AI ComplianceKedy sa GDPR týka AI
GDPR sa vzťahuje na každé spracúvanie osobných údajov, teda aj na spracúvanie cez AI. Ak do AI nástroja vložíte e-mail od zákazníka, životopis uchádzača, záznam hovoru alebo tabuľku s menami, spracúvate osobné údaje a musíte splniť pravidlá nariadenia (EÚ) 2016/679. Nezáleží na tom, či ide o ChatGPT v prehliadači, volanie API z vlastnej aplikácie alebo automatizáciu, ktorá e-maily posiela do jazykového modelu.
Pri AI je dôležité, že údaje často skončia na viacerých miestach naraz. Okrem samotného modelu sú to logy automatizačného nástroja, vektorová databáza pri chatbotoch nad firemnými dokumentmi, cache alebo CRM, kam AI zapisuje výsledok. GDPR platí na každom z týchto miest.
Mapa toku dát: prvý krok pri každom posúdení
Kým neviete, kadiaľ údaje tečú, nedá sa povedať, či je spracúvanie v poriadku. Preto pri každom AI procese zapíšeme, odkiaľ údaje prichádzajú a aké sú. Rozlišujeme bežné osobné údaje, osobitné kategórie ako zdravie alebo odborová príslušnosť a údaje detí. Potom zapíšeme, kam údaje idú (jazykový model, vektorová databáza, logy, CRM), v ktorej krajine sú servery, ako dlho sa uchovávajú a kto k nim má prístup.
Príklad: firma má v n8n automatizáciu, ktorá číta prichádzajúce e-maily, pošle ich do OpenAI API na roztriedenie a výsledok zapíše do CRM. Mapa ukáže štyri miesta s osobnými údajmi: e-mailovú schránku, logy n8n, servery OpenAI a CRM. Pri každom z nich riešime, kto je zodpovedný, ako dlho tam údaje zostanú a či existuje zmluva.
Prevádzkovateľ, sprostredkovateľ a poskytovateľ modelu
Prevádzkovateľ je ten, kto určuje, prečo a ako sa osobné údaje spracúvajú. Pri AI automatizácii je to zvyčajne firma, ktorej zákazníci alebo zamestnanci údaje poskytli. Sprostredkovateľ spracúva údaje v mene prevádzkovateľa. Typicky je to agentúra, ktorá automatizáciu pre klienta postavila a ďalej ju prevádzkuje. Poskytovatelia jazykových modelov, hostingu, vektorových databáz a logovacích nástrojov sú subsprostredkovatelia.
Medzi každou dvojicou musí existovať zmluva o spracúvaní osobných údajov podľa čl. 28, v angličtine DPA. Firma ju teda potrebuje s agentúrou a agentúra s poskytovateľom modelu. Klient musí vedieť, ktorých subsprostredkovateľov agentúra používa.
Rola podľa GDPR sa nemusí zhodovať s rolou podľa AI Actu. Agentúra môže byť podľa AI Actu poskytovateľom AI systému a zároveň podľa GDPR sprostredkovateľom osobných údajov klienta.
ChatGPT a tieňová AI vo firme
Tieňová AI sú AI nástroje, ktoré zamestnanci používajú bez vedomia alebo súhlasu firmy. Najčastejšie ide o osobný alebo bezplatný účet ChatGPT, do ktorého zamestnanec vloží zmluvu, e-mail od zákazníka alebo tabuľku s menami. Spotrebiteľské podmienky týchto nástrojov sú iné ako firemné. Môžu sa líšiť v tom, ako dlho poskytovateľ údaje uchováva a či ich môže použiť na trénovanie modelu. Firma navyše s poskytovateľom nemá zmluvu o spracúvaní.
Tieňovú AI hľadáme anonymným dotazníkom a rozhovormi so zamestnancami. Nehľadáme vinníkov, chceme zistiť, aké nástroje ľudia potrebujú. Výsledkom je register AI nástrojov a smernica, ktorá jasne povie, ktoré nástroje sa smú používať a s akými údajmi.
