GDPR a AI: Čo smiete a čo nie, keď hodíte dáta do umelej inteligencie
Predstavte si, že ste do firemného ChatGPT vložili zmluvu s klientom, aby ste si nechali vypracovať jej zhrnutie. O týždeň neskôr vám zavolá právnik s otázkou, či ste náhodou neporušili všeobecné nariadenie o ochrane údajov. Nie je to hypotetická hrôza z kurzu compliance — je to realita, ktorú už riešia desiatky firiem na Slovensku. Otázka totiž nestojí tak, či AI používať, ale ako ju používať bez toho, aby ste si na krk privolali pokutu až do výšky 20 miliónov eur alebo 4 % celosvetového obratu. Poďme sa v tom zorientovať.
Kde je problém? Všade tam, kde preskočí iskra medzi vami a serverom
GDPR stojí na princípe, že osobné údaje spracúvate len na konkrétny účel, zákonne a s vedomím dotknutej osoby. Umelá inteligencia to celé komplikuje tromi spôsobmi. Po prvé, keď dáta vložíte do online nástroja, často ich odosielate na servery mimo EÚ (typicky do USA), čím ich prenášate do tretej krajiny. Po druhé, AI model sa z vašich dát učí — a vy neviete, či sa vaša zmluva nestane súčasťou tréningových dát pre niekoho iného. Po tretie, výstup nemusí byť presný, a ak je založený na osobných údajoch, môže generovať nepravdivé alebo diskriminačné rozhodnutia.
Kľúčový je článok 5 ods. 1 písm. b) GDPR — obmedzenie účelu. Ak ste zbierali e-maily na newsletter, nemôžete ich len tak hodiť do AI na analýzu sentimentu. A článok 28 — spracovateľská zmluva. Väčšina komerčných AI služieb (Microsoft Copilot, Google Gemini, OpenAI) funguje ako spracovateľ, no vy si musíte overiť, či im to vyhovuje a či majú podpísanú zmluvu so štandardnými zmluvnými doložkami (SCC) podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914.
Praktický návod: čo môžete, čo radšej nie
Nebudem vám tu prednášať teóriu, ale dám vám konkrétny checklist, ktorý používam pri posudzovaní nástrojov pre redakciu:
- Pseudonymizujte dáta pred vložením. Ak potrebujete analyzovať zmluvy, odstráňte mená, adresy, rodné čísla. AI na pochopenie štruktúry dokumentu nepotrebuje vedieť, že ide o Jána Mrkvičku z Košíc.
- Vypnite tréningové funkcie. Pri firemných verziách nástrojov (ChatGPT Enterprise, Copilot for Microsoft 365) je tréning na vašich dátach štandardne vypnutý. Pri bezplatných verziách to neplatí — tam sa vaše vstupy môžu použiť na zlepšovanie modelu.
- Overte si lokalitu serverov. Ak má poskytovateľ európske dátové centrum (napríklad európsky cloud od Azure alebo AWS Frankfurt), je to z pohľadu GDPR výrazne jednoduchšie ako prenos do USA.
- Spracovateľská zmluva nie je luxus. Pred nasadením akéhokoľvek nástroja si vyžiadajte DPA (Data Processing Agreement). Ak vám ho nevedia poskytnúť, máte smolu — a radšej hľadajte alternatívu.
AI Act prichádza: čo sa mení pre bežného používateľa?
Od augusta 2026 sa naplno rozbehne Nariadenie o umelej inteligencii (AI Act). Jeho dopad na vás závisí od toho, či AI len používate (ste „deployer") alebo ju vyvíjate. Pre väčšinu firiem bude kľúčové, že ak nasadzujete AI na spracúvanie osobných údajov vo veľkom rozsahu, budete musieť vykonať posúdenie vplyvu na ochranu údajov (DPIA) podľa článku 35 GDPR. To nie je len byrokratický šuplík — je to dokument, ktorý preukáže, že ste zvážili riziká pre dotknuté osoby a prijali opatrenia.
A pozor na článok 22 GDPR — právo nebyť predmetom automatizovaného rozhodovania. Ak by ste napríklad použili AI na automatické odmietanie žiadostí o úver alebo na hodnotenie výkonu zamestnancov, dotknutá osoba má právo žiadať ľudský zásah. Toto sa týka aj bežných HR procesov — takže ak plánujete „AI na výber životopisov", pripravte si mechanizmus odvolania.
Pasca, ktorú väčšina ľudí prehliada
Najväčším problémom nie je samotné vloženie dát, ale právo na výmaz (článok 17). Ak požiada zákazník o vymazanie svojich osobných údajov z vašich systémov, ako to zabezpečíte, keď sú dáta už „natrénované" v modeli? Odpoveď je nepríjemná: nedá sa to. Modely nemajú tlačidlo „zabudni na Jána". Preto je zásadné, aby ste osobné údaje do AI vôbec nevkladali — a ak to musíte, tak len v pseudonymizovanej podobe a s vedomím, že výmaz nebude možný.
Verdikt: Nie je to o zákaze, ale o hygiene
GDPR a AI nie sú nepriatelia. Sú to dva systémy, ktoré si vyžadujú dátovú hygienu. Kým pred desiatimi rokmi stačilo zamknúť skriňu so spismi, dnes musíte vedieť, kam putujú dáta, kto ich číta a čo sa s nimi stane po tom, čo ich odovzdáte algoritmu. Odporúčam vám začať jednoducho: urobte si audit nástrojov, ktoré v práci používate. Zistite, ktoré z nich spracúvajú osobné údaje, a pri tých si overte tri veci — lokalitu serverov, tréningové nastavenia a existenciu spracovateľskej zmluvy. Zaberie vám to hodinu a ušetrí vám to roky právnych problémov.
Luciin tip pre digitálny život: Skôr než vložíte do akejkoľvek AI služby dokument, ktorý obsahuje meno, telefón alebo adresu, spýtajte sa sami seba: „Potrebuje to AI vedieť, aby splnila moju úlohu?" V 90 % prípadov je odpoveď nie. Pseudonymizácia je váš najlepší priateľ — a ak si nie ste istí, či je váš postup v súlade s GDPR, nebojte sa osloviť zodpovednú osobu (DPO). Je to presne ten človek, ktorý vám má pomôcť, nie vás brzdiť.
