Co o vás ví AI chaty? Míň, než si myslíte. A zároveň možná mnohem víc.

Když se bavím s lidma o ChatGPT, Gemini, Claude, DeepSeeku nebo Kimi, občas mám pocit, že si část uživatelů představuje AI chat jako takovej malej spyware v browseru.

Že vidí jejich IP adresu, GPS polohu, Wi-Fi, historii prohlížení a ideálně ještě ví, že mají doma router od O2 a sedí právě na záchodě. Když se všechno posere, v mé temné částy mozku ovlivněné cyberpunkovými romány a pokročilou paranoiou by to tak být mohlo. Přeci jen o kauzách s tím, jak vás vysavač natáčel při močení, jsme točili třeba tenhle podcast: https://youtu.be/CVGbcxtOki8

Tak jednoduchý to ale ve skutečnosti není a tahle apokalypsa ne nejspíš hned tak nestane.

A hlavně je potřeba rozlišit dvě úplně odlišný věci:

• co o vás sbírá služba a její infrastruktura
• co z těch informací skutečně dostane AI model, kterej generuje odpověď

Tohle rozdělení je podle mě dost zásadní. Když totiž řekneme „ChatGPT zná moji IP adresu“, technicky tím můžeme popisovat dvě úplně jiný situace.

• OpenAI jako provozovatel služby moji IP adresu znát může.
• Samotnej jazykovej model, se kterým si píšu, ji ale vůbec nemusí dostat.

ChatGPT není jen model

Když nadiktuju nebo napíšu prompt do ChatGPT, neletí nějakým tunelem přímo do neuronový sítě. Mezi váma a modelem je celá a dost obří infrastruktura.

Zjednodušeně řečeno: chat v prohlížeči nebo aplikace vezme prompt a pošle ho na servery provozovatele (OpenAI, Alphabet, Anthropic…) kde je převezme jejich aplikační vrstva která je zpracuje a následně předhodí jazykovému modelu.

Technicky řečeno: Klient (browser nebo appka) neposílá jen tvůj prompt. Sestaví celou konverzaci – system prompt, historii, definice nástrojů, tvůj text a přes TLS to pošle na edge poskytovatele. Tam se šifrování terminuje, takže od té chvíle je tvůj text uvnitř infrastruktury v plaintextu. Aplikační vrstva to prožene klasifikátory, případně doplní data z interních zdrojů, převede na tokeny a zařadí do batche. Teprve pak se toho chytí samotný model, který zpátky streamuje token po tokenu. A protože je celý ten kolotoč stateless, při každé další zprávě putuje celá konverzace znovu, od nuly.

A každá zmíněná vrstva může pracovat s jinými daty.

Když otevřu web, server samozřejmě potřebuje znát IP adresu, ze který komunikace přichází. Browser posílá HTTP hlavičky. Používají se cookies, session identifikátory, autentizace a další běžný mechanismy webových aplikací. Tohle není žádná vlastnost umělé inteligence, tohle dělá prakticky každej web.

OpenAI například ve své aktuální evropské privacy policy uvádí, že může sbírat IP adresu, typ a nastavení browseru, čas požadavku, user-agent, typ zařízení, operační systém, časové pásmo, zemi a informace o připojení. Používá také cookies a podobné technologie. Přibližnou oblast může určit z IP adresy. Přesnější polohu zařízení včetně GPS lze ChatGPT zpřístupnit pouze u funkcí, kde ji uživatel povolí – třeba mobilní appka to umí, Gemini to dělá taky.

Takže tvrzení: „ChatGPT nesbírá IP adresu.“ je špatně. Stejně špatně je ale říct: „Model vidí moji IP adresu.“

Model nemá senzory. Nemá přístup k requestu, k hlavičkám, k socketu, k ničemu. Dostane jednu plochou sekvenci tokenů a vrací další tokeny. Konec.

Co tedy samotný ChatGPT vidí?

Když se zeptám modelu, co o mně ví, dostává se typicky k úplně jiný sadě informací.

