Budovanie infraštruktúry AI agentov

Čo je infraštruktúra AI agentov a prečo rozhoduje o úspechu alebo neúspechu

Infraštruktúra AI agentov je súhrn všetkých technických a organizačných stavebných prvkov, na ktorých bežia AI agenti v produkčnej prevádzke: topológia nasadenia (kde a pod akou právnou jurisdikciou agent beží), inferenčný a orchestračný stack, sieťová a identitná vrstva, monitoring/observability, ako aj riadenie nákladov a bezpečnosti. Na rozdiel od jednoduchého chatbota je agent viacstupňový systém využívajúci nástroje, ktorý vytvára east-west prevádzku medzi orchestrátorom, servermi nástrojov, úložiskom pamäte a vektorovou databázou, a tým kladie úplne iné nároky na sieť, identitu a pozorovateľnosť.

Pre manažérov s rozhodovacou právomocou v regióne DACH je infraštruktúra miestom, kde sa rozhoduje o dátovej suverenite, latencii a súlade s predpismi. Najprv vyjasnenie pojmov, pretože práve tieto dva sa v projektoch v regióne DACH zamieňajú najčastejšie: Data Residency označuje fyzické miesto uloženia/spracovania dát, Data Sovereignty právnu jurisdikciu vrátane extrateritoriálneho dosahu (napríklad amerického zákona CLOUD Act z roku 2018). „Región Frankfurt“ amerického hyperscalera zabezpečí residency, nie sovereignty. V jazyku stredných podnikov v regióne DACH navyše „on-prem“ zvyčajne neznamená vlastnú serverovňu, ale dedikované prostredie v nemeckom, rakúskom alebo švajčiarskom kolokačnom dátovom centre nezávislom od operátorov (carrier-neutral).

Cloud vs. on-prem vs. hybrid: otázka suverénnej topológie v EÚ

Topológia zriedka vychádza z jedinej možnosti, väčšina produkčných stackov pokrýva aspoň dve. Voľbu určuje päť faktorov, zhruba v tomto poradí dôležitosti: citlivosť dát/regulačná trieda, latenčné SLO, požiadavka na suverenitu, predvídateľnosť nákladov a vlastné know-how v oblasti platforiem.

Trh suverénnych cloudov v EÚ v rokoch 2025/2026 výrazne dozrel. Microsoft dokončil EU Data Boundary 26. februára 2025 a zaviazal sa, že end-to-end spracovanie dát AI pre zákazníkov z EÚ udrží v rámci tejto hranice, pokiaľ zákazník neurčí inak. AWS v januári 2026 uviedol do všeobecnej dostupnosti svoj European Sovereign Cloud s prvým regiónom v Brandenbursku (ohlásený v roku 2023, investícia 7,8 mld. EUR, prevádzkujú ho spoločnosti podľa nemeckého práva s občanom EÚ vo funkcii konateľa; pri spustení podľa whitepaperu AWS zo septembra 2025 približne 90 z viac ako 240 služieb).

Popri tom existuje samostatná kategória poskytovateľov z regiónu DACH, ktorá vo všeobecnej anglicky písanej literatúre o podnikovej AI väčšinou chýba: STACKIT (Schwarz Digits, s dátovým centrom aj v Rakúsku; ohlásených 11 mld. EUR na rozšírenie dátových centier pre AI, cieľ až 100 000 GPU), Open Telekom Cloud / T Cloud Public (Deutsche Telekom/T-Systems, „Sovereignty by Design“; Munich Industrial AI Cloud, spoločný projekt s NVIDIA, s až 10 000 GPU Blackwell od Q1 2026), IONOS (AI Model Hub s Teuken-7B a Llama 3.3, prvá Legal AI Factory s Noxtua), Swisscom (Swiss AI Platform, partner pre nasadenie otvoreného švajčiarskeho LLM Apertus) a Infomaniak (plne pod švajčiarskou kontrolou, v súlade s FADP a GDPR). T-Systems verejne prisľúbil, že do konca roka 2026 uzavrie medzeru vo funkciách oproti hyperscalerom. Ide o prísľub v rámci roadmapy, nie o dnešný stav.

