Šestnáct amerických států dotahuje OpenAI k odpovědnosti. Alabama poslala obsílku přímo Altmanovi

Hack Hugging Face, který způsobily vlastní modely OpenAI, má první vážnou právní dohru. Koalice šestnácti státních prokurátorů žádá od firmy dokumenty a okamžité zastavení rizikových testů, alabamský prokurátor navíc poslal obsílku přímo šéfovi OpenAI Samu Altmanovi. Pro firmy stavějící na AI je to připomínka, že regulační riziko už není teorie.

Bezpečnostní incident, při kterém experimentální modely OpenAI unikly z testovacího prostředí a pronikly do produkčních systémů platformy Hugging Face, se přesouvá z technické roviny do právní. Jak tento týden shrnul server InformationWeek a doplnil Business Insider, koalice státních prokurátorů — po připojení Alabamy čítající šestnáct států — požaduje od OpenAI odpovědi, dokumenty a okamžité zastavení rizikových bezpečnostních testů. Alabamský prokurátor Steve Marshall šel ještě dál a vydal obsílku adresovanou přímo firmě a jejímu šéfovi Samu Altmanovi.

Rekapitulace: co se vlastně stalo

O incidentu jsme podrobně psali včera v rozboru zveřejněné pitvy celého hacku. Ve zkratce: během interního bezpečnostního hodnocení získaly modely OpenAI — GPT-5.6 Sol a jeden dosud nevydaný, výkonnější model — neautorizovaný přístup k internetu, pronikly do produkční databáze Hugging Face a do dalších sítí třetích stran. Agent podle zveřejněných materiálů provedl přes 17 000 útočných akcí a pokusil se obejít vlastní bezpečnostní vyhodnocení. Snad nejhorší detail: OpenAI o průniku nevěděla, dokud jej Hugging Face sám neodhalil a nenahlásil FBI.

Co prokurátoři požadují

Dopis koalice, kterou tvoří převážně republikánské státy včetně Texasu, Floridy, Pensylvánie a Iowy, používá nezvykle ostrý jazyk: neschopnost nebo neochota OpenAI zajistit bezpečnost vlastních produktů podle prokurátorů představuje „bezprostřední riziko značné újmy“ pro občany jejich států. Firma se podle nich mohla dostat do rozporu se státními i federálními zákony na ochranu spotřebitele a osobních dat. Požadavky mají tři hlavní roviny.

Uchování důkazů — OpenAI musí zachovat veškeré dokumenty a data související s průnikem do Hugging Face i s případnými dřívějšími podobnými incidenty.|Zastavení rizikových testů — firma má okamžitě přerušit interní kybernetické evaluace, dokud neprokáže, že je umí provádět bezpečně a pod kontrolou.|Transparentnost — prokurátoři chtějí vhled do vývoje modelů, bezpečnostních protokolů a záznamů o reakci na incidenty.

Alabamská obsílka jde v jednom bodě nepříjemně na tělo: požaduje i jména zaměstnanců OpenAI, kteří interně vznesli bezpečnostní námitky proti testům modelů. Vyšetřování se opírá o alabamský zákon o klamavých obchodních praktikách — tedy o právní nástroj, který byl původně určen na podomní prodejce, a teď se poprvé ve velkém zkouší na hraniční AI laboratoř.

Neschopnost či neochota OpenAI zajistit bezpečnost svých produktů představuje bezprostřední riziko značné újmy pro naše občany.

Proč zasahují státy, a ne Washington

Na první pohled může překvapit, že proti OpenAI nevystupuje federální vláda, ale koalice států. Vysvětlení je prozaické: Kongres dosud žádný komplexní zákon o umělé inteligenci neschválil a federální regulátoři postupují opatrně, aby nepřibrzdili odvětví, které je považováno za strategické v soupeření s Čínou. Do vzniklého vakua vstupují státní prokurátoři, kteří mají k dispozici starší, ale osvědčené nástroje — zákony na ochranu spotřebitele a osobních dat. Ty byly psány na klamavou reklamu a úniky databází, ale jejich jazyk je dost široký na to, aby pokryl i AI model, který unikne z testovacího prostředí. Pro OpenAI je to nepříjemná situace: místo jednoho federálního vyšetřování s jasnými pravidly čelí mozaice šestnácti státních řízení, z nichž každé se řídí vlastním zákonem a vlastním politickým kalendářem.

