AI a GDPR ve firmě: co vkládat do chatbota a co ne

Zaměstnanci AI nástroje používají, ať o tom firma ví, nebo ne. Nejčastější riziko není hacker, ale kolega, který do chatbota vloží tabulku zákazníků, aby mu ji „rychle zpracoval“. Tento článek shrnuje základní principy, jak AI používat rozumně s ohledem na GDPR.

Tento článek není právní rada. Pro posouzení konkrétní situace se obraťte na právníka nebo pověřence pro ochranu osobních údajů. Oficiální informace vydává Úřad pro ochranu osobních údajů (ÚOOÚ).

Co jsou osobní údaje

GDPR chápe osobní údaje široce – je to jakákoli informace o identifikované nebo identifikovatelné fyzické osobě. V praxi:

• jméno, e-mail, telefon, adresa,
• číslo objednávky, pokud ho lze spojit s konkrétním člověkem,
• IP adresa, identifikátory zařízení,
• fotografie, hlasové nahrávky,
• obsah e-mailu, ze kterého je poznat, o koho jde.

Zvláštní pozornost vyžadují citlivé údaje – zdravotní stav, náboženství, politické názory a další zvláštní kategorie.

Základní pravidlo: minimalizace

Do AI vkládejte jen to, co je pro úkol skutečně potřeba. Většina úkolů osobní údaje vůbec nepotřebuje:

Úkol	Potřebuje osobní údaje?
Napsat odpověď na stížnost	ne – stačí obsah stížnosti
Shrnout zápis z porady	obvykle ne – jména lze nahradit rolemi
Analyzovat prodeje	ne – stačí agregovaná čísla
Opravit vzorec v tabulce	ne – stačí ukázková data

Anonymizace v praxi

Před vložením textu nahraďte identifikační údaje zástupnými značkami:

Původně:
Jana Nováková ([email protected]) si stěžuje,
že objednávka 2024-5512 dorazila poškozená.

Po úpravě:
[ZÁKAZNICE] si stěžuje, že objednávka [ČÍSLO]
dorazila poškozená.

Pokud tohle děláte často, můžete si na nahrazení napsat jednoduchý skript. Například v Pythonu pro e-maily a telefonní čísla:

import re

def anonymizuj(text: str) -> str:
    text = re.sub(r"[\w.+-]+@[\w-]+\.[\w.-]+", "[EMAIL]", text)
    text = re.sub(r"(\+420\s?)?\d{3}\s?\d{3}\s?\d{3}", "[TELEFON]", text)
    return text

print(anonymizuj("Pište na [email protected] nebo volejte 777 123 456."))
# Pište na [EMAIL] nebo volejte [TELEFON].

Takový skript zachytí jen jednoduché vzory – jména, adresy a kontext je nutné zkontrolovat ručně.

Otázky pro dodavatele AI nástroje

Než nástroj začnete ve firmě používat na práci s daty, zjistěte si:

1. Kde se data zpracovávají – v EU, nebo mimo ni? Pokud mimo, na jakém základě se předávají?
2. Používají se vstupy k trénování modelů? Dá se to vypnout?
3. Jak dlouho se data uchovávají a dají se smazat?
4. Nabízí dodavatel smlouvu o zpracování osobních údajů (DPA)?
5. Kdo má k datům přístup – včetně subdodavatelů?

Odpovědi hledejte v podmínkách služby a zásadách ochrany osobních údajů. Pokud je nenajdete, napište dodavateli.

Firemní vs. osobní účty

Zaměstnanec, který používá soukromý účet v AI nástroji na firemní data, je z pohledu firmy nekontrolovaná situace. Řešení:

• určit, které nástroje jsou schválené,
• používat firemní účty, kde je to možné,
• sepsat jednoduchá pravidla – viz článek o interní směrnici pro používání AI.

AI Act

Kromě GDPR se postupně uplatňuje evropské nařízení o umělé inteligenci (AI Act). Jednou z prvních povinností, platnou od února 2025, je zajistit dostatečnou úroveň povědomí o AI (AI gramotnosti) u lidí, kteří ve firmě AI systémy používají. Pro malou firmu to v praxi znamená hlavně proškolit zaměstnance, jak nástroje používat a jaká mají rizika. Konkrétní povinnosti podle typu použití si ověřte u odborníka.

Kontrolní seznam

• [ ] Víme, které AI nástroje ve firmě používáme.
• [ ] Zaměstnanci vědí, co do nich nevkládat.
• [ ] Máme ověřené podmínky zpracování dat u dodavatele.
• [ ] Osobní údaje anonymizujeme, než je pošleme do AI.
• [ ] Výstupy AI kontroluje člověk, než je použijeme.

Rozumné používání AI a GDPR se nevylučují. Většina užitečné práce s AI se dá dělat úplně bez osobních údajů.