--- title: "Budovanie infraštruktúry AI agentov" description: "Ako vybuduješ infraštruktúru AI agentov pripravenú na produkčnú prevádzku: topológia (cloud, on-prem, hybrid), inferenčný stack, AI gateway, observability, náklady a bezpečnosť." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov" category: "AI agenti" updated: "2026-10-17T15:41:10.316Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Budovanie infraštruktúry AI agentov Ako vybuduješ infraštruktúru AI agentov pripravenú na produkčnú prevádzku: topológia (cloud, on-prem, hybrid), inferenčný stack, AI gateway, observability, náklady a bezpečnosť. ## Čo je infraštruktúra AI agentov a prečo rozhoduje o úspechu alebo neúspechu Infraštruktúra [AI](https://blckalpaca.at/sk/slovnik/ai) agentov je súhrn všetkých technických a organizačných stavebných prvkov, na ktorých bežia [AI agenti v produkčnej prevádzke](https://blckalpaca.at/sk/sluzby/integracia-ai-agenta): topológia nasadenia (kde a pod akou právnou jurisdikciou [agent](https://blckalpaca.at/sk/slovnik/agent) beží), inferenčný a orchestračný stack, sieťová a identitná vrstva, monitoring/observability, ako aj riadenie nákladov a bezpečnosti. Na rozdiel od jednoduchého chatbota je agent viacstupňový systém využívajúci nástroje, ktorý vytvára east-west prevádzku medzi orchestrátorom, servermi nástrojov, úložiskom pamäte a vektorovou databázou, a tým kladie úplne iné nároky na sieť, identitu a pozorovateľnosť. Pre manažérov s rozhodovacou právomocou v regióne DACH je infraštruktúra miestom, kde sa rozhoduje o dátovej suverenite, latencii a súlade s predpismi. Najprv vyjasnenie pojmov, pretože práve tieto dva sa v projektoch v regióne DACH zamieňajú najčastejšie: **Data Residency** označuje fyzické miesto uloženia/spracovania dát, **Data Sovereignty** právnu jurisdikciu vrátane extrateritoriálneho dosahu (napríklad amerického zákona CLOUD Act z roku 2018). „Región Frankfurt“ amerického hyperscalera zabezpečí residency, nie sovereignty. V jazyku stredných podnikov v regióne DACH navyše „on-prem“ zvyčajne neznamená vlastnú serverovňu, ale dedikované prostredie v nemeckom, rakúskom alebo švajčiarskom kolokačnom dátovom centre nezávislom od operátorov (carrier-neutral). ## Cloud vs. on-prem vs. hybrid: otázka suverénnej topológie v EÚ Topológia zriedka vychádza z jedinej možnosti, väčšina produkčných stackov pokrýva aspoň dve. Voľbu určuje päť faktorov, zhruba v tomto poradí dôležitosti: citlivosť dát/regulačná trieda, latenčné SLO, požiadavka na suverenitu, predvídateľnosť nákladov a vlastné know-how v oblasti platforiem. | Topológia | Postavenie v otázke suverenity | Typické nasadenie v regióne DACH | | --- | --- | --- | | Verejný cloud (región hyperscalera v EÚ) | Residency áno, sovereignty nie (CLOUD Act platí ďalej) | Greenfield, nízka citlivosť dát | | Suverénny cloud (suverénne ponuky hyperscalerov + poskytovatelia z DACH) | Odolnosť voči CLOUD Act podľa modelu | BFSI, verejný sektor, regulované odvetvia | | Privátny cloud (managed/self-managed) | „Ako Azure, ale bez jurisdikcie Azure“ | Stredné podniky s partnerom pre managed services | | On-prem / kolokácia | Plná kontrola nad auditom | Priemysel, firmy blízke obrannému sektoru, BFSI s požiadavkou regulátora | | Hybrid | Dátovú gravitáciu možno riadiť oddelene | Dominantný model v regióne DACH | Trh suverénnych cloudov v EÚ v rokoch 2025/2026 výrazne dozrel. Microsoft dokončil [EU Data Boundary](https://learn.microsoft.com/de-de/privacy/eudb/eu-data-boundary-learn) 26. februára 2025 a zaviazal sa, že end-to-end spracovanie dát AI pre zákazníkov z EÚ udrží v rámci tejto hranice, pokiaľ zákazník neurčí inak. AWS v januári 2026 [uviedol do všeobecnej dostupnosti](https://aws.amazon.com/blogs/aws/opening-the-aws-european-sovereign-cloud/) svoj European Sovereign Cloud s prvým regiónom v Brandenbursku (ohlásený v roku 2023, investícia 