Jak si firma může změřit vlastní vyspělost v používání AI?

Co tato karta je a co není

Tato karta je dobrovolné interní sebehodnocení. Firma si ji vyplní sama, nejlépe společně s osobou odpovědnou za AI rozhodnutí a se zástupcem týmu, kde se AI nástroje reálně používají v provozu. Není to měřené srovnávací šetření, není to porovnání s jinými firmami v oboru a není to skóre proti žádnému zákonnému požadavku. Popisuje, co v organizaci existuje a je dohledatelné (dokument, jméno, záznam), ne dojem, jak by věci podle vedení měly vypadat. CIAD nemá vlastní srovnávací data o tom, kolik firem je na které úrovni, a žádná taková čísla v textu nenajdete.

Karta pokrývá sedm oblastí, které rozhodují o rozdílu mezi firmou, která AI řídí, a firmou, která jen používá nástroje, jak přijdou. Nejde o vyčerpávající seznam. Jde o sedm bodů, kde se pozná rozdíl mezi tím, co si firma myslí, že dělá, a tím, co se dá doložit dokumentem, jménem nebo záznamem.

Matice vyspělosti: sedm oblastí, čtyři úrovně důkazu

U každého řádku vyberte úroveň podle toho, co byste dokázali ukázat, kdyby se někdo zeptal, ne podle toho, co si o firmě myslíte. Úroveň 1 znamená, že důkaz neexistuje. Úroveň 4 znamená, že existuje, je aktuální a je dohledatelný zpětně, ne jen k datu vyplnění karty.

Oblast	Úroveň 1	Úroveň 2	Úroveň 3	Úroveň 4	Naše úroveň a doklad
Vlastnictví AI rozhodnutí	Rozhoduje, kdo nástroj použije jako první; nikdo to nemá v náplni práce.	Lidé se ptají osoby, kterou k tomu neformálně uznávají; pravomoc není zapsaná nikde.	Vlastník je jmenovaný písemně (role, směrnice, zápis z vedení) a lidé ho umí pojmenovat.	Vlastník má psaný postup schvalování nových nástrojů a jeho rozhodnutí jsou dohledatelná v záznamu.
Pravidla pro data v AI službách	Žádný psaný pokyn; každý sám rozhoduje, jaká data do AI vloží.	Doporučení koluje ústně nebo v e-mailu, není na jednom dohledatelném místě.	Psané pravidlo existuje a klíčové role o něm prokazatelně vědí.	Pravidlo má datum poslední revize, je dostupné odkudkoli a je povinnou částí zapracování.
Registr používaných systémů	Přesný seznam používaných AI nástrojů neexistuje, zjišťuje se dotazem.	Neformální seznam existuje, ale je neúplný nebo zjevně zastaralý.	Registr má vlastníka a je průběžně aktualizovaný, i když ne po každé jednotlivé změně.	Nový nástroj se do registru zapíše dřív, než se začne používat v provozu.
Kontrola výstupů úměrná důsledkům	Výstup AI se použije tak, jak přišel, bez systematické kontroly.	Kontrola je nahodilá, závisí na tom, kdo výstup zrovna používá.	Výstup s vyššími důsledky má jmenovaného kontrolora podle psaného pravidla.	Míra kontroly je odstupňovaná podle důsledku a lze zpětně dohledat, kdo konkrétní výstup schválil.
Měřený výchozí stav procesu	U žádného procesu neexistuje záznam stavu před nasazením AI.	Výchozí stav se odhaduje z paměti, není zapsaný v žádném dokumentu.	U alespoň jednoho procesu existuje zapsaný, datovaný výchozí stav pořízený před AI.	Výchozí stav je zapsaný u více procesů a firma ho použila ke srovnání po zavedení, ne jen k zdůvodnění nákupu.
Dosah školení k lidem v provozu	Školení proběhlo, pokud vůbec, jen pro vedení, ne pro lidi, kteří AI v provozu používají.	Školení je nabízené, ale dobrovolné a účast se nikde neeviduje.	Existuje záznam účasti, spárovatelný s tím, kdo AI reálně používá v práci.	Školení je standardní součást zapracování nové role, která AI používá, a záznam o tom je aktuální.
Správa výdajů a licencí	Nikdo nemá přehled nákladů; předplatná si zakládají jednotlivci sami na firemní kartu.	Přehled nákladů existuje, ale vzniká nárazově a část neformálních předplatných v něm chybí.	Vlastník rozpočtu zná aktuální seznam placených nástrojů a počet přístupů.	Seznam licencí je spárovaný s registrem používaných systémů a nevyužité licence se pravidelně ruší.

Zápis pro každý řádek: „U oblasti ______ jsme na úrovni ______, dokladem je ______ (dokument, jméno, záznam). Nejnižší úroveň napříč všemi řádky je u oblasti ______.“

Jak tabulku číst: nejslabší řádek určuje další krok

Součet nebo průměr napříč sedmi řádky by byl zavádějící. Firma může mít vlastníka AI rozhodnutí i registr na úrovni 4, a přitom kontrolu výstupů na úrovni 1, protože nikdo systematicky nekontroluje, co AI vrací ven. Průměr by takovou firmu ukázal jako vyspělou. Skutečné riziko přitom sedí přesně v tom jednom nezkontrolovaném řádku a průměr ho schová.

