GDPR a AI Act: čo musí firma vedieť pred nasadením AI

GDPR sa na AI nasadenie vzťahuje rovnako ako na akékoľvek iné spracúvanie osobných údajov, otázka je, kde dáta idú a kto k nim má prístup. AI Act pridáva vlastné pravidlá, z ktorých firmu s AI chatbotom najviac zaujíma povinnosť transparentne označiť, že komunikuje s AI. Tento text je všeobecná informácia, nie právne poradenstvo, pre konkrétny prípad odporúčame konzultáciu s právnikom.

GDPR pri nasadení AI

Kde končia dáta

Keď chatbot alebo AI agent spracúva otázku od zákazníka, text otázky aj nájdené podklady putujú k poskytovateľovi jazykového modelu, ktorý vygeneruje odpoveď. Ak je poskytovateľ mimo EÚ, ide o cezhraničný prenos údajov a musí byť krytý štandardnými zmluvnými doložkami (SCC) alebo iným mechanizmom podľa GDPR. Dáta samotnej firmy, obsah, dokumenty, história konverzácií, by mali byť uložené na serveroch v EÚ, ideálne s presne určenou krajinou, nielen všeobecným tvrdením „cloud v Európe".

Zmluva o spracúvaní (DPA)

Ak dodávateľ AI riešenia spracúva osobné údaje vašich zákazníkov vaším menom, ste prevádzkovateľ a dodávateľ je sprostredkovateľ. Medzi vami musí existovať zmluva o spracúvaní osobných údajov (DPA), ktorá určuje, na čo sa dáta smú použiť, ako dlho sa uchovávajú a čo sa deje pri ukončení spolupráce. Bez DPA nasadenie nie je v poriadku, aj keby bolo technicky funkčné.

Práva dotknutých osôb

Zákazník, ktorého údaje chatbot alebo agent spracoval, má právo vedieť, že komunikoval so systémom, ktorý spracúva jeho údaje, a má právo na prístup, opravu či výmaz. Firma potrebuje vedieť, kde presne dáta o konkrétnej osobe sú, aby vedela na žiadosť reagovať v zákonnej lehote.

Napríklad: zákazník napíše chatbotu otázku, v ktorej uvedie svoje meno a e-mail, a neskôr požiada o výmaz svojich údajov. Firma musí vedieť nájsť túto konverzáciu v systéme chatbota aj v prípadnom CRM, kam sa kontakt zapísal, a vymazať ju z oboch miest. Preto je súčasťou dobrého nastavenia aj prehľad o tom, kde všade sa história konverzácií ukladá a ako dlho.

Prevádzkovateľ a sprostredkovateľ

Vo vzťahu medzi firmou a dodávateľom AI riešenia má každá strana inú rolu. Firma rozhoduje, na čo sa údaje zákazníkov použijú, a je preto prevádzkovateľom. Dodávateľ spracúva údaje podľa pokynov firmy a je sprostredkovateľom. Toto rozdelenie určuje, kto zodpovedá čo v prípade kontroly alebo úniku údajov, firma nesie zodpovednosť voči svojim zákazníkom, dodávateľ zodpovedá firme podľa uzavretej zmluvy.

AI Act: čo sa firiem týka

AI Act je nariadenie EÚ, ktoré rozdeľuje AI systémy podľa rizika, od zakázaných praktík cez vysokorizikové systémy až po bežné aplikácie s obmedzenou povinnosťou transparentnosti. Väčšina prísnych povinností sa týka systémov s vysokým rizikom, napríklad v zdravotníctve, nábore zamestnancov alebo bankovníctve. Bežný AI chatbot na webe do tejto kategórie spravidla nespadá. Týka sa ho ale jedna konkrétna povinnosť.

Transparentnosť pri chatbotoch

Článok 50 AI Act vyžaduje, aby bol používateľ informovaný, že komunikuje s AI systémom, a nie s človekom, pokiaľ to nie je z okolností zjavné. Táto povinnosť sa uplatňuje od 2. augusta 2026. V praxi to znamená viditeľné označenie chatbota ako AI, napríklad v jeho predstavení pri prvej správe, formuláciou v zmysle „som AI asistent, ktorý odpovedá z obsahu firmy". Rovnaká zásada platí aj vtedy, keď chatbot odovzdá konverzáciu človeku, zákazník má vedieť, kedy prešiel z jedného na druhého.

