AI ve firmě a ochrana dat: GDPR a AI Act v praxi

Když firma začne používat AI, řeší dva předpisy. GDPR platí pro každou práci s osobními údaji, tedy i pro tu, kterou dělá AI. AI Act je nový evropský předpis přímo o umělé inteligenci. Článek shrnuje, co z nich plyne pro běžnou firmu.

Článek není právní rada. Pro konkrétní situaci se obraťte na právníka nebo pověřence pro ochranu osobních údajů.

GDPR nezná výjimku pro umělou inteligenci. Pokud AI čte e-maily, třídí poptávky nebo připravuje smlouvy, zpracovává osobní údaje. Platí pro ni stejná pravidla jako pro lidi a jiný software.

Právní základ (čl. 6)

Každé zpracování potřebuje právní základ. U firemní práce to bývá plnění smlouvy, právní povinnost nebo oprávněný zájem.

Ověřte, že AI používá data jen k účelu, pro který jste je získali. Když AI odpovídá na poptávku, opírá se o stejný základ jako člověk, který by odpovídal. Pokud ale chcete data použít k novému účelu, posuďte ho zvlášť.

Informační povinnost (čl. 13)

Lidé mají vědět, kdo jejich údaje zpracovává a komu je předává. Projděte své zásady ochrany osobních údajů. Doplňte do nich dodavatele AI jako příjemce, případně předání mimo EU.

Smlouva se zpracovatelem (čl. 28)

Dodavatel AI, který pracuje s vašimi daty, je obvykle zpracovatel. S ním potřebujete zpracovatelskou smlouvu. Smlouva určuje, co smí s daty dělat, jak je chrání a co se s nimi stane po skončení spolupráce.

Zeptejte se dodavatele také na jeho subdodavatele. GDPR vyžaduje, abyste o nich věděli.

Záznamy o činnostech zpracování (čl. 30)

Zapište nové zpracování do záznamů. Výjimka pro firmy do 250 zaměstnanců je úzká. Na pravidelné zpracování osobních údajů se obvykle nevztahuje.

Kde jsou data (kapitola V)

Předání osobních údajů mimo EU a Evropský hospodářský prostor má zvláštní pravidla. Firma ho musí opřít například o rozhodnutí Evropské komise o odpovídající ochraně nebo o standardní smluvní doložky.

Zjistěte proto, kde AI běží a kde ukládá data. Ptejte se konkrétně:

V které zemi běží servery?
Kam putují data, když AI zpracovává požadavek?
Kteří subdodavatelé mají k datům přístup?

Nejjednodušší situace nastane, když data neopustí EU nebo vaši firmu.

Automatizovaná rozhodnutí a posouzení vlivu

Pozor na rozhodnutí, která mají pro člověka právní nebo podobně významné účinky. Pokud by je AI dělala bez lidského zásahu, platí přísná pravidla čl. 22 GDPR. Bezpečnější je, když AI připraví podklady a rozhodne člověk.

U zpracování s vysokým rizikem pro lidi připravte posouzení vlivu na ochranu osobních údajů podle čl. 35.

AI Act: co platí a odkdy

AI Act je nařízení (EU) 2024/1689. Vstoupil v platnost 1. srpna 2024. Povinnosti nabíhají postupně:

Od 2. února 2025 platí zákaz vybraných praktik (čl. 5) a povinnost gramotnosti v oblasti AI (čl. 4).
Od 2. srpna 2025 platí povinnosti pro poskytovatele obecných modelů AI.
Od 2. srpna 2026 platí většina dalších povinností, včetně povinností transparentnosti podle čl. 50.

V listopadu 2025 představila Evropská komise návrh nazvaný digitální omnibus. Navrhuje mimo jiné odložit část povinností pro vysoce rizikové systémy. Týká se také povinnosti gramotnosti v oblasti AI. Před rozhodnutím si ověřte, zda a v jaké podobě Evropská unie návrh přijala.

Poskytovatel, nebo zavádějící subjekt

AI Act rozlišuje role. Poskytovatel AI systém vyvíjí a uvádí na trh. Zavádějící subjekt ho používá ve své činnosti. Firma, která si AI pořídí pro svou práci, je obvykle zavádějící subjekt. Většina povinností dopadá na poskytovatele, část ale i na vás.

Gramotnost v oblasti AI (čl. 4)

Firmy, které AI používají, mají přijmout opatření, aby lidé, kteří s ní pracují, měli dostatečnou gramotnost v oblasti AI. V praxi to znamená krátké zaškolení. Lidé mají vědět, co AI umí, kde dělá chyby a kdy výsledek kontrolovat.

Transparentnost (čl. 50)

Lidé mají vědět, že komunikují s AI. Poskytovatel musí systém navrhnout tak, aby to bylo zřejmé. Zavádějící subjekt má další povinnosti. Musí například označit deepfake a texty vytvořené AI, které zveřejňuje k informování veřejnosti o věcech veřejného zájmu.

Pro firmu je nejjednodušší pravidlo: AI se v komunikaci vždy představí jako AI. Platí to pro e-maily, chat i hlas.

Vysoce rizikové použití

Některá použití AI Act řadí mezi vysoce riziková. Patří sem například výběr uchazečů o práci, hodnocení zaměstnanců nebo posuzování úvěruschopnosti. Pro ně platí přísné povinnosti, včetně lidského dohledu a uchovávání záznamů.

Běžná kancelářská práce, jako třídění pošty nebo příprava reportů, sem obvykle nepatří. Pokud ale AI zapojíte do personálních rozhodnutí, nechte si situaci posoudit.

Kontrolní seznam pro firmu

Než AI pustíte k datům, projděte tyto body:

Sepište, s jakými osobními údaji bude AI pracovat a proč.
Ověřte právní základ pro každý účel.
Uzavřete s dodavatelem zpracovatelskou smlouvu.
Zjistěte, kde běží servery a kde jsou uložená data.
Doplňte informace o zpracování a záznamy o činnostech.
Dejte AI jen přístupy, které nutně potřebuje.
Zajistěte, aby se AI vždy představila jako AI.
Zaškolte lidi, kteří s AI pracují.
Rozhodnutí s právními nebo finančními důsledky nechte na lidech.

Jak to řeší AI zaměstnanec

AI zaměstnanec běží v cloudu v EU, nebo přímo u vás ve firmě. Přístup k datům má jen přes účet, který mu založíte v Google Workspace nebo Microsoft 365. Ten můžete kdykoli zablokovat, stejně jako účet zaměstnance. V komunikaci se vždy představí jako AI.

Podrobnosti najdete na stránce Bezpečnost a nasazení.