Informace	Platforma ji může mít	Dostává ji model běžně přímo
Text mého promptu	Ano	Ano
Historie aktuální konverzace	Ano	Ano, podle předaného kontextu
Nahrané obrázky a dokumenty	Ano	Ano, pokud s nimi v daném chatu pracuje
Memory / uložené informace	Ano	Ano, pokud jsou pro konverzaci zpřístupněné
Systémové instrukce	Ano	Ano
Aktuální datum / časový kontext	Ano	Může dostat
Časové pásmo / obecná oblast	Ano	Může dostat
IP adresa	Ano	Běžně ne jako syrovou IP
User-Agent	Ano	Běžně ne
Browser a jeho verze	Ano	Běžně ne
Operační systém	Ano	Běžně ne
Cookies	Ano	Ne jako obsah cookies
Přesná GPS	Jen pokud ji povolím	Standardně ne
SSID mojí Wi-Fi	Standardně ne	Ne
Heslo k Wi-Fi	Ne, pokud ho sám neposkytnu	Ne
Okolní Wi-Fi sítě	Standardně ne	Ne
MAC adresa	Záleží na konkrétní aplikaci/službě	Běžně ne
Clipboard	Pouze u funkcí, které k němu mají oprávnění	Ne automaticky
Historie browseru	Ne jako standardní obsah chatu	Ne

A přesně tady začíná být celá věc zajímavější. Protože AI vůbec nepotřebuje znát moji IP adresu, aby toho o mně věděla zatraceně hodně.

Největší leak totiž často uděláte sami

Představte si, že během několika měsíců do AI napíšete:

„Najdi mi něco dobrýho v Praze.“

„Potřebuju něco vymyslet pro třináctiletýho syna.“

„Na Macu mi nefunguje…“

„Napiš mail zákazníkovi naší firmy.“

„Objednávám si každý podzim krabičkovou dietu.“

„Za týden jedeme s manželkou na víkend.“

Jednotlivě to nejsou žádný dramatický údaje. Jenže dohromady už z nich začíná vznikat docela slušnej profil.

Přibližná lokalita. Rodinná situace. Technika, kterou používáte. Práce. Firma. Zájmy. Způsob komunikace. Lidi kolem vás. Projekty, na kterých pracujete.

A někdy klidně zdravotní, finanční , terapeutický nebo další hodně citlivý informace.

Model dostane obsah, kterej jste mu sami dali, a dokáže z něj poskládat další informace. Nicméně tohle už od pradávna dělá Google, Facebook, Xko a vlastně skoro všechny firmy – profilování uživatelů je základ, i když nám lidem se to z pohledu privacy nelíbí.

Z bezpečnostního pohledu bych proto rozlišoval tři věci:

• Metadata – IP, zařízení, čas, user-agent, lokalita.
• Obsah – samotný prompty, dokumenty, fotky a další data, který do AI pošlete.
• Inference – informace, který z toho všeho dokáže systém korelovat a odvodit.

A třetí kategorie může být někdy mnohem zajímavější než druhá.

Zkusil jsem se na to zeptat čínského Kimi

Schválně jsem podobnou otázku položil také Kimi od Moonshot AI. Aktuálně se na AI Areně umisťuje jako čtvrtej v sekci frontend web dev: https://arena.ai/leaderboard/code/webdev nicméně je výrazně levnější než modely Anthropicu (klasika čína, no). A nejen proto trenduje. Hype ja aktuálně kolem jeho open-source/open-weight verze kterou si můžete, pokud na to máte HW (nejspíš fakt nemáte) rozjet sami.

