Vzor pravidel pro aplikace, které si lidé staví s AI
Směrnice o používání AI řeší, co lidé píšou do chatu. Tenhle vzor řeší aplikace, které si s AI postaví: kdo smí stavět, s jakými daty, kde aplikace smí běžet a co když autor odejde.
Pro IT, bezpečnostního manažera nebo toho, kdo to ve firmě dostal na starost. Funguje s jakýmkoli nástrojem, Fabriku k němu nepotřebujete.
Aktualizováno 22. 10. 2026
Word, Google Docs i LibreOffice.
Každé se zdůvodněním.
S vyplněným příkladem.
Proč nestačí směrnice k ChatGPT?
Když si kolega s AI postaví aplikaci a začne ji používat celé oddělení, vzniká software: někde běží, drží data a někdo se o něj musí starat.
Směrnice o používání AI řeší
- které AI nástroje jsou povolené
- jaká data se smí vložit do chatu
- kdo ověří to, co AI napíše, a kdo za to odpovídá
Pravidla pro aplikace řeší navíc
- kde aplikace běží a jestli je vidět z internetu
- kdo se do ní přihlásí a kdo dává přístupy
- kde je kód, klíče a data
- kdo schvaluje změny, než jdou do provozu
- co se stane, když autor odejde
- kdy se aplikace vypíná
aplikací s citlivými daty, otevřených komukoli
RedAccess našli asi 380 000 veřejně dostupných aplikací z nástrojů jako Lovable, Replit, Base44 nebo Netlify. Kolem 5 000 drželo citlivá firemní nebo osobní data, často bez přihlášení.
Security Boulevard, 2026 ↗„Co nenajdete, to neuřídíte.“
Jak zjistit, co vám už běží?
Inventura zabere pár dní. Řekněte dopředu, že nehledáte viníky: kdo se bojí trestu, aplikaci schová.
Kde hledat
- 01
Zeptejte se lidí
Krátký dotazník nebo pět minut na poradě každého oddělení: postavili jste si s AI něco, co používá víc lidí?
- 02
Projděte platby a výdaje
Lovable, Replit, Cursor, Vercel, Netlify, Supabase nebo AI tarify na firemních kartách a ve vyúčtování výdajů.
- 03
Podívejte se na přihlašování firemními účty
Administrace Google Workspace nebo Microsoft Entra ukáže aplikace třetích stran, kterým lidé povolili přístup přes firemní účet.
- 04
Hledejte odkazy na typických doménách
lovable.app, vercel.app, netlify.app, replit.app nebo pages.dev ve sdílených dokumentech, Teams, Slacku a záložkách.
- 05
Zkontrolujte svou doménu
Subdomény ve vašem DNS a veřejné certifikáty pro vaši doménu, třeba přes crt.sh. Neznámá subdoména často znamená neznámou aplikaci.
Co si o každé aplikaci zapsat
- Aplikace a účel
- Úroveň 1–3 (viz pravidla níže)
- Vlastník, ne nutně autor
- Autor a nástroj
- Uživatelé, i mimo firmu
- Data: osobní, zákaznická, finanční
- Kde běží, na čí účet a jestli se otevře bez přihlášení
- Přihlášení: firemní účet, heslo, žádné
- Kde je kód, klíče a hesla
- Napojení: účetnictví, ERP, e-shop, e-mail
- Rozhodnutí: ponechat, upravit, převést, nebo vypnout, a do kdy
V příloze vzoru je stejná tabulka s vyplněným příkladem a otázky pro autory aplikací.
Co by pravidla měla obsahovat?
Dvanáct bodů. Vzor u každého uvádí důvod, protože pravidlo, kterému lidé nerozumí, obcházejí.
- 01
Kdo smí stavět a v čem
Každý, ale ve schválených nástrojích a přes firemní účty a tarify AI.
PročSoukromý účet firma nevidí a odejde s člověkem.
- 02
Evidence a vlastník
Každá aplikace, kterou používá víc lidí, je v evidenci a má vlastníka, který za ni odpovídá.
- 03
Tři úrovně podle rizika
Osobní pomůcka, týmová aplikace, citlivá aplikace. Čím vyšší úroveň, tím víc pravidel.
