Chcete použiť AI na e-maily od zákazníkov, životopisy alebo poznámky o pacientoch a niekto sa rozumne spýta: smieme vôbec? Hneď sa objavia dva predpisy. GDPR, ktoré už poznáte. A európsky akt o umelej inteligencii (AI Act), o ktorom ste zrejme počuli najmä z titulkov a z posúvania termínov.
Skrátene: GDPR platí vždy, keď do AI nástroja idú osobné údaje, a tam leží väčšina vašej každodennej práce. AI Act dopadá najmä na firmy, ktoré AI systémy vyvíjajú a predávajú. Pre firmy, ktoré ich používajú, je oveľa miernejší, pokiaľ použitie nespadá do vysokorizikovej oblasti, napríklad nábor alebo úvery. V článku oba predpisy vysvetľujeme zrozumiteľne a na konci nájdete zoznam toho, čo väčšina malých a stredných firiem naozaj potrebuje urobiť.
Ide o praktický prehľad, nie o právne poradenstvo. O svojej konkrétnej situácii sa poraďte so zodpovednou osobou alebo s právnikom.
Dva predpisy, dve rôzne otázky
GDPR sa pýta: čo sa deje s osobnými údajmi? Nezáleží mu na tom, či ich spracúvate v tabuľke alebo jazykovým modelom. Ak do AI nástroja ide meno zákazníka, práceneschopnosť zamestnanca alebo životopis uchádzača, platia všetky bežné pravidlá GDPR.
AI Act sa pýta: na čo sa systém AI používa a aké riskantné je to použitie? Platí aj vtedy, keď nejde o žiadne osobné údaje, napríklad pri chatbote na webe alebo pri AI, ktorá riadi stroj.
V praxi budete na GDPR myslieť vždy, keď zavádzate AI nástroj. Na AI Act najmä pri kontrole, či použitie nespadá do vysokorizikovej kategórie alebo pod pravidlá transparentnosti.
Dozor nad ochranou osobných údajov na Slovensku vykonáva Úrad na ochranu osobných údajov SR. GDPR tu dopĺňa zákon č. 18/2018 Z. z. o ochrane osobných údajov.
GDPR pri používaní AI
Právny základ pre každý účel
Každé použitie osobných údajov potrebuje právny základ a AI na tom nič nemení. Zhrnutie e-mailov klienta, aby ste mu mohli odpovedať, zvyčajne kryje ten istý základ ako samotná odpoveď, často zmluva s klientom. Použiť tie isté e-maily na trénovanie alebo vylepšenie modelu je však nový účel a potrebuje vlastný základ.
Ak sa opierate o oprávnený záujem, urobte test proporcionality a zapíšte ho. Európsky výbor pre ochranu údajov v decembri 2024 v stanovisku uviedol, že oprávnený záujem môže byť základom pre vývoj a používanie AI modelov, no len ak tento test obstojí.
Posielajte len to, čo úloha potrebuje
Na odpoveď o meškajúcej dodávke model potrebuje údaje o objednávke, nie celú históriu zákazníka. Odstráňte rodné čísla, bankové údaje a zdravotné informácie, ktoré úloha nepotrebuje. Kde sa dá, nahraďte mená označením „Klient A“. Menej údajov na vstupe znamená menej vysvetľovania, ochrany a neskoršieho mazania.
Poskytovateľ AI je váš sprostredkovateľ
Keď poskytovateľ spracúva osobné údaje vo vašom mene, je zvyčajne vaším sprostredkovateľom. GDPR potom vyžaduje písomnú zmluvu s ním (článok 28), tzv. zmluvu so sprostredkovateľom. Firemné a API plány veľkých poskytovateľov ju ponúkajú. Bezplatné osobné plány často nie a na osobné údaje by ste ich nemali používať.
Pred podpisom si overte štyri veci. Používa poskytovateľ vaše dáta na trénovanie svojich modelov? Pri firemných dátach by nemal. Akých ďalších sprostredkovateľov využíva? Ako dlho uchováva prompty a výstupy? Niektorí ich držia obmedzený čas kvôli odhaľovaniu zneužitia. A ako dosiahnete vymazanie údajov?
Zistite, kam dáta idú
Prenos mimo Európskeho hospodárskeho priestoru potrebuje právny mechanizmus. Pri amerických poskytovateľoch je to často rámec ochrany údajov medzi EÚ a USA (Data Privacy Framework), ak je poskytovateľ certifikovaný, alebo štandardné zmluvné doložky. Rámec platí, no na Súdnom dvore EÚ je proti nemu podané odvolanie. Jeho stav si preto občas overte.
