Vibe coding zkrátil cestu od zadání k funkčnímu webu na hodiny. Zároveň otevřel otázky, na které se běžná smlouva o tvorbě webu vůbec neptá: komu patří kód, který napsala AI? Co vlastně slibujete klientovi, když mu poskytujete výhradní licenci k něčemu, co autorským dílem není? A kdo zaplatí škodu, když se z rychle vygenerovaného řešení stane bezpečnostní díra?
Tento článek je psaný pro dodavatele webů na zakázku, ať už jde o firmu, nebo o webaře na volné noze, kteří AI reálně používají v produkci. Shrnujeme, jak se na výstupy AI dívá české autorské právo, jaká rizika přináší open source, co obnáší odpovědnost za vady a bezpečnost a které povinnosti podle AI Actu dopadají od 2. srpna 2026. V Preegal advokátní kanceláři se IT a AI právu věnujeme každý den, takže vycházíme z toho, co s klienty řešíme v praxi.
Co je vibe coding a proč se týká i dodavatelů webů?
Vibe coding je způsob vývoje softwaru, při kterém člověk popisuje v přirozeném jazyce, co má aplikace dělat, a samotný kód generuje AI. Vývojář výstup posuzuje především podle toho, jestli funguje, a nečte ho řádek po řádku. Pojem zavedl v únoru 2025 Andrej Karpathy a od té doby se z něj stal běžný pracovní postup - od prototypů přes landing pages až po drobné pluginy, formuláře a interní nástroje.
Pro dodavatele webů na zakázku je to lákavé. Práce, která dřív zabrala dva dny, je hotová za dvě hodiny, a nabídka do výběrového řízení vzniká přes noc. Právo se ale neptá, jak rychle jste to zvládli. Ptá se, co jste klientovi dodali, jaká práva jste mu k tomu poskytli a kdo nese následky, když plnění selže.
Něco jiného je vývoj, kdy AI píše kód a člověk ho čte, rozumí mu a upravuje ho, a něco jiného vibe coding v čisté podobě, kdy člověk výstup jen otestuje a nasadí. Míra lidského tvůrčího přispění rozhoduje o obou věcech, které by profesionální dodavatel měl řešit - o autorských právech k dílu i o tom, jak obhájíte kvalitu odvedené práce.
Komu patří kód, který napsala AI? Autorem totiž může být jen člověk...
Stručná odpověď: nikomu. Kód vygenerovaný AI bez tvůrčího přispění člověka není autorským dílem a nikdo k němu nemá autorská práva.
Podle § 5 odst. 1 autorského zákona je autorem fyzická osoba, která dílo vytvořila - autorem tedy nemůže být stroj, model ani firma. Podle § 2 odst. 2 autorského zákona je počítačový program chráněn jako dílo literární tehdy, je-li původní v tom smyslu, že jde o autorův vlastní duševní výtvor. Stejný standard původnosti používá i judikatura Soudního dvora EU. Není-li za výstupem žádná lidská tvůrčí volba, není co chránit. Ke stejnému závěru dospěly ve věci Thaler i americké soudy.
To ale neznamená, že celý projekt zůstane bez ochrany. Chráněné zpravidla budou:
- architektura řešení a datový model, jsou-li výsledkem vaší tvůrčí volby,
- části kódu, které člověk sám napsal nebo netriviálně přepracoval,
- tvůrčí výběr a uspořádání komponent do funkčního celku,
- grafika, UI design, texty, fotografie a další prvky webu,
- databáze jako celek, a to zvláštním právem pořizovatele databáze podle § 88 a násl. autorského zákona.
Naopak samotný prompt, byť sebedelší a sebepromyšlenější, ochranu výsledku nezakládá. Autorské právo chrání konkrétní vyjádření, ne zadání ani myšlenku - stejná logika, kterou popisujeme v článku Vykradení díla není inspirace.
Smlouva s klientem - mohu převést to, co nemám?
Časté licenční ujednání ve smlouvách dodavatelů webů zní zhruba takto: „Zhotovitel poskytuje objednateli výhradní a neomezenou licenci ke všem výstupům díla.“ U kódu z AI je taková věta nesplnitelná. Licence je svolením k výkonu práva - a k nechráněnému kódu žádné právo neexistuje. Slibujete něco, co nemůžete dodat, a otevíráte si dveře k odpovědnosti za právní vady díla.