PročKdyž je všechno stejně přísné, lidé přestanou hlásit i to malé.
- 04
Jaká data smí aplikace používat
Osobní, zákaznická a finanční data jen ve schválených aplikacích. Na stavění testovací data.
PročPlatí GDPR jako u každého softwaru, včetně nahlášení úniku do 72 hodin.
- 05
Kde smí běžet a kdo ji smí zveřejnit
Jen na schválených místech a nikdy bez přihlášení. Na internet nebo lidem zvenku ji pouští jen určený člověk.
PročNejčastější problém je aplikace, kterou otevře každý, kdo zná odkaz.
- 06
Přihlášení firemním účtem
Firemní účty, přístupy podle rolí, které vlastník pravidelně kontroluje. Žádná sdílená hesla.
- 07
Klíče a hesla mimo kód
API klíče a hesla k databázím nepatří do kódu, sdílených dokumentů ani zadání pro AI.
PročKód se kopíruje a posílá do AI nástrojů, klíč s ním.
- 08
Kdo schvaluje změny
Kód ve firemním repozitáři, změny se zkoušejí mimo provoz, u citlivých aplikací je zkontroluje druhý člověk.
PročV testech Veracode měl kód od AI bezpečnostní chybu ve 45 % úloh.
Veracode, 2025 ↗ - 09
Zálohy a obnova
Vlastník s IT určí, co se zálohuje, jak často a jak rychle musí být data zpátky. Obnova se zkouší.
- 10
Co když autor odejde
Každou týmovou aplikaci zná ještě někdo další, má krátký popis a účty patří firmě.
PročJinak nikdo neví, kde aplikace běží ani jak se mění.
- 11
Jak se hlásí incident
Únik nebo cokoli podezřelého hlásit hned na jedno místo, ne to nejdřív řešit sám.
PročU osobních údajů 72 hodin, u incidentu s významným dopadem podle zákona o kybernetické bezpečnosti 24 hodin. Lhůty běží od zjištění.
Zákon 264/2025 Sb. ↗ - 12
Kdy aplikaci vypnout
Nemá vlastníka, nikdo ji nepoužívá, nesplní pravidla ani v dohodnutém termínu, nebo to chce incident. Předtím rozhodnout o datech.
Tři úrovně ve vzoru
Hranice si upravte podle sebe.
1 Osobní pomůcka
Používá ji jen autor, nedrží osobní ani důvěrná data, není dostupná z internetu.
Schválené nástroje, pravidla pro data, klíče mimo kód. Do evidence se nezapisuje.
2 Týmová aplikace
Používá ji víc lidí, nebo pracuje s firemními daty včetně běžných údajů o zaměstnancích.
Všech dvanáct pravidel. Zápis do evidence a schválení, než ji začnou používat další.
3 Citlivá aplikace
Data zákazníků, partnerů nebo finance, zvláštní kategorie osobních údajů, klíčové systémy, nebo uživatelé mimo firmu.
Jako úroveň 2, navíc kontrola každé změny druhým člověkem, domluvené zálohy a posouzení ochrany osobních údajů.
Stáhněte si vzor a upravte si ho
Doplňte [hranaté závorky]: kdo pravidla spravuje, jaké nástroje jsou schválené, kam se hlásí incident. Co se vás netýká, vyškrtněte. Než pravidla vydáte, projděte je s lidmi, kteří aplikace staví.
DOCX · cca 45 kB · aktualizováno 28. 9. 2026
Vzor, ne právní rada. Pokud spadáte pod zákon o kybernetické bezpečnosti nebo zpracováváte citlivé osobní údaje, projděte konečné znění s právníkem nebo bezpečnostním manažerem. Upravit a používat ve firmě ho můžete libovolně.
Co ve vzoru najdete
- Účel a na co se pravidla vztahují
- Role: autor, vlastník aplikace, správce pravidel
- Tři úrovně podle rizika
- Dvanáct pravidel, každé se zdůvodněním
- Výjimky a pravidelnou kontrolu
- Přílohu A: otázky pro autora aplikace
- Přílohu B: evidenci aplikací s vyplněným příkladem
Jak to jde s Fabrikou?
