GDPR je obecné nařízení Evropské unie o ochraně osobních údajů (nařízení (EU) 2016/679), které určuje, kdy a jak smí organizace zpracovávat informace o konkrétních lidech. U umělé inteligence rozhoduje o tom, jaké údaje do nástroje smíte vložit, na jakém právním základě a co s nimi poskytovatel nástroje dál dělá.
Jak se GDPR týká práce s AI?
GDPR se uplatní pokaždé, když do AI nástroje vložíte osobní údaj, tedy jakoukoli informaci o identifikované nebo identifikovatelné osobě: jméno, e-mail, hodnocení, zdravotní stav, ale i popis, podle kterého lze člověka poznat. Vložením do chatu údaje zpracováváte a organizace za to odpovídá jako správce. Poskytovatel nástroje bývá zpracovatelem, se kterým má mít organizace smlouvu. Zvlášť přísná pravidla platí pro citlivé údaje, například o zdraví.
Čím se GDPR liší od AI Actu?
GDPR chrání lidi, o kterých jsou údaje, AI Act upravuje samotné AI systémy podle míry rizika. Platí souběžně: nástroj povolený podle AI Actu ještě neznamená, že do něj smíte vkládat údaje o zaměstnancích nebo klientech.
Jaký je nejčastější omyl o GDPR a AI?
Častý omyl je, že stačí smazat jméno. Údaje, u kterých jméno nahradíte kódem, ale člověka lze dohledat, jsou podle GDPR stále osobní (pseudonymizace). Prozradit ho může i kombinace pracovní pozice, oddělení a neobvyklé události. Skutečnou anonymizaci údajů je potřeba udělat pořádně. Druhý omyl je, že AI model sám o sobě žádné osobní údaje neobsahuje. Evropský sbor pro ochranu osobních údajů (EDPB) uvádí, že model trénovaný na osobních údajích nelze vždy považovat za anonymní.
Kde narazíte na GDPR při práci s AI?
- Personalistka: chce shrnout životopisy uchazečů. Vkládá je jen do nástroje, který organizace schválila a se kterým má smlouvu.
- Účetní: nechává AI vysvětlit chybu ve výkazu a místo skutečných jmen a čísel účtů použije smyšlený vzorek.
- Učitel: píše hodnocení žáků. Do veřejného chatbota nevkládá jména ani informace o zdraví či rodinné situaci.
- Úředník: přepisuje nahrávku jednání a ověřuje, kde nástroj nahrávky ukládá a zda je nepoužívá k trénování.
Příklad z praxe
Asistentka ředitele potřebuje z deseti stížností klientů sestavit přehled nejčastějších problémů. Než text předá AI, odstraní jména, e-maily, čísla smluv a detaily, podle kterých by šlo konkrétního klienta poznat. Ke shrnutí použije firemní nástroj, u kterého IT ověřilo, že vložená data nepoužívá k trénování. Výsledný přehled pak porovná s originály, protože AI mohla něco vynechat nebo zkreslit.
Na co si u GDPR a AI dát pozor?
- Vkládejte jen nezbytné údaje. Pro většinu úkolů AI jména ani kontakty nepotřebuje, doplňte je až do hotového textu.
- Používejte schválené nástroje. U soukromého účtu nevíte, kde data končí a zda slouží k trénování.
- Citlivé údaje do AI nedávejte bez výslovného schválení postupu, týká se to hlavně zdraví a rodinných poměrů.
- Ptejte se pověřence. Úřady i školy mají mít pověřence pro ochranu osobních údajů. Tento text není právní rada.
Časté otázky
Je GDPR zákon?
GDPR je nařízení EU, které platí přímo ve všech členských státech. V Česku ho doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů, a dozor vykonává Úřad pro ochranu osobních údajů.
Potřebuji k použití AI souhlas lidí?
Ne vždy. Souhlas je jen jeden ze šesti právních základů, které GDPR uvádí. Zpracování se často opírá o jiný, například o smlouvu, o právní povinnost nebo u škol o úkol ve veřejném zájmu. Který základ platí, posoudí organizace, typicky s pověřencem.
Kde najdu GDPR česky?
Úřední české znění nařízení (EU) 2016/679 je na portálu EUR-Lex, výklad a metodiky vydává Úřad pro ochranu osobních údajů.