Certifikovaná lež: když firemní AI odpoví z neúplného obzoru

Seniorní obchodník střední firmy se ráno zeptá interního AI asistenta, jestli může klíčovému zákazníkovi nabídnout desetiprocentní slevu. Asistent odpoví, že ano, a přiloží citaci: platný ceník, konkrétní dokument, správné číslo revize. O týden později se ukáže, že tři dny předtím vstoupila v platnost nová obchodní směrnice, která u tohoto zákazníka slevu vylučuje. Asistent ji neznal. Nesměl ji vidět – ležela v oblasti, kam jeho oprávnění nesahá.

Ta scéna je zkonstruovaná, ale typová; nepopisuje konkrétní incident, popisuje třídu incidentů. Nikdo v ní nelhal. Ceník byl pravý, citace seděla, model nehalucinoval. A přesto firma jednala podle nepravdy – protože správný dokument byl mimo dosah a asistent místo přiznání slepého místa suverénně odpověděl z toho, co náhodou viděl.

Veřejná debata o firemní umělé inteligenci se točí kolem dvou otázek: který model je nejlepší a jestli data neutečou ven. Obě jsou legitimní. Obě ale míjejí riziko, které je horší právě tím, že je tiché. Není to to, co asistent prozradí, ale to, co nevidí – a čím přesvědčivěji tu neviditelnost zakryje, tím dražší může být rozhodnutí, které z jeho odpovědi vzejde.

Nasazení jazykového asistenta nad firemními dokumenty tedy není projekt modelový, ale správní. Rozhodující práce se musí odehrát dřív, než padne první objednávka na licence, a spočívá ve třech věcech, které si nekoupíte v žádném produktu: ve smlouvě o tom, co smí systém prohledávat, v pořádku v přístupových právech a v pravidlech, jak se přiznat, když systém neví nebo nesmí říct. Proč zrovna teď? Protože se asistenti v českých firmách rozšiřují čím dál rychleji, povinnosti podle evropského aktu o umělé inteligenci postupně nabíhají a o odvrácené straně – o tom, co se stane, když asistent nevidí dost – u nás skoro nikdo nepíše.

Riziko úniku je dobře zmapované a existuje na něj vyzrálá výbava. V ekosystému Microsoftu jsou to takzvané štítky citlivosti (sensitivity labels), které se dokumentu přidělují buď ručně při vzniku, nebo automaticky podle vzoru; politiky ochrany před únikem dat (DLP), které umějí labelovaný obsah z Copilota úplně vyloučit; a mechanismus, jímž odpověď zdědí nejpřísnější štítek ze všech zdrojů, o které se opírá. Podle dokumentace Microsoftu Copilot vyloučený obsah nesumarizuje, ale smí na něj odkázat – ukáže, že dokument existuje, aniž by prozradil, co je uvnitř. To všechno je promyšlené a v praxi to funguje.

Má to jedno omezení: míří to jedním směrem. Celá ta výbava řeší přesdílení (oversharing): situaci, kdy se k citlivému obsahu dostane někdo, kdo nemá. Jenže přístupová práva mají dvě hrany. Když seznam oprávnění odfiltruje dokument, který k odpovědi patří, ale uživatel ho vidět nesmí, systém nezůstane zticha. Odpoví z toho, co mu zbylo, a odpověď doloží citací, která obstojí. Vznikne něco, pro co nemáme zavedené slovo; budu tomu říkat certifikovaná lež – odpověď, která je věcně špatně, ale každá citace v ní sedí, protože dokument, jenž by ji opravil, byl odepřen na vstupu.

Že nejde o teoretickou konstrukci, ukazuje akademická práce. Jooyoung Jeong a Sang-goo Lee ze Soulské národní univerzity postavili v časopise IEEE Access (2025) rámec pro RAG s ověřováním oprávnění a mimo jiné změřili, jak úroveň přístupu ovlivňuje kvalitu odpovědí. Výsledek se dá shrnout jednou větou: čím víc relevantního obsahu je uživateli odepřeno, tím hůř systém odpovídá – a to měřitelně. Přesdílení se firmy bojí, protože je vidět: unikne dokument, spustí se poplach. Podsdílení (undersharing) je horší, protože vidět není. Neprojeví se poplachem, ale klidnou chybnou odpovědí, kterou nikdo nezpochybní, „vždyť to má citaci“.

Odtud plyne první ze tří artefaktů, které je třeba mít hotové před nasazením. Nazývám ho obsahová smlouva: závazný, interně zveřejněný dokument, který popisuje, co znalostní systém prohledává, v jakém režimu, co neprohledává nikdy – a co si strany navzájem slibují. Není to bezpečnostní směrnice psaná pro auditora. Je to text, kterému musí rozumět každý zaměstnanec, protože bez toho, aby se s ním lidé ztotožnili, má systém jen techniku, ne legitimitu.