7,8 mld. EUR, prevádzkujú ho spoločnosti podľa nemeckého práva s občanom EÚ vo funkcii konateľa; pri spustení podľa whitepaperu AWS zo septembra 2025 približne 90 z viac ako 240 služieb). Popri tom existuje samostatná kategória poskytovateľov z regiónu DACH, ktorá vo všeobecnej anglicky písanej literatúre o podnikovej AI väčšinou chýba: **STACKIT** (Schwarz Digits, s dátovým centrom aj v Rakúsku; ohlásených 11 mld. EUR na rozšírenie dátových centier pre AI, cieľ až 100 000 GPU), **Open Telekom Cloud / T Cloud Public** (Deutsche Telekom/T-Systems, „Sovereignty by Design“; Munich Industrial AI Cloud, spoločný projekt s NVIDIA, s až 10 000 GPU Blackwell od Q1 2026), **IONOS** (AI Model Hub s Teuken-7B a Llama 3.3, prvá Legal AI Factory s Noxtua), **Swisscom** (Swiss AI Platform, partner pre nasadenie otvoreného švajčiarskeho [LLM](https://blckalpaca.at/sk/slovnik/llm) Apertus) a **Infomaniak** (plne pod švajčiarskou kontrolou, v súlade s FADP a [GDPR](https://dsgvo-gesetz.de/)). T-Systems verejne prisľúbil, že do konca roka 2026 uzavrie medzeru vo funkciách oproti hyperscalerom. Ide o prísľub v rámci roadmapy, nie o dnešný stav. Dominantným modelom v regióne DACH zostáva **hybrid**: citlivé dokumenty, [embeddingy a vektorová databáza](https://blckalpaca.at/sk/vedomosti/ai-agenti/co-je-rag-system/budovanie-rag-systemov-v-sulade-s-gdpr) zostávajú on-prem alebo v suverénnom cloude, iba krok generovania volá [API](https://blckalpaca.at/sk/slovnik/api) hyperscalera, často cez proxy s kontrolou odchádzajúcej prevádzky (egress). Popri tom sa presadzujú prístupy založené na confidential computingu (model v regióne EÚ, zákazník drží kľúče cez HYOK) a cloud bursting k špecialistom na GPU pri špičkovom zaťažení. ## Orchestrácia a inferenčný stack Inferenčný stack je najpremenlivejšia vrstva. Jasný signál z odvetvia: Hugging Face 11. decembra 2025 presunul TGI do režimu údržby a nové nasadenia odkazuje na vLLM alebo SGLang. Pre produkciu na vlastnej infraštruktúre je **vLLM** (PagedAttention, najširšia podpora hardvéru, endpointy kompatibilné s [OpenAI](https://blckalpaca.at/sk/slovnik/openai)) v roku 2026 de facto štandardom; **SGLang** boduje pri viackolových konverzáciách a štruktúrovanom výstupe. **NVIDIA NIM**, predpripravené optimalizované mikroslužby prenosné medzi cloudom, dátovým centrom a pracovnými stanicami RTX, platí za najpragmatickejšiu cestu k on-prem nasadeniu v stredných podnikoch regiónu DACH. Nad inferenčným enginom sa ako samostatný architektonický komponent etabloval **AI gateway**. Zabezpečuje failover medzi viacerými poskytovateľmi, virtuálne kľúče, tímové rozpočty, observability, guardrails a maskovanie osobných údajov (PII redaction). Praktický užší výber: **LiteLLM** (open source, na vlastnej infraštruktúre, kompatibilný s OpenAI pre 100+ poskytovateľov, ideálny, keď záleží na kontrole nad auditom), **Portkey** (managed aj on-prem, silná observability a governance) a **Kong AI Gateway** (ak je Kong vo firme aj tak štandardom). Na úrovni orchestrácie siaha rozpätie od frameworkov ako LangGraph, CrewAI a AutoGen až po stacky dodávateľov ako Microsoft Foundry Agents alebo suverénnu platformu Pharia od Aleph Alpha. [Fúziu Aleph Alpha so spoločnosťou Cohere](https://siliconangle.com/2026/09/16/cohere-and-aleph-alpha-agree-to-merge-in-reported-20b-deal/) ohlásili v apríli 2026 a podpísali v septembri 2026 (uvádzané ocenenie približne 20 mld. USD). Dokončenie transakcie ešte podlieha schváleniu úradmi. Z hľadiska architektúry je kľúčová latencia. Keď inferencia beží v tom istom dátovom centre ako agent, sieťová latencia sa pohybuje v jednotkách milisekúnd. Transatlantické volanie (agent vo Frankfurte volá API na východe USA) pridá len za sieťovú trasu približne 90 ms oneskorenia tam a späť (round-trip time, RTT), ako ukazujú [merania pingu medzi Frankfurtom a