Generativní AI ve firmě: jak nastavit pravidla pro texty, obrázky a kód

Aktualizováno 9. srpna 2026. Generativní AI dnes připraví text, ilustraci, video, hlas, překlad i kus kódu během několika sekund. Pro firmu je to užitečný pomocník, ale výstup není automaticky pravdivý, licenčně čistý ani vhodný k publikaci. Odpovědnost se neztrácí tím, že obsah vytvořil model.

U generativní AI je potřeba rozlišit dvě různé otázky. První se týká povinností poskytovatele modelu podle AI Actu. Druhá se týká firmy, která model používá, integruje do webu, vytváří obsah nebo jej publikuje. AI Act ukládá poskytovatelům obecných modelů mimo jiné povinnost mít politiku dodržování autorského práva a zveřejnit dostatečně podrobný souhrn obsahu použitého pro trénink. To ale není potvrzení, že každý konkrétní výstup může firma bez kontroly převzít.

Tento článek je praktický návod pro české firmy, marketingové týmy, vývojáře a webové agentury. Popisuje pravidla pro text, obraz, video, hlas, kód a interní znalostní báze. Pomůže vám nastavit schválené nástroje, lidskou kontrolu, evidenci zdrojů, licenční checkpoint a postup pro případ, kdy se výstup ukáže jako chybný nebo problematický. Nenahrazuje individuální právní posouzení autorských, osobnostních a pracovněprávních otázek.

Nejprve si ujasněte, co vlastně používáte

Pod pojmem „AI“ se v praxi míchá několik různých věcí:

• Obecný model: základní model schopný širokého spektra úloh, například psaní, překladu, analýzy a generování obrazu.
• AI systém: model spojený s rozhraním, daty, pravidly, oprávněními a konkrétním účelem.
• Firemní workflow: proces, ve kterém člověk zadá pokyn, převezme výstup a použije jej pro zákazníka nebo provoz.
• Výstup: text, obraz, video, hlas, kód, tabulka nebo rozhodovací doporučení.

Běžná firma, která používá hotovou AI službu, obvykle není poskytovatelem základního GPAI modelu. Může ale být provozovatelem AI systému, poskytovatelem vlastní nadstavby nebo subjektem, který za výstup odpovídá vůči zákazníkovi. Pokud model významně upravujete, nabízíte jej pod vlastním jménem nebo jej začleňujete do vlastního produktu, je potřeba roli posoudit znovu.

Proto do registru nástrojů zapište nejen název aplikace, ale i účel, model, verzi, data, výstup, uživatele a způsob zveřejnění. Bez tohoto kontextu se „použití AI“ nedá rozumně posoudit.

Co podle AI Actu řeší poskytovatel modelu

AI Act v článku 53 stanovuje poskytovatelům GPAI modelů povinnosti týkající se technické dokumentace, informací pro navazující poskytovatele AI systémů, politiky dodržování práva duševního vlastnictví a veřejného souhrnu obsahu použitého pro trénink. Evropská komise k tomu zveřejnila vlastní pokyny, šablonu souhrnu trénovacích dat a dobrovolný kodex.

Pro firmu, která model nakupuje, je to důležitý dodavatelský checkpoint:

• Je jasné, kdo model poskytuje a v jaké verzi?
• Dodavatel popisuje schopnosti, omezení, povolené použití a známá rizika?
• Vysvětluje, jak nakládá se vstupy, výstupy a historií?
• Poskytuje informace pro integrátory, například o modalitách, limitech a změnách?
• Má zveřejněnou politiku k autorskému právu a souhrn trénovacího obsahu, pokud na něj dopadají povinnosti GPAI?
• Oznamuje novou verzi nebo změnu chování tak, aby firma mohla zopakovat testy?

Veřejný souhrn trénovacích dat není seznam každého použitého dokumentu a není garancí právní čistoty každého výstupu. Je to jeden z podkladů pro transparentnost a pro rozhodnutí, zda je služba vhodná pro dané použití.

Text: správnost, zdroje a cizí styl

Textový model může napsat přesvědčivý odstavec, který obsahuje neexistující zdroj, záměnu právního termínu nebo zastaralou cenu. U odborného, zdravotního, finančního a právního obsahu musí být kontrola přísnější než u interního návrhu předmětu e-mailu.

