Potřebuje bezpečný AI nástroj certifikaci ISO 27001?

Certifikace ISO 27001 je silný signál, že dodavatel má zavedený systém řízení bezpečnosti informací, ale její absence automaticky neznamená nebezpečný nástroj - řada menších a mladších dodavatelů ji zatím nemá, přestože bezpečnost řeší poctivě. Důležitější je, jestli dodavatel umí konkrétně doložit odpovědi na otázky o datech, šifrování a smlouvách, ne jen certifikát na zdi.

Je open source AI bezpečnější než komerční řešení?

Ani jedno není automaticky bezpečnější. Open source model si můžete provozovat sami a mít plnou kontrolu nad daty, ale zodpovědnost za správné nastavení, aktualizace a šifrování leží na vás. Komerční řešení tuto práci přebírá dodavatel, ale vy jste závislí na tom, jak poctivě odpovídá na otázky o svém zázemí. Rozhoduje spíš to, kdo má provoz pod kontrolou a jak transparentní je vůči vám, ne licenční model sám o sobě.

Jak si malá firma nebo obec může sama prověřit AI dodavatele bez IT oddělení?

Stačí projít checklist deseti otázek z tohoto článku a trvat na písemných odpovědích, ne ústních příslibech. Nepotřebujete bezpečnostního experta - potřebujete dodavatele, který má odpovědi připravené v dokumentech (DPA, popis hostingu, seznam subdodavatelů) a je ochotný je poslat před podpisem smlouvy, ne až po něm.

Co je zpracovatelská smlouva (DPA) a proč ji AI dodavatel musí nabídnout?

DPA je smlouva podle GDPR, která upravuje, jak dodavatel zpracovává osobní údaje vaším jménem - co s daty smí dělat, jak dlouho je uchovává a jaké má povinnosti při úniku. Pokud AI nástroj pracuje s údaji vašich zákazníků nebo občanů, je tato smlouva ze zákona povinná, ne volitelný dodatek.

Jak poznám, že dodavatel AI nástroje na bezpečnosti šetří?

Typický vzorec je vyhýbavost u konkrétních otázek (kde leží data, kdo jsou subdodavatelé), chybějící písemné dokumenty a snaha přesměrovat rozhovor zpátky na cenu a funkce. Poctivý dodavatel se otázkám na bezpečnost nebrání - má je zodpovězené předem, protože stejné otázky mu klade většina zákazníků.

Blog

Jak vybrat bezpečný AI nástroj: checklist pro firmy i úřady

Bezpečnost a GDPR8 min čtení2. října 2026

Miroslav Douda · Zakladatel Dotazio

Bezpečný AI nástroj poznáte podle toho, jak dodavatel odpoví na deset konkrétních otázek - kde fyzicky leží data, zda nabízí podepsatelnou zpracovatelskou smlouvu, jak data šifruje a kdo všechno k nim má přístup přes subdodavatele. Kdo odpovídá vyhýbavě nebo jen obecnými frázemi o bezpečnosti, obvykle šetří i jinde. V článku najdete přesné otázky, jak číst odpovědi a checklist, který si vytisknete a projdete s libovolným dodavatelem AI - klidně i s námi u Dotazia.

Zadání „vybrat bezpečný AI nástroj“ zní jednoduše, dokud nesedíte proti dodavateli, který má na webu napsáno „bezpečné“, „GDPR ready“ a „hosting v cloudu“. Žádné z těch slov samo o sobě nic nezaručuje. Bezpečnost se pozná podle konkrétních odpovědí na konkrétní otázky - a podle toho, jestli je dodavatel ochoten je napsat do smlouvy, ne jen říct po telefonu.

Tento checklist vychází z otázek, které by měl slyšet každý AI dodavatel - klidně i my u Dotazia. Funguje stejně pro obecní úřad, který vybírá chatbota na web, i pro firmu, co zvažuje AI nástroj pro zákaznickou podporu.

Bezpečný AI nástroj: kde běží jeho data?

První otázka je nejjednodušší a nejčastěji se na ni zapomíná: ve které zemi fyzicky stojí servery, kam nástroj ukládá vaše dokumenty a konverzace? „V cloudu“ není odpověď - cloud je jen slovo pro cizí server. Ptejte se přímo na region (EU, USA, jinde) a chtějte to potvrzené písemně, ne ústně od obchodníka.