Washingtonom](https://wondernetwork.com/pings/Frankfurt/Washington). Pri piatich kolách volaní nástrojov sa tak nazbiera približne 450 ms čistého sieťového času, a to ešte pred výpočtovým časom samotných volaní modelu. Preto je s transatlantickými volaniami API ťažké dosiahnuť UX agenta s odozvou pod jednu sekundu. ## Monitoring a observability Agentické workloady sa bez observability nedajú v produkcii riadiť. Potrebné sú štandardy pre tracing (OpenTelemetry pre LLM, OpenInference), priraďovanie nákladov s presnosťou na tokeny a evaluačné rámce (eval harnesses). Backendy, ktoré spĺňajú požiadavky na data residency v regióne DACH, sú k dispozícii: [Langfuse na vlastnej infraštruktúre v EÚ](https://blckalpaca.at/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/ai-agent-monitoring-langsmith-langfuse), Datadog EU alebo Honeycomb EU. Na prvú skúšobnú prevádzku cez Docker Compose [Langfuse odporúča](https://langfuse.com/self-hosting/deployment/docker-compose) jeden virtuálny stroj (VM) s aspoň 4 jadrami a 16 GiB operačnej pamäte; vysoká dostupnosť a zálohy v tomto nastavení chýbajú. Nákladovo tvorí observability zvyčajne 2–8 % celkového TCO, od prakticky nuly (Helicone Free, Langfuse na vlastnej infraštruktúre) až po 5 000–50 000 EUR mesačne za Datadog LLM Observability na úrovni koncernu. Dva body sú relevantné z regulačného hľadiska (len pre informáciu, nie právne poradenstvo): Po prvé, [EU AI Act](https://blckalpaca.at/sk/slovnik/eu-ai-act) v čl. 12 vyžaduje pri systémoch klasifikovaných ako vysokorizikové zaznamenávanie vstupov, výstupov a rozhodnutí s granularitou vhodnou na audit, čo si pri implementáciách v koncernoch vyžaduje vlastnú infraštruktúru na logovanie a ukladanie. Po druhé, verzie modelov by mali byť pevne nastavené (pinned) a mať zdokumentovaný plán návratu k predchádzajúcej verzii (rollback), pretože spravované API menia svoje verzie podľa harmonogramu poskytovateľa. ## Náklady, FinOps a tokenová ekonomika Rok 2026 je prvým rokom, v ktorom workloady AI agentov vyžadujú skutočnú disciplínu FinOps. Stretávajú sa dva štrukturálne zlomy: agentické workflowy zvyšujú [spotrebu tokenov na jednu požiadavku](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/token-economics-ako-naozaj-vznikaju-naklady-na-ai-agentov) **5- až 50-násobne** (plánovač, volanie nástroja, kritika, revízia, verifikácia) a cenový rebríček sa rozdelil: najlacnejšia trieda (Haiku/Mini/Flash) od roku 2023 zlacnela 10- až 100-násobne, zatiaľ čo trieda špičkových (frontier) modelov zostáva na približne 5/25–30 USD za milión tokenov. Dôsledok: cenníková cena už nekoreluje s mesačným účtom a rozdiel medzi cenníkovou cenou dodávateľa a TCO v produkcii býva zvyčajne 2- až 10-násobný. Rozhodujúce je: **API tokeny tvoria pri škálovaní väčšinou menej ako polovicu celkového TCO.** Priame náklady na model predstavujú 30–50 %, k tomu sa pridávajú kaskády volaní nástrojov (+50 % až +200 % k priamej nákladovej položke API), fan-out na subagentov (3- až 10-násobný multiplikátor), výpočtový výkon/sandbox (10–25 %), [vektorová databáza](https://blckalpaca.at/sk/slovnik/vektorova-databaza)/embeddingy (5–15 %), observability (2–8 %), compliance/governance (5–20 %) a práca prevádzkového tímu (10–30 %). Najúčinnejšie páky ležia pod nákladovou položkou API: - **Caching** je najväčšia samostatná páka. Anthropic dáva zľavu 90 % na čítanie z cache (cached input pri Sonnet 4.6: 0,30 namiesto 3,00 USD/M), OpenAI účtuje cached input za 10 % základnej ceny. Pri 80-percentnej úspešnosti cache (cache hit rate) klesnú náklady na vstup o 70–80 %. - **Model routing**: lacný model na jednoduché úlohy, drahý len na zložité. Benchmark nástroja Advisor od Anthropicu (Sonnet + Opus ako advisor) dosiahol 74,8 % v SWE-bench Multilingual pri o 11,9 % nižších nákladoch ako samotný Opus. - **Batch API**: paušálna zľava 50 % pri 24-hodinovom SLA, kombinovateľná s cachingom. - **Open-weight