Citlivostní štítky (sensitivity labels): kterých pět stačí pro start

V článku o třech licencích jsme napsali jednu větu, která si zaslouží celý samostatný díl: sensitivity labels jsou most mezi oprávněním a klasifikací. Zní to jako věta pro compliance oddělení. Ve skutečnosti je to nejpraktičtější nástroj ochrany firemních dat, který máte nejspíš už zaplacený ve své licenci – a skoro jistě ho nepoužíváte.

Citlivostní štítky (anglicky sensitivity labels) jsou přitom tak trochu tajemství. Většina firem o nich buď neví, nebo je zná jen z názvu a považuje je za „něco složitého kolem šifrování”. Tenhle článek chce ten dojem rozbít. Projdeme si popořadě: co to je, k čemu to slouží, co k tomu potřebujete a jak to funguje – a na konci dostanete konkrétní pětici štítků, se kterou můžete začít, aniž byste předtím museli půl roku plánovat.

Zkráceně pro netrpělivé

Než se pustíme do detailů, tady je celé téma v pěti bodech:

• Co to je: neviditelná nálepka, kterou přilepíte na dokument, e-mail nebo web. Putuje s ním, ať se soubor přesune kamkoli – i mimo firmu.
• K čemu je: říká vašemu prostředí (a AI), jak je obsah citlivý – a podle toho umí sama vynutit ochranu: zašifrovat, zakázat přeposlání ven, přidat vodoznak.
• Co potřebujete: ruční štítkování máte už v Microsoft 365 Business Premium a E3. Pro automatické štítkování ve velkém je potřeba E5 (Purview Information Protection Plan 2).
• Jak se to dělá: štítky vytvoříte jednou v portálu Microsoft Purview, „vypublikujete” je uživatelům a ony se objeví přímo ve Wordu, Outlooku i SharePointu jako tlačítko.
• Proč zrovna teď: jakmile ve firmě zapnete Copilot nebo jinou AI, ta čte obsah podle oprávnění – ale bez štítků vidí smlouvu i pozvánku na oběd úplně stejně. Štítek je jazyk, kterým AI řeknete, čeho se nemá dotýkat.

Pokud vám tohle stačí, máte hlavní obrázek. Kdo chce vědět, jak to zapadá dohromady a kde jsou pasti, čte dál.

Co jsou citlivostní štítky doopravdy

Představte si klasické razítko „DŮVĚRNÉ” na papírové složce. Každý, kdo ji vezme do ruky, hned ví, jak s ní zacházet. Citlivostní štítek je totéž, jen digitální – a chytřejší. Je to kus metadat, který se připojí přímo k dokumentu, e-mailu, webu nebo skupině a zůstane s ním, i když soubor někdo stáhne, přepošle nebo uloží na USB.

Dvě věci jsou důležité pochopit:

1. Štítek putuje s obsahem, ne s místem. Když označíte dokument jako „Důvěrné” a někdo ho pošle e-mailem ven, štítek jde s ním. Ochrana se neztratí na hranici SharePointu.
2. Štítek může jen popisovat, nebo i vynucovat. Nejjednodušší štítek je pouhá nálepka – klasifikace pro přehled a reporting. Ten samý štítek ale můžete „vyzbrojit”: aby automaticky zašifroval soubor, přidal vodoznak, zakázal tisk nebo znemožnil přeposlání mimo firmu. Vy rozhodujete, kolik ochrany ke které úrovni patří.

Kde se štítky objeví? Přímo tam, kde lidé pracují – jako tlačítko v horní liště Wordu, Excelu, PowerPointu a Outlooku, jako volba u SharePoint webu nebo Teams týmu. Uživatel nemusí vědět nic o Purview ani o šifrování. Vidí jen nabídku „Veřejné / Interní / Důvěrné” a vybere.

K čemu to přesně je

Citlivostní štítky řeší dvě věci, které spolu souvisí, ale nejsou totéž:

1. Klasifikace – aby prostředí vědělo, co je co. Bez štítků leží v knihovnách všechno na jedné hromadě. Smlouva, mzdový výměr, marketingový leták i zápis z porady mají stejná oprávnění a vypadají stejně. Štítek je první moment, kdy obsah dostane jméno: „tohle je důvěrné, tamto veřejné”. Teprve na to jde navázat cokoli dalšího.

2. Ochrana – aby se s citlivým obsahem nedalo zacházet špatně. Jakmile štítek nese ochranu, stává se z přání vynutitelné pravidlo. „Tenhle dokument se nesmí poslat ven” už není poznámka v e-mailu, ale technická zábrana. Šifrování, omezení stažení, vodoznak, blokace tisku – to všechno se dá navázat na štítek a platí, ať je soubor kdekoli.