Její páteří jsou čtyři režimy viditelnosti. V prvním obsah v systému vůbec není; asistent zná jen nasměrování („faktury najdete v ERP“), ale samotná data leží mimo jeho dosah. Ve druhém je obsah přístupný jen členům konkrétního případu nebo zakázky: takovou nabídku vidí jen tým, který na ní dělá. Ve třetím platí přístup podle role a oddělení; to je běžná páteř provozu. Ve čtvrtém je obsah volně dostupný všem zaměstnancům a tvoří kanonickou vrstvu – jediný zdroj pravdy pro celofiremní pravidla, od dovolené po podpisové řády.

Do těchto režimů se pak rozřadí katalog kategorií. Mzdy, hodnocení a zdravotní omezení zaměstnanců patří do prvního režimu a v korpusu nemají co dělat vůbec. Kalkulace a marže také, protože jsou konkurenčně kritické. Organigram, telefonní seznam a pravidla home office naopak patří do čtvrtého – a jsou paradoxně tím nejužitečnějším, co asistent umí, protože odbaví většinu dotazů. Podstatné je, že zařazení není univerzální. Výrobní receptura je pro výrobce zubních kartáčků běžná technologie, ale pro farmaceutickou firmu jádro chráněného vědění a pro výrobce výbušnin věc, která do systému nepatří ani jako zmínka. Proto má smlouva průmyslové profily a v nich takzvané ratchet pravidlo: profil smí kteroukoli kategorii jen zpřísnit, nikdy uvolnit. Uvolnění pod katalogový základ může schválit jedině pověřená osoba či rada, jednotlivě, písemně a časově omezeně.

Tahle logika není nová, jen se přenáší do nového média. Je to táž mechanika jako u režimu utajovaných informací: původce při vzniku dokumentu deklaruje jeho stupeň a ten se dědí dál. Štítky citlivosti v Purview dělají v produktu totéž a dědění nejpřísnějšího štítku do odpovědi je přesně to, čemu obsahová smlouva říká odvozená klasifikace. Rozdíl je v tom, že smlouva tuhle mechaniku vynáší z konfigurační konzole ven, k lidem, a doplňuje ji o něco, co produkt sám neřeší: o pravidla, jak se chovat, když systém narazí na svou hranici.

Druhý artefakt jsou pravidla mlčení. Dobře postavený asistent má na každý dotaz tři možné výstupy, ne jeden. Buď odpoví. Nebo místo odpovědi ukáže dokumenty a nechá interpretaci na člověku. Nebo mlčí – ale mlčí nahlas, s nasměrováním, kam jít nebo jak zažádat o přístup k informaci či datům. To poslední je nejtěžší a nejdůležitější, protože jde proti tréninku modelu: jazykové modely jsou vedené k tomu, aby vždycky něco odpověděly, a schopnost říct „na tohle nevidím dost“ se musí do systému doslova vynutit.

K tomu patří dvě věci navíc. První je kalibrovaná abstence: systém odmítne syntézu tam, kde má neúplný obzor, místo aby odpověď dopočítal z toho, co zbylo. Druhá je průběžné přiznání obzoru – jakýsi banner nad každou odpovědí ve smyslu „odpovídám z pohledů obchod a technika; mimo dosah: právo a personalistika“. Uživatel pak ví, na jak velké části skládačky odpověď stojí, a nedostane hladkou větu postavenou na prázdném místě, aniž by o té prázdnotě věděl.

Jedna jemnost odlišuje dobrý systém od nebezpečného. U většiny obsahu je legitimní a užitečné odpovědět „dokument existuje, nemáte k němu přístup“. U některých kategorií je ale citlivá i samotná existence – u interního šetření nebo u chystané akvizice prozradí i holé „něco tu je“ příliš mnoho. Tam se musí tvářit stejně, ať dokument je, nebo ne; rozhoduje speciální příznak, kterým ho původce při vzniku označí.

Třetí artefakt míří jinam než na techniku – na lidi, kterých se systém týká. Tady je poučný pohled za hranice. V Německu je účast zaměstnanců na zavádění takových systémů vynutitelná. Podle § 87 odst. 1 č. 6 zákona o ústavě podniku (BetrVG) má podniková rada spolurozhodovací právo u technických zařízení, která jsou objektivně způsobilá sledovat chování a výkon zaměstnanců – a na subjektivním záměru zaměstnavatele přitom nezáleží. Spolkový pracovní soud (BAG) v rozhodnutí z 8. března 2022 (sp. zn. 1 ABR 20/21) potvrdil, že pod tuto úpravu spadá i zavedení Microsoftu 365, protože takovou způsobilost objektivně má. Právní komentáře od té doby dovozují, že u Copilota platí týž argument o to silněji: hloubkou zpracování otevírá ještě širší možnosti vyhodnocování než holé kancelářské aplikace.