Na Fabrice část pravidel drží platforma sama, takže se nedají obejít ani omylem.
AI
Jede přes váš vlastní tarif. Na vašich datech se nic netrénuje.
Záznamy
Přihlášení a změny přístupů a rolí, vidíte je v konzoli.
Kde aplikace běží
Ve vlastní instalaci, v cloudovém účtu psaném na vaši firmu, obvykle na Zerops, na přání v AWS. Bez veřejných adres, jediný vstup pustí jen ověřené uživatele.
Přihlášení a role
Firemní účet přes vašeho poskytovatele identity (Entra ID, Google Workspace, Okta) s vaším vícefaktorovým ověřením. Role v aplikacích přidělujete vy.
Klíče a hesla
Drží je cloudový poskytovatel. Každá aplikace vidí jen svoje a dají se zapsat, ale nikdy přečíst zpátky.
Změny
Přes Git, test a produkce jsou oddělené a každé nasazení má záznam. Nasazení, které rozšiřuje přístup, čeká na schválení člověkem, a každou změnu navíc kontrolujeme my.
Zálohy
Nastavíme s vámi jako naši službu, platforma to sama nedělá.
Když autor odejde
Kód je v Gitu a každou změnu jsme viděli, takže další člověk naváže.
Incidenty
Chyby ze všech aplikací na jednom místě. Pomůžeme najít příčinu, opravit ji a připravit podklady k hlášení.
Co zůstává na vás
Kdo smí stavět, jaká data kam patří, kdo dostane jakou roli, kdy aplikaci vypnout, hlášení úřadům a evidence aplikací mimo Fabriku.
Kdy vám stačí jen pravidla bez Fabriky?
Často. Vzor funguje s čímkoli.
Aplikace jsou osobní pomůcky
Bez osobních údajů a bez přístupu z internetu stačí úroveň 1 a trocha osvěty.
Vaše IT umí aplikace provozovat a kontrolovat
Máte vlastní hosting, firemní přihlašování a někoho, kdo změny projde? Pak to stačí jen sepsat.
Lidé staví v nástroji, který už spravujete
Třeba v Power Apps pravidla doplní to, co nástroj sám neřeší.
Chcete stavění spíš utlumit
Poslouží inventura a pravidlo o vypínání. Zákaz ale lidi nezastaví, jen je pošle jinam.
„Zákazy nefungují o nic lépe než prohibice.“
Kdy dává smysl Fabrika
Týmových aplikací přibývá, pracují s daty zákazníků nebo s financemi a nemáte kapacitu každou zvlášť zabezpečit a hlídat.
Na co se k pravidlům ptáte
Nahrazuje to směrnici o používání AI?
Ne, doplňuje ji. Pokud ji zatím nemáte, pravidlo o datech ve vzoru pokryje to nejnutnější.
Musíme mít taková pravidla kvůli NIS2?
Pokud spadáte pod zákon o kybernetické bezpečnosti, musíte i v nižším režimu stanovit bezpečnostní požadavky pro vývoj a údržbu svých systémů (vyhláška 410/2025 Sb., § 3). Aplikace, které si lidé staví, jsou takový vývoj a tahle pravidla můžou být součástí požadavků. Jestli pod zákon spadáte, ověřte s právníkem.
Týká se to i Excelu s makry nebo Power Apps?
Ano, pokud to používá víc lidí nebo to pracuje s firemními daty. Rozhoduje, co aplikace dělá a s jakými daty, ne v čem vznikla.
Neodradí to lidi od stavění?
Když jsou pravidla odstupňovaná, tak ne: osobní pomůcky nemusí splnit skoro nic. A když lidé vědí, jak aplikaci dostat do provozu po dobrém, nemusí ji schovávat.
Kdo by měl pravidla spravovat a jak často je aktualizovat?
Ten, kdo u vás odpovídá za IT nebo kybernetickou bezpečnost, a schválit je má vedení, aby platila všude stejně. Revize jednou ročně a pokaždé, když se změní něco většího, třeba schválení nového nástroje.
Projděte si to s námi za půl hodiny.
Řekněte nám, co si u vás lidé postavili a kde vás pravidla tlačí. My řekneme, co by na Fabrice šlo držet technicky a co zůstane na papíře.