Ostatné povinnosti

Zakázané praktiky, napríklad sociálne skórovanie alebo manipulatívne techniky, a prísne požiadavky na vysokorizikové systémy sa bežného firemného chatbota alebo automatizácie dopytov netýkajú. Ak ale AI systém rozhoduje o niečom, čo má právny alebo podobne významný dopad na osobu, napríklad automaticky zamieta žiadosť o úver alebo o zamestnanie, treba zaradenie posúdiť individuálne, ideálne s právnikom. Rozdiel je v tom, či AI len pripraví podklad, ktorý potvrdí človek, alebo či rozhoduje sama bez kontroly, prvý prípad je bežný a nízkorizikový, druhý si vyžaduje dôkladnejšie posúdenie.

Na základe čoho môžete dáta spracúvať

Odpovedanie na otázku zákazníka cez chatbot alebo spracovanie dopytu cez AI agenta sa väčšinou opiera o vykonanie opatrení pred uzavretím zmluvy na žiadosť zákazníka alebo o plnenie zmluvy, prípadne o oprávnený záujem firmy odpovedať na dopyt, podobne ako pri bežnom e-mailovom kontakte. Súhlas je namieste tam, kde ide nad rámec vybavenia dopytu, napríklad pri proaktívnom oslovovaní zákazníkov alebo zaraďovaní kontaktu do marketingového zoznamu. Rozdiel medzi oboma základmi spracúvania sa oplatí ujasniť už pri nastavovaní chatbota, aby zber kontaktov zodpovedal tomu, na čo sa reálne použije.

Časté chyby pri nasadení

• Chatbot sa netvári ako AI. Predstaví sa všeobecným pozdravom bez toho, aby povedal, že ide o automatizovaný systém. Od 2. augusta 2026 to je riziko: výnimka platí len vtedy, keď je zjavné, že ide o AI, a spoliehať sa na ňu sa neoplatí. Jednoznačné označenie je najbezpečnejšia cesta.
• Zmluva s dodávateľom chýba alebo je neúplná. Firma si AI nástroj len „zapne" bez podpísanej DPA. Pri kontrole potom chýba doklad, na základe čoho dodávateľ dáta spracúva.
• Nikto nevie, kde presne dáta sú. Ak sa história konverzácií ukladá na viacerých miestach bez prehľadu, žiadosť o výmaz sa dá splniť len ťažko a s rizikom, že sa niečo zabudne.
• Citlivé rozhodnutia robí systém sám, bez kontroly. Napríklad automatické zamietnutie žiadosti alebo reklamácie bez toho, aby to niekto skontroloval, zvyšuje riziko z pohľadu AI Act aj GDPR.

Checklist pred nasadením

Čo urobiť pred podpisom zmluvy

1. Vyžiadajte si informáciu o umiestnení dát. Dodávateľ by mal vedieť presne povedať, na ktorých serveroch a v ktorej krajine sú vaše dáta uložené.
2. Skontrolujte, či zmluva obsahuje DPA. Buď ako samostatný dokument, alebo ako súčasť všeobecných podmienok, dôležité je, aby bola podpísaná, nie len spomenutá.
3. Overte, ako sa dáta posielajú k jazykovému modelu. Pýtajte sa, či poskytovateľ modelu má SCC alebo iný krycí mechanizmus a či dáta nepoužíva na trénovanie.
4. Dohodnite si spôsob, akým budete vedieť vymazať dáta konkrétnej osoby. Ideálne písomne, ešte pred spustením, nie až keď príde prvá žiadosť.

Kedy treba právne poradenstvo

Pri bežnom AI chatbote na webe, ktorý odpovedá z obsahu firmy a zbiera kontakty, sa vyššie uvedený checklist väčšinou pokryje štandardnou zmluvou a technickým nastavením. Právne poradenstvo sa oplatí, keď AI systém rozhoduje o osobách automaticky bez kontroly človeka, spracúva citlivé kategórie údajov, napríklad zdravotné, alebo keď si nie ste istí, do ktorej rizikovej kategórie podľa AI Act patrí.

Súvisiacu tému, ako sa AI vyhýba nepravdivým odpovediam pomocou RAG, rozoberáme v texte ako AI chatbot neklame. Ak si nie ste istí, čo z tohto zoznamu sa týka konkrétne vášho nasadenia, konzultácia vám pomôže spraviť si poriadok pred podpisom zmluvy.

Zhrnutie

GDPR rieši, kde dáta sú a kto k nim má prístup, AI Act pridáva pri chatbotoch povinnosť transparentne sa označiť ako AI od augusta 2026. Konkrétne otázky k vášmu prípadu prebrať môžete cez formulár nižšie.