Evropský akt o umělé inteligenci (nařízení 2024/1689) přidává vlastní vrstvu. Podle jeho čl. 26 odst. 7 musí zaměstnavatel, který nasazuje vysokorizikový systém AI na pracovišti, informovat zástupce zaměstnanců i dotčené zaměstnance dřív, než bude uveden do provozu. Načasování je ovšem třeba číst opatrně. Účinnost povinností pro vysokorizikové systémy z přílohy III – kam čl. 26 patří – posunul kompromisní balíček Digital Omnibus z původního srpna 2026 na 2. prosince 2027; k létu 2026 čekala změna na vyhlášení v Úředním věstníku. Povinnost tedy existuje, jen její lhůta zatím neběží. Pozor také na rozsah: dopadá jen na systémy zařazené jako vysokorizikové, což běžný znalostní asistent sám o sobě být nemusí – do té škatule ho pošle teprve užití, například k posuzování zaměstnanců. A přesně tady se kruh uzavírá. Slib, že se dotazy nebudou používat k hodnocení lidí, není jen etické gesto; je to zároveň konstrukční rozhodnutí, které systém drží mimo nejpřísnější regulační přihrádku.

Česko je proti Německu chudší. Spolurozhodovací veto nemáme; § 316 zákoníku práce ukládá zaměstnavateli přiměřenost a informační povinnost: smí kontrolovat užívání pracovních prostředků, ale nesmí bez závažného důvodu spočívajícího ve zvláštní povaze své činnosti narušovat soukromí zaměstnanců sledováním, a pokud takový důvod má, je povinen zaměstnance přímo informovat o rozsahu a způsobu kontroly. Žádné právo lidí spolurozhodovat o zavedení systému z toho ale neplyne. O to důležitější je, aby si firma psanou smlouvu se zaměstnanci uložila dobrovolně – a postavila ji na třech slibech, které dohromady tvoří rozdíl mezi nástrojem a dohledovým aparátem. Žádná tichá lež: když systém odpovídá z neúplného obzoru, řekne to. Žádné tajné prohledávání: prohledává jen to, co je v katalogu, a katalog je interně veřejný. Žádné hodnocení lidí z dotazů: to, na co se ptáte, neslouží ke skládání vašeho zaměstnaneckého profilu.

Když jsou tři artefakty hotové, teprve přichází technika – a i u ní záleží na pořadí. Nejdřív inventura přístupových práv. Firmy roky nechávají bobtnat seznamy oprávnění a členství ve skupinách; sdílené složky, na které má přístup „skoro každý“, jsou pravidlem, ne výjimkou. Dokud je přístupový model rozbitý, není radno pouštět naň asistenta, protože nepořádek nezmizí, jen se zesílí: to, co dřív musel někdo pracně najít v labyrintu složek, teď vyjede na jednu větu dotazu. Inventura je proto brána, ne formalita.

Pak search bez syntézy – nechat systém hledat a vracet dokumenty, ale ještě neskládat odpovědi. V téhle fázi se ladí, co komu vyjede, a odhalují se mezery v oprávněních dřív, než z nich vzejde certifikovaná lež. Teprve potom se zapíná brána s abstencí a úplně nakonec syntéza, a i ta jen pro nízkoriziková zařazení. Důvod je prostý a stojí za zapamatování: těžiště selhání podnikového RAG neleží v modelu, ale v autorizaci. Z antimonopolního sporu se společností Google ostatně zaznělo, že při ukotvení odpovědi (groundingu) se model opírá jen o hrstku nejlépe hodnocených dokumentů – což znamená, že o kvalitě odpovědi rozhoduje víc to, co se k modelu vůbec dostane, než jak je model chytrý. Špatně nastavená práva a špatné řazení mu přímo tvarují obzor.

Proti popsanému postupu stojí tři vážné námitky. První a nejsilnější: tohle je přeregulované, konkurence nasadí dřív a získá náskok. Vezměme ji vážně. Ano, popsaný postup je pomalejší než koupit licence a spustit. Jenže hodnotu nese už první fáze – asistent, který spolehlivě najde a ukáže správný dokument, odbaví většinu helpdeskové zátěže, a to bez jakékoli syntézy. Riziko naopak vzniká až u poslední fáze, u skládané odpovědi nad citlivým obsahem, na kterou uživatel spoléhá. Fázování tedy nezdržuje hodnotu, jen odděluje levný zisk od drahého rizika a to druhé pouští ven poslední.