A do třetice rovina, která byla ještě před rokem okrajová a dnes je klíčová: štítky jsou jazyk, kterým mluvíte s AI. Microsoft 365 Copilot i další AI nástroje respektují oprávnění – ale oprávnění samo neřekne, že dokument je citlivý. Štítek ano. Zašifrovaný obsah Copilot ctí a nezobrazí ho někomu, kdo na něj nemá práva; a přes DLP politiky pro Copilot jde označený obsah z odpovědí AI úplně vyloučit. Bez štítků má AI na všechno stejný pohled. Se štítky jí dáte mantinely.

Stojí za to rozlišit dvě vrstvy, které se tu potkávají – oprávnění a klasifikaci – protože každá řeší něco jiného. Naše aplikace EasyPortal 365 AI Chat (Osobní zabezpečená AI) stojí na té první: čte SharePoint výhradně v identitě přihlášeného uživatele, takže AI nikdy neuvidí víc než člověk, který se ptá – žádný servisní účet se širším přístupem v ní neexistuje. Ještě před zapnutím navíc umí prostředí prověřit a upozornit správce na obsah otevřený pro celou organizaci (funkce Kontrola prostředí). To je vrstva oprávnění: hlídá, kdo se k obsahu dostane. Citlivostní štítky jsou vrstva druhá, komplementární – nesou informaci o tom, co obsah je, napříč všemi nástroji, a umí ho případně skrýt i před tím, kdo na něj technicky právo má. Ani jedna vrstva nenahrazuje druhou; dohromady dávají úplný obrázek.

Co k tomu potřebujete

Dobrá zpráva: nejspíš nemusíte nic dokupovat, abyste mohli začít.

• Ruční štítkování (uživatel sám vybere štítek) je součástí licencí Microsoft 365 Business Premium, E3 a vyšších. To pokrývá drtivou většinu firem a stačí to na kompletní start.
• Automatické štítkování (prostředí samo pozná citlivý obsah a označí ho) vyžaduje vyšší úroveň – typicky Microsoft 365 E5 nebo add-on Purview Information Protection Plan 2. To se hodí, až budete chtít označit tisíce existujících dokumentů najednou.

S licencí a bez ní. Rozlište dvě věci – přidat štítek a pocítit jeho ochranu. Ručně štítkovat může jen ten, kdo má licenci (Business Premium/E3 a výš). Ochrana už jednou označeného dokumentu ale platí pro každého: šifrování a omezení se vynucují na úrovni souboru, ne uživatele – takže i kolega nebo externí příjemce bez licence narazí na to, že zašifrovaný dokument neotevře nebo nepřepošle. Štítek chrání i tam, kam licence nedosáhla.

Kde se to nastavuje: v portálu Microsoft Purview (dřív Compliance centrum). Tam štítky vytvoříte, nastavíte jim ochranu a „vypublikujete” je vybraným lidem přes takzvanou label policy. Je to práce pro správce, ne pro koncového uživatele – ten pak jen vybírá z hotové nabídky.

Jedna věc, kterou je dobré vědět dopředu: štítky mají pořadí podle citlivosti. „Veřejné” je nejníž, „Přísně důvěrné” nejvýš. To pořadí rozhoduje, když se potkají dvě pravidla – proto si ho promyslete hned, ne až za pochodu.

Kterých pět štítků stačí pro start

Tady je jádro celého článku. Microsoft i praxe se shodují na jednom: méně je víc. Doporučený strop je pět štítků nejvyšší úrovně (každý případně s několika podštítky). Firmy, které začnou s osmi nebo deseti, skoro vždy narazí – uživatelé se v nich ztratí a adopce se rozpadne. Nejčastější příčina neúspěchu není technika, ale příliš složitá taxonomie hned na začátku.

Pětice, se kterou nešlápnete vedle:

1. Veřejné – obsah určený ven bez omezení: letáky, tiskové zprávy, veřejné ceníky. Žádná ochrana, jen jasné označení „tohle ven může”.
2. Interní – výchozí stav pro běžný firemní provoz: zápisy, prezentace, provozní dokumenty. Není to tajné, ale nepatří to ven. Tenhle štítek bude na většině obsahu.
3. Důvěrné – obsah jen pro zaměstnance a schválené partnery: smlouvy, obchodní podklady, interní finance. Tady začíná ochrana – typicky zákaz externího sdílení.
4. Přísně důvěrné – to nejcitlivější: mzdy, osobní data, strategické a právní materiály, fúze a akvizice. Šifrování, úzký okruh lidí, často vyloučení z AI.
5. (volitelně) Regulované / Bez AI – speciální štítek pro obsah pod zvláštním režimem: data pod GDPR nad rámec běžného, dokumenty, které nesmí do AI groundingu. Zakládejte ho jen když ho opravdu potřebujete.

Zlaté pravidlo pojmenování: konkrétně, ne obecně. „Důvěrné – jen zaměstnanci” řekne uživateli víc než „Důvěrné 1”. Čím jasnější název, tím míň chyb při výběru.

