„Pošli to do ChatGPT“ se stalo běžnou pracovní radou. U projektové dokumentace ale může jít o tisíce stran technických informací, osobní údaje, obchodní tajemství, bezpečnostní řešení budovy nebo data, která firma smluvně nesmí předat třetí straně.

Proto je špatná otázka:

„Je ChatGPT bezpečný?“

Lepší otázka zní:

„Je tato konkrétní služba, v tomto tarifu, s tímto nastavením a pro tato konkrétní data v souladu s našimi povinnostmi?“

Tento článek dává praktický rámec pro rozhodnutí. Není právním stanoviskem.

Nejdřív rozlišujte consumer a business produkt

Jedna značka může nabízet několik produktů s rozdílnými podmínkami.

Například OpenAI uvádí, že u služeb jako ChatGPT Business, Enterprise, Edu a API standardně nepoužívá firemní vstupy a výstupy k trénování modelů. Anthropic obdobně uvádí, že obsah komerčních produktů jako Claude for Work a API standardně nepoužívá k trénování, pokud zákazník explicitně neoptuje do příslušného programu nebo neposkytne feedback za podmínek služby.

To je důležitá informace.

Ale není to kompletní bezpečnostní posouzení.

„Nepoužíváme data k trénování“ neznamená „data nikde nejsou“

Při rozhodování je třeba oddělit minimálně:

  1. použití pro trénování modelu,
  2. provozní zpracování služby,
  3. retention a logy,
  4. lidský přístup při podpoře/bezpečnostních incidentech,
  5. subprocesory,
  6. geografii zpracování,
  7. firemní administraci,
  8. připojené externí zdroje.

Například API může mít provozní logy i v situaci, kdy se obsah nepoužívá k trénování.

Proto musí bezpečnostní rozhodnutí vycházet z dokumentace konkrétní služby a smlouvy.

1. Klasifikujte dokument dřív, než ho nahrajete

Ne každé PDF má stejnou citlivost.

Zaveďte jednoduché kategorie.

PUBLIC

Informace už veřejně dostupná.

Příklad:

  • veřejné zadání,
  • publikovaná studie,
  • produktová dokumentace výrobce.

INTERNAL

Interní informace s nízkým rizikem.

Příklad:

  • interní checklist,
  • anonymizovaná pracovní metodika.

CONFIDENTIAL

Projektová dokumentace, smluvní data, ceny, kontakty, neveřejné informace.

RESTRICTED

Data s vysokým dopadem při úniku, například:

  • bezpečnostní dokumentace,
  • kritická infrastruktura,
  • přístupové systémy,
  • citlivé osobní údaje,
  • informace chráněné zvláštními podmínkami.

Pro každou kategorii definujte, jaké nástroje ji smí zpracovat.

2. Zkontrolujte smlouvu s klientem

Technicky bezpečný cloud nemusí být smluvně povolený.

Hledejte ustanovení o:

  • důvěrnosti,
  • subdodavatelích,
  • cloudových službách,
  • místě zpracování dat,
  • povinnosti předchozího souhlasu,
  • bezpečnostních opatřeních,
  • autorských právech,
  • nakládání s dokumentací.

Pokud smlouva zakazuje předání třetí straně bez souhlasu, argument „AI provider data netrénuje“ problém neřeší.

3. Kdo je poskytovatel a jaký produkt používáte

Zaznamenejte:

  • název služby,
  • konkrétní plán,
  • zda jde o webovou aplikaci nebo API,
  • smluvní režim,
  • správce účtu,
  • datum posledního posouzení.

Nedělejte politiku typu:

„Claude je povolený.“

Správnější je:

„Claude for Work Enterprise za podmínek firemního tenant prostředí je povolený pro kategorii INTERNAL a CONFIDENTIAL podle interních pravidel X.“

To je auditovatelné.

4. Training policy

Ověřte oficiální dokumentaci.

U OpenAI Business/Enterprise/API a Anthropic komerčních služeb jsou k dispozici explicitní informace o nepoužívání firemních dat k trénování ve výchozím nastavení.

Ale pozor na:

  • feedback tlačítka,
  • dobrovolné opt-in programy,
  • odlišné podmínky consumer účtů,
  • budoucí změny podmínek.

Politiku kontrolujte pravidelně, ne jednou při zavedení.

5. Retention

Ptejte se:

  • jak dlouho se data ukládají,
  • lze retention změnit,
  • existuje Zero Data Retention pro daný produkt/API endpoint,
  • co se děje po smazání chatu,
  • co zůstává v abuse/security logs.

Nezaměňujte „smazal jsem chat z UI“ se smluvně definovanou retencí backendových dat.

6. Přístup uvnitř vaší firmy

Někdy je největší riziko na vaší straně.

