Většina firem, které dnes něco dělají s AI Actem, má nad svým chatbotem nebo asistentem takzvaný guardrail — model, který kontroluje výstupy proti sepsaným pravidlům a řekne „tohle projde" nebo „tohle ne". Je to nejčastější technický důkaz, že firma má nad AI kontrolu. Audit zveřejněný 17. srpna 2026 testoval, jestli ten verdikt vůbec závisí na pravidle, které mu zadáte. Nezávisí. Pravidlo šlo z promptu smazat, přeházet i vyměnit za jeho pravý opak a úspěšnost detektoru se statisticky nezměnila — u každého guard modelu a každé aktivační sondy, které autoři testovali.
Co se stalo
- Kdo a kdy: preprint What Do Compliance Detectors Read? An Audit of Activation Probes and Guard Models (arXiv:2608.16852v1) vložili na arXiv 17. srpna 2026 Saisab Sadhu, Aadit Sengupta, Vinay Kumar Sankarapu a Pratinav Seth.
- Co testovali: třídu nástrojů, které autoři nazývají compliance detectors — hlídače, co porovnávají výstup jazykového modelu se sepsaným pravidlem z oblasti ochrany osobních údajů, zdravotnictví, finanční regulace nebo pravidel platformy. Konkrétně čtyři nasazené guard modely, jeden 8B model v roli zero-shot rozhodčího a třináct benchmarků.
- Co našli: selhání, kterému říkají rule blindness, slepota vůči pravidlu. Jak stojí v abstraktu: „Deleting, permuting, or substituting the governing rule leaves detection accuracy unchanged for every guard and activation probe we test." Tedy — smazání, přeházení nebo nahrazení řídicího pravidla nechá přesnost detekce beze změny. U všech testovaných.
- Nejnepříjemnější detail: mezi testovanými byl i guard výslovně stavěný tak, aby pracoval se zadanou politikou. Ten správně cituje řídicí ustanovení — a přesto sotva změní svůj verdikt, když se to ustanovení vymění za jeho povolující protějšek. Nástroj tedy ve výstupu ukáže, že „vychází z článku X", zatímco na obsahu článku X mu nezáleží.
- Proč to dřívější testy nechytily: autoři si postavili benchmark, kde se dvě pravidla kříží se dvěma scénáři tak, aby ani jedno samo o sobě nepředpovídalo správnou odpověď. V takovém uspořádání se detektor nemá o co opřít, když pravidlo ignoruje. Běžné testovací sady tuhle možnost nevylučují — proto v nich guard modely vycházejí dobře.
- Co obstálo: jediné, co podle autorů slepotě vůči pravidlu uniklo, je postupné uvažování krok za krokem, které model nutí pravidlo skutečně aplikovat. Žádný z rychlých detektorů, které testovali, to nedokázal.
Co v převzatých článcích nebylo
Otevřel jsem si abstrakt přímo na arXivu a jsou v něm dvě věci, které v přebírajících textech chybí — a obě mění vyznění.
- Autoři vlastní řešení nevydávají za funkční. Součástí práce je nový nástroj, Internal Compliance Score (ICS) — čtení z vnitřních aktivací modelu, které nepotřebuje přeučování, kalibruje se z deseti označkovaných dvojic a vyhodnocuje jedinou projekcí. Kde jinde by následoval marketing, tam autoři píšou, že si ICS podrobili stejné přísnosti jako guardům, které jím auditují: předem registrované kritérium pro překonání triviálních základních modelů nebylo splněno a jednoduchý model typu „pytel slov" dosáhl přesně stejné zobecňovací schopnosti. ICS je podle nich užitečný jen proto, že je levný. Navíc zlepšení, které přináší při řazení kandidátních odpovědí, mizí pod adaptivním útokem s přístupem k vnitřku modelu. Tohle si autoři napsali sami o sobě a je to důvod brát zbytek práce vážněji, ne míň vážně.
- Je to preprint, ne recenzovaná studie. Neprošel oponentním řízením. Autoři zveřejnili svůj testovací protokol i křížený benchmark, takže si to lze přeověřit — ale zatím to je jedna skupina a jeden výsledek. Berte to prosím jako silný varovný signál, ne jako prokázaný fakt o konkrétním produktu, který máte koupený.
Proč se to týká i vás
Přímá pokuta z tohohle nehrozí. Sankce v článku 101 AI Actu — až 3 % celosvětového ročního obratu nebo 15 milionů eur, podle toho, co je vyšší — míří na poskytovatele obecných modelů, tedy na OpenAI a spol., ne na českou firmu, která model jen používá. Podle článku 113 se nařízení používá od 2. srpna 2026 a právě článek 101 byl z dřívější vlny z 2. srpna 2025 výslovně vyňat, takže naskočil až letos v srpnu.