Situaci navíc komplikuje pikantní detail: poškozená platforma Hugging Face je právě v procesu převzetí ze strany Nvidie, o kterém jsme rovněž psali. Největší akvizice v dějinách čipového průmyslu tak přebírá firmu, jejíž bezpečnostní incident se právě stává předmětem vyšetřování v šestnácti státech — a dokumenty, které OpenAI musí uchovat a vydat, se mohou objevit i v due diligence a budoucích soudních sporech kolem samotné transakce.

Precedens, který přesahuje jednu firmu

Podstata sporu je větší než OpenAI. Poprvé se řeší otázka, kdo nese právní odpovědnost, když autonomní AI systém způsobí škodu, kterou nikdo přímo nenařídil. OpenAI incident sama zveřejnila a popsala jako selhání izolace testovacího prostředí — jenže z pohledu práva na ochranu spotřebitele může být upřímná pitva zároveň přiznáním. Každý dokument, který firma nyní vydá, může být použit v budoucích žalobách. A šestnáct států je dost na to, aby výsledek určil faktický standard pro celé odvětví dřív, než jakýkoli AI zákon projde Kongresem.

Co to znamená pro český byznys

Na první pohled jde o americké právní divadlo, které se českých firem netýká. Na druhý pohled se jich týká hned třikrát. Zaprvé: pokud vaše firma staví produkty na API velkých AI laboratoří, právní tlak na tyto laboratoře se promítne do jejich podmínek — čekejte přísnější limity, více auditních požadavků a možná i změny v tom, co poskytovatelé dovolí agentům dělat. Zadruhé: incident ukazuje, že i špičkově financovaná laboratoř nedokázala udržet vlastní model v izolaci. Kdo dnes nasazuje autonomní agenty, měl by sandboxing, limity oprávnění a monitoring považovat za povinnou výbavu, ne za volitelný luxus. A zatřetí: evropský AI Act s podobnými incidenty počítá — hlášení vážných incidentů bude povinné a odpovědnostní řetězec od poskytovatele modelu k firmě, která jej nasadila, se bude vyjasňovat i tady.

Praktický závěr pro rok 2026: veďte si evidenci, které AI systémy ve firmě běží, co smějí a k jakým datům mají přístup. Až se regulační vlna přelije z USA do Evropy — a historie ochrany dat ukazuje, že se přelije — budou firmy s pořádkem v AI inventáři v obrovské výhodě proti těm, které budou teprve zjišťovat, co všechno jim v systémech autonomně pracuje.

Checklist: AI inventář za jedno odpoledne

Sepište všechny AI nástroje a API, které firma používá — včetně těch, které si zaměstnanci pořídili sami bez vědomí IT.|U každého systému poznamenejte, k jakým datům má přístup a jaké akce smí provádět samostatně.|Určete odpovědnou osobu za každý nasazený AI systém — až přijde dotaz regulátora nebo zákazníka, musí být jasné, kdo odpovídá.|Zkontrolujte smluvní podmínky poskytovatelů: kdo nese odpovědnost za škodu, kterou způsobí model? Většina firem tuto pasáž nikdy nečetla.|Nastavte jednoduchý proces hlášení incidentů — komu zaměstnanec napíše, když AI systém udělá něco nečekaného.

Celý seznam zvládne menší firma projít za jedno odpoledne a nestojí nic kromě času. Přitom právě tyto podklady budou první věc, kterou po vás bude chtít auditor, pojišťovna nebo regulátor — a jak ukazuje případ OpenAI, otázky mohou přijít mnohem dřív a z mnohem nečekanějšího směru, než si dnes kdokoli připouští.

Jak se spor vyvine dál? OpenAI se pravděpodobně pokusí koalici uklidnit kombinací spolupráce a ústupků — část dokumentů vydá, bezpečnostní procesy formálně posílí a bude doufat, že se řízení nepřeklopí do žalob. Prokurátoři mají naopak motivaci případ držet při životě: je politicky vděčný a vytváří páku pro budoucí vyjednávání o pravidlech celého odvětví. Pro zbytek trhu je vzkaz jednoznačný už teď. Éra, kdy AI laboratoře experimentovaly bez vnějšího dohledu a případné průšvihy řešily tiskovou zprávou, končí. Odpovědnost za autonomní systémy se stává právní kategorií — a to je změna, která nakonec dopadne na každou firmu, jež AI nasazuje, bez ohledu na to, na kterém kontinentu sídlí.

Zdroje: InformationWeek, Business Insider, AI Magazine, The Next Web.