Postavit web dnes zvládne skoro každý. Popíšete, co chcete, a nástroj s umělou inteligencí vygeneruje stránky, kontaktní formulář i košík. Odpovědnost za to, co na webu běží, ale nese jeho majitel. Pokutu od ČOI nebo od Úřadu pro ochranu osobních údajů dostane firma, která web provozuje.

Kód z AI navíc není tak bezpečný, jak vypadá. Společnost Veracode v roce 2025 otestovala přes 100 jazykových modelů na 80 programovacích úlohách. Ve 45 % úloh obsahoval vygenerovaný kód bezpečnostní chybu ze seznamu OWASP Top 10. U Javy selhaly modely ve více než 70 % případů a ochranu proti útoku XSS nezvládly v 86 % případů.

Tenhle přehled je pro majitele webů a e-shopů v Česku, kteří si web udělali sami (často s AI) nebo ho delší dobu neaktualizovali. U každého bodu najdete krátký seznam „Co zkontrolovat“. Konkrétní nastavení a opravy se liší web od webu, proto je řešíme až na konzultaci.

Google ohlásil, že s verzí Chrome 154 (říjen 2026) zapne všem uživatelům ve výchozím nastavení funkci „Vždy používat zabezpečená připojení“. Když pak někdo otevře veřejný web bez HTTPS, Chrome ho nejdřív upozorní, že připojení není zabezpečené, a zeptá se, jestli chce pokračovat. Uživatelé s rozšířenou ochranou (Enhanced Safe Browsing) mají tohle chování už od Chrome 147 z dubna 2026.

Pro e-shop to znamená, že část zákazníků uvidí varování dřív než vaši nabídku. A u webu bez HTTPS putují data z formulářů (jméno, e-mail, heslo) po síti nešifrovaně.

Častým problémem je web, který na HTTPS běží jen napůl. Hlavní stránka je v pořádku, jenže subdoména s blogem, starý obrázek nebo skript se pořád načítá přes http://.

Weby generované s AI mají opakující se slabinu: API klíče a hesla přímo v kódu. Co je v JavaScriptu, který se posílá do prohlížeče, si může přečíst každý návštěvník přes „Zobrazit zdrojový kód“ nebo vývojářské nástroje. Týká se to klíčů k platební bráně, e-mailové službě, databázi nebo k placenému AI API. Uniklý klíč k AI API znamená, že za cizí provoz zaplatíte vy.

Stejné riziko je u veřejného repozitáře na GitHubu. Klíč smazaný v novější verzi zůstává v historii změn.

Druhým slabým místem jsou formuláře. Kontaktní formulář bez ochrany zneužijí roboti k rozesílání spamu, registrační formulář k zakládání falešných účtů. Kontrola, kterou dělá jen JavaScript v prohlížeči, útočníka nezastaví, protože požadavek může poslat na server přímo.

Záloha má cenu jen tehdy, když z ní jde web skutečně obnovit. Ověřit se to dá jediným způsobem: zkušebním obnovením. Hodně majitelů webů zjistí až po havárii, že se zálohovaly soubory, ale ne databáze s objednávkami, nebo že poslední funkční záloha je půl roku stará.

Druhá věc je testovací prostředí. Aktualizace pluginů, nová šablona nebo úprava kódu od AI by se měly nejdřív vyzkoušet na kopii webu, ne na ostrém e-shopu v pátek večer.

Podrobněji o zálohách píšeme v samostatném článku.

Od 1. 1. 2022 platí v Česku pro cookies režim opt-in (novela § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích). Analytické a marketingové cookies smíte uložit až po souhlasu návštěvníka. Bez souhlasu jdou jen technicky nezbytné cookies, třeba pro košík nebo přihlášení.

Souhlas musí být svobodný, takže odmítnout musí jít stejně snadno jako přijmout. Soudní dvůr EU v rozsudku Planet49 (C-673/17, 2019) potvrdil, že předem zaškrtnuté políčko platný souhlas není.

Že úřad tohle opravdu kontroluje, ukazuje příkaz ÚOOÚ z 18. 7. 2023 s pokutou 602 000 Kč. Úřad na webu zjistil, že ještě před volbou návštěvníka se ukládaly netechnické cookies s platností v řádu let (jedna až na deset let). U části cookies chyběl účel a popisy nebyly v češtině. Při první kontrole v roce 2022 byla volba „Odmítnout souhlas“ až ve druhé vrstvě lišty a úřad to označil za porušení podmínky svobodného souhlasu. Provozovatel lištu později upravil, ale cookies před souhlasem se ukládaly dál.

Každý formulář, který sbírá jméno, e-mail nebo telefon, zpracovává osobní údaje. Podle čl. 13 GDPR musíte člověku v okamžiku, kdy údaje zadává, říct, kdo je správce a jak ho kontaktovat, k jakému účelu a na jakém právním základě údaje zpracováváte, komu je předáváte, jak dlouho je uchováte a jaká má práva.

V praxi stačí krátká věta u tlačítka „Odeslat“ s odkazem na zásady zpracování osobních údajů. Zaškrtávací políčko se souhlasem často potřeba není: když vás někdo žádá o nabídku, zpracováváte jeho údaje kvůli vyřízení jeho žádosti. Jiná situace je newsletter nebo marketing.

U webů z AI bývá nejasné, kam data z formuláře vlastně odcházejí. Může to být e-mail, databáze, externí formulářová služba nebo CRM. Každá taková služba je zpracovatel a s každým byste měli mít zpracovatelskou smlouvu (u velkých služeb bývá součástí obchodních podmínek).

