Vaši dodavatelé posílají zákaznická data do AI, o které nevíte. Výzkum odhalil mezery v 64 % smluv

Podepsali jste smlouvu o zpracování dat a myslíte si, že víte, která AI vaše data vidí. Nový výzkum ukazuje, že u dvou třetin dodavatelů tomu tak není — a vaši zákazníci o tom nevědí vůbec.

Představte si tento scénář: vaše firma nakoupí AI nástroj pro nábor zaměstnanců. Podepíšete smlouvu o zpracování dat, v níž stojí, že nástroj používá model Claude od Anthropic. Váš IT tým prověří bezpečnostní profil Anthropiku, vše vypadá v pořádku. Jenže za zády vám tentýž nástroj tiše posílá data ještě do OpenAI a Google Gemini — modelů, které jste nikdy neschválili, nikdy neprověřili a možná o nich vůbec nevíte.

Tohle není sci-fi. Podle nové zprávy Privacy and AI Trends Report 2026, kterou zveřejnila bezpečnostní firma DataGrail, jde o běžnou realitu dnešního podnikatelského světa. Výzkumníci prošli 2 400 populárních softwarových dodavatelů a zjistili, že 63,6 % z těch, kteří aktivně inzerují AI funkce, vůbec nezveřejňuje seznam třetích stran — AI subprocesorů — ve svých právních dokumentech.

Smlouva, které se nedá věřit

DPA — Data Processing Agreement, česky smlouva o zpracování osobních údajů — byla dosud základním kamenem, na němž firmy stavěly svůj přístup k ochraně dat. Právní týmy ji pečlivě četly, IT security ji hodnotilo, compliance oddělení ji schvalovalo. Výzkum DataGrail ukazuje, že tato jistota je dnes z velké části iluzorní.

"Všichni software vendoři se snaží stát AI vendory, což dává smysl, jenže technologie se pohybují rychleji, než AI governance stíhá," řekl Daniel Barber, spoluzakladatel a CEO DataGrail, pro VentureBeat. "DPA by měla být spolehlivý dokument, který týmy používají k hodnocení AI rizik. Na základě našich čísel to v roce 2026 nestačí."

Metodologie výzkumu byla přísná. Analytici DataGrail nekontrolovali pouze DPA dokumenty — křížově porovnávali produktovou dokumentaci, GitHub repozitáře, API připojení a marketingové materiály každého z 2 400 dodavatelů. Výsledek byl alarmující: dodavatelé v DPA uvádí jeden AI model, ale skutečné propojení na backendu zahrnuje další nástroje, o nichž se ve smlouvě ani nezmíní.

Co se děje s citlivými daty vašich zákazníků

Problém by byl vážný i sám o sobě. Jenže zpráva přináší ještě jeden znepokojivý nález: 32,8 % AI systémů, které vůbec zveřejňují informace o AI funkcích, zároveň přiznává, že se podílejí na alespoň jedné vysoce rizikové aktivitě. Konkrétně:

47,1 % zpracovává osobní data zákazníků 20,7 % pohání automatizované rozhodování (hiring, úvěrové hodnocení, marketing) 16,5 % pracuje s citlivými kategoriemi dat — zdravotními nebo finančními informacemi 7,5 % zpracovává biometrická data

A to jsou pouze ta přiznaná čísla. Skutečný rozsah je pravděpodobně výrazně vyšší, protože většina dodavatelů ani neví, jak jejich zákazníci AI nástroje ve skutečnosti využívají. Nástroj navržený jako analytický pomocník se snadno promění v systém pro automatizované rozhodování — a nikdo to nehlídá.

Pokud existuje jedno slovo, které charakterizuje ochranu dat v roce 2026, je to 'více': více regulace, více rizika, více tlaku. Jediná věc, které není více, jsou privacy profesionálové, kteří by to zvládali.

Finanční a regulatorní dopad není abstraktní

Firma IBM ve své Zprávě o nákladech úniku dat z roku 2025 spočítala, že organizace s vysokou mírou shadow AI zaznamenávají průměrné náklady úniku dat ve výši 4,63 milionu dolarů — o 670 000 dolarů více než firmy, kde shadow AI nepřevládá. To je prémie za nevědomost, kterou platíte ze svého.

V roce 2025 americké státy uložily pokuty za porušení ochrany soukromí v celkové výši 3,425 miliardy dolarů — více než za předchozích pět let dohromady. Analytická firma Gartner varuje, že tento trend bude do roku 2028 dál akcelerovat. Přitom 42 % firem v loňském roce zastavilo AI iniciativy právě kvůli obavám z ochrany dat. Riziko tedy není jen pokuta — je to zpomalení vašeho vlastního rozvoje.

Pro česká a evropská sídla platí ještě přísnější rámec GDPR. Pokud váš CRM nebo HR systém posílá osobní data zákazníků či zaměstnanců do AI modelu, který není uveden v DPA, jste potenciálně v přímém porušení nařízení — bez ohledu na to, zda o tom víte, nebo ne. Neznalost zákona neomlouvá, a nevědomost o architektuře dodavatele taky ne.

Co s tím můžete dělat dnes

Výzkumníci DataGrail nabízejí konkrétní kroky. Klíčový posun je v metodě prověřování dodavatelů — nestačí číst DPA jako jediný zdroj pravdy. Je třeba hledat AI subprocesory v produktové dokumentaci, changelog souborech, API dokumentaci a na GitHubu. Pokud dodavatel nedokáže vysvětlit, které AI modely a kdy data zpracovávají, je to červená vlajka.

Zkontrolujte DPA všech klíčových softwarových dodavatelů — hledejte explicitní seznam AI subprocesorů Doplňte standardní DPA o AI rider — dodatek specificky pokrývající AI zpracování dat Prověřte API připojení svých nástrojů — jaké třetí strany reálně voláte Nastavte interní politiku 'AI schválení': každý nový AI subprocesor musí projít bezpečnostní revizí Pro nástroje pracující s citlivými kategoriemi dat (HR, zdraví, finance) vyžadujte roční aktualizaci DPA

Problém shadow AI není jen technický — je to problém důvěry. Vaši zákazníci vám svěřili svá data s předpokladem, že víte, kde se pohybují. Pokud to nevíte vy, nezná to nikdo. A právě na tomto místě se z abstraktního rizika stává velmi konkrétní odpovědnost.

Dobrá zpráva: firmy, které se tímto problémem začnou aktivně zabývat, získají nejen lepší právní ochranu, ale také konkurenční výhodu. V době, kdy důvěra v zacházení s daty je stále důležitějším faktorem při výběru dodavatele, se transparentní AI governance může stát argumentem pro nové zákazníky, ne jen povinností pro právní oddělení.