Prenos osobných údajov do USA
Väčšina známych jazykových modelov beží na serveroch amerických firiem. Prenos osobných údajov mimo EÚ je podľa čl. 44 až 49 GDPR možný, ak preň existuje právny nástroj. Pri USA je to najčastejšie certifikácia príjemcu v rámci EU-US Data Privacy Framework alebo štandardné zmluvné doložky. Niektorí poskytovatelia ponúkajú aj spracúvanie a uchovávanie údajov v EÚ. Podmienky poskytovateľov sa menia, preto ich pri každom posúdení overujeme k aktuálnemu dátumu.
Kedy treba posúdenie vplyvu (DPIA) pre AI systém
Posúdenie vplyvu na ochranu údajov, skrátene DPIA, je dokument, v ktorom firma pred spustením spracúvania popíše riziká pre ľudí a opatrenia na ich zníženie. Podľa čl. 35 ods. 3 GDPR sa vyžaduje najmä vtedy, keď firma systematicky a rozsiahlo hodnotí ľudí na základe automatizovaného spracúvania a z hodnotenia vychádzajú rozhodnutia s právnymi alebo podobne závažnými účinkami. Ďalšie dva prípady sú spracúvanie osobitných kategórií údajov vo veľkom rozsahu a rozsiahle monitorovanie verejne prístupných miest.
Pri AI to v praxi znamená, že DPIA takmer vždy treba pri triedení životopisov, pri sledovaní výkonu zamestnancov a pri systémoch, ktoré pracujú so zdravotnými údajmi. Podľa čl. 35 ods. 4 GDPR zverejňuje dozorný orgán, na Slovensku Úrad na ochranu osobných údajov SR, aj vlastný zoznam spracovateľských operácií, pri ktorých je DPIA povinná.
Automatizované rozhodovanie podľa čl. 22
Človek má podľa čl. 22 GDPR právo, aby o ňom nerozhodoval výlučne automatizovaný systém, ak má rozhodnutie právne účinky alebo ho podobne významne ovplyvňuje. Príkladom je AI, ktorá sama zamietne žiadosť o úver alebo vyradí uchádzača z výberového konania. Výnimkou je napríklad rozhodnutie nevyhnutné na uzavretie zmluvy alebo výslovný súhlas. Aj vtedy má podľa čl. 22 ods. 3 človek právo na ľudský zásah zo strany prevádzkovateľa, právo vyjadriť svoje stanovisko a právo rozhodnutie napadnúť. Ak človek výsledok AI len formálne potvrdí bez skutočného posúdenia, rozhodnutie zostáva automatizované.
Čo pri AI kontrolujeme podľa GDPR
Pri každom AI procese prejdeme tieto články GDPR. Tabuľka ukazuje, na čo sa pri nich pýtame.
| Oblasť | Článok | Otázka |
|---|---|---|
| Právny základ | čl. 6, 9 | Má účel platný základ? Nezmenil sa účel? |
| Minimalizácia | čl. 5 | Posielate do modelu len to, čo úloha potrebuje? |
| Zmluvy | čl. 28 | DPA klient ↔ agentúra aj agentúra ↔ poskytovateľ LLM? |
| Prenosy mimo EÚ | čl. 44–49 | Data Privacy Framework alebo štandardné zmluvné doložky? EÚ rezidencia? |
| Informovanie | čl. 13, 14 | Vedia ľudia, že ich údaje spracúva AI a kto je príjemca? |
| Automatizované rozhodovanie | čl. 22 | Rozhoduje systém bez reálneho ľudského zásahu? |
| DPIA | čl. 35 | Hodnotenie ľudí, citlivé údaje, monitorovanie zamestnancov? |
| Privacy by design | čl. 25 | Pseudonymizácia pred odoslaním do LLM? |
| Práva dotknutých | čl. 15–21 | Viete údaj nájsť a vymazať aj v logoch, vektorovej DB a cache? |
| Porušenia | čl. 33, 34 | Kto rozhoduje o hlásení do 72 hodín? |
Typické slabé miesta pri AI a osobných údajoch
Riziko vzniká najmä tam, kde AI zaviedli jednotliví ľudia bez spoločných pravidiel. Zamestnanci vkladajú údaje zákazníkov do osobných AI účtov. Firma nemá zmluvu o spracúvaní s poskytovateľom modelu, alebo ho agentúra neuviedla v zozname subsprostredkovateľov voči klientovi.