Pro obce a veřejné instituce v ČR je hosting dat mimo Evropskou unii často problém sám o sobě, bez ohledu na to, jak kvalitní je zbytek nástroje. U citlivějších agend (osobní údaje občanů, zdravotní nebo sociální informace) se bez jasné odpovědi na tuto otázku dál neposouvejte.

Má dodavatel podepsatelnou zpracovatelskou smlouvu (DPA)?

Zpracovatelská smlouva (DPA, z anglického Data Processing Agreement) je dokument, který podle GDPR musí existovat vždy, když dodavatel zpracovává osobní údaje vaším jménem. Není to formalita navíc - je to základní podmínka, aby AI nástroj mohl legálně pracovat s daty vašich zákazníků nebo občanů.

Červená vlajka: dodavatel DPA nemá připravenou, nebo ji nabízí až po podpisu hlavní smlouvy „pokud budete trvat“. Seriózní dodavatel má vzorovou DPA veřejně dostupnou a je zvyklý ji upravovat podle vašich požadavků.

Chcete vidět, jak vypadá zpracovatelská smlouva, kterou můžete rovnou podepsat? Nahlédněte do naší DPA - je to stejný dokument, jaký doporučujeme chtít od každého AI dodavatele. Zobrazit DPA Dotazio

Jak nástroj šifruje data a kdo k nim má přístup?

Ptejte se odděleně na šifrování za provozu (data mezi vaším prohlížečem a serverem dodavatele) a šifrování v klidu (data uložená na disku). Obojí by mělo být samozřejmostí u každého nástroje z roku 2026 - pokud dodavatel neumí odpovědět rozdíl mezi těmito dvěma pojmy, je to varovný signál sám o sobě.

Druhá půlka otázky je důležitější než šifrování samotné: kdo konkrétně z týmu dodavatele má přístup k vašim datům, za jakých podmínek a jestli je přístup logovaný. Šifrování vás neochrání před zaměstnancem, který si otevře databázi bez záznamu.

Jak dlouho dodavatel data uchovává a kdy je smaže?

Retenční politika by měla být napsaná černé na bílém: jak dlouho zůstávají konverzace, dokumenty a zálohy po ukončení smlouvy. Bez jasné odpovědi riskujete, že vaše data leží na cizím serveru měsíce nebo roky poté, co jste přestali nástroj používat.

Chtějte i potvrzení, že smazání proběhne skutečně, včetně záloh - ne jen v produkční databázi, zatímco kopie zůstávají jinde. U menších dodavatelů se ptejte přímo, do kolika dnů od žádosti data smažou.

Kdo jsou subdodavatelé - a kam data doopravdy putují?

Málokterý AI nástroj staví úplně všechno sám. Typicky používá cizí jazykový model, cizí cloudové úložiště, možná i cizí platební bránu. Due diligence u AI dodavatele znamená zjistit celý tento řetězec, ne jen firmu, se kterou podepisujete smlouvu.

Ptejte se na seznam subdodavatelů (často se jmenuje „sub-processors list“) a na to, jestli mají vlastní DPA vůči hlavnímu dodavateli. Pokud dodavatel tvrdí, že žádné subdodavatele nemá, ověřte si to - u AI nástrojů je to spíš výjimka než pravidlo.

Co se stane při výpadku a jak funguje podpora?

Bezpečnost není jen o únicích dat, ale i o dostupnosti. Zeptejte se, jak dodavatel informuje o výpadcích, jaká je jeho garantovaná dostupnost a jak rychle reaguje podpora, když se něco pokazí ve všední den v devět ráno - ne v ideálním testovacím scénáři z prezentace.

U bezpečnostního incidentu (například podezření na únik dat) navíc GDPR ukládá lhůty na hlášení. Ověřte si, že dodavatel má proces, jak vás o takové situaci informuje, a do jaké doby.

Otázka na dodavatele	Co hledat v odpovědi	Červená vlajka
Kde fyzicky leží data?	Konkrétní region, písemné potvrzení	Vyhýbavá odpověď „v cloudu“
Existuje podepsatelná DPA?	Vzorová smlouva dostupná předem	DPA „doděláme po podpisu“
Jak šifruje data za provozu?	Šifrovaný přenos mezi prohlížečem a serverem	Neumí popsat, jak přenos chrání
Jak šifruje data v klidu?	Šifrování uložených dat na disku	Nerozumí rozdílu oproti šifrování za provozu
Kdo má přístup k datům?	Omezený, logovaný přístup	Přístup „má kdokoli z týmu“
Jak dlouho se data uchovávají?	Jasná retenční lhůta napsaná ve smlouvě	Žádná napsaná retenční politika
Smaže data i ze záloh na požádání?	Potvrzené smazání vč. záloh, do kolika dnů	Mlčí o zálohách nebo termínu smazání
Kdo jsou subdodavatelé?	Veřejný seznam sub-processorů	Tvrzení, že žádné nemá
Jaká je garantovaná dostupnost?	Číslo v procentech, SLA	Jen slovní příslib „skoro nikdy nepadá“
Jak rychle hlásí bezpečnostní incident?	Popsaný proces a lhůta hlášení	Nemá definovaný postup při úniku dat

