Jak připojit AI k firemním systémům přes MCP: návod

MCP (Model Context Protocol) je otevřený standard, kterým připojíte jazykový model k firemním systémům — CRM, skladu, fakturaci, interní wiki — bez toho, abyste pro každý nástroj psali vlastní integraci. Místo propojení „každý model s každým systémem zvlášť“ napíšete jeden MCP server pro svoje data a mluví s ním libovolný AI klient, který standard podporuje.

Proč to má smysl řešit zrovna teď: protokol představila Anthropic 25. listopadu 2024, v březnu 2025 ho přijal OpenAI, v dubnu 2025 Google DeepMind a v prosinci 2025 ho Anthropic darovala Agentic AI Foundation pod Linux Foundation, kterou spoluzaložily Anthropic, Block a OpenAI. Z firemního pohledu to znamená jediné: nejde o technologii jednoho dodavatele, kterou vám za rok vypnou.

Co MCP ve firmě reálně umožní

Konkrétně jde o tyto scénáře — a je důležité, že ve všech případech jde o živá data, ne o kopii v nahraném dokumentu:

• Dotaz nad reálným stavem: „Kolik má zákazník Novotný otevřených objednávek a jaká je jeho platební morálka?“ — AI si to vytáhne z CRM a účetnictví.
• Zápis zpět do systému: založení poptávky, změna stavu zakázky, přidání poznámky ke kontaktu.
• Práce nad interními dokumenty bez kopírování do chatu — model sáhne do firemního úložiště přes server s omezeným přístupem.
• Spojení více zdrojů v jednom kroku: porovnání skladové dostupnosti s poptávkami z e-mailu a cenami od dodavatele.

Krok 1: Vyberte jeden proces, ne celý systém

Nejčastější chyba je snaha „připojit ERP“. ERP má stovky entit a vy nepotřebujete 95 % z nich. Vyberte jednu otázku, kterou někdo ve firmě pokládá každý den a zodpovězení ho stojí pět až patnáct minut klikání.

Typicky: „Kde je zakázka 2026-0412?“, „Máme to skladem a za kolik?“, „Co jsme tomuhle klientovi naposledy fakturovali?“ Z téhle jedné otázky vznikne jeden až tři nástroje na MCP serveru. To je rozsah, který nasadíte za dny, ne za čtvrtletí.

Krok 2: Zjistěte, jestli server už existuje

Než začnete programovat, ověřte si tři věci v tomhle pořadí:

1. Má váš software oficiální MCP server? Velcí dodavatelé softwaru je dnes běžně vydávají. Oficiální server od výrobce je vždy lepší volba než komunitní.
2. Existuje důvěryhodný komunitní server? Pozor — viz bezpečnostní část níže, tohle je místo, kde se dá nejsnáz pořezat.
3. Má systém alespoň REST API? Pokud ano, vlastní MCP server nad ním je v praxi otázka jednotek dnů vývoje, protože MCP je jen tenká vrstva, která API popíše způsobem, kterému rozumí model.

Pokud si nejste jistí, kterou ze tří cest u svého systému zvolit, projdeme to s vámi krok za krokem a řekneme vám i to, co nechcete slyšet — třeba že se vám u vašeho objemu dat vyplatí počkat. Úvodní konzultace je zdarma a nejsme závislí na jednom dodavateli.

Krok 3: Nastavte oprávnění dřív, než cokoli připojíte

Tohle je jediný krok, který nejde dohnat později. Platí tři pravidla:

• Začněte read-only. První verze serveru nesmí umět nic zapisovat ani mazat. Zápis přidejte až po několika týdnech provozu, a to po jednotlivých operacích.
• Vlastní servisní účet, ne účet člověka. MCP server musí mít svoje přihlašovací údaje s minimálním rozsahem práv — ne tokeny vašeho administrátora.
• Nikdy nepředávejte uživatelský token dál. Takzvaný token passthrough zakazuje přímo specifikace protokolu a je to jedna z nejčastějších chyb implementace.

Souvislost s tím, kolik práv AI agenti ve firmách reálně dostávají, jsme rozebírali v článku o studii OPSIN.

Krok 4: Otestujte na kopii dat

Napojte server nejdřív na testovací nebo anonymizovanou databázi a projděte scénáře, kde model nemá odpověď: neexistující zakázka, dvě shody se stejným jménem, prázdný výsledek. Model, který na „nenašel jsem“ odpoví smyšleným číslem objednávky, je v tomhle nasazení mnohem nebezpečnější než model, který se přizná.

