AI směrnice pro firmu: pravidla používání AI a co nevkládat do chatbota

AI směrnice je krátký interní dokument, který lidem ve firmě říká, jaké AI nástroje smějí používat, co do nich nevkládat a kdo odpovídá za výsledek. Bez ní si každý zaměstnanec nastaví pravidla sám. Jeden vloží do ChatGPT smlouvu s klientem, druhý pošle zákazníkovi text s vymyšleným číslem a třetí AI raději nepoužívá vůbec, protože neví, co smí.

V tomto článku popisuji, co má jednoduchá AI interní směrnice obsahovat, co nevkládat do ChatGPT a dalších chatbotů, jak se liší firemní a osobní plány a jak výstupy kontrolovat. Na konci najdete osnovu, kterou si můžete upravit pro svou firmu.

Upozornění: nejsem právník a tento článek není právní poradenství. U osobních údajů a smluv nechte směrnici zkontrolovat právníkem nebo pověřencem pro ochranu osobních údajů.

Proč firma potřebuje AI směrnici

Firma potřebuje AI směrnici, protože lidé AI používají tak jako tak a bez pravidel s ní zacházejí každý jinak. Směrnice z toho udělá řízené používání.

Dobrá směrnice řeší tři věci:

• Bezpečnost dat. Co do AI nepatří a v jakých nástrojích smějí být firemní data.
• Kvalitu. Kdo výstup kontroluje a za co odpovídá.
• Doložitelnost. Článek 4 AI Act ukládá firmám, které AI používají, přijmout opatření na podporu AI gramotnosti lidí. Evropská komise uvádí, že spoléhat jen na návod k nástroji nestačí. Směrnice spolu se školením je jedno z opatření, které můžete doložit. Podrobněji to rozebírám v článku AI gramotnost podle AI Act (čl. 4).

Směrnice nemusí být dlouhá. Lidé si přečtou dvě strany, dvacet stran ne. Pište ji pro zaměstnance, ne pro auditora.

Co má jednoduchá AI směrnice obsahovat

Jednoduchá AI směrnice má obsahovat seznam schválených nástrojů, pravidla pro data, pravidla pro kontrolu výstupů, označování obsahu a odpovědnou osobu. Víc na začátek nepotřebujete.

Část směrnice	Na jakou otázku odpovídá
Účel a rozsah	Pro koho směrnice platí (zaměstnanci, externisté, agentury)
Schválené nástroje	Které AI nástroje a s jakým účtem smím používat
Data	Co do AI nikdy nevkládám a co jen ve firemním nástroji
Kontrola výstupů	Kdo výstup ověřuje, než opustí firmu
Označování	Kdy uvádím, že obsah vytvořila AI
Nové nástroje	Jak požádat o schválení dalšího nástroje
Odpovědnost a kontakt	Kdo směrnici spravuje a komu hlásit problém
Školení a revize	Jak se lidé pravidla učí a kdy se směrnice aktualizuje

Co nevkládat do ChatGPT a dalších chatbotů

Do chatbota nevkládejte nic, co byste nedali do e-mailu cizí firmě bez smlouvy. To je nejjednodušší test, který si lidé zapamatují.

Osobní údaje

Osobní údaj je podle čl. 4 GDPR jakákoli informace o identifikované nebo identifikovatelné fyzické osobě: jméno, e-mail, telefon, rodné číslo, ale i kombinace údajů, ze které člověka poznáte. Když je vložíte do AI nástroje, zpracováváte je a potřebujete k tomu právní základ. U firemních plánů a API je poskytovatel zpracovatelem a článek 28 GDPR vyžaduje smlouvu o zpracování (DPA). U osobních plánů (Free, Plus, Pro) je poskytovatel samostatným správcem a smlouvu o zpracování s ním neuzavřete, proto do nich osobní údaje nepatří. Ověřte také, na jakém základě se data předávají do USA (EU-US Data Privacy Framework nebo standardní smluvní doložky).

Zvlášť opatrní buďte u zvláštních kategorií údajů podle čl. 9 GDPR, například údajů o zdraví. Ty do běžného chatbota nepatří.

Prakticky: životopis uchazeče, export z CRM nebo e-mail od zákazníka s podpisem do osobního účtu ChatGPT nevkládejte. Pokud potřebujete AI pomoct s textem, nahraďte jména a kontakty zástupnými znaky („Klient A“, „[e-mail]“).