Viacerí poskytovatelia ponúkajú vo firemných plánoch spracovanie v regiónoch EÚ, buď priamo, alebo cez cloudové platformy ako Microsoft Azure, Google Cloud či AWS. Ak dáta nesmú vôbec opustiť vašu kontrolu, riešením je model, ktorý prevádzkujete sami.
Rozhodnite, ako dlho čo uchovávate
Procesy s AI vytvárajú nové údaje: prompty, výstupy, logy, históriu konverzácií, vyhľadávacie indexy z vašich dokumentov. Každý z nich potrebuje dobu uchovávania ako ktorýkoľvek iný záznam. Chatbot, ktorý si každú konverzáciu uloží navždy, je záťaž, nie prínos.
Informujte ľudí a rešpektujte ich práva
Aktualizujte informácie o spracúvaní osobných údajov: napíšte, že na niektoré údaje používate AI nástroje, na aký účel a s ktorými sprostredkovateľmi. Právo na prístup, opravu, vymazanie a namietanie platí aj pre údaje v AI systémoch. Premyslite si, ako by ste v logoch našli údaje jedného človeka.
Ak o niekom rozhodnete výlučne automatizovane a rozhodnutie má naňho právne alebo podobne závažné účinky, platí článok 22. Klasickými príkladmi sú zamietnutie úveru alebo uchádzača o prácu. Praktická odpoveď je väčšinou jednoduchá: AI rozhodnutie pripraví, človek ho urobí. Ako to navrhnúť, rozoberáme v článku človek v procese s AI.
Pri vysokom riziku posúďte vplyv
Posúdenie vplyvu na ochranu údajov (DPIA) je povinné, ak spracúvanie pravdepodobne povedie k vysokému riziku pre ľudí. Typickými spúšťačmi sú zdravotné údaje vo veľkom rozsahu, systematické hodnotenie zamestnancov alebo uchádzačov a nové technológie použité na citlivé údaje. Aj keď povinné nie je, poslúži ako dobrá štruktúra na premyslenie väčšieho AI projektu.
Výber poskytovateľa: verejné API, hosting v EÚ alebo vlastný server
Väčšinu otázok z GDPR rozhodne to, kde model beží. Bežné sú tri možnosti:
Tri spôsoby, ako prevádzkovať model
| Bežné verejné API | Firemné API hostované v EÚ | Model na vlastnom serveri | |
|---|---|---|---|
| Kde sa dáta spracúvajú | Podľa poskytovateľa, často v USA | V regióne EÚ podľa zmluvy | Na vašich serveroch alebo vo vašom cloudovom účte |
| Zmluva so sprostredkovateľom | Áno | Áno | Len s poskytovateľom hostingu |
| Trénovanie na vašich dátach | Pri API zvyčajne vypnuté, overte podmienky | Vypnuté zmluvou | Dáta neopustia vaše prostredie |
| Kvalita modelu | Najlepšie aktuálne modely | Najlepšie modely, v EÚ niekedy neskôr | Na mnohé úlohy dobrá, pri náročných za najlepšími |
| Náročnosť prevádzky | Nízka | Nízka | Vysoká: hardvér, aktualizácie, monitoring |
| Hodí sa na | Necitlivé dáta, prototypy | Väčšinu firemných dát | Zdravotné, právne a prísne dôverné dáta |
Pri väčšine firemných dát je rozumným východiskom firemný plán alebo API so zmluvou so sprostredkovateľom, vypnutým trénovaním a regiónom v EÚ. Model s otvorenými váhami, napríklad Llama, Mistral alebo Qwen, na vlastnom serveri dáva zmysel, keď vaše pravidlá zakazujú akékoľvek spracovanie mimo firmy. Ide napríklad o zdravotné záznamy, prísne dôverné spisy klientov alebo zmluvy, ktoré to výslovne vyžadujú. Možnosti podrobne porovnávame v článku LLM na vlastnom serveri alebo cez API.
Európsky AI Act zrozumiteľne
Ste poskytovateľ, alebo používateľ?
AI Act kladie väčšinu povinností na poskytovateľa. Je to firma, ktorá systém AI vyvinie alebo si ho nechá vyvinúť a uvedie ho na trh či do prevádzky pod vlastným menom. Používateľ, v zákone „nasadzujúci subjekt“, je firma, ktorá systém AI používa pri svojej práci.
Väčšina firiem, ktoré používajú AI asistentov, AI funkcie vo svojom softvéri alebo nástroj, ktorý im niekto postavil, je v pozícii používateľa. Ak predávate produkt so systémom AI pod vlastným menom, ste pravdepodobne jeho poskytovateľ. To isté môže platiť, keď si necháte postaviť systém AI na mieru a používate ho pod svojím menom. Pri použitiach s minimálnym rizikom to mení málo. Pri vysokorizikových veľa. Pravidlá pre modely AI na všeobecné účely, teda veľké modely za chatovými asistentmi, platia pre firmy, ktoré ich vyvíjajú, nie pre vás ako používateľa.