Výstupy nástrojů proto vracejte strukturovaně a s explicitním stavem — například {"nalezeno": false, "duvod": "zakázka neexistuje"} místo prázdného pole. Model se pak chová mnohem spolehlivěji.

Krok 5: Čtyři bezpečnostní rizika, která musíte ošetřit

Bezpečnost MCP není teoretická. Cloud Security Alliance v whitepaperu z 16. května 2026 popisuje konkrétní třídy útoků a uvádí mimo jiné, že analýza 1 899 open-source serverů našla u 5,5 % z nich specifické útočné vektory MCP a sken 67 057 serverů odhalil 833 konfigurací umožňujících hijacking a 18 serverů s aktivním tool poisoningem. Americká NSA v květnu 2026 konstatovala, že rychlé šíření MCP předběhlo vývoj jeho bezpečnostního modelu.

Riziko	Co to je	Obrana
Tool poisoning	Skryté instrukce v popisu nástroje, které modelu nařídí odeslat data pryč	Používat jen ověřené servery, popisy nástrojů verzovat a schvalovat
Rug pull	Server po schválení změní své chování — doložený případ z 9/2025, kdy server pro Postmark začal skrytě posílat kopie odchozí pošty útočníkovi	Kontrola integrity, upozornění na změnu definice nástroje
Confused deputy	Server s vysokými právy je přesvědčen, aby je zneužil ve prospěch útočníka	Minimální rozsah práv, žádné statické „všemocné“ přihlašovací údaje
Dodavatelský řetězec	Napadený balíček nebo registr — např. CVE-2025-6514 v mcp-remote s CVSS 9,6	Pinovat verze, sledovat CVE u použitých serverů

Praktický závěr pro malou a střední firmu: neinstalujte MCP servery z internetu stejně bezstarostně jako rozšíření do prohlížeče. Každý server, který připojíte, dostává přístup k vašim datům a zároveň může modelu podsouvat instrukce.

Krok 6: Logujte každé volání

Od prvního dne zapisujte, který nástroj byl zavolán, s jakými parametry, kdo to inicioval a co se vrátilo. Logy mají být jen pro zápis (append-only) — je to i doporučení zmíněného whitepaperu CSA. Bez nich nedohledáte, co se stalo, a při kontrole podle GDPR nedoložíte, jaké osobní údaje se zpracovaly. Pro zasazení do širšího rámce firemních pravidel se hodí AI Kompas.

Pozor: specifikace se v červenci 2026 zásadně změnila

Pokud vám někdo nabízí hotové řešení, ověřte si, na jaké verzi protokolu stojí. Verze 2026-07-28 přinesla podle oznámení maintainerů breaking changes: protokol je nově bezstavový (zmizel handshake initialize i hlavička Mcp-Session-Id), přibyl framework rozšíření a funkce Roots, Sampling a Logging jsou označené jako zastaralé. Roadmapa z 22. srpna 2026 jako jednu z pěti priorit uvádí identitu agenta a bezpečnost pro podnikové nasazení. Jinými slovy: ta nejzajímavější část pro firmy se teprve dodělává.

Často kladené otázky

Potřebuju k MCP vlastní vývojáře?

Ne vždy. Pokud má váš software oficiální MCP server, jde o konfiguraci, ne o vývoj. Vlastní server nad existujícím REST API zvládne běžný backendový vývojář za jednotky dnů. Co vývojáře potřebuje vždy, je nastavení oprávnění a logování.

Jsou moje data v bezpečí, když připojím AI k firemnímu systému?

Záleží na třech věcech, které máte plně pod kontrolou: jaká práva serveru dáte, komu patří MCP servery, které připojíte, a kam posíláte samotné dotazy. Pokud potřebujete, aby data neopustila firmu, je cesta model běžící lokálně plus MCP server ve stejné síti. Smlouvu o zpracování osobních údajů s poskytovatelem modelu řešte vždy předem.

Vyplatí se MCP malé firmě, nebo je to jen pro korporace?

Rozhodující není velikost firmy, ale počet systémů a opakovaných dotazů. Firma s jedním skladovým programem a pěti lidmi obvykle vystačí s exportem do tabulky. Jakmile ale máte tři a více systémů, mezi kterými lidé denně ručně přenášejí informace, začíná se standardizované propojení vyplácet. Jak to vypadá v praxi, ukazujeme v sekci AI v praxi.

Zdroje: Model Context Protocol – specifikace 2026-07-28, MCP Roadmap (22. 8. 2026), Cloud Security Alliance: MCP Security – Tool Poisoning and the Confused Deputy Problem (16. 5. 2026), Model Context Protocol – přehled vývoje a adopce.