Jak zjistit, jaké AI nástroje se u nás už používají bez vědomí vedení?

Kde hledat první stopu: síťový perímetr a proxy logy

Firemní proxy server nebo brána (např. FortiGate, Palo Alto, Cisco Umbrella) eviduje každé HTTP/S spojení. Filtrováním domén známých AI poskytovatelů · chat.openai.com, claude.ai, gemini.google.com, perplexity.ai, poe.com, you.com · získáte seznam zařízení a uživatelů, kteří k nim přistupovali. V českých podmínkách se často objevují i lokální instance jako lokalni-llm.cz nebo firemní pokusy s Ollama na pracovních stanicích. Stačí exportovat logy za 30 dnů, agregovat podle uživatele a domény a seřadit dle objemu přenesených dat. V auditech CIAD se ukazuje, že i malé firmy bez SIEMu dokážou toto provést v Excelu za hodinu.

Finanční stopa: platební karty a faktury za SaaS

Mnoho AI nástrojů běží na předplatném, které zaměstnanci platí z firemních karet nebo si nechají uhradit z náhrad. Export transakcí z bankovnictví (KB, ČSOB, Raiffeisen, Fio) a filtrování podle MCC kódů 5734, 7372 nebo klíčových slov „OpenAI“, „Anthropic“, „Midjourney“, „Jasper“, „Copy.ai“ odhalí placené licence, o kterých IT neví. Často se jedná o týdenní nebo měsíční poplatky za API klíče, které vývojáři testují na vlastních projektech. Pro lepší přehled doporučuji párovat transakce s dodavateli v účetnictví a kontrolovat, zda existuje smlouva nebo objednávkový list.

Identitní vrstva: SSO a IdP logy

Pokud organizace používá jednotné přihlašování (Entra ID, Okta, OneLogin, Google Workspace), podívejte se na aplikace, ke kterým uživatelé udělili souhlas (consent) přes OAuth. V Entra ID najdete v Enterprise applications → All applications seznam třetích stran s právy číst profil, poštu nebo Drive. Filtrem na „Publisher verified: No“ nebo klíčová slova „AI“, „GPT“, „LLM“ rychle vyfiltrujete rizikové integrace. Typický případ: marketingový tým připojil Make (dřív Integromat) k firemnímu Google Drive pro automatizaci popisů produktů přes GPT-4, aniž by o tom vědělo bezpečnostní tým.

Co dotazník neodhalí a proč nestačí sám

Anonymní dotazník vrátí pouze to, co lidé chtějí sdělit a co znají. Často chybí kontext: zaměstnanec nepovažuje Grammarly nebo Bing Chat za „AI nástroj“, používá firemní účet v Canva s Magic Write, nebo spouští lokální model přes LM Studio „jen pro test“. Dotazník tak doplňuje technická data, nenahrazuje je. Ideální je kombinace: technický audit dává tvrzená data, dotazník pak vysvětluje proč (nedostatek schválených alternativ, tlak na termíny, nedůvěra v interní nástroje).

Praktický postup za jeden den

1. Stáhněte proxy logy za 30 dnů, vyfiltrujte TOP 50 AI domén, agregujte podle uživatele.
2. Exportujte výpisy firemních karet za 90 dnů, prohledejte klíčová slova AI dodavatelů.
3. V Entra ID / Google Admin vyexportujte seznam OAuth aplikací s právy čtení dat, označte neznámé.
4. Spojte výsledky do tabulky: uživatel · nástroj · zdroj detekce (proxy/karta/SSO) · objem/frekvence.
5. Prioritizujte rizika: nástroje s přístupem k datům (OAuth, API klíče) řešte první, veřejné chatboty druhý.

Co to znamená: Bez technických dat z proxy, plateb a identity neuvidíte skutečný rozsah shadow AI. Dotazník je jen doplněk pro pochopení motivací, nikoliv primární zdroj pro inventarizaci.