AI sa do firiem zavádza rýchlo. Cez projekty, dodávateľov, interné iniciatívy aj nové funkcie v existujúcich systémoch. Podľa správy Cisco State of AI Security 2026 plánovalo 83 % organizácií nasadiť agentic AI, no len 29 % sa cítilo pripravených používať ju bezpečne. Rozdiel medzi adopciou a pripravenosťou nie je len technický problém. Je to najmä otázka vlastníctva rizika.

Vezmime bežný prípad. AI nástroj je vo firme schválený, nasadený a používa sa každý deň. Funguje. Potom príde výstup, ktorý nemal odísť – nesprávny údaj v podklade pre rozhodnutie, odpoveď, ktorá išla zákazníkovi, alebo dáta, ktoré sa dostali tam, kde nemali byť.

Nasleduje porada. IT povie, že systém nasadilo podľa zadania. Biznis povie, že ho len používa. Dodávateľ povie, že dodal nástroj a ten urobil, čo mal. Compliance ukáže smernicu. Každá strana splnila svoju časť. A pri otázke, kto vlastní následok, nemá odpoveď nikto.

Problém nie je v tom, že by tímy neurobili svoju prácu. Problém je v tom, že rozhodovací model nemal vlastníka rizika. Pri schvaľovaní sa neurčilo, kto bude vlastniť riziko používania v reálnej prevádzke – a kým systém fungoval, nikomu to nechýbalo.

Schválenie nie je prevzatie rizika

Otázka „môžeme tento nástroj používať?“ a otázka „kto zodpovedá za riziko, ktoré jeho používaním vzniká?“ nie sú to isté. Vo firmách sa pravidelne zamieňajú. Schválenie nástroja sa berie ako uzavretie témy. Lenže schválenie nie je to isté ako prevzatie rizika.

AI sa pritom do firmy nedostáva jedným rozhodnutím, ktoré by malo majiteľa. Dostáva sa ako projekt. A projekt má sponzora, rozpočet, dodávateľa, termín aj prevádzku. Má všetko okrem jednej položky, ktorú do zadania nikto nenapíše: vlastníctvo zostatkového rizika po nasadení.

Vedenie schválilo nasadenie. To je rozhodnutie o tom, či a za koľko. Nie je to rozhodnutie o tom, kto nesie následok, keď systém v prevádzke urobí niečo, čo sa nepredpokladalo. Tieto dve veci si v zasadačke ľahko splynú do jednej a oddelia sa až vtedy, keď je už neskoro sa pýtať.

AI Governance nezačína smernicou. Začína vlastníctvom rizika

Governance sa často spustí dokumentom – internou smernicou, zoznamom povolených nástrojov, školením. To všetko má význam, ale samo o sebe nestačí. Ak firma nevie povedať, kto vlastní riziko konkrétneho AI použitia, governance je slabá bez ohľadu na to, ako dobre vyzerá dokumentácia.

Nie je to nová téma. Otázka, kto vlastní aktívum, kto schvaľuje výnimku a kto má právomoc prijať riziko, stojí v jadre každého poriadneho riadenia. Píšem o nej pri RACI matici aj pri decision logu. Rozdiel je v tempe.

Podľa správy IBM Cost of a Data Breach 2025 nemalo 63 % skúmaných organizácií po incidente zavedené AI governance politiky a len 37 % malo schvaľovacie procesy alebo dohľadové mechanizmy pre AI governance. V mnohých prípadoch to znamená, že firmy AI riziko fakticky prijímajú skôr, než ho jasne pomenujú ako manažérske rozhodnutie. A presne v tom prázdnom mieste medzi „smieme to používať“ a „niekto za to zodpovedá“ vzniká aj shadow AI.

Rozhodovací rámec namiesto ďalšieho dokumentu

Rozdiel medzi slabou a dobrou AI governance nie je v tom, či firma má pravidlá. Je v tom, či vie pri každom významnom použití AI jednoznačne určiť vlastníka pre každú vrstvu zodpovednosti:

• vlastníka konkrétneho použitia a procesu, v ktorom AI pôsobí,
• vlastníka dát, ktoré do systému vstupujú a vystupujú,
• vlastníka rizika, ak výstup spôsobí problém voči zákazníkovi, regulátorovi alebo partnerovi,
• toho, kto schvaľuje výnimky a kto má právomoc systém obmedziť alebo zastaviť,
• toho, kto akceptuje zostatkové riziko a reportuje problém vedeniu.

Riziko môže mať viac vstupov. Nemôže mať nejasného vlastníka. Ak všetci prispievajú, ale nikto nerozhoduje, riziko sa neriadi – len sa o ňom pravidelne diskutuje. Práve preto „spoločné vlastníctvo“ v praxi zlyháva: znie rozumne, ale nemá posledné slovo.

Čo má pred schválením zaznieť na úrovni vedenia

Vedenie nemusí poznať technické detaily nástroja. Musí vedieť, aké riziko firma prijíma a kto ho vlastní. Stačí pár otázok – a fungujú na akýkoľvek kritický systém, nielen na AI:

• Keď systém vydá zlý výstup, kto zaň zodpovedá – konkrétne meno, nie oddelenie
• Kto má právomoc povedať „toto zastavujeme“ bez súhlasu troch ďalších útvarov
• Aký výstup zo systému odchádza k zákazníkovi, partnerovi alebo do interného rozhodnutia – a kto kontroluje jeho kvalitu
• Kto akceptuje zostatkové riziko a ako sa overuje, že sa AI používa podľa pravidiel

Ak odpovede zostanú na úrovni „to rieši IT“, „to je vec biznisu“ alebo „to máme u dodávateľa“, model vlastníctva rizika nie je dostatočný.

Záver

Princíp nie je viazaný na AI. Rovnaká chyba sa opakuje pri bezpečnostných nástrojoch, dodávateľských systémoch aj kritických aplikáciách. Nástroj sa kúpi, projekt sa dodá, prevádzka sa rozbehne, a po čase nie je jasné, kto má právo systém zastaviť. AI tento problém len zrýchľuje, lebo sa šíri rýchlejšie a vstupuje priamo do rozhodovania.

Prevádzku možno delegovať. Dodávku možno kúpiť. Dokumentáciu možno pripraviť externe. Zodpovednosť za riziko zostáva vo firme vždy.

Riziko, ktoré nemá vlastníka, sa v praxi neriadi. Iba sa o ňom rozpráva.

A vlastníka je lepšie určiť skôr, než ho firma začne hľadať až po prvom vážnom probléme.