„Když dodavatel na otázku o datech odpoví jednou větou z marketingu místo konkrétního čísla nebo dokumentu, ptejte se dál. Dobrý dodavatel vám odpověď rád doloží - špatný ji obchází.“

Tým Dotazio

Jak číst odpovědi dodavatele: pozitivní signály a červené vlajky

Při výběru AI dodavatele nejde jen o to, co odpoví, ale i jak. Rychlá, konkrétní odpověď s odkazem na dokument je dobré znamení. Odpověď typu „to řešíme individuálně“ nebo přesměrování na obchodníka místo technického kontaktu bývá signál, že interní procesy chybí.

Dobré znamení: dodavatel má veřejně dostupné právní dokumenty (DPA, podmínky) ještě před podpisem.
Dobré znamení: umí přesně říct, ve kterém regionu leží data, a proč tam.
Červená vlajka: odpovědi typu „to je standardní bezpečnostní praxe“ bez detailu.
Červená vlajka: dodavatel nechce sdílet seznam subdodavatelů ani na vyžádání.
Červená vlajka: cena je jediná věc, o které se s vámi baví ochotně a rychle.

Bezpečnostní checklist k vytištění

Vezměte si tabulku výše, vytiskněte ji a projděte bod po bodu na příští schůzce s dodavatelem. Pokud vám na víc než dvě otázky odpoví vyhýbavě, hledejte dál - u dat vaší firmy nebo obce se nevyplácí dávat přednost pohodlí před jistotou.

Časté dotazy

Potřebuje bezpečný AI nástroj certifikaci ISO 27001?: Certifikace ISO 27001 je silný signál, že dodavatel má zavedený systém řízení bezpečnosti informací, ale její absence automaticky neznamená nebezpečný nástroj - řada menších a mladších dodavatelů ji zatím nemá, přestože bezpečnost řeší poctivě. Důležitější je, jestli dodavatel umí konkrétně doložit odpovědi na otázky o datech, šifrování a smlouvách, ne jen certifikát na zdi.
Je open source AI bezpečnější než komerční řešení?: Ani jedno není automaticky bezpečnější. Open source model si můžete provozovat sami a mít plnou kontrolu nad daty, ale zodpovědnost za správné nastavení, aktualizace a šifrování leží na vás. Komerční řešení tuto práci přebírá dodavatel, ale vy jste závislí na tom, jak poctivě odpovídá na otázky o svém zázemí. Rozhoduje spíš to, kdo má provoz pod kontrolou a jak transparentní je vůči vám, ne licenční model sám o sobě.
Jak si malá firma nebo obec může sama prověřit AI dodavatele bez IT oddělení?: Stačí projít checklist deseti otázek z tohoto článku a trvat na písemných odpovědích, ne ústních příslibech. Nepotřebujete bezpečnostního experta - potřebujete dodavatele, který má odpovědi připravené v dokumentech (DPA, popis hostingu, seznam subdodavatelů) a je ochotný je poslat před podpisem smlouvy, ne až po něm.
Co je zpracovatelská smlouva (DPA) a proč ji AI dodavatel musí nabídnout?: DPA je smlouva podle GDPR, která upravuje, jak dodavatel zpracovává osobní údaje vaším jménem - co s daty smí dělat, jak dlouho je uchovává a jaké má povinnosti při úniku. Pokud AI nástroj pracuje s údaji vašich zákazníků nebo občanů, je tato smlouva ze zákona povinná, ne volitelný dodatek.
Jak poznám, že dodavatel AI nástroje na bezpečnosti šetří?: Typický vzorec je vyhýbavost u konkrétních otázek (kde leží data, kdo jsou subdodavatelé), chybějící písemné dokumenty a snaha přesměrovat rozhovor zpátky na cenu a funkce. Poctivý dodavatel se otázkám na bezpečnost nebrání - má je zodpovězené předem, protože stejné otázky mu klade většina zákazníků.