). Jeden člověk stihne omylem poslat ven jednu tabulku. Nástroj, kterému někdo bez rozmyslu povolí přístup k mailu nebo disku, stihne totéž s desítkami souborů za pár minut.

Pro českou firmu do 250 lidí to znamená hlavně jedno: čekat, až se problém sám ohlásí, nemá smysl. U vás žádný bezpečnostní tým nezazvoní.

Nejdřív zjistit, pak rozhodnout.

První dva dny patří zjišťování, ne zákazům: krátký rozhovor s lidmi, kteří AI reálně používají, o tom, který nástroj a k čemu. Cíl je přehled, ne trestání - lidé přiznají použití jen tehdy, když z toho nehrozí postih.

Další dva dny patří výběru schválené alternativy podle toho, co už lidem funguje, místo nařizování nástroje, který nikdo nechce. Ke schválenému nástroji patří i písemná zpracovatelská smlouva podle článku 28 GDPR - bez ní firma nemá jak ověřit, co dodavatel s daty dělá.

Poslední tři dny patří jedné krátké a jasné písemné zásadě: co se do AI smí a nesmí vkládat (jména zákazníků, ceny, smlouvy ano/ne) a kdo je pro firmu schválený nástroj. Evropský AI Act k tomu přidává vlastní povinnost - podle článku 4 musí firma, která AI používá, zajistit svým lidem přiměřenou AI gramotnost, a nařízení se obecně používá od 2. srpna 2026 (nařízení EU 2024/1689, čl. 113). Nejde o zkoušku, jde o to, aby lidé věděli, co nástroji posílají.

Co s tím teď.

Když ve firmě nikdo citlivá data do AI nevkládá a máte to ověřené, ne jen odhadnuté, tenhle krok teď nepotřebujete. Když si tím jistí nejste, přehled a jedna schválená alternativa se vyplatí udělat dřív, než to za vás vyřeší náhoda.