Část I Rozhodnutí: dává to smysl?
Kapitola 3: Zvládne nám software udělat kolega s AI?
Šikovný kolega s nástrojem typu Claude Code dnes za pár dní postaví funkční aplikaci. Říká se tomu vibe coding: AI v běžné řeči popíšete, co chcete, a kód napíše ona. Samotné napsání aplikace je ale menší část práce. Náročnější je zajistit bezpečnost, napojení na ostrá data a údržbu na další roky, i když autor odejde. Nejlepší využití je klikací prototyp, ze kterého se stane zadání pro profesionální vývoj.
Co AI opravdu zrychlí a co ne
Výsledky studií se liší podle typu úlohy a zkušeností vývojářů. V laboratorním experimentu s jedinou jednoduchou úlohou byli programátoři s GitHub Copilotem hotovi o 55,8 % rychleji Peng a kol., 2023. Ve třech experimentech v pracovním prostředí dokončilo 4 867 vývojářů s AI o 26 % více úloh. Větší přínos zaznamenali méně zkušení vývojáři Cui a kol., 2025.
Randomizovaná studie METR z roku 2025 ale ukázala opak u zkušených vývojářů v open-source projektech, které dobře znali: s AI byli o 19 % pomalejší, přitom sami věřili, že byli o 20 % rychlejší METR, 2025. Pocit zrychlení nemusí odpovídat skutečnosti.
DORA popisuje AI jako zesilovač: posílí silné i slabé stránky organizace DORA, 2025. Bez testů, revizí a pravidel tak může zrychlit i vznik chyb.
Schopnosti modelů a AI agentů rychle rostou. Tuto část píšeme v říjnu 2026 a za pár měsíců může vypadat jinak. Jedno ale platí dál: jakmile aplikace pracuje s citlivými daty nebo přihlašuje uživatele, má na ni dohlížet odborník.
Napsat kód je ta menší část
Významnou část nákladů za celou dobu životnosti softwaru tvoří údržba: opravy, aktualizace a úpravy. Klasická souhrnná publikace uvádí podíl 40–80 % všech nákladů Glass, 2002 (kapitola 4). Aplikace „zadarmo za víkend“ má před sebou roky práce, o kterých se zatím nemluví.
Navíc chybu v kódu od AI laik nepozná. Ani profesionálové výstupům slepě nevěří: 46 % vývojářů nedůvěřuje jejich přesnosti, o rok dřív to bylo 31 % Stack Overflow, 2025.
Stínové IT a díry v zabezpečení
Zaměstnanci si staví nástroje bez vědomí IT. Vznikají neevidované aplikace s osobními údaji, bez člověka, který by autora zastoupil, a s nejasnou odpovědností za GDPR a kybernetickou bezpečnost. Odpovědnost nese firma, ne kolega.
IBM v roce 2025 zjistil, že 97 % organizací, které měly bezpečnostní incident spojený s AI, nemělo řádně řízený přístup k AI. Pětina organizací zažila incident kvůli AI nástroji, o kterém IT nevědělo, a škoda pak byla vyšší až o 670 tis. USD, zhruba o 14 mil. Kč při kurzu 21 Kč/USD IBM, 2025.
Rychle psaným aplikacím typicky chybí řízení přístupů, spolehlivé přihlašování a záznamy o událostech. U aplikací s AI se přidává podvržení instrukcí (prompt injection), příliš velká oprávnění AI agenta a únik citlivých dat OWASP, 2025. I jediný sdílený účet s přístupem do ostré databáze může způsobit vážný problém.
AI model na vlastním hardwaru
Jazykový model nemusí běžet u poskytovatele v cloudu. Otevřený model (open-weight, se zveřejněnými vahami) může firma provozovat na vlastním serveru nebo v privátním cloudu. Dokumenty pak neopouštějí firmu a nad daty i modelem má plnou kontrolu. Potřebuje k tomu ale výkonný hardware a odborníky EDPB SPE, 2025.
Kde se hodí:
- anonymizace nebo pseudonymizace dokumentu dřív, než ho pošlete do komerční AI: místní model nahradí jména, adresy nebo čísla smluv zástupnými údaji,
- shrnutí a třídění citlivých dokumentů, třeba smluv nebo personálních spisů,
- vyhledávání a odpovědi nad interními dokumenty.
Výhody:
- data zůstávají uvnitř firmy, snáz splníte GDPR i smlouvy o mlčenlivosti,
- nezávisíte na podmínkách a cenách poskytovatele,
- při velkém objemu práce jsou náklady předvídatelnější.
Nevýhody:
- i nejlepší otevřené modely zaostávají za špičkovými komerčními o několik měsíců Epoch AI, 2026, na vlastním serveru navíc obvykle poběží menší a slabší model,
- pořízení serveru s grafickými kartami (GPU) a jeho provoz,
- aktualizace, zabezpečení a dohled jsou na vás, ne na poskytovateli,
- anonymizace modelem není stoprocentní, výsledek proto před odesláním zkontroluje člověk.