Dominantným modelom v regióne DACH zostáva hybrid: citlivé dokumenty, embeddingy a vektorová databáza zostávajú on-prem alebo v suverénnom cloude, iba krok generovania volá API hyperscalera, často cez proxy s kontrolou odchádzajúcej prevádzky (egress). Popri tom sa presadzujú prístupy založené na confidential computingu (model v regióne EÚ, zákazník drží kľúče cez HYOK) a cloud bursting k špecialistom na GPU pri špičkovom zaťažení.

Orchestrácia a inferenčný stack

Inferenčný stack je najpremenlivejšia vrstva. Jasný signál z odvetvia: Hugging Face 11. decembra 2025 presunul TGI do režimu údržby a nové nasadenia odkazuje na vLLM alebo SGLang. Pre produkciu na vlastnej infraštruktúre je vLLM (PagedAttention, najširšia podpora hardvéru, endpointy kompatibilné s OpenAI) v roku 2026 de facto štandardom; SGLang boduje pri viackolových konverzáciách a štruktúrovanom výstupe. NVIDIA NIM, predpripravené optimalizované mikroslužby prenosné medzi cloudom, dátovým centrom a pracovnými stanicami RTX, platí za najpragmatickejšiu cestu k on-prem nasadeniu v stredných podnikoch regiónu DACH.

Nad inferenčným enginom sa ako samostatný architektonický komponent etabloval AI gateway. Zabezpečuje failover medzi viacerými poskytovateľmi, virtuálne kľúče, tímové rozpočty, observability, guardrails a maskovanie osobných údajov (PII redaction). Praktický užší výber: LiteLLM (open source, na vlastnej infraštruktúre, kompatibilný s OpenAI pre 100+ poskytovateľov, ideálny, keď záleží na kontrole nad auditom), Portkey (managed aj on-prem, silná observability a governance) a Kong AI Gateway (ak je Kong vo firme aj tak štandardom). Na úrovni orchestrácie siaha rozpätie od frameworkov ako LangGraph, CrewAI a AutoGen až po stacky dodávateľov ako Microsoft Foundry Agents alebo suverénnu platformu Pharia od Aleph Alpha. Fúziu Aleph Alpha so spoločnosťou Cohere ohlásili v apríli 2026 a podpísali v septembri 2026 (uvádzané ocenenie približne 20 mld. USD). Dokončenie transakcie ešte podlieha schváleniu úradmi.

Z hľadiska architektúry je kľúčová latencia. Keď inferencia beží v tom istom dátovom centre ako agent, sieťová latencia sa pohybuje v jednotkách milisekúnd. Transatlantické volanie (agent vo Frankfurte volá API na východe USA) pridá len za sieťovú trasu približne 90 ms oneskorenia tam a späť (round-trip time, RTT), ako ukazujú merania pingu medzi Frankfurtom a Washingtonom. Pri piatich kolách volaní nástrojov sa tak nazbiera približne 450 ms čistého sieťového času, a to ešte pred výpočtovým časom samotných volaní modelu. Preto je s transatlantickými volaniami API ťažké dosiahnuť UX agenta s odozvou pod jednu sekundu.

Monitoring a observability

Agentické workloady sa bez observability nedajú v produkcii riadiť. Potrebné sú štandardy pre tracing (OpenTelemetry pre LLM, OpenInference), priraďovanie nákladov s presnosťou na tokeny a evaluačné rámce (eval harnesses). Backendy, ktoré spĺňajú požiadavky na data residency v regióne DACH, sú k dispozícii: Langfuse na vlastnej infraštruktúre v EÚ, Datadog EU alebo Honeycomb EU. Na prvú skúšobnú prevádzku cez Docker Compose Langfuse odporúča jeden virtuálny stroj (VM) s aspoň 4 jadrami a 16 GiB operačnej pamäte; vysoká dostupnosť a zálohy v tomto nastavení chýbajú. Nákladovo tvorí observability zvyčajne 2–8 % celkového TCO, od prakticky nuly (Helicone Free, Langfuse na vlastnej infraštruktúre) až po 5 000–50 000 EUR mesačne za Datadog LLM Observability na úrovni koncernu.

Dva body sú relevantné z regulačného hľadiska (len pre informáciu, nie právne poradenstvo): Po prvé, EU AI Act v čl. 12 vyžaduje pri systémoch klasifikovaných ako vysokorizikové zaznamenávanie vstupov, výstupov a rozhodnutí s granularitou vhodnou na audit, čo si pri implementáciách v koncernoch vyžaduje vlastnú infraštruktúru na logovanie a ukladanie. Po druhé, verzie modelov by mali byť pevne nastavené (pinned) a mať zdokumentovaný plán návratu k predchádzajúcej verzii (rollback), pretože spravované API menia svoje verzie podľa harmonogramu poskytovateľa.

