„Bring Your Own AI“ ve vývoji softwaru: Dilema tokenů pro rozhodovací pracovníky v oblasti IT

Fenomén: Stínová AI na vlastní náklady

Ve vývoji softwaru je využití umělé inteligence již dávno standardem. Nástroje jako GitHub Copilot, Claude nebo ChatGPT výrazně urychlují refaktoring, hledání chyb a psaní šablonového kódu. Problémem je, že mnoho firem stále váhá s oficiálním zavedením těchto nástrojů nebo se obává licenčních nákladů.

Důsledkem je nová forma stínové IT: vývojáři tyto nástroje jednoduše používají podle vlastního uvážení a na vlastní náklady. Jelikož si tokeny hradí ze svého, vedení se často cítí v bezpečí – koneckonců společnosti nevznikají žádné náklady a software je hotový rychleji. Právní a technická rizika v pozadí jsou však obrovská.

3 největších rizik pro IT-rozhodovatele

1. Plíživý únik duševního vlastnictví (IP)

Kdo platí, ten určuje pravidla. U soukromých standardních předplatných nebo bezplatných přístupů si poskytovatelé jako OpenAI nebo Anthropic ve svých obchodních podmínkách obvykle vyhrazují právo využívat zadané podněty a data k trénování budoucích generací modelů.

Jakmile váš vývojář nahraje proprietární firemní kód, API klíče nebo algoritmy do soukromého nástroje umělé inteligence, toto duševní vlastnictví opouští vaši společnost. Váš kód se stane součástí globálního fondu znalostí o umělé inteligenci a v nejhorším případě se může objevit u konkurence jako návrh kódu.

2. Riziko související s licencemi a plagiátorstvím (efekt copyleft)

Modely umělé inteligence byly trénovány na miliardách řádků open-source kódu – často bez ohledu na restriktivní licence (např. GPL). Pokud soukromá AI vygeneruje fragment kódu, který vývojář bez kontroly začlení do vašeho komerčního produktu, riskujete závažná porušení autorských práv.

Pokud zde zasáhne tzv. efekt copyleft, může to v extrémním případě vést k tomu, že budete muset zveřejnit zdrojový kód celého svého vlastního produktu. Jelikož je účet soukromý, IT oddělení nemá k dispozici žádné auditní protokoly, aby mohlo dodatečně ověřit původ kódu.

3. Porušení předpisů a GDPR

I při vývoji se pracuje se skutečnými daty – ať už jde o logové soubory, výpisy z databází pro testovací účely nebo hlášení chyb od zákazníků. Pokud vývojář zkopíruje tato data do soukromé AI, jedná se o porušení GDPR. Mezi vaší společností a poskytovatelem umělé inteligence neexistuje pro tento soukromý účet žádná smlouva o zpracování osobních údajů (SZOU).

Realita z hlediska pracovního práva

Z hlediska pracovního práva je dobrovolné používání jasně upraveno: jelikož zaměstnavatel používání AI nenařizuje a vývojář by svou práci mohl vykonávat i bez AI, nevzniká nárok na proplacení nákladů za tokeny.

To však zaměstnavatele nezbavuje odpovědnosti vůči třetím osobám. Pokud kód vygenerovaný umělou inteligencí způsobí závažné bezpečnostní mezery nebo výpadky systému u zákazníka, nese odpovědnost společnost. Interní odpovědnost vývojáře je výrazně omezena zásadami činnosti vykonávané v rámci podniku (omezená odpovědnost zaměstnance), což vyžaduje posílení bezpečnostních směrnic pro týmy vývojářů.

Plán pro IT manažery: Ignorovat, zakázat nebo řídit?

Pro IT manažery již není možností prostě se na to dívat stranou. Musí začít aktivně jednat. K tomu existují dvě strategické cesty:

Cesta A: Přísný zákaz BYOAI

Úplně zakážete používání soukromých účtů umělé inteligence pro pracovní účely prostřednictvím služebního nařízení nebo IT směrnice.

• Výhoda: Maximální kontrola a právní jistota.
• Nevýhoda: Riskujete frustraci v týmu a zpomalíte tempo inovací. Navíc hrozí, že se používání přesune hlouběji do „podzemí“.

Cesta B: Model kontrolovaného povolení (doporučení)

Přijmete realitu, ale stanovíte jednoznačná pravidla prostřednictvím závazné směrnice pro AI. Ta by měla obsahovat následující klíčové body:

1. Přísný zákaz nahrávání: Žádný proprietární kód, žádná skutečná data zákazníků, žádné API klíče v soukromých systémech.
2. Využití pouze pro obecnou logiku: AI smí být využívána pouze jako digitální sparringpartner pro obecné programátorské otázky (např. „Jak implementuji algoritmus QuickSort v Pythonu?“).
3. Povinnost kontroly a odpovědnost: Každý kód AI musí být před zařazením do repozitáře ručně zkontrolován z hlediska chyb, bezpečnostních mezer a souladu s licencí.

Odpovědnost nese ten, kdo kód odevzdá.

Úspěšné společnosti dbají na to, aby každá změna kódu byla důsledně opatřena datem a zkratkou autora. Protože zdánlivě anonymní psaní kódu v naději, že nikdo na GitHubu nezkontroluje historii, aby našel viníka, je v roce 2026 skutečným jedem pro kvalitu kódu.

Vývojáři, kteří si tokeny hradí z vlastní kapsy, tak činí většinou z velké motivace a touhy po efektivitě. Využijte tuto energii, ale nasměrujte ji do bezpečných kolejí.

Nejudržitelnějším řešením pro IT manažery je: Nahraďte BYOAI podnikovými řešeními. Poskytněte svým týmům oficiální nástroje s firemní licencí (jako GitHub Copilot for Business nebo ChatGPT Enterprise). U těchto modelů je trénování dat ve výchozím nastavení deaktivováno, je zaručena shoda s GDPR a zdrojový kód zůstává tam, kam patří: ve vaší společnosti.

Kontrolní seznam

• Dodržujte předepsaný formát: Přesný formát komentáře ke kódu je definován pro všechny programovací jazyky (např. // AI-gen: [zkratka] [DD.MM.RRRR]).
• Dodržujte povinnost zveřejnění: Kód generovaný umělou inteligencí nesmí být záměrně zatajován; to se považuje za porušení povinnosti dokumentace a může být předmětem napomenutí.
• Převezměte konečnou odpovědnost: Odpovědnost za bezpečnost a kvalitu kódu zůstává i přes označení plně na lidském vývojáři.