Firemní AI workspace by měl mít:

  • centrálně řízené účty,
  • MFA nebo SSO,
  • řízené odchody zaměstnanců,
  • role,
  • zákaz sdílených osobních účtů,
  • kontrolu veřejných share linků,
  • školení uživatelů.

Není dobré, když deset projektantů používá jeden sdílený účet s jedním heslem.

7. Minimalizace dat

Nejjednodušší bezpečnostní opatření je neposílat, co nepotřebujete.

Chcete zkontrolovat formulaci technické zprávy?

Možná nepotřebujete posílat:

  • jméno investora,
  • adresy osob,
  • ceny,
  • razítka,
  • podpisy,
  • kompletní výkresovou část.

Vytvořte předzpracování:

originální dokument
       ↓
anonymizace / výběr relevantní části
       ↓
AI processing
       ↓
výsledek
       ↓
lidská kontrola

To snižuje následky případného incidentu.

8. Pozor na metadata

PDF nemusí obsahovat jen to, co vidíte na stránce.

Může nést:

  • metadata autora,
  • komentáře,
  • skryté vrstvy,
  • přílohy,
  • historii exportu,
  • další objekty.

Pokud potřebujete minimalizovaný dokument, nestačí jen vizuálně začernit text bez správné redakce dat.

9. AI konektory a cloudové disky

Připojení SharePointu, Google Drive nebo jiného CDE je pohodlné. Současně zásadně zvětšuje rozsah možného přístupu.

Před aktivací řešte:

  • scope oprávnění,
  • které workspace se indexují,
  • dědění oprávnění,
  • odpojení uživatele,
  • logování přístupů,
  • citlivé složky, které mají zůstat mimo AI.

Princip minimálních oprávnění platí i pro AI.

10. Co bych ve firmě zakázal jako první

Bez dalšího posouzení bych nepovoloval:

  • nahrávání klientské dokumentace na náhodné free AI weby,
  • kopírování bezpečnostně citlivých výkresů do osobních consumer účtů,
  • používání browser extension s širokým přístupem k dokumentům bez schválení,
  • vkládání přístupových údajů, API klíčů a hesel do promptů,
  • automatické odesílání kompletního CDE obsahu neověřenému agentovi.

Doporučená interní AI policy na jednu stránku

Firma nepotřebuje jako první 80stránkovou směrnici.

Začněte tabulkou:

Kategorie dat Consumer AI Firemní AI workspace Schválené API
Public ano ano ano
Internal omezeně ano ano
Confidential ne dle schválení dle schválení
Restricted ne individuálně individuálně

Pod tím uveďte:

  • seznam schválených služeb,
  • kontakt na odpovědnou osobu,
  • zakázaná data,
  • proces výjimky,
  • datum revize politiky.

Checklist před nahráním projektu

  • [ ] Vím, jakou kategorii citlivosti dokument má.
  • [ ] Smlouva umožňuje použití zvoleného poskytovatele nebo je použití schváleno.
  • [ ] Používám schválený firemní účet, ne osobní účet.
  • [ ] Ověřil jsem aktuální data policy konkrétního produktu.
  • [ ] Znám retention režim.
  • [ ] Vím, kdo má k workspace administrátorský přístup.
  • [ ] Posílám jen data nutná pro úlohu.
  • [ ] Odstranil jsem nepotřebné osobní/citlivé informace.
  • [ ] Výstup AI bude odborně zkontrolován.
  • [ ] Výsledek ukládám zpět do řízeného firemního systému.

ChatGPT vs. Claude z pohledu bezpečnosti

Není rozumné vyhlásit jednoho univerzálního „vítěze“.

Oba významní poskytovatelé mají komerční nabídky s enterprise/business datovými závazky. Rozhodnutí proto dělejte podle:

  • konkrétní smlouvy,
  • tarifu,
  • retention,
  • požadovaných certifikací,
  • identity managementu,
  • data residency požadavků,
  • connectorů,
  • vašeho risk assessmentu.

Jiný produkt může být správný pro malou projekční kancelář a jiný pro správce kritické infrastruktury.

AIprojektant verdikt

AI lze s projektovou dokumentací používat profesionálně, ale bezpečnost není checkbox „provider netrénuje na datech“.

Potřebujete současně řešit:

smlouvu + klasifikaci dat + produktový plán + retention + přístup + minimalizaci + audit.

Jakmile tento základ vznikne, přestane být firemní AI politika zákazem všeho a stane se návodem, jak nástroje používat bezpečně.

Zdroje

Upozornění: Podmínky cloudových služeb se mění. Před nasazením vždy ověřte aktuální dokumentaci poskytovatele a vlastní právní, smluvní a bezpečnostní požadavky.