Štyri úrovne rizika
AI Act triedi použitia AI podľa rizika. Čím vyššia úroveň, tým viac pravidiel platí.
Štyri úrovne rizika podľa AI Act
- Zakázané Sociálne skórovanie, manipulatívne techniky, rozpoznávanie emócií v práci alebo v škole
- Vysokorizikové Nábor a riadenie zamestnancov, vzdelávanie, hodnotenie úverovej bonity, základné služby, bezpečnostné časti regulovaných výrobkov
- Transparentnosť Chatboty, deepfaky, obsah vytvorený AI: ľudia to musia vedieť
- Minimálne riziko Návrhy textov, zhrnutia, spamové filtre, interné vyhľadávanie: okrem AI gramotnosti žiadne ďalšie povinnosti
Zakázané praktiky sa bežnej firmy týkajú len zriedka. Jednu si však všimnite: rozpoznávanie emócií zamestnancov na pracovisku je zakázané, s výnimkou zdravotných alebo bezpečnostných dôvodov.
Vysokorizikové použitia sú tam, kde ležia skutočné povinnosti. Patrí sem AI na nábor, výber, povyšovanie, prepúšťanie či sledovanie zamestnancov, na prijímanie a hodnotenie študentov, na posudzovanie úverovej bonity a na stanovenie ceny životného a zdravotného poistenia. Vysokoriziková je aj AI, ktorá je bezpečnostnou súčasťou regulovaného výrobku, napríklad stroja alebo zdravotníckej pomôcky. Ako používateľ vysokorizikového systému ho musíte používať podľa návodu, mať naň vyškolených ľudí, ktorí ho kontrolujú, uchovávať jeho logy, sledovať, ako funguje, a informovať dotknutých ľudí aj zástupcov zamestnancov.
Pravidlá transparentnosti sa týkajú systémov, ktoré komunikujú s ľuďmi alebo vytvárajú obsah. Chatbot musí dať najavo, že je AI, ak to nie je zrejmé. Deepfaky musia byť označené. Text vytvorený AI a zverejnený na informovanie verejnosti o veciach verejného záujmu treba označiť, ak ho neskontroloval človek, ktorý zaň redakčne zodpovedá. Poskytovatelia generatívnej AI musia jej výstupy navyše označiť strojovo čitateľným spôsobom.
Minimálne riziko pokrýva väčšinu toho, na čo dnes firmy AI používajú: návrhy e-mailov, zhrnutia dokumentov, vyhľadávanie v interných znalostiach, triedenie tiketov. AI Act tu nepridáva žiadne osobitné povinnosti okrem AI gramotnosti zamestnancov.
Harmonogram
AI Act nadobudol účinnosť v auguste 2024 a uplatňuje sa postupne.
Odkedy platia pravidlá AI Act
- 1
1. 8. 2024
Nadobudnutie účinnostiAI Act sa stáva právom. Povinnosti nabiehajú postupne.
- 2
2. 2. 2025
Zákazy a AI gramotnosťZakázané praktiky sú zakázané. Firmy musia urobiť kroky pre AI gramotnosť zamestnancov.
- 3
2. 8. 2025
Modely na všeobecné účelyPravidlá pre vývojárov veľkých modelov, napríklad tých za chatovými asistentmi.
- 4
2. 8. 2026
TransparentnosťChatboty musia uviesť, že sú AI. Deepfaky a časť textov od AI treba označiť.
- 5
2. 12. 2026
Označovanie a nové zákazyStrojovo čitateľné označovanie pri systémoch, ktoré už sú na trhu. Nové zákazy AI, ktorá vytvára intímne zábery bez súhlasu alebo materiál so sexuálnym zneužívaním detí.
- 6
2. 12. 2027
Vysokorizikové použitiaNábor, vzdelávanie, úvery a podobné použitia. Pôvodne august 2026.
- 7
2. 8. 2028
Vysokorizikové výrobkyAI v strojoch, zdravotníckych pomôckach a podobných výrobkoch. Pôvodne august 2027.
Čo zmenil digitálny omnibus
V novembri 2025 Európska komisia navrhla tzv. digitálny omnibus (Digital Omnibus). Ide o dva balíky na zjednodušenie digitálnych pravidiel EÚ: jeden pre AI Act a jeden pre pravidlá o dátach vrátane GDPR. Časť o AI prijali ako nariadenie (EÚ) 2026/1744 a účinnosť nadobudla 27. júla 2026. Hlavné zmeny pre firmy:
- Vysokorizikové použitia uvedené v AI Act, napríklad nábor, vzdelávanie a úvery, musia splniť pravidlá od 2. decembra 2027 namiesto 2. augusta 2026.