Jeho odpověď byla poměrně transparentní. Kimi tvrdil, že samotný model vidí například tato data:

• content – text zprávy
• timestamp – lokální čas odeslání a timezone offset
• language – detekovaný jazyk si odvodí z textu
• conversation_history – historii vlákna
• system_context – systémové instrukce, paměť a definice nástrojů

Současně tvrdil, že model přímo nevidí:

• IP adresu
• browser, OS a User-Agent
• cookies nebo local storage
• ASN nebo ISP

Nicméně mojí polohu stejně znal – v jeho kontextu je doslova napsáno, že jsem přibližně v Praze. Nikdo mu neposlal moji IP a on ji z ničeho neodvozuje – provozovatel vzal geolokaci z IP na aplikační vrstvě, převedl ji na větu a tu větu mu vložil do system promptu jako obyčejný text. A přesně tak vzniká iluze, že „model o vás něco ví“.

A to je ta pointa, kterou vám chci předat: nezáleží na tom, co model umí vidět, ale co mu provozovatel naservíruje. Cokoli z té „neviditelné“ kategorie se dá kdykoli převést na text a přesunout do té viditelné.

A Kimi toho podle své privacy policy sbírá docela dost

U Kimi je situace ve výsledku podobná jako u ostatních cloudových AI služeb.

Aktuální zásady Moonshot AI uvádějí automatický sběr technických údajů, mezi kterými jsou například IP adresa, typ browseru, jazykové nastavení, referring URL, zařízení, model zařízení, operační systém, browser version, user-agent, identifikátory zařízení, conversation ID, session ID nebo informace o poskytovateli sítě. U některých produktů zásady zmiňují dokonce MAC adresu a clipboard data, pokud je daná funkce používá a má příslušné oprávnění. Kimi také používá cookies, local storage, SDK a podobné technologie.

Takže ani tady rozhodně neplatí: „Kimi říká, že nevidí moji IP, takže Kimi moji IP nemá.“

Model ji možná nevidí. Platforma ano. A to je přesně ten rozdíl, o kterým je celej tenhle článek. 🙂

A co ta Čína? 🇨🇳

Kdykoliv zmíním DeepSeek, Kimi nebo Qwen, objeví se celkem pochopitelná otázka:

„A není nebezpečný posílat data do Číny?“

Je, respektive může být. Jen bych tu otázku trochu rozšířil na „Kam vlastně posílám svoje data a komu tím důvěřuju?„

Protože přesně stejnou otázku bychom si měli pokládat i u amerických služeb.

Pokud do ChatGPT pošlu interní smlouvu, osobní údaje zákazníků, zdrojáky neveřejného projektu nebo kompletní incident report, tak skutečnost, že data letí do amerického cloudu, z nich automaticky nedělá bezpečná data. S Donaldem u kormidla spíš naopak.

Stejně jako z nich automaticky nedělá nebezpečná data to, že je provozovatelem čínská firma. U nás je tenhle narativ hodně tlačen médi, což sheeluju, ale rád říkám i to B – USA se chovají velmi podobně, nedělejme že ne. Aktuálně dneska jsem narazil na další hezký potvrzující důkaz:

Americké ministerstvo spravedlnosti se postavilo na stranu OpenAI a tvrdí, že trénování AI na chráněných textech může být fair use a že restriktivní výklad by poškodil inovace i národní bezpečnost USA. https://www.wsj.com/tech/ai/u-s-government-backs-openai-in-copyright-fight-with-publishers-64a0735b

Evropská komise dokonce pro některé pracovní cesty do USA používala nebo nabízela zaměstnancům „čistá“/základní zařízení a zpřísnila bezpečnostní instrukce. To už nevypadá jako uplný bratříčkování, spíš jako obava ze špionáže.

Z pohledu security/risku mě zajímá hlavně:

• kdo je provozovatel
• pod jakou jurisdikcí funguje
• kam data fyzicky a právně putují
• jak dlouho se uchovávají
• jestli mohou být použita pro další vývoj modelu
• kdo k nim může získat přístup
• jaké mám smluvní podmínky
• jestli používám consumer chat, business produkt, API nebo vlastní deployment

A především: co jsem tam (já nebo zaměstnanci) vůbec poslal. To je legitimní věc, kterou je potřeba při hodnocení rizika zohlednit.