Druhá námitka: lidé si stejně pomůžou ChatGPT, tak proč si komplikovat život pravidly. Jenže stínová AI – nahrávání firemních dokumentů do veřejných nástrojů mimo jakoukoli kontrolu – je argument pro řízené nasazení, ne proti němu. Když firma nenabídne bezpečnou cestu, lidé si najdou nebezpečnou. Pravidla nejsou to, co uživatele žene ven; to dělá jejich absence.

Třetí: abstence lidi otráví, nikdo nechce asistenta, který pořád mlčí. To by platilo, kdyby jedinou alternativou k odpovědi bylo ticho. Není. Mezi „odpovím s klidem“ a „mlčím“ leží celé pásmo – ukázat dokumenty, nasměrovat jinam, přiznat obzor. Poměr mezi tím, kdy systém odpovídá a kdy se drží zpět, se dá ladit jako každý jiný parametr; cílem není mlčenlivý asistent, ale asistent, který nelže.

Zvláštní na tom celém je, že problém je starý. Bezpečnostní databáze devadesátých let, stavěné na víceúrovňovém utajení, narazily na přesně tuhle otázku: co ukázat uživateli s nízkým oprávněním, aby z toho, co nevidí, neuhodl, že něco nevidí. Jejich odpovědí byla polyinstantiace a takzvané cover stories – systém nižšímu oprávnění naservíroval konzistentní falešný svět. Formalizované lhaní, zabudované do architektury.

Dnešní firmy stojí před touž volbou a většina ji řeší tím nejhorším způsobem, jaký existuje: neřeší ji, protože o ní nevědí. Asistent, který místo přiznání mezery pohotově odpoví z toho, co náhodou vidí, dělá totéž co ty staré databáze, jen bez vědomí, že lže. Smlouva o tom, co smí systém vědět a co musí přiznat, je rozdíl mezi asistentem a rizikem s příjemným hlasem. Obchodník z úvodu se nespálil na špatném modelu ani na úniku dat. Spálil se na tom, že jeho asistent neuměl říct tři slova, která umí každý slušný kolega: „na tohle nevidím“.

Metodická poznámka. Text vznikl 9. července 2026; informace jsou ověřeny k tomuto datu a situace se může měnit. Právní tvrzení jsou ověřena proti primárním zdrojům: čl. 26 odst. 7 nařízení (EU) 2024/1689 podle konsolidovaného znění a materiálů Evropské komise; účinnost povinností pro vysoce rizikové systémy z přílohy III (kam čl. 26 patří) posouvá balíček Digital Omnibus z 2. srpna 2026 na 2. prosince 2027 – k datu vzniku textu šlo o schválenou dohodu čekající na vyhlášení v Úředním věstníku, berte ji proto jako pohyblivou. Rozhodnutí Spolkového pracovního soudu z 8. března 2022, sp. zn. 1 ABR 20/21, a § 87 odst. 1 č. 6 BetrVG podle plného znění rozhodnutí; § 316 zákoníku práce (262/2006 Sb.) podle konsolidovaného znění. Dopad úrovně přístupu na kvalitu odpovědí dokládá práce J. Jeonga a S.-g. Leeho „Permission-Aware RAG“ (IEEE Access, roč. 13, 2025, s. 192819–192835, DOI 10.1109/ACCESS.2025.3628960). Mechaniku štítků citlivosti, DLP a dědění nejpřísnější klasifikace popisuje veřejná dokumentace Microsoftu (Microsoft Learn). Tvrzení, že se model při ukotvení odpovědí opírá jen o hrstku nejlépe hodnocených dokumentů, vychází z výpovědí v antimonopolním sporu se společností Google. Rozšíření argumentu o spolurozhodování na Copilota je slabší (sekundární) a je tak v textu i podáno. Termín „certifikovaná lež“ je autorský.

Transparentnost tvorby:

Koncepce, struktura a redakční linie článku jsou dílem autora, který vypracoval obsahovou skicu, stanovil klíčové teze a řídil celý proces tvorby. Generativní AI (Claude, Anthropic) byla využita jako nástroj pro rešerši, vyhledávání primárních zdrojů a formulační rozpracování autorovy obsahové skici.

Autor výstupy průběžně redigoval, ověřil klíčová zjištění a schválil finální znění. Žádná část textu nebyla publikována bez lidské kontroly. Všechny faktické údaje byly ověřeny proti veřejně dostupným zdrojům uvedeným v textu.

Postup je v souladu s požadavky čl. 50 Nařízení EU 2024/1689 (AI Act) na transparentnost AI-generovaného obsahu. #poweredByAI