AI smernica pre firmu: pravidlá používania AI a čo nevkladať do chatbota

AI smernica pre firmu je krátky interný dokument, ktorý ľuďom hovorí, aké AI nástroje smú používať, čo do nich nevkladať a kto zodpovedá za výsledok. Bez nej si každý zamestnanec nastaví pravidlá sám. Jeden vloží do ChatGPT zmluvu s klientom, druhý pošle zákazníkovi text s vymysleným číslom a tretí AI radšej nepoužíva vôbec, lebo nevie, čo smie.

Keď hľadáte „AI smernica“, vo výsledkoch často nájdete smernice univerzít pre študentov. Firma potrebuje niečo iné: pravidlá pre obchod, marketing, účtovníctvo či HR. V tomto článku opisujem, čo má jednoduchá firemná AI smernica obsahovať, čo nevkladať do ChatGPT a ďalších chatbotov, ako sa líšia firemné a osobné plány a ako výstupy kontrolovať. Na konci nájdete osnovu, ktorú si upravíte pre svoju firmu.

Upozornenie: nie som právnik a tento článok nie je právne poradenstvo. Pri osobných údajoch a zmluvách dajte smernicu skontrolovať právnikovi alebo zodpovednej osobe pre ochranu osobných údajov.

Prečo firma potrebuje AI smernicu

Firma potrebuje AI smernicu, pretože ľudia AI používajú tak či tak a bez pravidiel s ňou narábajú každý inak. Smernica z toho spraví riadené používanie.

Dobrá smernica rieši tri veci:

• Bezpečnosť údajov. Čo do AI nepatrí a v akých nástrojoch smú byť firemné údaje.
• Kvalitu. Kto výstup kontroluje a za čo zodpovedá.
• Zdokumentovateľnosť. Článok 4 AI Act ukladá firmám, ktoré AI používajú, prijať opatrenia na podporu AI gramotnosti ľudí. Európska komisia uvádza, že spoliehať sa len na návod na použitie nástroja nestačí. Smernica spolu so školením je jedno z opatrení, ktoré viete zdokumentovať. Podrobnejšie to rozoberám v článku AI gramotnosť podľa AI Act (čl. 4).

Smernica nemusí byť dlhá. Dve strany si ľudia prečítajú, dvadsať nie. Píšte ju pre zamestnancov, nie pre audítora.

Čo má obsahovať jednoduchá AI smernica

Jednoduchá AI smernica má obsahovať zoznam schválených nástrojov, pravidlá pre údaje, pravidlá pre kontrolu výstupov, označovanie obsahu a zodpovednú osobu. Viac na začiatok nepotrebujete.

Časť smernice	Na akú otázku odpovedá
Účel a rozsah	Na koho sa smernica vzťahuje (zamestnanci, externisti, agentúry)
Schválené nástroje	Ktoré AI nástroje a s akým účtom smiem používať
Údaje	Čo do AI nikdy nevkladám a čo len do firemného nástroja
Kontrola výstupov	Kto výstup overí, kým opustí firmu
Označovanie	Kedy uvádzam, že obsah vytvorila AI
Nové nástroje	Ako požiadať o schválenie ďalšieho nástroja
Zodpovednosť a kontakt	Kto smernicu spravuje a komu hlásiť problém
Školenie a revízia	Ako sa ľudia pravidlá učia a kedy sa smernica aktualizuje

Čo nevkladať do ChatGPT a ďalších chatbotov

Do chatbota nevkladajte nič, čo by ste bez zmluvy neposlali e-mailom cudzej firme. Je to najjednoduchší test, ktorý si ľudia zapamätajú.

Osobné údaje

Osobný údaj je podľa čl. 4 GDPR akákoľvek informácia o identifikovanej alebo identifikovateľnej fyzickej osobe: meno, e-mail, telefón, rodné číslo, ale aj kombinácia údajov, z ktorej človeka spoznáte. Keď ich vložíte do AI nástroja, spracúvate ich a potrebujete na to právny základ. Pri firemných plánoch a API je poskytovateľ sprostredkovateľom a článok 28 GDPR vyžaduje zmluvu o spracúvaní (DPA). Pri osobných plánoch (Free, Plus, Pro) je poskytovateľ samostatným prevádzkovateľom a zmluvu o spracúvaní s ním neuzavriete, preto do nich osobné údaje nepatria. Overte si aj, na akom základe sa údaje prenášajú do USA (EU-US Data Privacy Framework alebo štandardné zmluvné doložky).

Zvlášť opatrní buďte pri osobitných kategóriách údajov podľa čl. 9 GDPR, napríklad pri údajoch o zdraví. Tie do bežného chatbota nepatria.

Prakticky: životopis uchádzača, export z CRM ani e-mail od zákazníka s podpisom do osobného účtu ChatGPT nevkladajte. Ak potrebujete pomoc s textom, nahraďte mená a kontakty zástupnými znakmi („Klient A“, „[e-mail]“).