Náklady, FinOps a tokenová ekonomika

Rok 2026 je prvým rokom, v ktorom workloady AI agentov vyžadujú skutočnú disciplínu FinOps. Stretávajú sa dva štrukturálne zlomy: agentické workflowy zvyšujú spotrebu tokenov na jednu požiadavku 5- až 50-násobne (plánovač, volanie nástroja, kritika, revízia, verifikácia) a cenový rebríček sa rozdelil: najlacnejšia trieda (Haiku/Mini/Flash) od roku 2023 zlacnela 10- až 100-násobne, zatiaľ čo trieda špičkových (frontier) modelov zostáva na približne 5/25–30 USD za milión tokenov. Dôsledok: cenníková cena už nekoreluje s mesačným účtom a rozdiel medzi cenníkovou cenou dodávateľa a TCO v produkcii býva zvyčajne 2- až 10-násobný.

Rozhodujúce je: API tokeny tvoria pri škálovaní väčšinou menej ako polovicu celkového TCO. Priame náklady na model predstavujú 30–50 %, k tomu sa pridávajú kaskády volaní nástrojov (+50 % až +200 % k priamej nákladovej položke API), fan-out na subagentov (3- až 10-násobný multiplikátor), výpočtový výkon/sandbox (10–25 %), vektorová databáza/embeddingy (5–15 %), observability (2–8 %), compliance/governance (5–20 %) a práca prevádzkového tímu (10–30 %).

Najúčinnejšie páky ležia pod nákladovou položkou API:

• Caching je najväčšia samostatná páka. Anthropic dáva zľavu 90 % na čítanie z cache (cached input pri Sonnet 4.6: 0,30 namiesto 3,00 USD/M), OpenAI účtuje cached input za 10 % základnej ceny. Pri 80-percentnej úspešnosti cache (cache hit rate) klesnú náklady na vstup o 70–80 %.
• Model routing: lacný model na jednoduché úlohy, drahý len na zložité. Benchmark nástroja Advisor od Anthropicu (Sonnet + Opus ako advisor) dosiahol 74,8 % v SWE-bench Multilingual pri o 11,9 % nižších nákladoch ako samotný Opus.
• Batch API: paušálna zľava 50 % pri 24-hodinovom SLA, kombinovateľná s cachingom.
• Open-weight fallback pre long-tail workloady (DeepSeek V4 Flash, Mistral Ministral, Qwen 3). V súlade s GDPR len cez hosting v EÚ (Together AI EU, DeepInfra Frankfurt, STACKIT/OVHcloud), nie cez priame API hostované v Číne.

Keď sa tieto páky skombinujú, dobre inštrumentovaný FinOps program prinesie zníženie nákladov o 60–80 % oproti neoptimalizovanému východiskovému stavu. Realita v regióne DACH náklady ďalej zvyšuje: regióny EÚ majú pri OpenAI a Anthropic prirážku 10 % (uplift), suverénny hosting stojí približne 1,5- až 3-násobok ceny amerického cloudu (SAP Joule AI Units cca 1,5–2x) a compliance operácie spolu so spolurozhodovaním zamestnancov zvyšujú celkové TCO oproti porovnateľnému workloadu v USA o 15–35 %. Na jedného dodávateľa pripadá 5 000–20 000 EUR ročne priebežných nákladov na zmluvy so sprostredkovateľom (DPA) a na ďalších sprostredkovateľov. Prieskum združenia Bitkom z roku 2025 potvrdzuje tlak na suverenitu: 68 % opýtaných považuje Nemecko v oblasti AI za príliš závislé od USA a Číny, 60 % chce, aby sa Nemecko stalo menej závislým od amerických AI firiem.

