Vaši dodavatelé tajně posílají data zákazníků do AI modelů, o kterých nevíte

Studie analyzovala 2 400 softwarových dodavatelů a zjistila, že 63,6 % z nich tajně posílá firemní data do AI modelů třetích stran bez vědomí zákazníků. Stínové AI stojí firmy miliony navíc na bezpečnostních incidentech.

Používáte ve firmě software s AI funkcemi? Pak je dost možné, že data vašich zákazníků právě teď putují do modelů umělé inteligence, o jejichž existenci nemáte ani tušení. Nová studie americké společnosti DataGrail analyzovala 2 400 populárních firemních softwarových nástrojů a zjistila, že téměř dvě třetiny dodavatelů, kteří propagují AI funkce, vůbec neuvádějí, jaké AI modely třetích stran jejich data zpracovávají.

Smlouva říká jedno, realita druhé

Klíčové zjištění studie Privacy and AI Trends Report 2026 je alarmující: 63,6 % dodavatelů, kteří výrazně propagují své AI schopnosti, neuvádí v právní dokumentaci žádného externího AI subdodavatele. To znamená, že většina firem kupujících software s AI funkcemi nevědomky vystavuje data svých zákazníků modelům a datovým potrubím, která nikdy neprověřila, neschválila a o jejichž existenci možná ani neví.

Výzkumný tým DataGrail přitom nečetl jen smlouvy. Porovnával informace z dohod o zpracování dat (DPA) s produktovou dokumentací, prostředími na GitHubu, API napojeními i marketingovými materiály každého z 2 400 dodavatelů. Výsledek? Dodavatel ve smlouvě uvede třeba jen Claude od Anthropicu, ale v produktové dokumentaci už tiše využívá i OpenAI a Gemini — modely, které si zákazník nikdy neověřil.

Všichni dodavatelé softwaru se snaží stát AI dodavateli, což dává smysl. Ale technologie se vyvíjejí rychleji, než governance stíhá reagovat. DPA by měl být spolehlivý dokument pro hodnocení AI rizik, ale v roce 2026 už to nestačí. — Daniel Barber, spoluzakladatel a CEO DataGrail

Stínové AI stojí firmy miliony navíc

Problém není jen teoretický. Podle zprávy IBM Cost of Data Breach Report firmy s vysokou mírou takzvaného stínového AI (shadow AI) čelí průměrným nákladům na bezpečnostní incident ve výši 4,63 milionu dolarů — o 670 tisíc dolarů více než firmy bez tohoto problému. A regulátoři přitvrzují: jen v amerických státech bylo v roce 2025 uděleno 3,425 miliardy dolarů na pokutách za porušení ochrany osobních údajů — více než za předchozích pět let dohromady.

Představte si typický scénář: firma investuje do AI nástroje na nábor zaměstnanců. Ve smlouvě je uvedeno, že nástroj používá Claude jako základní model. Firma pečlivě provede bezpečnostní audit Anthropicu. Jenže náborový nástroj v pozadí tiše využívá také OpenAI a Gemini — modely, které firma nikdy neprověřila. Tyto neodhalené modely pak zpracovávají tisíce životopisů a provádějí automatizovaná rozhodnutí o náboru. Firma tak nevědomky vystavila citlivé osobní informace — adresy, finanční údaje, možná i rodná čísla — systémům, které nikdy neověřila.

Třetina AI systémů zpracovává citlivá data

Situaci dále zhoršuje další zjištění studie: 32,8 % AI systémů, které přiznávají AI schopnosti, současně přiznává i nejméně jednu další vysoce rizikovou aktivitu, jako je zpracování citlivých osobních údajů nebo automatizované rozhodování. Konkrétně:

• 47,1 % zpracovává osobní údaje
• 20,7 % má potenciál provádět automatizované rozhodování
• 16,5 % zpracovává citlivé kategorie dat (zdravotní, finanční)
• 7,5 % zpracovává biometrická data

A to jsou jen čísla z toho, co dodavatelé sami přiznali. Skutečná expozice je téměř jistě vyšší, protože dodavatelé mohou podhodnocovat přístup k osobním datům a flexibilita AI znamená, že ani dodavatelé v dobré víře nemusejí předvídat rizikovější způsoby použití svých nástrojů.

Co to znamená pro české podnikatele

Studie sice vychází z amerických dat, ale problém je globální. České firmy podléhají GDPR, které klade na zpracování osobních údajů ještě přísnější požadavky než americká legislativa. Pokud váš dodavatel softwaru tajně posílá data do AI modelů třetích stran, může to znamenat porušení zásad GDPR o transparentnosti, zákonnosti zpracování i přenosu dat do třetích zemí.

Studie také ukázala, že 42 % firem v roce 2025 opustilo AI iniciativy, přičemž obavy o ochranu dat byly hlavním důvodem. To je obrovské plýtvání. Firmy, které zapojí právní a compliance tým už na začátku AI projektů, mohou tomuto plýtvání předejít.

Prakticky to znamená několik konkrétních kroků, které byste měli udělat hned:

• Prověřte DPA svých dodavatelů — porovnejte je s tím, co dodavatel skutečně nabízí v produktové dokumentaci a marketingu. Pokud propagují AI funkce, ale DPA o AI mlčí, máte problém.
• Zeptejte se přímo — vyžadujte od dodavatelů seznam všech AI subdodavatelů a modelů, které zpracovávají vaše data. Nenechte se odbýt obecnými odpověďmi.
• Aktualizujte risk assessment — přidejte AI subdodavatele jako samostatnou kategorii do svého hodnocení rizik třetích stran.
• Zapojte DPO od začátku — pověřenec pro ochranu osobních údajů by měl být u stolu při každém rozhodnutí o nasazení AI nástroje, ne až když vznikne problém.

Éra, kdy stačilo podepsat DPA a důvěřovat dodavateli, definitivně skončila. V roce 2026 je odpovědnost za to, kam putují data vašich zákazníků, stále na vás — bez ohledu na to, kolik prostředníků je po cestě.