Zmluvy a dokumenty pod NDA

Zmluvy s klientmi a dodávateľmi často obsahujú doložku o mlčanlivosti. Vloženie do externého nástroja môže byť jej porušením, aj keď s údajmi nikto nič neurobí. Vo firemnom nástroji so zmluvou o spracúvaní to môže byť v poriadku, rozhodnutie však patrí do smernice, nie jednotlivcovi.

Obchodné tajomstvo

Cenníky, marže, stratégie, zdrojové kódy, receptúry, nezverejnené výsledky. Ak ochrana obchodného tajomstva stojí na tom, že ho firma drží v utajení, zamestnanec ho nemá vkladať do nástroja, ktorý firma neschválila.

Údaje klientov

Agentúry, účtovnícke kancelárie a konzultanti pracujú s údajmi, ktoré im nepatria. Údaje klientov patria len do nástrojov, s ktorými klient súhlasí alebo ktoré zmluva dovoľuje.

Heslá, prístupové údaje a API kľúče

Nikdy, v žiadnom pláne. Ľudia ich do AI vkladajú nechtiac, napríklad s logom chyby alebo konfiguračným súborom. Do smernice napíšte, že ich pred vložením treba z textu odstrániť.

Firemné a osobné plány: kto môže trénovať na vašich údajoch

Hlavný rozdiel je v tom, či sa konverzácie v predvolenom nastavení môžu použiť na tréning modelov a kto riadi uchovávanie údajov. Nižšie je stav podľa oficiálnych stránok OpenAI a Anthropic k novembru 2026. Podmienky sa menia, pred schválením nástroja ich skontrolujte znova.

Plán	Tréning na vašich údajoch	Uchovávanie a správa
ChatGPT Free, Plus, Pro (osobné)	V predvolenom nastavení zapnutý, dá sa vypnúť v nastaveniach, sekcia Data controls, prepínač Improve the model for everyone	Dočasné chaty sa na tréning nepoužívajú a môžu sa uchovať až 30 dní z bezpečnostných dôvodov
ChatGPT Business, Enterprise, Edu, API	V predvolenom nastavení nie	Pri Business, Enterprise a Edu riadia uchovávanie správcovia workspace, zmazané konverzácie OpenAI odstráni do 30 dní, ak zákon nevyžaduje inak. OpenAI ponúka zmluvu o spracúvaní (DPA) pre Business, Enterprise a API
Claude Free, Pro, Max (osobné)	Rozhoduje používateľ v nastaveniach súkromia	Pri povolenom tréningu sa údaje môžu v tréningových procesoch uchovávať až 5 rokov v deidentifikovanej podobe. Zmazané chaty sa z backendu odstránia do 30 dní
Claude for Work (Team, Enterprise), API	V predvolenom nastavení nie	Riadi sa komerčnými podmienkami Anthropic

Dve veci, na ktoré ľudia zabúdajú:

• Hodnotenie palcom. Keď pri odpovedi kliknete na palec hore alebo dole, celá konverzácia sa môže použiť na zlepšenie modelov. OpenAI to uvádza aj pre prípad, keď máte tréning vypnutý, a obe firmy podobnú výnimku spomínajú aj pri firemných produktoch.
• Vypnutie tréningu neznamená zmazanie. Pri ChatGPT vypnutie prepínača konverzácie nezmaže ani neskryje. Čo chcete odstrániť, musíte zmazať zvlášť.

Pre firemné údaje preto odporúčam jednoduché pravidlo: firemné údaje len vo firemnom pláne. Osobné účty nechajte na verejné informácie a vlastné učenie.

Schvaľovanie nástrojov

Schválený nástroj je ten, ktorý firma preverila a ku ktorému má zamestnanec firemný účet. Všetko ostatné je neschválené, kým o tom niekto nerozhodne.

Pred schválením si odpovedzte na päť otázok:

1. Používa poskytovateľ naše údaje na tréning a dá sa to vypnúť pre celú firmu?
2. Ako dlho údaje uchováva a kto môže mazať?
3. Ponúka zmluvu o spracúvaní osobných údajov?
4. Kto vo firme spravuje účty a odoberie prístup odchádzajúcemu zamestnancovi?
5. Na čo nástroj potrebujeme a aké údaje doň pôjdu?

Do smernice dajte aj postup pre nové nástroje: komu napísať, kto rozhodne a dokedy. Ak schválenie trvá mesiace, ľudia si nástroje aj tak kúpia na vlastnú kartu.

Kontrola výstupov

Za výstup z AI zodpovedá človek, ktorý ho použije. To je najdôležitejšia veta celej smernice.