- Vysokoriziková AI v regulovaných výrobkoch nasleduje od 2. augusta 2028 namiesto 2. augusta 2027.
- Pravidlá transparentnosti sa neposunuli. Platia od 2. augusta 2026. Viac času, do 2. decembra 2026, dostalo len strojovo čitateľné označovanie pri systémoch, ktoré už sú na trhu.
- Povinnosť AI gramotnosti sa preformulovala. Firmy musia urobiť opatrenia na podporu AI gramotnosti svojich ľudí, no nemusia zaručiť konkrétnu úroveň.
- Niektoré úľavy pre malé firmy sa rozšírili aj na tzv. malé podniky so strednou kapitalizáciou.
Dátová časť balíka navrhuje zmeny GDPR, okrem iného pri používaní osobných údajov pre AI a v definícii osobných údajov. V čase písania o nej Európsky parlament a Rada ešte rokujú. Kým sa nič neprijme, GDPR platí v súčasnom znení.
Čo to znamená pre štyri bežné firmy
Účtovnícka firma používa AI asistenta na zhrnutia komunikácie s klientmi a návrhy listov. GDPR: firemný plán so zmluvou so sprostredkovateľom, odstránené identifikátory klientov tam, kde ich úloha nepotrebuje, aktualizované informácie o spracúvaní. AI Act: minimálne riziko. Vyškoľte ľudí a majte krátke pravidlá.
Distribútor dá na web chatbota, ktorý odpovedá na otázky o produktoch. AI Act: ide o transparentnosť, takže chatbot musí uviesť, že je AI. GDPR: ak zbiera mená alebo e-maily, uveďte to v informáciách o spracúvaní a určte, ako dlho uchovávate záznamy konverzácií.
Ambulancia chce, aby AI lekárom zhŕňala poznámky o pacientoch. Zdravotné údaje sú podľa GDPR osobitnou kategóriou, takže počítajte s posúdením vplyvu. Vážne zvážte model na vlastnom serveri alebo službu hostovanú výlučne v EÚ s poriadnou zmluvou. Každé zhrnutie nech skontroluje lekár. Ak by softvér mal podporovať rozhodovanie o diagnóze alebo liečbe, mohol by sa považovať za zdravotnícku pomôcku, a tým by sa naň vzťahovali pravidlá pre vysoké riziko. Overte si to skôr, než začnete stavať.
Personálna agentúra chce, aby AI zoraďovala kandidátov. Podľa AI Act ide o vysokorizikové použitie s povinnosťami pre používateľa od 2. decembra 2027. Podľa GDPR by zamietnutie založené len na tomto poradí spadalo pod článok 22. Praktická cesta: nech AI spracuje a zhrnie životopisy a rozhodnutie nech urobí človek, ktorý vidí skutočnú prihlášku. Viac v článku AI v HR a nábore.
Čo potrebuje urobiť väčšina malých a stredných firiem
Nič z toho si nevyžaduje oddelenie compliance. Väčšine firiem to zaberie pár dní práce a potom revíziu raz či dvakrát do roka.
Praktický zoznam
- Spíšte všetky AI nástroje, ktoré sa používajú Vrátane osobných účtov, ktoré ľudia používajú na prácu
- Zatrieďte dáta, ktoré do nich idú Osobné? Zdravotné alebo inej osobitnej kategórie? Dôverné údaje klientov?
- Firemné plány so zmluvou so sprostredkovateľom A s vypnutým trénovaním na vašich dátach
- Overte, kde sa dáta spracúvajú Región v EÚ alebo platný mechanizmus prenosu
- Aktualizujte informácie o spracúvaní osobných údajov
- Označte chatboty a verejný obsah od AI Povinné od 2. augusta 2026
- O ľuďoch rozhoduje človek Nábor, úvery, prístup k službám
- Posúdenie vplyvu pri vysokom riziku Zdravotné údaje, hodnotenie zamestnancov či uchádzačov
- Skontrolujte vysokorizikové použitia Nábor, vzdelávanie, úvery, ceny poistenia
- Krátke pravidlá pre AI a školenie Pokryjú aj povinnosť AI gramotnosti
Spísané pravidlá premenia väčšinu tohto zoznamu na každodenné návyky. Náš návod ako napísať pravidlá pre AI obsahuje aj šablónu. Ak vaše dáta nesmú opustiť vaše prostredie, pozrite si, ako staviame súkromné AI systémy na vlastných serveroch, alebo sa nám ozvite a prejdeme to spolu.