Praktický důsledek pro klienta je ještě nepříjemnější. Nechráněný kód může kdokoli okopírovat a použít, včetně jeho konkurence. Pokud klient platil za „unikátní řešení na míru“, měl by to vědět předem - ne až ve chvíli, kdy si stejnou funkcionalitu spustí konkurent.
Co s tím ve smlouvě:
- rozlište plnění na části chráněné autorským právem a na části bez ochrany a licenci važte na ty první,
- doplňte prohlášení o použití AI nástrojů při tvorbě díla a vymezte jeho rozsah,
- u nechráněných částí nabídněte místo nesplnitelné licence závazky, které skutečně splnit můžete: mlčenlivost, příslib nedodat stejné řešení konkurenci klienta a předání kompletních zdrojových kódů i dokumentace,
- vyjasněte, kdo po skončení spolupráce drží přístupy k účtům, repozitářům, doménám a API klíčům,
- zvažte odškodňovací doložku pro případ nároku třetí osoby z porušení práv k výstupu.
Stejnou logiku uplatněte i směrem dovnitř vlastní firmy. U zaměstnanců řeší práva režim zaměstnaneckého díla podle § 58 autorského zákona, u externích vývojářů na IČO ale musíte licenci nebo postoupení výkonu majetkových práv sjednat výslovně. Jinak nemáte co poskytnout dál klientovi. K rizikům spolupráce s externisty se vracíme v článku o švarcsystému.
Open source licence: nejtišší riziko vibe codingu
Velké jazykové modely se učily mimo jiné na veřejných repozitářích. Občas proto vygenerují pasáž shodnou nebo velmi podobnou existujícímu kódu, který je chráněn autorským právem a šířen pod konkrétní open source licencí. Licenční hlavičku ani upozornění vám model nedodá.
Odpovědnost za dodržení licenčních podmínek nese ten, kdo kód šíří - tedy dodavatel a po předání i klient. U permisivních licencí (MIT, BSD, Apache 2.0) jde nejčastěji o povinnost uvést autorství a text licence. U copyleftových licencí, zejména GPL a u webových aplikací AGPL, může porušení znamenat povinnost zpřístupnit zdrojový kód celého odvozeného díla. Pro proprietární řešení dodané klientovi je to zásadní problém, obchodní i právní.
Minimum, které by mělo běžet na každém projektu: automatizovaná analýza složení kódu a závislostí (SCA), evidence použitých knihoven a jejich licencí (SBOM), interní seznam zakázaných licencí a kontrola, že balíček, který AI navrhla, vůbec existuje a je udržovaný. Modely si názvy knihoven občas vymýšlejí a útočníci toho využívají tak, že takový neexistující balíček skutečně publikují - se škodlivým obsahem.
Odpovědnost za vady a bezpečnost - je obhajitelné: „napsala to AI“?
Vůči klientovi odpovídáte za dílo bez ohledu na to, čím jste ho vytvořili. Smlouva o dílo podle § 2586 a násl. občanského zákoníku ukládá zhotoviteli provést dílo řádně, odpovědnost za vady i za škodu je koncipována objektivně a AI je z pohledu práva nástroj, nikoli subjekt, na který by šlo odpovědnost přenést.
Praxe navíc ukazuje, že takto vytvořené aplikace mají typickou sadu slabin: chybějící kontrolu oprávnění na straně serveru, přístupové údaje a API klíče zapsané přímo v kódu nebo ve frontendu, neošetřené vstupy, nefunkční validaci, nadbytečně otevřené koncové body a zastaralé závislosti. AI píše kód, který funguje pro očekávaný scénář; nepřátelský scénář si sama nevymyslí. Pokud web navíc obsahuje AI funkce, například chatbota nebo sumarizaci obsahu, přidává se riziko nepřímé prompt injection.
Když taková chyba vede k úniku dat, nastupují další vrstvy odpovědnosti:
- GDPR - klient je zpravidla správcem a dodavatel zpracovatelem; bez zpracovatelské smlouvy je problém na obou stranách,
- zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025: dodáváte-li regulovanému subjektu, dopadnou na vás bezpečnostní požadavky smluvně skrz dodavatelský řetězec,
- reputační dopad, který bývá dražší než samotná náhrada škody.