Smlouvy a dokumenty pod NDA

Smlouvy s klienty a dodavateli často obsahují doložku o mlčenlivosti. Vložení do externího nástroje může být jejím porušením, i když s daty nikdo nic neudělá. Ve firemním nástroji se smlouvou o zpracování to může být v pořádku, ale rozhodnutí patří do směrnice, ne jednotlivci.

Obchodní tajemství

Ceníky, marže, strategie, zdrojové kódy, receptury, nepublikované výsledky. Pokud ochrana obchodního tajemství stojí na tom, že firma informace drží v utajení, nemá je zaměstnanec vkládat do nástroje, který firma neschválila.

Data klientů

Agentury, účetní kanceláře a konzultanti pracují s daty, která jim nepatří. Klientská data patří jen do nástrojů, se kterými klient souhlasí nebo které smlouva dovoluje.

Hesla, přístupové údaje a API klíče

Nikdy, v žádném plánu. Lidé je do AI vkládají nechtěně, třeba s logem chyby nebo konfiguračním souborem. Do směrnice napište, že se před vložením mají z textu odstranit.

Firemní vs. osobní plány: kdo může trénovat na vašich datech

Hlavní rozdíl je v tom, zda se konverzace ve výchozím nastavení mohou použít k tréninku modelů a kdo řídí uchovávání dat. Níže je stav podle oficiálních stránek OpenAI a Anthropic k listopadu 2026. Podmínky se mění, před schválením nástroje je zkontrolujte znovu.

Plán	Trénink na vašich datech	Uchovávání a správa
ChatGPT Free, Plus, Pro (osobní)	Ve výchozím nastavení zapnutý, lze vypnout v nastavení, sekce Data controls, přepínač Improve the model for everyone	Dočasné chaty se nepoužívají k tréninku a mohou se uchovat až 30 dní kvůli bezpečnosti
ChatGPT Business, Enterprise, Edu, API	Ve výchozím nastavení ne	U Business, Enterprise a Edu řídí uchovávání správci workspace, smazané konverzace OpenAI odstraní do 30 dní, pokud zákon nevyžaduje jinak. OpenAI nabízí smlouvu o zpracování (DPA) pro Business, Enterprise a API
Claude Free, Pro, Max (osobní)	Rozhoduje uživatel v nastavení soukromí	Při povoleném tréninku se data mohou v tréninkových procesech uchovávat až 5 let v deidentifikované podobě. Smazané chaty jsou odstraněny z backendu do 30 dní
Claude for Work (Team, Enterprise), API	Ve výchozím nastavení ne	Řídí se komerčními podmínkami Anthropic

Dvě věci, na které lidé zapomínají:

• Hodnocení palcem. Když u odpovědi kliknete na palec nahoru nebo dolů, může se celá konverzace použít ke zlepšení modelů. OpenAI to uvádí i pro případ, kdy máte trénink vypnutý, a obě firmy podobnou výjimku zmiňují i u firemních produktů.
• Vypnutí tréninku neznamená smazání. U ChatGPT vypnutí přepínače konverzace nesmaže ani neskryje. Co chcete odstranit, musíte smazat zvlášť.

Pro firemní data proto doporučuji jednoduché pravidlo: firemní data jen ve firemním plánu. Osobní účty nechte na veřejné informace a vlastní učení.

Schvalování nástrojů

Schválený nástroj je ten, který firma prověřila a ke kterému má zaměstnanec firemní účet. Všechno ostatní je neschválené, dokud o něm někdo nerozhodne.

Před schválením si odpovězte na pět otázek:

1. Používá poskytovatel naše data k tréninku a dá se to vypnout pro celou firmu?
2. Jak dlouho data uchovává a kdo může mazat?
3. Nabízí smlouvu o zpracování osobních údajů?
4. Kdo ve firmě spravuje účty a odebere přístup odcházejícímu zaměstnanci?
5. K čemu nástroj potřebujeme a jaká data do něj půjdou?

Do směrnice dejte i postup pro nové nástroje: komu napsat, kdo rozhodne a do kdy. Pokud schválení trvá měsíce, lidé si nástroje stejně pořídí na vlastní kartu.

Kontrola výstupů

Za výstup z AI odpovídá člověk, který ho použije. To je nejdůležitější věta celé směrnice.

