AI ve firmě a GDPR: kde data opravdu končí

GDPR rozlišuje dvě role a na tom stojí skoro všechno ostatní:

• Správce je ten, kdo rozhoduje, proč a jak se údaje zpracovávají. To jste vy: o datech svých klientů a zaměstnanců rozhodujete vy.
• Zpracovatel je ten, kdo je zpracovává pro vás a podle vašich pokynů. To je dodavatel nástroje.

Důsledek, který lidi překvapuje: odpovědnost zůstává na správci. Když se něco pokazí u dodavatele, subjekt údajů i úřad se obrátí na vás. Proto je výběr nástroje součástí vaší povinnosti, ne jen nákupní preference.

Firmy často řeší, jestli je bezpečný ten či onen nástroj, zatímco skutečný problém běží vedle: polovina týmu má osobní účet u AI a vkládá do něj pracovní materiály. Bez smlouvy, bez přehledu, bez možnosti to kdykoli smazat.

Z pohledu GDPR je to předání osobních údajů třetí straně, o kterém správce neví a nemá k němu právní titul ani smlouvu. Zákaz to nevyřeší, lidi to dělají, protože jim to šetří čas. Vyřeší to jen to, že dostanou schválenou cestu, která je stejně pohodlná.

• Smlouva o zpracování (DPA). S každým dodavatelem, který za vás zpracovává osobní údaje, povinně. Má v ní být účel, rozsah, doba, bezpečnostní opatření a seznam dalších zpracovatelů.
• Kde data leží. Při předání mimo EHP musíte mít právní mechanismus: rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky. Formulace „v cloudu“ není odpověď.
• Minimalizace. Nejjistější údaj je ten, který se tam vůbec nedostane. Hodně firemního know-how jde zapsat bez jmen, třeba „klient z výroby, 40 lidí" místo konkrétní osoby.
• Záznamy o činnostech zpracování. Nasazení AI nástroje do nich patří stejně jako účetní systém. Tohle se opomíjí nejčastěji.

K tomu přibyla evropská regulace umělé inteligence, která na některé způsoby použití klade vlastní povinnosti a zavádí se postupně. Jestli se vás týká, si ověřte podle aktuálního stavu, mění se to rychleji než GDPR.

Tahle věta se dá myslet vážně i použít jako reklama. Rozdíl poznáte podle toho, co dodavatel dokáže upřesnit:

• Kde běží databáze? Konkrétní region, ne „evropský poskytovatel“.
• Kde se dělají zálohy? Záloha v jiném regionu je předání dat stejně jako cokoli jiného.
• Kdo jsou další zpracovatelé? Hosting, e-maily, platby, analytika, případně model. Seznam má být zveřejněný.
• Odchází obsah do modelu, a kam? Jestli nástroj posílá data jazykovému modelu, patří do řetězce i jeho provozovatel.

Poslední bod je u AI nástrojů ten nejdůležitější a nejčastěji zamlčený. Ptejte se na něj přímo.

• Zjistěte, kdo v týmu už AI používá a na co. Bez výčitek, jinak se to nedozvíte.
• Vyberte jednu schválenou cestu a udělejte ji pohodlnější než tu stínovou.
• Podepište DPA a doplňte nástroj do záznamů o činnostech zpracování.
• Napište jednu stránku pravidel: co se tam smí a co nikdy.
• Ověřte si, že umíte data na vyžádání vyexportovat i smazat.

Konkrétně, ať si to můžete porovnat s čímkoli jiným:

• Smlouva o zpracování je veřejně k přečtení ještě předtím, než se zaregistrujete.
• Infrastruktura běží v EU.
• Obsah je v databázi vždy jen zašifrovaný (AES-256-GCM), hlavní klíč žije mimo ni.
• Každé čtení, zápis i export je v auditním logu, takže na dotaz „kdo se k tomu dostal“ máte odpověď.
• Export i smazání jsou jedno kliknutí.