Obranou není přestat používat AI, ale mít proces: povinné code review člověkem u všeho, co jde do produkce, automatizované bezpečnostní testy, limitaci náhrady škody ve smlouvě a pojištění profesní odpovědnosti nastavené na skutečný objem zakázek.
Dark patterns: AI optimalizuje na konverzi, ne na zákonnost
Požádejte AI o „výraznější sběr e-mailů“ nebo o „vyšší konverzi v košíku“ a dostanete přesně to, co model viděl na tisících webů - včetně praktik, které jsou v EU zakázané. Předzaškrtnuté políčko souhlasu. Tlačítko „Odmítnout“ o dvě úrovně hlouběji než „Přijmout vše“. Odpočet, který se po obnovení stránky resetuje. Zrušení odběru schované v nastavení účtu. Model nerozlišuje mezi tím, co zvyšuje čísla, a tím, co je legální. Rozlišit to musíte vy.
Postižitelné je to už dnes, a to hned podle několika předpisů:
- klamavé a agresivní obchodní praktiky podle zákona č. 634/1992 Sb., o ochraně spotřebitele - dopadají na každý e-shop bez ohledu na velikost, dozor vykonává ČOI,
- článek 25 nařízení DSA - provozovatelé online platforem nesmějí navrhovat rozhraní tak, aby uživatele klamali nebo manipulovali,
- souhlas podle GDPR a pravidla pro cookies - souhlas musí být svobodný a odmítnutí stejně snadné jako přijetí; nerovnocenná tlačítka v cookie liště jsou klasický nález ÚOOÚ,
- pravidla pro slevy a recenze účinná od ledna 2023 - nejnižší cena za třicet dní, zákaz falešných recenzí, zákaz nákladů odhalených až v posledním kroku objednávky.
Chystaný Digital Fairness Act má dark patterns řešit souhrnně, Komise ho ale plánuje předložit až koncem roku 2026 a k účinnosti povede ještě dlouhá cesta. Argument „na tohle zatím není předpis“ tedy neplatí už teď. Souvislosti mezi AI a ochranou spotřebitele shrnuje i heslo AI a spotřebitelské právo.
Pozor na rozdělení následků. Pokutu dostane klient, protože vůči spotřebiteli i dozoru vystupuje jako provozovatel webu. Vám se to ale vrátí reklamací - dodali jste dílo, které nelze legálně provozovat, a to je vada. Do smlouvy proto patří i to, kdo odpovídá za soulad rozhraní se spotřebitelským právem, a do procesu kontrola cookie lišty, souhlasů a checkoutu dřív, než web pustíte živý. A když si dark pattern vyžádá sám klient, mějte jeho pokyn i své varování písemně.
AI Act: co pro dodavatele webů platí od 2. srpna 2026
Akt o umělé inteligenci (nařízení EU 2024/1689) samotný vibe coding nereguluje. Reguluje ale to, co z vaší firmy vychází ven, a to, jak s AI pracujete uvnitř.
Už platí. Od 2. února 2025 musí každý, kdo AI systémy zavádí nebo používá, zajistit dostatečnou úroveň AI gramotnosti u svých lidí (článek 4). Pro firmu, kde polovina týmu denně promptuje, to znamená doložitelné školení a interní pravidla, ne jen dobrý pocit. Právě na to míří naše kurzy a školení, zejména jednodenní školení AI a právo, které vedeme společně se Skřivánkem - jeho certifikát slouží jako doklad o proškolení v oblasti AI gramotnosti.
Od 2. srpna 2026. Uplatní se transparenční povinnosti podle článku 50. Pro weby, které stavíte, to prakticky znamená, že chatbot nebo hlasový asistent musí uživateli sdělit, že komunikuje s AI, a uměle generovaný či manipulovaný obsah musí být strojově čitelně označen. Jediná výjimka se týká strojově čitelného označování podle čl. 50 odst. 2 u generativních systémů, které byly na trhu již před 2. srpnem 2026 - ty mají čas do 2. prosince 2026. Povinnost přiznat uživateli, že komunikuje s AI, odklad nemá a systémy nasazené od 2. srpna 2026 musí splnit i označování okamžitě. Za porušení hrozí pokuta až 15 milionů eur nebo 3 % celosvětového ročního obratu. Rozsah povinností vykládají pokyny Evropské komise přijaté 20. července 2026; širší souvislosti shrnujeme v článku AI Compliance.
