Stručně
- AI s osobními údaji je legální, pokud máte právní základ a smlouvu s poskytovatelem.
- Dávejte AI jen údaje, které pro úkol opravdu potřebuje.
- Rozhodnutí se závažným dopadem na lidi nenechávejte čistě na automatu.
Pět otázek, které si položit
- Jaké osobní údaje AI zpracovává? Jména a e-maily? Rodná čísla? Zdravotní údaje?
- Na jakém právním základě? Ve firmě nejčastěji plnění smlouvy, právní povinnost nebo oprávněný zájem (čl. 6 GDPR).
- Kdo je zpracovatel? Poskytovatel AI služby i dodavatel agenta zpracovávají údaje za vás. Potřebujete s nimi zpracovatelskou smlouvu (čl. 28).
- Kde se data zpracovávají? V EU, nebo mimo ni? Pro přenos mimo EU musí existovat zákonný rámec.
- Jak dlouho se data uchovávají a kdo k nim má přístup?
Odpovědi si zapište. Hodí se do záznamů o činnostech zpracování i do interních pravidel. Vzor takových pravidel najdete v článku Pravidla pro AI ve firmě.
Smlouvy s poskytovateli AI
Velcí poskytovatelé jazykových modelů nabízejí pro firemní a API použití podmínky, ve kterých se zavazují data zákazníků ve výchozím nastavení nepoužívat k trénování modelů. K tomu nabízejí zpracovatelské dodatky (DPA). U bezplatných a spotřebitelských verzí chatů to platit nemusí.
Praktické pravidlo: osobní údaje klientů do bezplatných veřejných chatů nevkládejte. Pro firemní použití volte služby se smlouvou a jasným místem zpracování. Jak se liší firemní verze ChatGPT, Gemini a Copilotu, popisujeme v článku ChatGPT, Gemini, nebo Copilot.
Přenos dat mimo EU
Řada AI služeb běží na serverech v USA. Přenos je možný například na základě rámce pro ochranu osobních údajů mezi EU a USA (Data Privacy Framework), pokud je poskytovatel certifikovaný, nebo na základě standardních smluvních doložek. Rámec platí od července 2023. Jeho platnost je napadená u Soudního dvora EU, takže je dobré situaci sledovat. Mnoho poskytovatelů dnes nabízí i zpracování v datových centrech v EU. Toto rozhodnutí udělejte vědomě a zapište si ho.
Automatizované rozhodování a posouzení vlivu
Článek 22 GDPR dává lidem právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, které má pro ně právní nebo podobně závažné účinky. Typicky jde o zamítnutí žádosti nebo výběr uchazeče. U takových kroků proto AI připravuje podklad a rozhoduje člověk.
Posouzení vlivu na ochranu osobních údajů (DPIA, čl. 35) je nutné, pokud zpracování pravděpodobně představuje vysoké riziko pro práva lidí. Zvlášť pozorní buďte u nových technologií. GDPR výslovně uvádí systematické a rozsáhlé hodnocení lidí pomocí automatizovaného zpracování, rozsáhlé zpracování citlivých údajů (například o zdraví) a rozsáhlé systematické monitorování veřejně přístupných míst. U jednoduchého třídění obchodní pošty DPIA obvykle potřeba není, ale své zhodnocení si zdokumentujte.
Praktický postup při nasazení AI
- Popište, jaké údaje AI vidí a proč.
- Omezte přístup jen na potřebné složky a systémy (minimalizace).
- Uzavřete zpracovatelské smlouvy s dodavateli.
- Zvolte místo zpracování (EU, nebo mimo EU) a doložte právní rámec.
- Doplňte záznamy o činnostech zpracování a informace pro subjekty údajů.
- Nastavte, co schvaluje člověk.
Dozorovým úřadem v Česku je Úřad pro ochranu osobních údajů (ÚOOÚ). Souvislost s evropským nařízením o AI popisujeme v článku AI Act: co musí běžná firma splnit. Obecné zásady pro zaměstnance shrnuje článek Jak bezpečně používat AI ve firmě.
Tento článek je přehled, ne právní rada. U citlivých zpracování doporučujeme konzultaci s pověřencem nebo advokátem.
Časté otázky
Můžu do ChatGPT vložit e-mail od klienta?
Do bezplatné veřejné verze raději ne, pokud obsahuje osobní údaje. Pro práci s klientskými daty použijte firemní verzi nebo službu se zpracovatelskou smlouvou a jasným místem zpracování.
Používají poskytovatelé AI moje data k trénování?
U firemních a API verzí velkých poskytovatelů ve výchozím nastavení obvykle ne, je to součástí smluvních podmínek. U bezplatných spotřebitelských verzí to může být jinak. Vždy to ověřte ve smlouvě.
Potřebuji kvůli AI pověřence pro ochranu osobních údajů?
Povinnost jmenovat pověřence nevzniká kvůli AI samotné. Řídí se povahou vaší činnosti, například u orgánů veřejné moci nebo při rozsáhlém zpracování citlivých údajů (čl. 37 GDPR).