Digee / Wiki / Právo a bezpečnost
Přehled
AI a GDPR: co musí firma pohlídat.
GDPR nezakazuje používat AI s osobními údaji. Vyžaduje ale, abyste věděli, jaké údaje AI zpracovává, proč, kde a kdo k nim má přístup. U dobře navrženého AI agenta se tyto otázky řeší hned na začátku.
Ve zkratce
- AI s osobními údaji je legální, pokud máte právní základ a smlouvu s poskytovatelem.
- Dávejte AI jen údaje, které pro úkol opravdu potřebuje.
- Rozhodnutí se závažným dopadem na lidi nenechávejte čistě na automatu.
Na této stránce
Pět otázek, které si položit
- Jaké osobní údaje agent zpracovává? Jména a e-maily? Rodná čísla? Zdravotní údaje?
- Na jakém právním základě? Nejčastěji plnění smlouvy, právní povinnost nebo oprávněný zájem (čl. 6 GDPR).
- Kdo je zpracovatel? Poskytovatel AI služby i dodavatel agenta zpracovávají údaje za vás – potřebujete s nimi zpracovatelskou smlouvu (čl. 28).
- Kde se data zpracovávají? V EU, nebo mimo ni? Pro přenos mimo EU musí existovat zákonný rámec.
- Jak dlouho se data uchovávají a kdo k nim má přístup?
Smlouvy s poskytovateli AI
Velcí poskytovatelé jazykových modelů nabízejí pro firemní a API použití smluvní podmínky, ve kterých se zavazují data zákazníků nepoužívat k trénování modelů, a zpracovatelské dodatky (DPA). U bezplatných verzí veřejných chatů to často neplatí.
Praktické pravidlo: osobní údaje klientů do bezplatných veřejných chatů nevkládejte. Pro firemní použití volte služby se smlouvou a jasným místem zpracování.
Přenos dat mimo EU
Řada AI služeb běží na serverech v USA. Přenos je možný například na základě rámce EU–USA pro ochranu osobních údajů (Data Privacy Framework), pokud je poskytovatel certifikovaný, nebo standardních smluvních doložek. Mnoho poskytovatelů dnes nabízí i zpracování v datových centrech v EU. Při návrhu agenta je dobré toto rozhodnutí udělat vědomě.
Automatizované rozhodování
Článek 22 GDPR dává lidem právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, které má pro ně právní nebo podobně závažné účinky (např. zamítnutí žádosti, výběr uchazeče). Proto u takových kroků agent připravuje podklad a rozhoduje člověk.
Kdy je potřeba posouzení vlivu (DPIA)
Posouzení vlivu na ochranu osobních údajů (čl. 35) je nutné, pokud zpracování pravděpodobně představuje vysoké riziko pro práva lidí. U AI to bývá typicky při rozsáhlém zpracování citlivých údajů (zdraví), systematickém hodnocení lidí nebo při použití nových technologií ve velkém rozsahu. U jednoduchého třídění obchodní pošty obvykle potřeba není, ale je dobré si to zdokumentovat.
Praktický postup při nasazení agenta
- Popsat, jaké údaje agent vidí a proč.
- Omezit přístup jen na potřebné složky a systémy (minimalizace).
- Uzavřít zpracovatelské smlouvy s dodavateli.
- Zvolit místo zpracování (EU / mimo EU) a doložit právní rámec.
- Doplnit záznamy o činnostech zpracování a informace pro subjekty údajů.
- Nastavit, co schvaluje člověk.
Dozorovým úřadem v Česku je Úřad pro ochranu osobních údajů (ÚOOÚ). Souvislost s evropským nařízením o AI popisujeme v článku AI Act.
Tento článek je obecný přehled, nikoli právní rada. U citlivých zpracování doporučujeme konzultaci s pověřencem nebo advokátem.
Časté otázky
Můžu do ChatGPT vložit e-mail od klienta?
Do bezplatné veřejné verze raději ne, pokud obsahuje osobní údaje. Pro práci s klientskými daty použijte firemní verzi nebo službu se zpracovatelskou smlouvou a jasným místem zpracování.
Používají poskytovatelé AI moje data k trénování?
U firemních a API verzí velkých poskytovatelů obvykle ne, je to součástí smluvních podmínek. U bezplatných spotřebitelských verzí to může být jinak. Vždy to ověřte ve smlouvě.
Potřebuji kvůli AI agentovi pověřence pro ochranu osobních údajů?
Povinnost jmenovat pověřence nevzniká kvůli AI samotné, ale podle povahy vaší činnosti (např. orgány veřejné moci, rozsáhlé zpracování citlivých údajů).
Chcete vědět, kde AI ušetří čas právě vám?
Projdeme s vámi běžný týden a najdeme první úkol, který má smysl předat agentovi. Nezávazně.
Související články
AI Act: co evropská regulace AI znamená pro firmy
Evropské nařízení o umělé inteligenci (AI Act) srozumitelně: kategorie rizika, termíny účinnosti včetně odkladu z roku 2026, povinnosti firem a sankce.
→Vysvětlení · 3 minHuman-in-the-loop: člověk rozhoduje
Human-in-the-loop znamená, že AI připraví práci a člověk ji schválí. Jak nastavit hranice agenta, aby šetřil čas a zároveň nedělal chyby.
→Vysvětlení · 3 minRAG: jak naučit AI vaše firemní dokumenty
RAG je způsob, jak AI odpovídá z vašich dokumentů místo z obecné paměti. Jak funguje, k čemu je ve firmě a na co si dát pozor.
→