fallback** pre long-tail workloady (DeepSeek V4 Flash, Mistral Ministral, Qwen 3). V súlade s [GDPR](https://blckalpaca.at/sk/slovnik/gdpr) len cez hosting v EÚ (Together AI EU, DeepInfra Frankfurt, STACKIT/OVHcloud), nie cez priame API hostované v Číne. Keď sa tieto páky skombinujú, dobre inštrumentovaný FinOps program prinesie **zníženie nákladov o 60–80 %** oproti neoptimalizovanému východiskovému stavu. Realita v regióne DACH náklady ďalej zvyšuje: regióny EÚ majú pri OpenAI a Anthropic prirážku 10 % (uplift), suverénny hosting stojí približne 1,5- až 3-násobok ceny amerického cloudu (SAP Joule AI Units cca 1,5–2x) a compliance operácie spolu so spolurozhodovaním zamestnancov zvyšujú celkové TCO oproti porovnateľnému workloadu v USA o **15–35 %**. Na jedného dodávateľa pripadá 5 000–20 000 EUR ročne [priebežných nákladov na zmluvy so sprostredkovateľom (DPA) a na ďalších sprostredkovateľov](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/sprostredkovanie-spracuvania-podla-cl-28-gdpr-s-poskytovatelmi-ai-sprievodca). [Prieskum združenia Bitkom z roku 2025](https://www.bitkom.org/Presse/Presseinformation/KI-Nutzung-boomt-Angst-vor-Abhaengigkeit-Ausland-gross) potvrdzuje tlak na suverenitu: 68 % opýtaných považuje Nemecko v oblasti AI za príliš závislé od USA a Číny, 60 % chce, aby sa Nemecko stalo menej závislým od amerických AI firiem. ## Bezpečnosť a identita Správa identít a kľúčov je páka, vďaka ktorej sa dá aj nesuverénny región hyperscalera obhájiť z hľadiska compliance v regióne DACH (len pre informáciu, nie právne poradenstvo; podrobnosti o GDPR a zmluvách so sprostredkovateľom nájdeš v súvisiacich témach). Základ architektúry: - **mTLS** medzi všetkými komponentmi agenta, zároveň typický dôkaz pri auditoch BSI C5 a ISO 27001. - **Federácia OIDC/SAML** pre podnikové SSO (Entra ID, Okta, KeyCloak); agent vymení [token](https://blckalpaca.at/sk/slovnik/token) používateľa za krátkodobé tokeny pre volania nástrojov. - **Workload identity** (Azure Managed Identity, AWS IRSA, GCP Workload Identity Federation, v suverénnych cloudoch OpenStack Keystone / servisné účty K8s), žiadne statické prístupové údaje v kóde. - **KMS/HSM s BYOK/HYOK**: pri BYOK kľúč naďalej spravuje poskytovateľ; pri **HYOK** cloud pri každej kryptografickej operácii volá HSM vo vlastníctve zákazníka (Utimaco/Aachen, Thales). Spomedzi modelov správy kľúčov tak HYOK poskytuje najvyššiu suverenitu. Agent má [nezvyčajne veľký dosah pri zneužití (blast radius)](https://blckalpaca.at/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/owasp-agentic-asi-top-10-2026), pretože dokáže volať veľa nástrojov. Osvedčený postup: jeden servisný účet pre každý pár (agent x nástroj) namiesto zdieľaného účtu, zvýšenie oprávnení len na nevyhnutný čas (just-in-time elevation), všetky prístupové údaje z Vaultu alebo KMS namiesto z premenných prostredia a auditná stopa, ktorá sa cez reťazec výmeny tokenov (token exchange) viaže späť na identitu používateľa. Na úrovni siete sa presadil **egress v režime deny-by-default** s explicitným allowlistom FQDN modelových API: zabraňuje nechcenému úniku dát, poskytuje dôkazy pre audit a vynucuje, aby všetka prevádzka k modelom išla cez gateway, kde sú rate limity, PII filtre a rozpočty. ## Compliance v regióne DACH: poznámky a výhľad Viaceré pravidlá špecifické pre región DACH ovplyvňujú reálne architektonické rozhodnutia (len pre informáciu, nie právne poradenstvo): Od 1. júla 2025 je [**atestácia BSI C5 typu 2**](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html) povinná pre spracovanie údajov pacientov v cloude (DigiG / [§ 393 SGB V](https://www.gesetze-im-internet.de/sgb_5/__393.html)). Švajčiarsko sa neriadi GDPR, ale zákonom FADP/revDSG (účinný od 1. septembra 2023). Podľa [rezolúcie združenia privatim](https://steigerlegal.ch/wp-content/uploads/2025/11/20251118_privatim_resolution-internationale-cloud-dienste.pdf), ktorú