AI ve firmě bezpečně: GDPR, AI Act a pravidla pro zaměstnance
Praktický přehled pro vedení firem, jejichž zaměstnanci už ChatGPT, Gemini nebo Claude používají, ať o tom firma ví, nebo ne. Shrnuje, co říká GDPR a AI Act, kam firemní data smí a jaká pravidla zavést. Nejde o právní poradenství; u citlivých případů se poraďte s právníkem nebo pověřencem pro ochranu osobních údajů.
- Největší riziko není AI samotná, ale zaměstnanci vkládající firemní a osobní údaje do osobních bezplatných účtů AI služeb.
- U firemních tarifů a API poskytovatelé obvykle smluvně vylučují trénování na Vašich datech a nabízejí zpracovatelskou smlouvu podle čl. 28 GDPR. Ověřte to v podmínkách konkrétní služby.
- AI Act: zakázané praktiky a povinnost podporovat AI gramotnost zaměstnanců platí od 2. 2. 2025, povinnost informovat, že člověk komunikuje s AI, od 2. 8. 2026.
- Pravidla pro vysoce rizikové systémy (např. AI pro nábor a hodnocení zaměstnanců) se po změně z července 2026 použijí od 2. 12. 2027.
- Základ je jednostránková směrnice: povolené nástroje, co se do nich nesmí vkládat, kdo výstupy kontroluje.
Kde jsou rizika
- Osobní účty zaměstnanců. U bezplatných a osobních tarifů mohou poskytovatelé podle svých podmínek využívat konverzace ke zlepšování modelů, pokud to uživatel nevypne. Firma nad těmito daty nemá kontrolu ani smlouvu.
- Osobní údaje zákazníků a zaměstnanců. Životopisy, e-maily, smlouvy, mzdové údaje. Jejich vložení do AI služby je zpracování osobních údajů a musí mít právní základ.
- Obchodní tajemství. Ceníky, nabídky, technická dokumentace, zdrojový kód.
- Chybné výstupy. AI si umí vymyslet fakta, čísla i citace paragrafů. Výstup odeslaný zákazníkovi bez kontroly je odpovědnost firmy.
- Vložené pokyny v dokumentech. E-mail nebo PDF může obsahovat skrytý text, který se snaží AI přimět k jinému chování (tzv. prompt injection). AI, která zpracovává cizí dokumenty, by neměla mít oprávnění sama odesílat data nebo provádět platby.
- Napojení AI na firemní systémy. AI asistent s přístupem ke všem dokumentům může ukázat mzdy někomu, kdo je vidět nemá. Přístupová práva musí platit i pro AI.
GDPR a AI: co musíte splnit
- Právní základ (čl. 6 GDPR). Pro zpracování osobních údajů v AI potřebujete stejný základ jako pro jakékoli jiné zpracování, typicky plnění smlouvy nebo oprávněný zájem.
- Zpracovatelská smlouva (čl. 28 GDPR). Poskytovatel AI služby je zpracovatel. Firemní tarify a API velkých poskytovatelů obvykle nabízejí smlouvu o zpracování (DPA). U osobních bezplatných účtů ji nemáte.
- Přenos mimo EU. Většina velkých AI služeb je z USA. Přenos je možný například u poskytovatelů zapojených do EU-US Data Privacy Framework nebo na základě standardních smluvních doložek. Někteří poskytovatelé nabízejí zpracování v EU.
- Minimalizace. Do AI posílejte jen údaje, které úloha potřebuje. Pro vytěžení faktury nepotřebujete posílat celou e-mailovou konverzaci.
- Posouzení vlivu (DPIA, čl. 35 GDPR). Je potřeba u zpracování s vysokým rizikem, například při automatickém hodnocení uchazečů o práci nebo zaměstnanců.
- Informování. Doplňte AI zpracování do informací o zpracování osobních údajů a do záznamů o činnostech zpracování.
AI Act: co se týká běžné firmy
Nařízení (EU) 2024/1689 o umělé inteligenci rozlišuje poskytovatele AI systémů a zavádějící subjekty, tedy firmy, které AI používají. Běžná firma je obvykle zavádějící subjekt. Termíny níže zohledňují změnu nařízení (tzv. Digital Omnibus), která vstoupila v platnost 27. 7. 2026.
| Od kdy | Co platí |
|---|---|
| 2. 2. 2025 | Zákaz nepřijatelných praktik (např. rozpoznávání emocí na pracovišti, sociální skóring, manipulace). Povinnost přijmout opatření pro AI gramotnost lidí, kteří s AI pracují. |
| 2. 8. 2026 | Povinnost informovat lidi, že komunikují s AI systémem, například s chatbotem na webu. |
| 2. 12. 2027 | Pravidla pro samostatné vysoce rizikové systémy, mezi které patří AI pro nábor, výběr uchazečů a hodnocení zaměstnanců. |
| 2. 8. 2028 | Vysoce rizikové AI systémy zabudované do regulovaných výrobků. |
Pro většinu firem z toho plyne: proškolit lidi, označit chatbota a zvlášť opatrně posuzovat AI v náboru a HR. Více k tomu v článku automatizace HR agendy. Plné znění nařízení najdete na EUR-Lex.