A ještě jedna past: výtvor AI podle Městského soudu v Praze není autorské dílo, autorem může být jen člověk MS Praha, 10 C 13/2023. Soud řešil obrázek, ne kód, ale čistě vygenerovaný kód nemusí být chráněný. Jak to ošetřit u dodavatele, najdete v kapitole 11.
Zelená: klidně sami
Osobní nebo jednorázový nástroj, žádná citlivá data, nic na něm nestojí.
- jednorázová analýza tabulky bez osobních údajů
- převod souborů, osobní automatizace
- jednoduchá aplikace na opakovaný úkon, která běží jen na vašem počítači a nepracuje s citlivými daty
- klikací prototyp pro upřesnění zadání
- makety obrazovek a demo pro vedení
Oranžová: jen s IT a pravidly
Nástroj pro tým nebo s napojením na firemní data, na kterém však nezávisí klíčový provoz.
- týmová evidence nebo schvalování pro pár kolegů
- reporty, které jen čtou z firemních systémů přes vlastní účet
- low-code aplikace v řízeném prostředí
- podmínky: evidence, vlastník a zástupce, zálohy, revize kódu, datum rozhodnutí „zrušit, nebo předělat pořádně“
Kdo to opraví, až kolega odejde?
Každá oranžová aplikace potřebuje zástupce autora, popis na jednu stranu (co dělá, odkud bere data, jak se spouští) a kód ve firemním repozitáři, ne na notebooku. Jinak se z užitečného nástroje může za rok stát aplikace, které nikdo nerozumí a neodváží se ji upravit.
Nejlepší použití: prototyp jako zadání
Vlastník produktu nebo analytik během pár dní postaví klikací prototyp, vyzkouší ho s kolegy a předá dodavateli. Prototyp zúží kužel nejistoty ještě před poptávkou (kapitola 1). Je to ale zadání, ne základ ostrého systému. Přidejte k němu krátký popis: kdo aplikaci používá, co v ní dělá, s jakými daty pracuje a co prototyp záměrně neřeší. Dodavatel pak nemusí hádat a vy dostanete přesnější nabídku (kapitola 6).
AI ve firmě nezakazujte plošně. Zákaz může vést k tomu, že ji zaměstnanci budou používat tajně. Povinnost AI gramotnosti platí podle AI Actu od 2. 2. 2025, od 27. 7. 2026 ji nařízení 2026/1744 zmírnilo Nařízení (EU) 2026/1744. Stačí pravidla na jednu stranu:
- povolené nástroje a nástroje, které používat nesmíte,
- co se do AI nevkládá: osobní údaje, obchodní tajemství, hesla a přístupové klíče,
- semafor: zelená sami, oranžová nahlásit IT, červená projekt,
- kde se aplikace evidují a kdo je jejich vlastník a zástupce,
- školení a kontakt na IT a bezpečnost.
| Jak to dopadá špatně | Jak to dělat dobře |
|---|---|
| Jak to dopadá špatněKolega postaví aplikaci za víkend a za měsíc na ní stojí fakturace. | Jak to dělat dobřeCo má nést provoz, jde přes IT a profesionální vývoj. Kolegova verze slouží jako prototyp. |
| Jak to dopadá špatněNikdo neví, kolik takových nástrojů ve firmě běží. | Jak to dělat dobřeSeznam aplikací s vlastníkem a zástupcem u každé. |
| Jak to dopadá špatněDo veřejného AI nástroje se vloží export zákazníků. | Jak to dělat dobřeOsobní a důvěrná data jen do schválených nástrojů, které na nich netrénují. |
| Jak to dopadá špatněAplikace přistupuje do ostré databáze pod jedním sdíleným účtem. | Jak to dělat dobřeJen čtení, oddělený účet, oprávnění podle role, záznam přístupů. |
| Jak to dopadá špatně„Mně to funguje“ jako jediný test. | Jak to dělat dobřeRevize kódu zkušeným vývojářem a test na anonymizovaných datech. |
| Jak to dopadá špatněAI se ve firmě zakáže. | Jak to dělat dobřeAI se povolí s pravidly a školením. |
- Úřady často spadají pod zákon č. 264/2025 Sb. o kybernetické bezpečnosti. Neevidovaná aplikace nad daty úřadu pak představuje i problém při plnění požadavků na řízení aktiv, přístupů a dodavatelů.
- Osobní údaje občanů do veřejných AI nástrojů nevkládejte. Posuďte, kde poskytovatel data zpracovává a jestli na nich trénuje.
- AI, která rozhoduje o přístupu k veřejným službám a dávkám, patří podle AI Actu mezi vysoce rizikové systémy. Povinnosti pro ně platí od 2. 12. 2027 Nařízení (EU) 2026/1744.
- Vlastního vývojáře si úřad udrží těžko. Ve veřejné správě, vzdělávání a zdravotnictví pracuje jen 6 % ICT specialistů a průměrná mzda v platové sféře je 58 tis. Kč proti 102 tis. Kč ve mzdové ČSÚ, 2026. „Kolega, který to naprogramoval“ je tu ještě větší riziko.
- Prototyp z interní dílny je dobrý podklad pro předběžnou tržní konzultaci podle § 33 ZZVZ.