Pravidla pro text

• Uveďte účel, cílového čtenáře, požadovaný rozsah a zdroje.
• Nenechte model vymýšlet citace, čísla, reference ani sliby, které nelze doložit.
• Fakta ověřte v primárním nebo jinak důvěryhodném zdroji.
• U právních a regulatorních textů kontrolujte datum účinnosti a jurisdikci.
• U veřejného textu určete, kdo jej redakčně schvaluje.
• Nezadávejte modelu důvěrnou smlouvu nebo osobní údaje bez schváleného režimu.

Pokud model napodobuje konkrétního žijícího autora, značku nebo charakteristický styl, nestačí tvrdit, že jde o „inspiraci“. Zvažte, zda je takové zadání nutné, zda nevyvolává záměnu a zda firma neporušuje smluvní, osobnostní nebo autorská práva. Bezpečnější je popsat vlastnosti výstupu: věcný, stručný, srozumitelný, technický nebo poetický.

Obraz, video a hlas

U vizuálního výstupu se kontroluje nejen kvalita, ale také podobnost s konkrétní osobou, značkou, produktem nebo skutečnou událostí. AI může vytvořit falešnou fotografii zákazníka, napodobit obal cizího výrobku nebo ukázat vlastnost, kterou reálný produkt nemá.

Vizuální kontrola před publikací

• Neobsahuje obraz podobu člověka bez souhlasu nebo falešný záznam skutečné události?
• Nevypadá jako oficiální fotografie produktu, který ve skutečnosti zachycen nebyl?
• Neobsahuje cizí logo, postavu, design, fotografii nebo rozpoznatelný umělecký rukopis?
• Neuvádí vizuál vlastnost, materiál nebo certifikaci, kterou produkt nemá?
• Je rozhodnuto, zda musí být obsah viditelně označen jako vytvořený nebo upravený pomocí AI?
• Ukládáme zadání, nástroj, datum a osobu, která obraz schválila?

AI Act řeší transparentnost zejména u deepfake obsahu a určitého textu publikovaného ve veřejném zájmu. Deepfake je syntetický nebo upravený obraz, zvuk či video, které připomíná existující osobu, objekt, místo, subjekt nebo událost a mohlo by působit jako autentické. Ne každý dekorativní AI obrázek je deepfake, ale rozhodnutí nesmí být automatické bez ohledu na kontext.

Kód: licence, bezpečnost a odpovědnost

Generovaný kód není automaticky bezpečný ani licenčně bezrizikový. Model může zopakovat známý vzor, použít zastaralou knihovnu, vytvořit zranitelné SQL, špatně řešit autentizaci nebo vložit část řešení s podmínkami, které tým nepřečetl.

Kontrola kódu

• Každý návrh projde běžným code review a automatickými testy.
• Ověřte závislosti, licence, bezpečnostní upozornění a kompatibilitu s projektem.
• Nevkládejte do veřejného modelu tajné klíče, privátní kód nebo klientská data.
• Testujte validaci vstupů, oprávnění, úniky informací a chybové stavy.
• Ukládejte finální změnu v repozitáři s odpovědným autorem a historií.
• Model používejte jako návrháře, ne jako jediného schvalovatele bezpečnostní změny.

Pokud firma používá AI pro doplňování kódu, nastavte pravidla pro povolené repozitáře, data v kontextu a ukládání promptů. U uzavřených klientských projektů musí být jasné, zda nástroj smí používat zdrojový kód ke zlepšování služby.

Zdrojová data a znalostní báze

RAG vyhledávání nebo interní chatbot může odpovídat z dokumentů firmy, ale „máme dokument“ neznamená „smíme jej celý vložit do libovolného modelu“. Před indexací ověřte původ, práva, osobní údaje, oprávnění a dobu uchování.

• Dokument má vlastníka a účel použití.
• Je známo, kdo jej smí číst v originálu i ve výsledku AI.
• Zdroj se aktualizuje, verzuje a při vyřazení mizí také z indexu.
• Citlivé části se anonymizují, omezí nebo vyloučí.
• Model umí uvést zdroj a přiznat, že podklad nemá.
• Log dotazu neobsahuje více osobních údajů, než je nezbytné.

Do znalostní báze nevkládejte celé weby, knihy, databáze nebo klientské exporty jen proto, že jsou technicky dostupné. Nejprve určete právní titul a oprávnění k použití. U veřejného webu je nutné zohlednit také podmínky zdroje, rezervaci práv pro text and data mining a další pravidla autorského práva.