Stejně legitimní je otevřít privacy policy OpenAI a zjistit, že americká služba také sbírá IP adresy, údaje o zařízení, user-agent, lokaci odvozenou z IP a cookies.

Security/risk assessment by měl končit trochu dál než u vlaječky země, kde firma vznikla.

Co kdo aktuálně bírá – ne model, ale provozovatel

DeepSeek: Ve svých zásadách popisuje automatický sběr IP adresy, typu zařízení, operačního systému, typu a verze prohlížeče, ISP, identifikátorů zařízení, údajů o síti, časových údajů, diagnostických informací a dalších logovacích dat. Zpracovává také informace o používání služby a obsah, který uživatel do AI zadává.

Kimi / Moonshot AI: Kimi uvádí sběr IP adresy, informací o zařízení, operačním systému, prohlížeči, síťovém připojení, identifikátorech zařízení, údajích o používání a dalších technických údajích. Může také pracovat s informacemi potřebnými pro zabezpečení, prevenci zneužití a analýzu provozu služby.

Grok / xAI: xAI uvádí sběr IP adresy, typu zařízení, operačního systému, typu a verze prohlížeče, uživatelského agenta, pluginů, identifikátorů, přibližné polohy odvozené z IP adresy a údajů o používání služby. Patří sem například historie interakcí, časy přístupů, technické logy a diagnostická data. Pokud je Grok používán prostřednictvím platformy X, může se zpracování dat řídit také pravidly společnosti X.

Gemini / Google: Gemini funguje v ekosystému Googlu a jeho pravidla doplňují obecné zásady ochrany soukromí Google. Zpracovávány mohou být IP adresa, identifikátory zařízení a prohlížeče, typ zařízení, operační systém, informace o síti, časové údaje, informace o používání služby a údaje související s Google účtem. Významný je také rozsah propojení s dalšími službami Googlu a případně s aplikacemi či službami, které uživatel k Gemini připojí.

ChatGPT / OpenAI: OpenAI uvádí sběr IP adresy, typu a nastavení prohlížeče, user-agentu, typu zařízení, operačního systému, identifikátorů zařízení, času a data přístupu, časového pásma, země nebo přibližné polohy, způsobu používání služby a údajů o připojení. Služba také zpracovává obsah konverzací, soubory a další data, která uživatel dobrovolně vloží nebo zpřístupní prostřednictvím aktivovaných funkcí a konektorů.

Claude / Anthropic: Anthropic popisuje sběr IP adresy, z ní odvozené přibližné polohy, údajů o zařízení, operačním systému, prohlížeči, referreru, připojení, mobilní síti, ISP či mobilním operátorovi, časovém pásmu, identifikátorech zařízení a případně reklamních identifikátorech. Zpracovávány mohou být také provozní údaje, například čas přístupu, navštívené stránky, kliknutí, hledání, chybové a diagnostické záznamy.

Tabulka hier:

AI služba	IP	Zařízení / OS	Browser / User-Agent	Síť / ISP	Poloha	Identifikátory	Usage / logy	Obsah konverzací
DeepSeek	✅	✅	✅	✅	⚠️ nepřímo	✅	✅	✅
Kimi / Moonshot AI	✅	✅	✅	✅	⚠️ nepřímo	✅	✅	✅
Grok / xAI	✅	✅	✅	✅	✅ z IP	✅	✅	✅
Gemini / Google	✅	✅	✅	✅	✅ / dle služeb	✅	✅	✅
ChatGPT / OpenAI	✅	✅	✅	✅	✅ přibližná	✅	✅	✅
Claude / Anthropic	✅	✅	✅	✅	✅ z IP	✅	✅	✅

Čínské modely mají navíc jednu zajímavou bezpečnostní výhodu

Část současných čínských modelů je dostupná jako open-weight.