Kam smí firemní data: tři úrovně
| Úroveň | Příklad | Co tam patří |
|---|---|---|
| Osobní bezplatný účet | Zaměstnanec si sám založí účet | Jen veřejné informace, obecné dotazy, texty bez jmen a čísel |
| Firemní tarif nebo API se smlouvou | Firemní licence AI asistenta, napojení přes API s DPA | Běžné firemní dokumenty a osobní údaje v rozsahu, který úloha potřebuje |
| Vlastní provoz | Model nebo vyhledávání nad dokumenty na vlastním serveru či v EU cloudu | Citlivé dokumenty, zdravotní a mzdové údaje, obchodní tajemství |
U AI asistenta nad firemními dokumenty je klíčové, aby respektoval stejná přístupová práva jako souborový server. Asistent, který odpovídá všem stejně ze všech dokumentů, je bezpečnostní chyba, ne funkce. Jak se to staví, popisujeme v článku AI asistent nad firemními dokumenty.
Pravidla pro zaměstnance a jak pomůžeme my
Stačí jedna strana. Doporučený obsah:
- Povolené nástroje a že se používají jen přes firemní účty.
- Co se nevkládá: rodná čísla, zdravotní údaje, mzdy, hesla, přístupové klíče, smlouvy s obchodním tajemstvím, údaje zákazníků mimo schválené nástroje.
- Kontrola výstupů: text, čísla a právní tvrzení z AI kontroluje člověk, než odejdou ven.
- Označování: chatbot a automatické odpovědi zákazníkům jsou označené jako AI.
- Zakázané použití: automatické rozhodování o lidech (nábor, hodnocení) bez posouzení a lidské kontroly.
- Hlášení: komu nahlásit, když někdo omylem vložil citlivá data.
- Školení: krátké proškolení při zavedení a pro nové zaměstnance, se záznamem, že proběhlo.
V KUDEN stavíme AI automatizace tak, aby data šla jen tam, kam mají: volíme služby se zpracovatelskou smlouvou, posíláme jen nutné údaje, logujeme a nastavujeme přístupová práva. Právní posouzení nenahrazujeme, ale technické podklady pro něj připravíme. Ozvěte se přes kontakt.
Časté otázky
Smí zaměstnanci používat ChatGPT s firemními daty?
Jen s pravidly. Osobní bezplatné účty nejsou vhodné pro osobní údaje ani obchodní tajemství, protože firma nemá s poskytovatelem smlouvu a data mohou být použita ke zlepšování modelů. Pro práci s firemními daty používejte firemní tarif nebo API se zpracovatelskou smlouvou a sepište, co se do AI nesmí vkládat.
Je používání AI v souladu s GDPR?
Může být, pokud máte právní základ pro zpracování, smlouvu se zpracovatelem, ošetřený přenos dat mimo EU, posíláte jen nezbytné údaje a zpracování uvedete v informacích pro subjekty údajů. U rizikového zpracování, jako je hodnocení uchazečů, je potřeba posouzení vlivu.
Co musí firma podle AI Actu udělat do roku 2026?
Od února 2025 platí zákaz nepřijatelných praktik a povinnost přijmout opatření pro AI gramotnost zaměstnanců. Od 2. 8. 2026 musí lidé vědět, že komunikují s AI, například s chatbotem. Pravidla pro vysoce rizikové systémy, jako je AI v náboru, se po změně z července 2026 použijí od 2. 12. 2027.
Trénuje OpenAI nebo Google na datech, která do AI vložím?
Záleží na typu účtu a nastavení. U osobních účtů poskytovatelé podle svých podmínek data ke zlepšování modelů používat mohou, pokud to nevypnete. U firemních tarifů a API to obvykle smluvně vylučují. Vždy si ověřte aktuální podmínky konkrétní služby.
Jak zavést AI ve firmě bezpečně?
Vyberte jeden nebo dva schválené nástroje s firemními účty a zpracovatelskou smlouvou, sepište jednostránková pravidla, proškolte lidi a začněte úlohami bez citlivých dat. U napojení AI na firemní systémy nastavte přístupová práva a logování.
Chcete to vyřešit ve Vaší firmě?
Napište nám, jak to u Vás dnes funguje. Ozve se Vám přímo člověk, který to bude stavět, a po krátkém hovoru dostanete rozsah a cenu předem. Víc o službě AI & automatizace.
Nebo rovnou: info@kuden.cz, +420 736 253 575