Výstup není automaticky dílem firmy

U generovaného výstupu je potřeba rozlišit několik rovin:

1. Právo použít vstup: smíme používat obrázek, text, data nebo kód, který jsme do nástroje vložili?
2. Právo použít výstup: co říká smlouva dodavatele a jaká omezení vyplývají z lokálního práva?
3. Podobnost: nemůže výstup zasáhnout do cizí značky, osobnosti, díla nebo obchodního označení?
4. Lidský vklad: kdo výstup vybral, upravil, zkomponoval a schválil?
5. Smluvní odpovědnost: co firma slíbila zákazníkovi a co může doložit?

Podmínky AI služby mohou upravovat komerční použití, atribuci, výluky záruk i nakládání s daty. Přečtěte si je pro konkrétní plán a zemi. Nezaměňujte větu „můžete použít výstup“ za garanci, že výstup neporušuje práva třetí osoby.

Transparentnost AI obsahu

Od 2. srpna 2026 se podle článku 50 AI Actu uplatňují pravidla transparentnosti pro určité interaktivní a generativní systémy. Poskytovatelé mají například navrhnout přímou interakci tak, aby člověk věděl, že komunikuje s AI, pokud to není zřejmé, a u generovaného či upraveného obsahu zajistit strojově čitelné označení v relevantních případech.

Pro firmu je důležité nedělat z toho nepřesné pravidlo „označujeme úplně všechno“ ani opačný extrém „neoznačujeme nic“. U každého veřejného výstupu určete:

• zda jde o přímou interakci s člověkem,
• zda obraz, zvuk nebo video může působit jako autentický záznam,
• zda jde o deepfake,
• zda jde o text publikovaný k informování veřejnosti o věci veřejného zájmu,
• zda proběhl lidský přezkum nebo redakční dohled,
• jaké strojové a viditelné označení poskytuje nástroj nebo publikační systém.

Běžný obchodní text vytvořený AI není automaticky zahrnutý do stejné povinnosti jako text o věci veřejného zájmu bez lidské kontroly. Firma ale může mít širší interní pravidlo transparentnosti, pokud tím chrání důvěru zákazníků nebo chce jasně popsat svůj redakční proces.

Schválené, podmíněné a zakázané použití

Interní politika nemusí být dlouhá. Měla by ale být konkrétní a snadno použitelná v každodenní práci.

Schválené použití

• brainstorming a návrhy struktury,
• úprava textu, který neobsahuje důvěrné údaje,
• překlad s kontrolou člověkem,
• generování variant ilustrací bez reálných osob a cizích značek,
• návrhy kódu v povoleném prostředí s code review,
• shrnutí interních dokumentů v podnikovém nástroji s nastavenou ochranou dat.

Použití po schválení

• zpracování osobních údajů, smluv, zdravotních nebo finančních údajů,
• publikace odborného nebo regulatorního textu,
• obsah napodobující konkrétní osobu, značku nebo skutečnou událost,
• výstupy, které ovlivní cenu, nábor, reklamaci nebo přístup ke službě,
• automatizované odesílání, změny v CRM nebo jiné nevratné akce.

Zakázané použití bez individuálního posouzení

• vkládání tajných klíčů, hesel a neveřejných přístupů do veřejné služby,
• generování falešných důkazů, referencí, recenzí nebo osobních doporučení,
• vydávání modelového výstupu za ověřený lidský názor,
• automatické rozhodnutí o člověku bez vlastníka, přezkumu a možnosti opravy,
• použití obsahu s nejasným právem k dalšímu zveřejnění.

Evidence pro každodenní provoz

Firma nemusí archivovat každý brainstorming. U výstupů, které jdou zákazníkům, do kódu, do smlouvy nebo do rozhodovacího procesu, ale evidujte minimum:

• nástroj a model, pokud je známý,
• datum a účel použití,
• zdrojová data a jejich vlastník,
• osobu, která výstup kontrolovala a schválila,
• zásadní úpravy proti původnímu návrhu,
• odkaz na licenci, smluvní podmínky nebo interní pravidlo,
• informaci o označení, pokud jde o veřejný AI obsah.

Uchovávejte jen to, co potřebujete a smíte uchovávat. Prompt může obsahovat osobní údaje nebo obchodní tajemství. Evidence se musí chránit stejně jako ostatní interní dokumentace.

Co dělat při podezřelém výstupu

1. Nezveřejňovat: výstup odložte, dokud není jasné, co je problematické.
2. Zachovat podklady: uložte nástroj, verzi, zadání, vstup a první výstup v bezpečném režimu.
3. Určit problém: jde o faktickou chybu, cizí obsah, osobní údaj, podobu člověka, únik nebo bezpečnostní zranitelnost?
4. Informovat vlastníka: zapojte marketing, IT, právníka, ochranu údajů nebo klienta podle situace.
5. Opravit nebo odstranit: změňte výstup, vypněte workflow a ověřte, kde všude se objevil.
6. Přidat poučení: aktualizujte prompt, zdroje, schvalovací pravidlo nebo školení.