táto konferencia švajčiarskych povereníkov pre ochranu údajov zverejnila v novembri 2025, smú verejné orgány presúvať osobitne citlivé osobné údaje do SaaS riešení veľkých medzinárodných poskytovateľov len vtedy, keď ich samy šifrujú a poskytovateľ nemá prístup ku kľúču. [EU AI Act](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689) sa uplatňuje postupne ([harmonogram Európskej komisie](https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act)): zákazy od februára 2025, pravidlá pre modely AI na všeobecné účely (GPAI) od augusta 2025, povinnosti transparentnosti podľa čl. 50 od 2. augusta 2026. Povinnosti pre vysokorizikové systémy posunul [AI Omnibus](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), účinný od 27. júla 2026: na 2. decembra 2027 pre systémy podľa prílohy III a na 2. augusta 2028 pre systémy AI vo výrobkoch, na ktoré sa vzťahujú právne akty podľa prílohy I (napríklad výťahy alebo hračky). Ktoré povinnosti sa ťa týkajú, závisí od tvojej úlohy (poskytovateľ alebo nasadzujúci subjekt) a od klasifikácie systému. Praktická poznámka: Nezačínaj otázkou obstarávania „[cloud alebo on-prem](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/on-premise-vs-eu-cloud-pre-ai-agents-rozhodovacia-matica-pre-dach)?“, ale klasifikáciou dát a latenčným SLO, pretože tie určujú topológiu. AI gateway, egress v režime deny-by-default a výber modelu na základe evaluácií zabuduj od prvého dňa, lebo práve na týchto „medzerách z pilotnej fázy“ sa projekty zvyčajne zadrhnú pri spustení do produkcie. Pre stredné podniky je pragmatickou východiskovou voľbou hybrid postavený na M365 s dátovou zónou EÚ a malou on-prem vrstvou pre [RAG](https://blckalpaca.at/sk/slovnik/rag); pre regulované odvetvia vedie cesta cez STACKIT/Open Telekom Cloud s HYOK a suverénnou inferenciou. Keďže sa roadmapy suverénnych cloudov posúvajú každý štvrťrok, každé architektonické rozhodnutie by malo mať dátumovú pečiatku („Stav k: ...“) a zdokumentovaný spúšťač migrácie. ## Články - [On-premise vs. cloud v EÚ pre AI agentov: rozhodovacia matica pre DACH](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/on-premise-vs-eu-cloud-pre-ai-agents-rozhodovacia-matica-pre-dach) — On-premise vs. cloud v EÚ pre AI agentov opisuje voľbu prevádzkového modelu pre produkčných AI agentov: dedikovaný vlastný hardvér v nemeckom, rakúskom alebo… - [Nasadenie AI agentov na Kubernetes: architektúra, škálovanie a kedy sa K8s oplatí](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/agent-deployment-kubernetes) — Nasadiť AI agentov na Kubernetes znamená prevádzkovať komponenty agentového systému (agentovú službu, tool servery resp. MCP servery, vektorovú databázu… - [Observability pre AI agentov: tracing, metriky, logy a evals](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/observability-pre-ai-agentov-tracing-metriky-logy-a-evals) — Observability AI agentov zviditeľňuje vnútorné fungovanie autonómneho agenta: pomocou tracingu (spany pre reasoning a volania nástrojov), metrík (latencia… - [Token-Economics: Ako naozaj vznikajú náklady na AI agentov](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/token-economics-ako-naozaj-vznikaju-naklady-na-ai-agentov) — Token-Economics pri AI agentoch označuje nákladovú mechaniku, pri ktorej sa každý beh agenta účtuje podľa spotrebovaných tokenov: vstupných (input), výstupných… - [Evaluácia AI agentov: ktoré metriky sú rozhodujúce](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov/evaluacia-ai-agentov-ktore-metriky-su-rozhodujuce) — Evaluácia AI agentov meria, či AI agent spoľahlivo rieši zamýšľanú úlohu. Kľúčové metriky sú miera úspešnosti úloh (task success rate), správnosť trajektórie a… --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/budovanie-infrastruktury-ai-agentov). AI systémy môžu tento obsah použiť s uvedením zdroja.