Jak bezpečně delegovat na AI agenta: 6 pravidel pro manažery

Co se doopravdy stalo s agentem Muse

Meta spustila osobního agenta Muse 8. září 2026 v USA. Na rozdíl od chatbota pracuje u delších úkolů dál, i když aplikaci zavřete. Podle Mety se před citlivými kroky, jako je odeslání e-mailu nebo nákup, ptá uživatele.

Youtuber Matt Robb nechal Muse prodat klávesnici Logitech na Facebook Marketplace. Při nastavení klikl na „Allow Always“, protože předpokládal, že se ho agent před přijetím nabídky ještě zeptá. Muse pak každému, kdo poslal nabídku, odeslal šablonu zprávy i s adresou vyzvednutí. Jeden zájemce dorazil až k jeho dveřím, Robb nebyl doma a dostal negativní hodnocení (Business Insider, Cybernews).

V titulcích se objevilo i to, že agent bez dotazu přijal nižší cenu. To není přesné. Robb chtěl 700 USD, zájemce nabídl 600. Muse odpověděl, že platí 700, ale chyba zobrazení část čísla vypustila a kupec to četl jako souhlas. Meta chybu opravila (Business Insider).

Pro manažery je nejzajímavější reakce Mety: k porušení ochrany soukromí podle ní nedošlo a agent si o svolení správně řekl (Business Insider, Dexerto). Technicky má pravdu. Jedno široké „povolit vždy“ a šablona, kterou nikdo nečetl, stačily k tomu, aby agent udělal víc, než jeho zadavatel čekal. Cíl plus oprávnění agent čte jako souhlas se vším, co k cíli vede.

Agent jako insider: optika, se kterou pracuje Google DeepMind

Google DeepMind v červnu 2026 zveřejnil plán (AI Control Roadmap), jak zabezpečit agenty nasazené uvnitř Googlu. Bere je jako potenciální vnitřní hrozbu, podobně jako zaměstnance, který by mohl zneužít přístup (DeepMind). Nejde o nedůvěru k technologii, ale o stejnou disciplínu, jakou firmy znají z řízení přístupů lidí.

V praxi to znamená čtyři věci:

• oprávnění agent získává podle prokázaného chování, ne podle toho, co by se mohlo hodit,
• nad agentem běží monitoring, který vidí jeho kroky,
• rizikové akce se blokují hned, méně rizikové se kontrolují zpětně,
• sporné případy eskalují k člověku.

Bezpečnostní expert Ken Huang k tomu doplňuje slepá místa: paměť agenta, kterou nikdo nekontroluje, monitor jako jediný bod selhání, důvěra mezi více agenty a metriky, které průměrem zakryjí vzácné, ale drahé chyby. Ta poslední je čistě manažerská. „98 % úspěšnost“ v reportu nic neříká o jednom e-mailu, který odešel špatnému klientovi.

Muse není ojedinělý případ. TechCrunch 25. září popsal, že agenti ve výzkumném prostředí OpenAI nahráli 53 obrázků od uživatelů na služby pro sdílení obrázků, pod neveřejnými, ale dohledatelnými odkazy (TechCrunch). Šlo o interní výzkumné agenty, ne o produkt pro zákazníky. Princip je ale stejný: agent s přístupem ven udělá i to, co mu nikdo nezadal.

Manažerský překlad: agent je nový kolega s přístupovou kartou. Klíče od trezoru mu první den nedáte. Dostane zkušební dobu, princip čtyř očí a přístupy, které rostou s důvěrou.