30/60/90denní plán pro firmu

Prvních 30 dnů: inventura

• Seznamte používané AI nástroje v marketingu, vývoji, HR a podpoře.
• Rozdělte výstupy na text, obraz, video, hlas, kód a rozhodovací doporučení.
• Zapište, zda se používají osobní, klientská nebo licencovaná data.
• Zakážte neveřejné informace v neschválených nástrojích.
• Jmenujte vlastníka pravidel a kontaktní osobu pro incident.

Do 60 dnů: pravidla

• Schvalte seznam nástrojů a rozdělte použití na povolené a podmíněné.
• Vyžádejte si podklady o zpracování dat, verzích a podmínkách dodavatele.
• Nastavte zdrojovou kontrolu, lidské schválení a pravidla publikace.
• Sepište pravidla pro obraz, video, deepfake, kód a veřejný obsah.
• Zaškolte lidi podle jejich role a typu výstupu.

Do 90 dnů: ověření

• Proveďte náhodný audit zveřejněných výstupů.
• Zopakujte testy po změně modelu nebo významné aktualizaci nástroje.
• Ověřte licence a původ vzorku textů, obrázků, videí a kódu.
• Proveďte cvičný incident s únikem dat nebo problematickým obsahem.
• Vyhodnoťte, zda pravidla lidé používají, nebo je obcházejí.

Checklist před použitím výstupu

• ☐ Vím, jaký nástroj a model výstup vytvořil.
• ☐ Do nástroje jsem nevložil neveřejná nebo nepotřebná osobní data.
• ☐ Mám právo použít zdrojový materiál a případné reference.
• ☐ Ověřil jsem fakta, čísla, citace a technické parametry.
• ☐ Výstup neklame o osobě, produktu, události ani původu obsahu.
• ☐ Neobsahuje cizí logo, dílo, kód nebo osobní podobu bez posouzení.
• ☐ Je rozhodnuto o viditelném a strojově čitelném označení.
• ☐ U kódu proběhl code review, testy a kontrola závislostí.
• ☐ U odborného nebo právního textu proběhla kontrola kvalifikovanou osobou.
• ☐ Je uložený zdroj, schválení a datum kontroly v přiměřeném rozsahu.
• ☐ Vím, jak výstup stáhnout nebo odstranit, pokud se objeví problém.

Generativní AI potřebuje dobrý proces, ne slepou důvěru

Nejspolehlivější pracovní model je jednoduchý: člověk zadá účel a podklady, AI připraví návrh, člověk ověří fakta a práva, upraví výstup, schválí jej a uloží potřebnou stopu. Tento postup nesnižuje přínos AI. Naopak brání tomu, aby rychlost generování vytvořila drahé opravy, reputační škodu nebo spor o původ obsahu.

Začněte u několika opakujících se scénářů, kde jsou jasné zdroje a snadná kontrola. Pravidla rozšiřujte až poté, co víte, jak často model chybuje, jaké informace unikají a co lidé skutečně potřebují k odpovědnému schválení.

Související články

O obecných povinnostech modelů pojednává GPAI modely podle AI Actu. Základní firemní postup najdete v článku Praktický checklist AI Actu pro českou firmu. K označování generovaného obsahu se vraťte v článku Transparentnost AI, chatboty a deepfaky a k bezpečnostním rizikům v článku Bezpečnost a etika AI ve firmě.

Potřebujete nastavit interní pravidla, schvalovací workflow nebo bezpečnou AI funkci pro web a administraci? Popište nám svůj projekt. Pomůžeme vám spojit praktický přínos AI s kontrolou dat, zdrojů a odpovědností.

Zdroje a poznámka k aktuálnosti

Článek vychází z pokynů Evropské komise pro poskytovatele GPAI modelů, otázek a odpovědí k povinnostem GPAI, šablony souhrnu trénovacího obsahu, pokynů k transparentnosti AI obsahu a nařízení (EU) 2024/1689, zejména článku 53.

Právní předpisy, metodiky a výklady se vyvíjejí. Před zveřejněním obsahu s podobou skutečné osoby, použitím cizích děl, nasazením generovaného kódu nebo zpracováním důvěrných dat ověřte aktuální právní režim a zvažte individuální posouzení.