Čtení karty je proto opačné, než napovídá intuice: co si firma může bezpečně dovolit dál, určuje nejnižší úroveň napříč řádky, ne nejvyšší. Pokud je kontrola výstupů na úrovni 1, nezáleží na tom, jak vyspělý je registr nebo jak dobře funguje zapracování; firma pořád nemá způsob, jak zachytit chybný výstup dřív, než způsobí škodu. Správný další krok proto není rovnoměrně zvednout všech sedm řádků o jeden stupeň. Je to najít nejnižší řádek a soustředit se na něj, dokud nedosáhne aspoň úrovně zbytku karty. Teprve pak má smysl posouvat kartu jako celek dál.

Pokud nejnižší řádek karty ukazuje na chybějící řízení celého zavádění AI, ne jen jeden dílčí krok, souvisí to s otázkou, jak vůbec zavedení AI ve firmě postavit, ne jen s jedním opatřením navíc.

Co matice neříká o AI Actu ani GDPR

Úroveň v této kartě není důkazem souladu s žádným právním předpisem. Karta vznikla jako interní pracovní pomůcka CIAD, ne jako výklad zákona, a mezi jednotlivými úrovněmi a jakoukoli právní povinností neexistuje vztah jedna k jedné.

Týká se to i článku 4 aktu o umělé inteligenci. Po změně nařízením (EU) 2026/1744 ukládá článek 4 přijmout opatření na podporu rozvoje AI gramotnosti lidí, kteří s AI pracují. Neukládá zaručit konkrétní úroveň u jednotlivce, nepředepisuje formát ani délku školení a nevyžaduje certifikát. Firma na úrovni 4 v řádku o dosahu školení proto nemá automaticky splněnou žádnou konkrétní právní povinnost; má jen doložitelný záznam, že zapracování skutečně proběhlo u lidí, kteří AI používají.

Totéž platí pro řádek o datech v AI službách. Psané pravidlo, jak firma nakládá s daty vloženými do AI nástrojů, je krok k lepšímu řízení; nepotvrzuje, že konkrétní zpracování osobních údajů je podle GDPR v pořádku. Otázky zákonnosti zpracování, role správce a zpracovatele nebo doby uchování patří právníkovi nebo pověřenci pro ochranu osobních údajů firmy. Pravidla nakládání s daty zároveň souvisí s tím, jak zabezpečit AI ve firmě technicky, což je samostatná otázka vedle právního posouzení.

Adopce AI v Česku: kontext, ne měřítko

Český statistický úřad eviduje, kolik firem AI vůbec začalo používat, ne na jaké úrovni řízení jsou. Podle šetření ČSÚ o využívání informačních a komunikačních technologií v podnikatelském sektoru z roku 2025 používalo AI 18 % českých podniků s deseti a více zaměstnanci, což je pod průměrem EU27 (20 %); u podniků nad 250 zaměstnanců to bylo 54 %. Toto číslo popisuje adopci, tedy jestli firma AI vůbec nasadila. Nepopisuje vyspělost řízení podle sedmi oblastí výše. Firma může patřit mezi těch 18 %, nebo mimo ně, a přesto mít v řádcích této karty nízkou i vysokou úroveň; mezi adopcí a řízením žádný prokázaný vztah není.

Otázka, kolik firma na AI vynakládá a kolik licencí skutečně platí, souvisí spíš s tím, kolik stojí nasazení AI ve firmě, než s mírou adopce v celém odvětví.

Stav zdrojů a omezení

Tato karta je autorský nástroj CIAD pro strukturované sebehodnocení, ne převzatá certifikace ani odvozenina existující normy. Inspiraci pro rozdělení na řízení, mapování a měření nabízí struktura NIST AI RMF (funkce Govern, Map, Measure, Manage), ale sedm oblastí a čtyři úrovně důkazu v tabulce výše jsou redakční práce CIAD, ne citace rámce; NIST navíc svůj Playbook sám označuje za dobrovolné návrhy, ne za kontrolní seznam k naplnění. Aktuální znění článku 4 aktu o umělé inteligenci a stanovisko Evropské komise k AI gramotnosti byly zkontrolovány 6. 8. 2026 a text z nich přebírá jen to, co skutečně říkají o povinnosti opatření, ne o zaručené úrovni jednotlivce. Údaj Českého statistického úřadu o využívání AI v podnicích popisuje adopci nástrojů, ne vyspělost jejich řízení, a karta ho neuvádí jako srovnávací měřítko pro žádný řádek tabulky. V textu nejsou žádná procenta firem na jednotlivých úrovních této karty, žádný odvozený průměr oboru ani příklad konkrétního klienta; taková čísla CIAD nemá a nevymýšlí je. Zařazení konkrétní firmy na jednotlivé úrovně, výběr, který řádek řešit jako první, a právní posouzení dopadů zůstávají na vedení firmy a jejím poradci.