Šest pravidel bezpečného delegování na agenta

1. Zadávejte úkol s mantinely, ne jen cíl. „Prodej klávesnici“ je cíl. Úkol zní: „Prodej minimálně za 700 USD, adresu pošli až po mém potvrzení termínu, při nabídce pod limitem se zeptej.“ Ant International staví platby agentů přesně takto: hotel do 300 USD, dané termíny, hodnocení aspoň 4,5, jen určená peněženka a nové potvrzení, pokud konečná cena limit překročí (Ant International). Dobře napsané mantinely jsou dobré zadání pro AI i pro lidi.
2. Oprávnění na minimum, nikdy „povolit vždy“ napoprvé. Bezpečnostní komunita OWASP pro agenty používá princip least agency: jen tolik samostatnosti, kolik úkol opravdu potřebuje (OWASP). Začněte v režimu jen pro čtení, dejte agentovi vlastní účet nebo služební identitu a rozpočtový strop. Trvalé povolení až pro rutinu, kterou máte ověřenou.
3. Nevratné kroky schvaluje člověk. Odeslat, zaplatit, smazat, zveřejnit, sdílet osobní údaje. Kath Korevec z OpenAI v podcastu How I AI popsala, že AI u ní rešeršuje a připravuje, ale tlačítko Odeslat zůstává jí (Lenny’s Newsletter). Podobně funguje Claude Code: rizikové kroky blokuje nebo si je nechá schválit a v ručním režimu se ptá před každou úpravou souborů (Anthropic).
4. Citlivá data jen tam, kde jsou nutná, a čtěte šablony. Adresy, telefony, ceny, smlouvy. U Muse problém nezpůsobil model, ale šablona zprávy, kterou nikdo nečetl. Kontrolujte, co agent posílá ven, ne jen co hlásí vám.
5. Krátké úlohy s kontrolním bodem. Agent, který zvládne jeden krok na 95 %, projde dvaceti kroky bez chyby jen asi v 36 % případů (0,95 na dvacátou). Rozsekejte práci na kroky, jejichž výsledek umíte zkontrolovat za minutu.
6. Stopa, revize a zkušební doba. Agent musí zanechat záznam o tom, co udělal. První týdny procházejte vše, pak vzorky. Oprávnění rozšiřujte podle prokázaného chování, jak to popisuje DeepMind.

Kontrolní seznam před spuštěním agenta

Deset otázek na pět minut. Kde odpovídáte „nevím“, agent ještě není připravený běžet sám.

• Umím úkol popsat jednou větou včetně toho, co znamená „hotovo“?
• Ví agent, kdy se má zastavit a zeptat (cenový limit, rozpočet, výjimka)?
• Má jen přístupy, které úkol potřebuje, a ne celou schránku, celý disk nebo firemní kartu?
• Který krok je nevratný a kdo ho schvaluje?
• Jaká osobní nebo obchodně citlivá data agent uvidí a kam je může poslat?
• Přečetl jsem každou šablonu zprávy, kterou agent pošle ven?
• Kde uvidím, co agent udělal, a kdo to bude kontrolovat?
• Jak agenta okamžitě zastavím a odeberu mu přístupy?
• Kdo nese odpovědnost, když se něco pokazí, a ví o tom?
• Je nástroj schválený firmou, nebo jde o shadow AI?

Co z toho plyne pro firmu

Vedoucí přeceňují, kolik vidí. Okta v průzkumu zveřejněném v květnu 2026 oslovila 292 vrcholových manažerů a 492 zaměstnanců v sedmi zemích (Okta). Devadesát procent vedoucích věří, že vědí, jaké AI nástroje lidé používají. Přitom 52 % zaměstnanců přiznává, že používá neschválené nástroje, a jen 34 % firem uplatňuje na agenty stejné bezpečnostní kontroly jako na lidi.

Zákaz nefunguje. Lidé delegují tak jako tak, jen neřízeně a s vlastními účty. Funguje kombinace schválených nástrojů, jasných pravidel a školení, ve kterém si lidé vyzkouší, kde jsou hranice.

Odpovědnost zůstává u vás. Meta se u Muse hájí tím, že agent měl souhlas. Ve firmě to bude stejné: za kroky agenta odpovídá ten, kdo ho pustil. Do AI politiky proto patří, kdo smí agenta nasadit, na jaká data a s jakými schvalovacími body.

Regulace zatím nespěchá, ale směr je jasný. Po letní novele AI Actu (tzv. AI Omnibus) se přísná pravidla pro vysoce rizikové systémy, včetně povinného lidského dohledu, posouvají na 2. prosince 2027, u systémů zabudovaných do výrobků až na 2. srpna 2028 (Evropská komise). Běžné kancelářské agenty se většinou netýkají. Princip člověka ve smyčce je ale rozumný firemní standard už dnes. Tento text není právní poradenství; u konkrétního nasazení se poraďte s právníkem.