Podle § 435 občanského zákoníku musí každý podnikatel na svých webových stránkách uvést jméno nebo firmu, sídlo, IČO a u zapsaných subjektů také údaj o zápisu do veřejného rejstříku včetně oddílu a vložky. Patří sem i kontakt, na kterém vás zákazník zastihne.

E-shop má povinností víc. Před uzavřením smlouvy musí zákazník znát cenu včetně daní, náklady na dodání, způsob platby a podmínky odstoupení od smlouvy (§ 1820 občanského zákoníku). Zákon o ochraně spotřebitele dále vyžaduje informace o tom, jak a kde reklamovat (§ 13), což se obvykle řeší reklamačním řádem, a informaci o mimosoudním řešení sporů, které u běžných e-shopů vede ČOI (§ 14).

Od 6. 1. 2023 platí § 12a zákona o ochraně spotřebitele. Když oznamujete slevu, musíte uvést nejnižší cenu, za kterou jste zboží nabízeli v posledních 30 dnech před slevou, a slevu počítat právě z ní. Přeškrtnout „původní“ cenu, za kterou se nikdy neprodávalo, nejde.

ČOI to kontroluje soustavně. V roce 2025 provedla 1 432 kontrol slev a porušení našla v 734 z nich, tedy v 51 % případů. Nekalé obchodní praktiky zjistila ve 368 případech, porušení samotného § 12a ve 324 případech. Pravomocných pokut bylo za rok 380 v celkové výši 38 661 500 Kč.

Inspekce si všímá i obcházení pravidla. Obchodníci podle ní stále častěji místo slovní „slevy“ používají barevné cenovky a hesla jako „Ušetřete 50 %“, „SUPER cena“, „cena s aplikací“ nebo „doporučená cena od výrobce“. ČOI také upozorňuje, že zboží „ve slevě“ několik měsíců v kuse už skutečná sleva není.

Zákon č. 159/2026 Sb., vyhlášený 2. 9. 2026, přidává do občanského zákoníku nový § 1830a. Od 1. 1. 2027 musí každý, kdo uzavírá se spotřebiteli smlouvy přes web nebo aplikaci, umožnit odstoupení od smlouvy přímo tlačítkem. Týká se to prodeje zboží, služeb i digitálního obsahu, s výjimkou smluv, u kterých spotřebitel právo na odstoupení nemá (§ 1840).

Zákon popisuje postup přesně:

Důvodová zpráva připouští, že tlačítko může být na webu trvale, bez vazby na lhůtu konkrétní objednávky. Podle ní to může být pro podnikatele jednodušší řešení. Kdo tlačítko nebo potvrzení nezajistí, dopouští se přestupku podle zákona o ochraně spotřebitele. Informaci o tlačítku a jeho umístění musíte doplnit i do předsmluvních informací, tedy do obchodních podmínek (§ 1820 odst. 1 písm. i).

Zákon č. 424/2023 Sb. o požadavcích na přístupnost výrobků a služeb je účinný od 28. 6. 2025. Je to česká verze evropského aktu o přístupnosti (European Accessibility Act). Mezi službami, na které se vztahuje, jsou i služby elektronického obchodu pro spotřebitele, tedy e-shopy.

Výjimku mají mikropodniky, tedy firmy s méně než 10 zaměstnanci a ročním obratem nebo bilanční sumou do 2 milionů eur. Pokud do této kategorie nespadáte, váš e-shop musí být použitelný i pro lidi se zrakovým, sluchovým nebo motorickým postižením. Měřítkem v praxi je harmonizovaná norma EN 301 549, která odkazuje na pravidla WCAG 2.1 na úrovni AA. Dozor u e-shopů vykonává ČOI a za nejzávažnější porušení hrozí pokuta až 10 milionů Kč.

Typické problémy webů postavených v rychlosti: nízký kontrast textu, obrázky bez alternativního popisu, formuláře bez popisků polí, prvky, které nejde ovládat klávesnicí, a chybové hlášky, kterým čtečka obrazovky nerozumí.

Od 2. 8. 2026 platí povinnosti transparentnosti podle čl. 50 evropského nařízení o umělé inteligenci (AI Act). Systém, který komunikuje přímo s lidmi, musí být navržený tak, aby člověk věděl, že mluví s AI. Výjimka platí jen tam, kde je to zřejmé z okolností, a Evropská komise ji podle svých pokynů vykládá úzce. Obecné povědomí lidí o tom, že chatboti existují, nestačí. Za porušení čl. 50 hrozí pokuta až 15 milionů eur nebo 3 % celosvětového ročního obratu.

Kromě označení je tu otázka odpovědnosti za odpovědi bota. V Kanadě v roce 2024 řešil tribunál stížnost zákazníka, kterému chatbot Air Canada chybně slíbil zpětné proplacení části letenky. Aerolinka tvrdila, že za informace od chatbota neodpovídá. Tribunál argument odmítl a nařídil jí zaplatit rozdíl v ceně, celkem s úroky a poplatky zhruba 812 kanadských dolarů. Firma podle něj odpovídá za všechny informace na svém webu, ať je napíše člověk, nebo chatbot.

Proto se vyplatí botovi nastavit hranice: na co smí odpovídat, kde musí odkázat na obchodní podmínky a kdy předat konverzaci člověku.

Tenhle seznam říká, co zkontrolovat. Jak konkrétně nastavit cookie lištu, consent mode nebo přístupová práva k databázi, záleží na technologii, na které web běží. To projdeme společně na konzultaci.