Mlčenlivost, obchodní tajemství a data v promptu
Druhá polovina rizika není ve výstupu, ale ve vstupu. Když do AI nástroje vložíte zdrojový kód klienta, jeho interní dokumentaci nebo databázi zákazníků, můžete porušit doložku mlčenlivosti i ochranu obchodního tajemství podle § 504 občanského zákoníku. Obsahuje-li vstup osobní údaje, potřebujete pro jejich předání poskytovateli nástroje právní titul a zpravidla i zpracovatelskou smlouvu.
Nastavte si proto tři věci, které nic nestojí a hodně vyřeší: firemní účty AI nástrojů s vypnutým využitím vstupů k trénování, písemnou interní směrnici o tom, které nástroje jsou povolené a jaká data do nich nesmí, a jednu větu ve smlouvě s klientem, kterou použití AI odsouhlasí a vymezíte v ní jeho rozsah.
Checklist: co si nastavit hned
- Revidujte licenční doložky ve vzorové smlouvě o dílo a odlište chráněné a nechráněné části plnění.
- Doplňte do smlouvy prohlášení o použití AI a souhlas klienta s ním.
- Sjednejte si písemně licenci od externích vývojářů; u zaměstnanců ověřte režim zaměstnaneckého díla.
- Zaveďte povinné code review člověkem u všeho, co jde do produkce.
- Spusťte automatizovanou kontrolu licencí a závislostí (SCA, SBOM) a zakažte copyleftové licence v proprietárních projektech.
- Ověřujte, že balíčky navržené AI reálně existují a jsou udržované.
- Používejte firemní účty AI nástrojů s vypnutým trénováním na vstupech.
- Sepište interní směrnici o povolených nástrojích a zakázaných datech, proškolte tým a školení zdokumentujte (článek 4 AI Actu).
- Před spuštěním zkontrolujte cookie lištu, souhlasy a checkout na dark patterns.
- Označte chatboty a generovaný obsah na webech klientů do 2. srpna 2026.
- Zkontrolujte limitaci náhrady škody ve smlouvě a rozsah pojištění profesní odpovědnosti.
Vibe coding sám o sobě není právní problém. Problém nastává tam, kde rychlost dodávky předběhne dokumentaci, smlouvu a kontrolu. Dodavatel, který má tyto tři věci v pořádku, může AI využívat naplno - a ještě z toho udělat konkurenční výhodu, protože klientovi dokáže vysvětlit, co přesně kupuje.
Často kladené dotazy
Je kód vygenerovaný AI chráněný autorským právem?
Kód, který vygenerovala AI bez tvůrčího přispění člověka, autorskoprávní ochranu nepožívá. Autorem díla může být podle § 5 odst. 1 autorského zákona jen fyzická osoba a počítačový program je chráněn tehdy, je-li původní v tom smyslu, že jde o autorův vlastní duševní výtvor (§ 2 odst. 2 autorského zákona). Chráněné mohou být části, na kterých se člověk tvůrčím způsobem podílel - vlastní architektura řešení, netriviální úpravy nebo tvůrčí výběr a uspořádání komponent. Samotný prompt, byť sebedelší, ochranu výsledku nezakládá.
Můžeme klientovi poskytnout výhradní licenci ke kódu, který napsala AI?
K nechráněnému kódu licenci poskytnout nelze - licence je svolením k výkonu práva, které v takovém případě nikdo nemá. Pokud smlouva slíbí klientovi výhradní licenci ke všem výstupům, dodavatel slibuje víc, než může splnit, a vystavuje se riziku odpovědnosti za právní vady díla. Praktické řešení: ve smlouvě odlišit chráněné a nechráněné části plnění, licencovat vše licencovatelné (dokumentaci, grafiku, texty, databázi) a u zbytku klienta zajistit závazkově - mlčenlivostí, zákazem dalšího šíření a závazkem stejné řešení nedodat jeho konkurenci.
Musíme klientovi říct, že jsme web tvořili pomocí AI?
Výslovnou zákonnou povinnost odhalit použití AI při vývoji české právo zatím neukládá. Zamlčení se ale může vymstit hned dvakrát: pokud si klient objednal originální autorské dílo a dostal nechráněný výstup, jde o vadu plnění, a pokud jste do AI nástroje vložili jeho data, mohli jste porušit mlčenlivost. Transparentní ujednání o použití AI ve smlouvě je proto v zájmu obou stran. Něco jiného je transparentnost vůči koncovým uživatelům podle článku 50 AI Actu - chatbot na webu musí od 2. srpna 2026 návštěvníkovi sdělit, že komunikuje s AI.