AI píše přesvědčivě i tehdy, když se plete. Vymyslí číslo, citaci, paragraf nebo zdroj. Evropská komise u příkladu s ChatGPT výslovně zmiňuje riziko halucinací. Do směrnice proto napište, co se kontroluje vždy:

• čísla, data, jména a citace podle původního zdroje,
• právní a daňová tvrzení vždy s odborníkem,
• texty pro klienty a veřejnost přečte člověk celé, ne jen úvod,
• kód z AI projde stejnou kontrolou jako kód od kolegy.

Ze své praxe přidám jedno pravidlo z výroby AI reklam: české a slovenské texty do vizuálů vkládám vždy v postprodukci, nikdy je negeneruji modelem. Generované písmo s diakritikou bývá chybné. Podobně u textů platí, že finální podobu dává člověk.

Označování obsahu vytvořeného AI

Některé případy označování ukládá přímo AI Act, ostatní je na rozhodnutí firmy. Článek 50 odst. 4 nařízení (EU) 2024/1689 ukládá subjektům zavádějícím AI:

• zveřejnit, že obrazový, zvukový nebo video obsah představující deep fake byl uměle vytvořen nebo upraven,
• uvést, že text zveřejněný k informování veřejnosti o věcech veřejného zájmu vytvořila AI. Tato povinnost neplatí, pokud text prošel lidskou nebo redakční kontrolou a někdo za něj nese redakční odpovědnost.

U zjevně uměleckých, satirických nebo fiktivních děl stačí informovat o existenci takového obsahu vhodným způsobem. Pozor u reklam: fotorealistický AI obraz, video nebo zvuk, který připomíná skutečné osoby, předměty, místa nebo události a mohl by působit jako autentický, je podle čl. 3 bodu 60 AI Act deep fake. Od 2. 8. 2026 musí ten, kdo ho v rámci své činnosti zveřejňuje, uvést, že obsah byl uměle vytvořen nebo upraven (čl. 50 odst. 4). Pro ostatní AI obsah na sociálních sítích a ve firemní komunikaci si nastavte jednotné interní pravidlo, třeba „fotorealistické AI obrázky lidí vždy označujeme“. Konkrétní dopad na vaši komunikaci si ověřte s právníkem.

Šablona: osnova AI směrnice

Tuto osnovu si zkopírujte a doplňte. Každý bod stačí na dvě až pět vět.

1. Účel a platnost. Proč směrnice vzniká, pro koho platí (zaměstnanci, externisté, agentury), od kdy.
2. Schválené nástroje. Seznam nástrojů, plán a kdo přiděluje účty. Například: Claude Team, ChatGPT Business, Copilot v Microsoft 365.
3. Zakázaná data. Osobní údaje mimo schválené nástroje, zvláštní kategorie údajů, smlouvy pod NDA, obchodní tajemství, klientská data, hesla a klíče.
4. Data jen ve firemním nástroji. Interní dokumenty, anonymizovaná data, podklady pro nabídky.
5. Kontrola výstupů. Co se ověřuje vždy, kdo schvaluje texty pro klienty a veřejnost.
6. Označování obsahu. Kdy a jak uvádíme, že obsah vytvořila AI.
7. Nové nástroje. Žádost, posouzení, rozhodnutí, lhůta.
8. Incidenty. Co dělat, když někdo vloží do AI něco, co tam nepatří, a komu to nahlásit.
9. Školení. Kdo absolvuje školení, jak často, kde je evidence.
10. Odpovědnost a revize. Správce směrnice, datum příští revize, potvrzení zaměstnance.

Směrnici nechte zaměstnance potvrdit a uložte si ji k ostatním opatřením k AI gramotnosti.

Jak směrnici zavést, aby ji lidé dodržovali

Směrnice funguje, jen když ji lidé znají a rozumí jí. Rozeslat PDF nestačí.

Osvědčuje se tento postup: nejdřív zmapovat, jaké nástroje lidé už používají, pak schválit jeden nebo dva firemní a zbytek zakázat, a nakonec směrnici vysvětlit na školení na příkladech z vaší práce. Lidé pochopí, proč do osobního ChatGPT nepatří export z CRM, když si to vyzkouší na anonymizované verzi a uvidí, že výsledek je stejně dobrý.

Při zavádění AI do firmy pomáhám vybrat nástroje, nastavit pravidla a postavit postupy, které lidé opravdu používají. Na AI školení pro firmy pak tým naučím s nástroji pracovat podle směrnice. Po školení vydávám potvrzení o absolvování pro interní evidenci. Certifikátem není a soulad s AI Act nezaručuje.