Systémový prompt je instrukce vložená na začátek kontextového okna ve vyhrazené roli, která rámuje chování modelu po celou konverzaci. Technicky nejde o žádný oddělený kanál – po tokenizaci jde o tytéž tokeny jako uživatelský vstup –, jeho zvláštní autoritu zakládá až trénink: modely jsou během instrukčního doladění a RLHF učeny hierarchii rolí, v níž má systémová zpráva přednost před uživatelskou. Typicky vymezuje personu a tón, jazyk odpovědí, formát výstupu, dostupné nástroje, rozsah povolených témat a bezpečnostní mantinely. Do systémového promptu se také vkládá stabilní kontext, což umožňuje jeho předpočítání do KV cache a levnější provoz. Zásadní je vědomí jeho limitů: protože je součástí téhož textového toku, není bezpečnostní hranicí a lze jej obejít prompt injekcí. Nikdy do něj proto nepatří tajemství jako klíče či hesla, ani nesmí být jediným mechanismem řízení oprávnění – ta je nutné vynucovat na úrovni aplikace a nástrojů, které model volá.
Berte to jako pracovní řád, který novému zaměstnanci předáte hned na začátku: „Jste zaměstnancem naší banky, se zákazníky mluvíte vždy vy, nikdy neslibujete výnos a o konkurenci se nevyjadřujete.“ Pak už jen přijímá dotazy klientů a tenhle rámec drží. Rozdíl proti skutečnému zaměstnanci je ale podstatný: řád má nalepený na monitoru, ne v podepsané smlouvě. Dostatečně vynalézavý klient ho dokáže přemluvit, aby na něj zapomněl. Proto trezor nezamykáte pracovním řádem, ale klíčem – tedy oprávněními na straně systému.