Hlášení AI incidentu | Incident Report Form

Formulář pro zaměstnance | Verze 1.0

Kdy použít tento formulář?

Použijte tento formulář, pokud:

❌ Omylem jste odeslali citlivá data do AI nástroje
❌ AI vygenerovala nesprávné/škodlivé informace, které byly použity
❌ Došlo k úniku důvěrných firemních informací
❌ Objevili jste bezpečnostní problém s AI nástrojem
❌ Někdo zneužívá AI v rozporu s firemní politikou

Okamžité kroky (PŘED vyplněním formuláře)

┌─────────────────────────────────────────────────────────────────────────────┐
│                                                                             │
│   1️⃣  STOP                                                                  │
│       Okamžitě přestaňte používat daný AI nástroj                          │
│                                                                             │
│   2️⃣  NEMAZAT                                                               │
│       Neodstraňujte žádné důkazy (historie chatu, screenshoty)             │
│                                                                             │
│   3️⃣  DOKUMENTOVAT                                                          │
│       Udělejte screenshot konverzace/chyby                                 │
│                                                                             │
│   4️⃣  HLÁSIT                                                                │
│       Vyplňte tento formulář a odešlete na [SECURITY-EMAIL]                │
│                                                                             │
│   ⏱️  ČASOVÝ LIMIT: Do 1 hodiny od zjištění                                 │
│                                                                             │
└─────────────────────────────────────────────────────────────────────────────┘

Formulář hlášení incidentu

Sekce A: Základní informace

Pole	Vyplňte
Datum incidentu	[DD.MM.RRRR]
Čas incidentu	[HH:MM]
Datum hlášení	[DD.MM.RRRR]
Čas hlášení	[HH:MM]

Sekce B: Informace o vás

Pole	Vyplňte
Jméno a příjmení
Oddělení
Email
Telefon
Nadřízený

Sekce C: Typ incidentu

Zaškrtněte všechny relevantní:

Únik osobních údajů - Odeslání jmen, emailů, r.č., zdravotních dat do AI
Únik firemních dat - Odeslání strategie, smluv, kódu do AI
Únik přístupových údajů - Odeslání hesel, API klíčů, tokenů do AI
Chybný AI výstup - AI poskytla nesprávné informace, které byly použity
Nevhodný obsah - AI vygenerovala diskriminační/škodlivý obsah
Neschválený nástroj - Použití AI nástroje, který není schválen
Zneužití AI - Někdo používá AI v rozporu s politikou
Bezpečnostní problém - Technický problém s AI nástrojem
Jiné - Specifikujte: ________________________________

Sekce D: Detail incidentu

Jaký AI nástroj byl použit?

Popište, co se stalo:

[Popište incident vlastními slovy. Buďte co nejkonkrétnější.
Co jste chtěli udělat? Co se stalo? Kdy jste si uvědomili problém?]

________________________________________________________________
________________________________________________________________
________________________________________________________________
________________________________________________________________
________________________________________________________________

Jaká data byla zasažena?

[Popište typ dat, která byla odeslána/zasažena. NEPIŠTE sem
samotná citlivá data - pouze jejich typ a přibližný rozsah.]

Příklad: "Jména a emaily 5 klientů", "Část zdrojového kódu
autentizačního modulu", "Interní prezentace o strategii"

________________________________________________________________
________________________________________________________________
________________________________________________________________

Kolik záznamů/osob bylo zasaženo?

Sekce E: Dopad

Jaký je potenciální dopad?

Dopad	ANO	NE	NEVÍM
Únik osobních údajů klientů	[ ]	[ ]	[ ]
Únik osobních údajů zaměstnanců	[ ]	[ ]	[ ]
Únik obchodního tajemství	[ ]	[ ]	[ ]
Finanční ztráta	[ ]	[ ]	[ ]
Reputační škoda	[ ]	[ ]	[ ]
Právní důsledky	[ ]	[ ]	[ ]
Bezpečnostní riziko	[ ]	[ ]	[ ]

Odhadovaná závažnost:

🟢 Nízká - Minimální dopad, snadno napravitelné
🟡 Střední - Omezený dopad, vyžaduje akci
🔴 Vysoká - Významný dopad, urgentní řešení
⚫ Kritická - Závažný dopad, okamžitá eskalace

Sekce F: Přijatá opatření

Co jste již udělali?