Štítek „Bez AI” je jen tak silný, jak ho AI respektuje

Pátý štítek stojí za poznámku navíc, protože se dotýká přesně toho, o čem je dnes řeč. Označit dokument „Bez AI” má smysl jen tehdy, když nástroj, který AI pohání, ten štítek skutečně ctí. Microsoft 365 Copilot to řeší přes DLP politiky pro Copilot – označený obsah z odpovědí vyloučí. U vlastních a partnerských AI řešení se proto vyplatí ptát se: jak nakládáte s citlivostními štítky?

Náš EP365 AI Chat vymezuje, co AI uvidí, primárně přes oprávnění a vymezený rozsah zdrojů – obsah, který nemá do AI, z něj dnes vyřadíte tím, že ho ponecháte mimo tento rozsah nebo na něj omezíte přístup. Přímé respektování štítku „Bez AI” – aby se citlivě označený dokument nedostal do odpovědi ani oprávněnému uživateli – je logický další krok, kterým se dá tahle kontrola ještě zpřesnit. Přesně tenhle typ zpětné vazby z praxe nám určuje, kam aplikaci rozvíjet dál.

Jak to zavést, aby to nezkrachovalo

Nasazení štítků není o tom udělat všechno naráz. Osvědčený postup jde ve vlnách:

1. Nejdřív se domluvte, ne klikejte. Taxonomii (těch pět štítků) odsouhlaste s byznysem – HR, právník, finance, vedení. Štítky musí sedět tomu, jak lidé o datech reálně přemýšlí, ne tomu, jak je vidí IT.
2. Pilot na malé skupině. Zapněte štítky nejdřív pro pár lidí, kteří dají zpětnou vazbu. Odladíte názvy a ochranu dřív, než je uvidí celá firma.
3. Rozjezd po krocích. Nejdřív štítkování e-mailů (nejsnazší návyk), pak volitelné štítkování dokumentů, pak teprve automatické štítkování a nakonec DLP pravidla, která na štítky navazují.
4. Šifrování jen nahoře. Ochranu zapínejte opatrně a od nejvyšších stupňů. Zašifrovaný dokument se chová jinak (nejde vždy otevřít externě, komplikuje některé nástroje) – vyzkoušejte to na pilotu, ne plošně.

Nejdůležitější věta celé sekce: taxonomii je nejtěžší opravit zpětně. Až budou štítky na desítkách tisíc dokumentů, přejmenování bolí. Půl dne strávený nad tím, kterých pět štítků a jak je pojmenovat, ušetří měsíce.

Co dělat se starým obsahem

Zůstává otázka, která firmy nejvíc odrazuje: máme statisíce existujících dokumentů bez štítků – co s nimi?

Ručně to nikdo neoznačí, na to zapomeňte. Cesty jsou dvě:

• Automatické štítkování podle obsahu. Prostředí umí samo poznat citlivé vzory – čísla účtů, rodná čísla, klíčová slova – a přiřadit štítek bez lidského zásahu. Vyžaduje vyšší licenci (E5), ale zvládne tisíce souborů najednou.
• Výchozí štítek na knihovnu. Knihovně nastavíte výchozí štítek a nový obsah ho dostane automaticky. Donedávna to platilo jen pro nově nahrané nebo upravené soubory. Nově Microsoft chystá automatické oštítkování i existujících souborů „v klidu” – tedy i těch, které roky nikdo neotevřel (public preview je plánovaná na srpen 2026, obecná dostupnost na říjen 2026). To zavírá letitou mezeru, kdy starý neoznačený obsah zůstával mimo ochranu. Ruční výběr uživatele přitom zůstane respektován – když si někdo vědomě zvolil jiný štítek, systém mu ho nepřepíše.

Praktický závěr: začněte s novým obsahem a pilotem, starý dožente automatikou. Nečekejte, až bude označené všechno – to je cesta k tomu nezačít nikdy.

Co si z toho odnést

Tři věty na závěr:

1. Citlivostní štítky nejsou compliance luxus, jsou základní hygiena. A ruční štítkování máte nejspíš už zaplacené v Business Premium nebo E3.
2. O úspěchu rozhoduje taxonomie, ne technika. Pět jasně pojmenovaných štítků odsouhlasených s byznysem porazí deset dokonale nakonfigurovaných, kterým nikdo nerozumí.
3. Bez štítků má AI na všechno stejný pohled. Jestli plánujete Copilot nebo jakoukoli AI nad firemními daty, štítky nejsou volitelný doplněk – jsou předpoklad.

---

V EP365 pomáháme firmám postavit klasifikaci od nuly – od návrhu taxonomie přes pilot až po automatické štítkování a napojení na DLP. Nejčastěji to řešíme jako součást návrhu governance nebo auditu zabezpečení, protože štítky dávají smysl jen tehdy, když navazují na uklizená oprávnění. Pokud nevíte, kterých pět štítků by pro vás dávalo smysl, napište nám – projdeme to nad vaším konkrétním prostředím.

V dalším díle zůstaneme u praxe: jak nastavit DLP politiky, které na citlivostní štítky navazují – a jak jimi ochránit obsah, aniž byste zablokovali běžnou práci.