AI píše presvedčivo aj vtedy, keď sa mýli. Vymyslí číslo, citát, paragraf alebo zdroj. Európska komisia pri príklade s ChatGPT výslovne spomína riziko halucinácií. Do smernice preto napíšte, čo sa kontroluje vždy:

• čísla, dátumy, mená a citáty podľa pôvodného zdroja,
• právne a daňové tvrdenia vždy s odborníkom,
• texty pre klientov a verejnosť prečíta človek celé, nielen úvod,
• kód z AI prejde rovnakou kontrolou ako kód od kolegu.

Z vlastnej praxe pridám jedno pravidlo z výroby AI reklám: slovenské a české texty do vizuálov vkladám vždy v postprodukcii, nikdy ich nenechávam generovať model. Generované písmo s diakritikou býva chybné. Podobne pri textoch platí, že finálnu podobu dáva človek.

Označovanie obsahu vytvoreného AI

Niektoré prípady označovania ukladá priamo AI Act, ostatné sú na rozhodnutí firmy. Článok 50 ods. 4 nariadenia (EÚ) 2024/1689 ukladá subjektom nasadzujúcim AI:

• zverejniť, že obrazový, zvukový alebo video obsah, ktorý je deepfake, bol umelo vytvorený alebo upravený,
• uviesť, že text zverejnený na informovanie verejnosti o veciach verejného záujmu vytvorila AI. Táto povinnosť neplatí, ak text prešiel ľudskou alebo redakčnou kontrolou a niekto zaň nesie redakčnú zodpovednosť.

Pri zjavne umeleckých, satirických alebo fiktívnych dielach stačí vhodne informovať o existencii takého obsahu. Pozor pri reklamách: fotorealistický AI obraz, video alebo zvuk, ktorý pripomína skutočné osoby, predmety, miesta alebo udalosti a mohol by pôsobiť autenticky, je podľa čl. 3 bodu 60 AI Act deepfake. Od 2. 8. 2026 musí ten, kto ho v rámci svojej činnosti zverejňuje, uviesť, že obsah bol umelo vytvorený alebo upravený (čl. 50 ods. 4). Pre ostatný AI obsah na sociálnych sieťach a vo firemnej komunikácii si nastavte jednotné interné pravidlo, napríklad „fotorealistické AI obrázky ľudí vždy označujeme“. Konkrétny dopad na vašu komunikáciu si overte s právnikom.

Šablóna: osnova AI smernice

Túto osnovu si skopírujte a doplňte. Na každý bod stačia dve až päť viet.

1. Účel a platnosť. Prečo smernica vzniká, na koho sa vzťahuje (zamestnanci, externisti, agentúry), odkedy platí.
2. Schválené nástroje. Zoznam nástrojov, plán a kto prideľuje účty. Napríklad: Claude Team, ChatGPT Business, Copilot v Microsoft 365.
3. Zakázané údaje. Osobné údaje mimo schválených nástrojov, osobitné kategórie údajov, zmluvy pod NDA, obchodné tajomstvo, údaje klientov, heslá a kľúče.
4. Údaje len vo firemnom nástroji. Interné dokumenty, anonymizované údaje, podklady pre ponuky.
5. Kontrola výstupov. Čo sa overuje vždy, kto schvaľuje texty pre klientov a verejnosť.
6. Označovanie obsahu. Kedy a ako uvádzame, že obsah vytvorila AI.
7. Nové nástroje. Žiadosť, posúdenie, rozhodnutie, lehota.
8. Incidenty. Čo robiť, keď niekto vloží do AI niečo, čo tam nepatrí, a komu to nahlásiť.
9. Školenie. Kto absolvuje školenie, ako často, kde je evidencia.
10. Zodpovednosť a revízia. Správca smernice, dátum ďalšej revízie, potvrdenie zamestnanca.

Smernicu dajte zamestnancom potvrdiť a založte si ju k ostatným opatreniam k AI gramotnosti.

Ako smernicu zaviesť, aby ju ľudia dodržiavali

Smernica funguje, len keď ju ľudia poznajú a rozumejú jej. Rozposlať PDF nestačí.

Osvedčuje sa tento postup: najprv zmapovať, aké nástroje ľudia už používajú, potom schváliť jeden alebo dva firemné a zvyšok zakázať a nakoniec smernicu vysvetliť na školení na príkladoch z vašej práce. Ľudia pochopia, prečo do osobného ChatGPT nepatrí export z CRM, keď si to vyskúšajú na anonymizovanej verzii a uvidia, že výsledok je rovnako dobrý.

Pri zavádzaní AI do firmy pomáham vybrať nástroje, nastaviť pravidlá a postaviť postupy, ktoré ľudia naozaj používajú. Na AI školení pre firmy potom tím naučím s nástrojmi pracovať podľa smernice, online alebo prezenčne aj na Slovensku. Po školení vydávam potvrdenie o absolvovaní pre internú evidenciu. Certifikátom nie je a súlad s AI Act nezaručuje.