Přestal/a jsem používat AI nástroj
Udělal/a jsem screenshot jako důkaz
Informoval/a jsem nadřízeného
Kontaktoval/a jsem IT/Security
Jiné: ________________________________

Sekce G: Přílohy

Připojte relevantní důkazy:

Screenshot konverzace s AI
Screenshot chybové hlášky
Log soubor
Jiné: ________________________________

[Popište, jaké přílohy přikládáte]

________________________________________________________________
________________________________________________________________

Kam odeslat?

┌─────────────────────────────────────────────────────────────────────────────┐
│                                                                             │
│   📧 PRIMARY: [SECURITY-EMAIL]                                             │
│                                                                             │
│   📧 CC: [DPO-EMAIL] (pokud jde o osobní údaje)                            │
│                                                                             │
│   📱 URGENTNÍ (mimo pracovní dobu): [SECURITY-PHONE]                       │
│                                                                             │
│   💬 Slack/Teams: #security-incidents                                      │
│                                                                             │
└─────────────────────────────────────────────────────────────────────────────┘

Co se stane po nahlášení?

PROCES ŘEŠENÍ INCIDENTU
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

1. PŘIJETÍ (do 1 hodiny)
   └─ Security tým potvrdí přijetí hlášení

2. TRIAGE (do 4 hodin)
   └─ Posouzení závažnosti a priority

3. VYŠETŘOVÁNÍ (1-3 dny)
   └─ Analýza rozsahu a dopadu

4. NÁPRAVA (dle závažnosti)
   └─ Implementace opatření

5. UZAVŘENÍ
   └─ Informování reportéra o výsledku

DŮLEŽITÉ:
• Budete informováni o průběhu řešení
• Můžete být požádáni o další informace
• Nebudete potrestáni za čestné nahlášení vlastní chyby

Často kladené otázky

Budu potrestán za nahlášení vlastní chyby?

NE. Rychlé a čestné nahlášení je ceněno a pomáhá minimalizovat škody. Sankce hrozí pouze při:

Úmyslném porušení pravidel
Opakovaném porušování
Zatajování incidentů

Musím hlásit, i když si nejsem jistý?

ANO. Pokud máte pochybnosti, raději nahlaste. Je lepší prověřit falešný poplach než přehlédnout skutečný incident.

Co když incident zjistím u kolegy?

Můžete nahlásit anonymně nebo informovat svého nadřízeného. Důležité je, aby byl incident prošetřen.

Jak rychle musím hlásit?

Do 1 hodiny od zjištění. U kritických incidentů (hesla, finanční data) okamžitě.

Klasifikace závažnosti

Úroveň	Popis	Příklady	Reakce
🟢 Nízká	Minimální dopad	Obecný text bez citlivých dat	Běžné řešení
🟡 Střední	Omezený dopad	Jméno + email 1 osoby	Do 24 hodin
🔴 Vysoká	Významný dopad	Osobní údaje více osob	Do 4 hodin
⚫ Kritická	Závažný dopad	Zdravotní/finanční data, hesla	Okamžitě

Kontakty pro eskalaci

Role	Kontakt	Kdy eskalovat
Security Team	[SECURITY-EMAIL]	Vždy (první kontakt)
DPO	[DPO-EMAIL]	Osobní údaje
CISO	[CISO-EMAIL]	Vysoká/Kritická závažnost
CTO	[CTO-EMAIL]	Technické problémy
Legal	[LEGAL-EMAIL]	Právní důsledky
CEO	[CEO-EMAIL]	Kritické incidenty

Potvrzení

Podpisem potvrzuji, že:

Informace v tomto hlášení jsou pravdivé a úplné dle mého nejlepšího vědomí
Jsem připraven/a poskytnout další informace, pokud budou potřeba

Jméno: ____________________ Datum: ____________________ Podpis: ____________________

Verze: 1.0 | Platí od: [DATUM]

Tento formulář je důvěrný. Bude zpracován pouze oprávněnými osobami.