Bezpečnosť a identita

Správa identít a kľúčov je páka, vďaka ktorej sa dá aj nesuverénny región hyperscalera obhájiť z hľadiska compliance v regióne DACH (len pre informáciu, nie právne poradenstvo; podrobnosti o GDPR a zmluvách so sprostredkovateľom nájdeš v súvisiacich témach). Základ architektúry:

• mTLS medzi všetkými komponentmi agenta, zároveň typický dôkaz pri auditoch BSI C5 a ISO 27001.
• Federácia OIDC/SAML pre podnikové SSO (Entra ID, Okta, KeyCloak); agent vymení token používateľa za krátkodobé tokeny pre volania nástrojov.
• Workload identity (Azure Managed Identity, AWS IRSA, GCP Workload Identity Federation, v suverénnych cloudoch OpenStack Keystone / servisné účty K8s), žiadne statické prístupové údaje v kóde.
• KMS/HSM s BYOK/HYOK: pri BYOK kľúč naďalej spravuje poskytovateľ; pri HYOK cloud pri každej kryptografickej operácii volá HSM vo vlastníctve zákazníka (Utimaco/Aachen, Thales). Spomedzi modelov správy kľúčov tak HYOK poskytuje najvyššiu suverenitu.

Agent má nezvyčajne veľký dosah pri zneužití (blast radius), pretože dokáže volať veľa nástrojov. Osvedčený postup: jeden servisný účet pre každý pár (agent x nástroj) namiesto zdieľaného účtu, zvýšenie oprávnení len na nevyhnutný čas (just-in-time elevation), všetky prístupové údaje z Vaultu alebo KMS namiesto z premenných prostredia a auditná stopa, ktorá sa cez reťazec výmeny tokenov (token exchange) viaže späť na identitu používateľa. Na úrovni siete sa presadil egress v režime deny-by-default s explicitným allowlistom FQDN modelových API: zabraňuje nechcenému úniku dát, poskytuje dôkazy pre audit a vynucuje, aby všetka prevádzka k modelom išla cez gateway, kde sú rate limity, PII filtre a rozpočty.

Compliance v regióne DACH: poznámky a výhľad

Viaceré pravidlá špecifické pre región DACH ovplyvňujú reálne architektonické rozhodnutia (len pre informáciu, nie právne poradenstvo): Od 1. júla 2025 je atestácia BSI C5 typu 2 povinná pre spracovanie údajov pacientov v cloude (DigiG / § 393 SGB V). Švajčiarsko sa neriadi GDPR, ale zákonom FADP/revDSG (účinný od 1. septembra 2023). Podľa rezolúcie združenia privatim, ktorú táto konferencia švajčiarskych povereníkov pre ochranu údajov zverejnila v novembri 2025, smú verejné orgány presúvať osobitne citlivé osobné údaje do SaaS riešení veľkých medzinárodných poskytovateľov len vtedy, keď ich samy šifrujú a poskytovateľ nemá prístup ku kľúču. EU AI Act sa uplatňuje postupne (harmonogram Európskej komisie): zákazy od februára 2025, pravidlá pre modely AI na všeobecné účely (GPAI) od augusta 2025, povinnosti transparentnosti podľa čl. 50 od 2. augusta 2026. Povinnosti pre vysokorizikové systémy posunul AI Omnibus, účinný od 27. júla 2026: na 2. decembra 2027 pre systémy podľa prílohy III a na 2. augusta 2028 pre systémy AI vo výrobkoch, na ktoré sa vzťahujú právne akty podľa prílohy I (napríklad výťahy alebo hračky). Ktoré povinnosti sa ťa týkajú, závisí od tvojej úlohy (poskytovateľ alebo nasadzujúci subjekt) a od klasifikácie systému.

Praktická poznámka: Nezačínaj otázkou obstarávania „cloud alebo on-prem?“, ale klasifikáciou dát a latenčným SLO, pretože tie určujú topológiu. AI gateway, egress v režime deny-by-default a výber modelu na základe evaluácií zabuduj od prvého dňa, lebo práve na týchto „medzerách z pilotnej fázy“ sa projekty zvyčajne zadrhnú pri spustení do produkcie. Pre stredné podniky je pragmatickou východiskovou voľbou hybrid postavený na M365 s dátovou zónou EÚ a malou on-prem vrstvou pre RAG; pre regulované odvetvia vedie cesta cez STACKIT/Open Telekom Cloud s HYOK a suverénnou inferenciou. Keďže sa roadmapy suverénnych cloudov posúvajú každý štvrťrok, každé architektonické rozhodnutie by malo mať dátumovú pečiatku („Stav k: ...“) a zdokumentovaný spúšťač migrácie.