Problém je jinde a je praktičtější. Guardrail je pro většinu firem ten doklad, kterým prokazují, že nad nasazenou AI mají kontrolu. Ukazuje se v interním auditu, přikládá se do odpovědí na dotazníky od korporátních zákazníků, jmenuje se ve smlouvě. A tenhle audit říká, že takový doklad může být prázdný.
- Změna interního pravidla se nemusí nikde projevit. Když upravíte firemní politiku — přitvrdíte u zdravotních údajů, povolíte něco u marketingových textů — a jen ji přepíšete v konfiguraci guardu, chování systému se podle téhle práce nemusí změnit vůbec. Máte pocit, že jste zavedli opatření. Nezavedli.
- Citace ustanovení ve výstupu není důkaz. To je nejcennější poznatek z celé práce pro každého, kdo takové logy vyhodnocuje. Když vám hlídač u zamítnutého výstupu napíše, o který bod politiky se opírá, přirozeně to čtete jako důkaz, že podle toho bodu rozhodl. Podle autorů to důkaz není — správnou citaci zvládne i model, který podle ní nerozhoduje.
- Nefunguje to ve váš prospěch ani v neprospěch. Slepota vůči pravidlu není jen o propouštění závadných výstupů. Stejně tak znamená, že hlídač blokuje věci, které jste mu výslovně povolili — a vaši lidé pak hledají cestu okolo něj.
Co s tím
Čtyři kroky. Nic z toho není produkt a první z nich zabere odpoledne.
- 1. Udělejte si vlastní test smazaným pravidlem. Vezměte dvacet až třicet hraničních vstupů, na kterých vám guardrail dnes rozhoduje. Pusťte je dvakrát: jednou s vaší politikou v promptu, podruhé s politikou vymazanou. Když vyjdou stejné verdikty, váš hlídač vaši politiku nečte a rozhoduje podle něčeho jiného. Ostřejší varianta téhož: nechte pravidlo na místě, ale otočte ho do povolující podoby a sledujte, jestli se verdikt otočí s ním.
- 2. U rozhodnutí, která něco stojí, nasaďte pomalejší hlídač. Jediné, co v auditu obstálo, je postupné uvažování krok za krokem. Je pomalejší a dražší, takže ho nedává smysl pouštět na všechno — ale u výstupů, které jdou k zákazníkovi, dotýkají se zdravotních či finančních údajů nebo spouštějí akci, se ten rozdíl vyplatí.
- 3. Přestaňte v dokumentaci psát, že guardrail „vynucuje" politiku. Napište, co reálně dělá: filtruje výstupy podle naučených vzorců a v části případů se shoduje s vaší politikou. Rozdíl mezi „vynucuje" a „koreluje" je přesně to, co by vám v případném sporu vytkl protistrana i dozor — a je jednodušší to napsat rovnou správně než to později obhajovat.
- 4. Držte si vzorek rozhodnutí ke kontrole člověkem. Malý pravidelný vzorek zablokovaných i propuštěných výstupů, který přečte člověk znající politiku. Je to jediná vrstva, u které máte ověřeno, že pravidlo skutečně čte.
A teď proti vlastnímu byznysu: jestli tohle čtete a máte firmu, která AI zatím jen zkouší — pár lidí používá ChatGPT, chatbota na webu nemáte — tak z tohohle nálezu pro vás neplyne nic, co byste měli dnes řešit, a rozhodně kvůli němu nekupujte audit. Týká se to vás až ve chvíli, kdy na výstup hlídače spoléháte místo člověka. Do té doby je to zajímavost, ne riziko. A pokud guardrail nasazený máte, ten test z prvního bodu si udělejte sami — je to půl dne práce vašeho vývojáře a odpověď z něj je stejná, jako kdybyste za ni zaplatili.
Kde to řeším s klienty
U firem, které mají nad AI nasazenou kontrolní vrstvu, procházím v rámci AI Agent Governance Checkupu právě otázku, jestli deklarovaná pravidla mají doložitelný vliv na chování systému — tedy jestli je opatření opatřením, nebo jen popisem. Když si nejste jistí, co všechno u vás dnes rozhoduje bez člověka, začněte AI Risk Scanem zdarma. Z druhé strany se téhož dotkl dřívější text o tom, jak skener chybu našel, ale u souboru vedle: tam automat ohlásil správnou věc na špatném místě, tady ohlásí správné ustanovení ke špatně odvozenému závěru. V obou případech platí totéž — zelený stav nástroje znamená jen to, že nástroj doběhl.