Ďalšie slabé miesta sú technické. Logy v n8n alebo Make uchovávajú celý obsah e-mailov bez nastavenej doby uchovávania. Vývojári testujú na produkčných osobných údajoch a tie sa dostanú aj do kontextu kódovacích agentov. Pri triedení životopisov alebo sledovaní zamestnancov chýba DPIA a informácia o spracúvaní osobných údajov nespomína AI ani príjemcov mimo EÚ.
Pri úniku údajov musí prevádzkovateľ podľa čl. 33 oznámiť porušenie Úradu na ochranu osobných údajov bez zbytočného odkladu, podľa možnosti do 72 hodín. Ak AI automatizáciu prevádzkuje agentúra, musí byť vopred dohodnuté, kto incident zistí, kto zruší prístupové kľúče a kto informuje klienta.
Časté otázky
Môžu zamestnanci vkladať zákaznícke dáta do ChatGPT?
Nie cez osobné alebo bezplatné účty. Spotrebiteľské podmienky sú iné ako biznisové a firma nad údajmi stráca kontrolu. Riešením je schválený firemný nástroj so zmluvou o spracúvaní (DPA) a smernica o používaní AI.
Je používanie OpenAI API v súlade s GDPR?
Môže byť, ak má firma s poskytovateľom zmluvu o spracúvaní podľa čl. 28, právny nástroj na prenos do USA podľa čl. 44 až 49, platný právny základ a do modelu posiela len údaje, ktoré úloha potrebuje. Podmienky poskytovateľa treba overiť k aktuálnemu dátumu.
Potrebujem DPIA pre AI systém?
Takmer isto áno, ak AI systematicky hodnotí ľudí, spracúva citlivé údaje vo veľkom rozsahu, monitoruje zamestnancov (napríklad triedenie životopisov) alebo sa týka zraniteľných osôb (čl. 35 GDPR).
Smie AI sama rozhodnúť o zamietnutí uchádzača alebo žiadosti?
Len výnimočne. Podľa čl. 22 GDPR má človek právo, aby o ňom nerozhodoval výlučne automatizovaný systém, ak má rozhodnutie právne alebo podobne významné účinky. Pri výnimke pre zmluvu alebo súhlas má právo na ľudský zásah a právo rozhodnutie napadnúť.
Je agentúra, ktorá prevádzkuje AI automatizáciu, sprostredkovateľ?
Zvyčajne áno. Klient je prevádzkovateľ, agentúra sprostredkovateľ a poskytovateľ LLM, hosting či vektorová databáza sú subsprostredkovatelia. Rola podľa GDPR sa nemusí zhodovať s rolou podľa AI Actu.
Zdroje
- Nariadenie (EÚ) 2016/679 (GDPR)EUR-Lex, úradný text v slovenčine
- Nariadenie (EÚ) 2024/1689 (Akt o umelej inteligencii)EUR-Lex, úradný text v slovenčine
Odkazy overené 24. 9. 2026.
Kde začať
TEWA AI Compliance je slovenská agentúra (tewa s. r. o., Bratislava), ktorá firmám na Slovensku a v Česku pomáha bezpečne používať a stavať AI v súlade s AI Actom a GDPR. Začať môžete AI Risk Checkom s 10 otázkami alebo 30-minútovým hovorom zdarma, ozveme sa do jedného pracovného dňa.