Kdo odpovídá za bezpečnostní chybu ve webu vytvořeném vibe codingem?
Vůči klientovi odpovídá dodavatel jako zhotovitel díla. To, že problematický kód navrhla AI, není liberační důvod - odpovědnost za vady i za škodu je v občanském zákoníku koncipována objektivně a AI je z pohledu práva pouhý nástroj, nikoli subjekt. Pokud incident zasáhne osobní údaje, přistupuje odpovědnost podle GDPR vůči klientovi i dozorovému úřadu. Riziko snižuje limitace náhrady škody ve smlouvě, pojištění profesní odpovědnosti a především reálné code review a bezpečnostní test před nasazením.
Hrozí porušení open source licence, i když kód napsala AI?
Ano. Jazykové modely se učily i na veřejných repozitářích a mohou vygenerovat pasáž shodnou nebo velmi podobnou existujícímu kódu pod licencí GPL, AGPL, Apache či MIT. Odpovědnost za dodržení licenčních podmínek nese ten, kdo kód šíří - tedy dodavatel a následně klient. U copyleftových licencí může porušení znamenat povinnost zveřejnit zdrojový kód celého řešení. Riziko snižuje automatizovaná analýza složení kódu (SCA), evidence použitých knihoven a interní pravidlo, které copyleftové licence v proprietárních projektech vylučuje.
Vztahuje se AI Act na dodavatele webů?
Ano, i když obvykle ne v roli poskytovatele vysoce rizikového systému. Od 2. února 2025 platí povinnost zajistit dostatečnou úroveň AI gramotnosti u lidí, kteří s AI systémy pracují (článek 4 AI Actu) - to dopadá na každého dodavatele, který AI používá při práci. Od 2. srpna 2026 se uplatní transparenční povinnosti podle článku 50, tedy označení chatbotů a strojově čitelné označení generovaného obsahu. U generativních systémů, které byly na trhu již před tímto datem, má strojově čitelné označování podle čl. 50 odst. 2 čas do 2. prosince 2026; povinnost přiznat uživateli, že komunikuje s AI, žádný odklad nemá.
Můžeme do AI nástroje vložit zdrojový kód nebo data klienta?
Jen tehdy, máte-li to ošetřené. Zdrojový kód, dokumentace i interní podklady klienta bývají obchodním tajemstvím a chrání je i běžná doložka mlčenlivosti; jejich vložení do veřejné verze AI nástroje může být porušením smlouvy. Pokud prompt obsahuje osobní údaje, potřebujete právní titul a zpravidla i zpracovatelskou smlouvu s poskytovatelem nástroje. Minimum, které by měl mít každý dodavatel: firemní účty s vypnutým trénováním na vstupech, interní směrnici o povolených nástrojích a pravidlo data před vložením anonymizovat.
Odpovídáme za dark patterns, které navrhla AI?
Vůči klientovi ano, protože dílo dodáváte vy. Pokutu od dozorového úřadu ale dostane klient - vůči spotřebiteli i vůči ČOI nebo ÚOOÚ vystupuje jako provozovatel webu. Vám se to vrátí jako reklamace: rozhraní, které nelze legálně provozovat, je vada díla. AI přitom generuje vzory naučené z webu, kde jsou předzaškrtnutá políčka souhlasu nebo nerovnocenná tlačítka v cookie liště běžné, takže kontrola konsentních prvků, cookie lišty a checkoutu patří do procesu před spuštěním. Pokud si dark pattern vyžádá sám klient, mějte jeho pokyn i své varování písemně.
Používáte AI při vývoji a chcete mít smlouvy i procesy v pořádku? Ozvěte se nám.
V oblasti duševního vlastnictví i byznysu revidujeme smlouvy o dílo a licenční ujednání dodavatelů webů, nastavíme interní pravidla pro práci s AI nástroji, proškolíme tým v Preegal akademii a připravíme dokumentaci k AI gramotnosti podle AI Actu. Než podepíšete další zakázku s klauzulí o výhradní licenci ke všem výstupům, kontaktujte Preegal advokátní kancelář a proberte s námi, co svým klientům reálně dodáváte.