DeepSeek zveřejňuje váhy svých modelů a například DeepSeek V3.2 je dostupný ke stažení a lokálnímu provozu. Alibaba podobně zveřejňuje modely rodiny Qwen a aktuální Qwen3.8 nabízí varianty s veřejně dostupnými weights. Kimi rovněž část svých modelů otevřelo komunitě.

A tady vzniká trochu paradox. Člověk může mít strach poslat citlivý dokument do čínského Kimi, to je naprosto validní.

Ale pokud si open-weight čínský model pustím lokálně ve vlastní infrastruktuře bez komunikace ven, můžu mít nad daty ve výsledku podstatně větší kontrolu než při používání amerického cloudového AI chatu.

• Data neopustí moji síť.
• Nemusím je posílat provozovateli modelu.
• Můžu logovat síťovou komunikaci.
• Můžu omezit egress.
• Můžu model zavřít do vlastní infrastruktury.
• Můžu přesně definovat, který systémy smějí do inference procesu posílat data.

Takže „čínský model“ a „data posílám do Číny“ nejsou synonyma. Stejně jako „americký model“ automaticky neznamená „data jsou v bezpečí“.

Tohle je podle mě jedna z velkých výhod otevřených modelů obecně – bez ohledu na to, jestli vznikly v Číně, USA nebo někde v Evropě.

Takže mám používat čínské AI?

To je na vás. Já bych to nedémonizoval a nestavěl jako DeepSeek versus ChatGPT – jsou to furt jen nástroje, záleží, jak je používáte. Používám různý nástroje na různý věci a čínský modely mají rozhodně co nabídnout. Spousta lidí má doma „americkej“ Mac mini a něm lehkej čínskej model. To bude podle mě mnohem častější.

Často mají velmi dobrý poměr výkonu a ceny, jsou silný v programování, reasoningu nebo práci s dlouhým kontextem a hlavně čím dál víc tlačí open-weight ekosystém. Aktuální rodiny DeepSeek, Qwen a Kimi nabízejí modely, který lze stáhnout a provozovat mimo cloud jejich výrobce.

Bezpečnostní otázka proto za mě nezní jen „Je to čínský?“ jak se to u nás v hobitíně často zjednodučuje.

Mnohem víc mě zajímá:

„Kde/kam poběží moje data?“

Cloudový DeepSeek a lokálně provozovaný DeepSeek jsou z pohledu ochrany dat dvě úplně jiný věci. Stejně jako ChatGPT consumer účet a enterprise/API implementace se smluvními podmínkami nejsou jedno a totéž.

AI nepotřebuje šmírovat vaši Wi-Fi

Na celým tématu mě nakonec baví jedna věc. Lidi mají někdy obrovský strach z IP adresy, cookies, fingerprintingu a GPS, což jsou legitimní témata.

Pak ale bez mrknutí oka vezmou čtyřicet stran interní smlouvy, přetáhnou je do AI a napíšou:

„Udělej mi shrnutí.“ 😀

Nebo tam měsíc po měsíci řeší svoje zaměstnance, děti, zdravotní problémy, zákazníky, finance, projekty a divnou vyrážku tam dole.

A potom je překvapí: „Ty vole, ono toho o mně ví nějak hodně.“ Jo. Protože jste mu to řekli. Z bezpečnostního pohledu bych proto před odesláním promptu řešil hlavně:

• Co posílám?
• Komu to posílám?
• Kde se to zpracuje?
• Jak dlouho to tam zůstane?
• A potřebuje ten systém tyhle informace vůbec znát?
• Budeprůser, když to leakne?

IP adresa a další metadata jsou pro běžnýho člověka, co si nehraje s poskytovateli a bezpečnostníma orgánama na honěnou, jen technický údaje který se týkají velmi okrajově jeho soukromí a identity.

Ale dokument, kterej jste právě hodili do chatu, může být vaše (nebo) kompletní know-how. A o to asi přijít nechcete.

Tím jsme skončili s chaty. A příště se mrkneme na agenty, který máte nainstalovaný na disku a mají práva přístupu k souborům a systému. 🙂