AI a ochrana osobních údajů (GDPR) – práva, právní základy a pravidla pro uživatele i firmy

Umělá inteligence žije z dat a velká část z nich se týká lidí: texty, fotografie, hlasy, e-maily, zdravotní záznamy či pracovní výkony. Jakmile se zpracovávají informace o identifikovatelné osobě, vstupuje do hry GDPR (obecné nařízení o ochraně osobních údajů). Týká se to vývojářů modelů, firem, které AI nasazují, i běžných lidí, kteří do chatbotů vkládají cizí údaje. Zároveň se k tomu přidává AI Act, evropské nařízení o umělé inteligenci. Právní oblast je rozsáhlá a stále se vyvíjí, proto v článku shrnujeme základní zásady a odkazujeme na zdroje. Nejde o právní poradenství.

V článku vysvětlujeme kdy se v AI řeší osobní údaje, jaké jsou právní základy, co říká stanovisko EDPB k modelům AI, jak je to s automatizovaným rozhodováním, jaká práva mají lidé, jak se doplňuje AI Act, co ukazuje případ pokuty OpenAI v Itálii a jaká jsou praktická pravidla pro uživatele a firmy. Čerpáme z tiskové zprávy EDPB ke stanovisku 28/2024, právních přehledů ePravo: Umělá inteligence a osobní údaje v roce 2024 a ePravo: Umělá inteligence ve světle ochrany soukromí, Právní prostor: Umělá inteligence – nové výzvy z pohledu osobních údajů, ARROWS: propojení GDPR s aktem o umělé inteligenci, zpráv o pokutě pro OpenAI (Silicon UK, Lewis Silkin) a webu Úřadu pro ochranu osobních údajů. U plného znění stanoviska EDPB jsme vycházeli z tiskové zprávy; detaily ověřte v originálu.

Související články: Únik dat do AI chatbotů, AI chatboti a soukromí dat a Kdo nese odpovědnost za chyby AI.

Aktualizováno: listopad 2026.

Kdy se AI týká GDPR

• Osobní údaj je jakákoli informace o identifikovatelné osobě: jméno, e-mail, fotografie, hlas, IP adresa, ale i kombinace údajů, které osobu určují.
• AI zpracovává osobní údaje, když: do ní uživatel vloží údaje o lidech (zákazníci, pacienti, žáci, zaměstnanci), když je model trénován na datech obsahujících osobní údaje, když AI vytváří profily či rozpoznává tváře a hlasy, nebo když generuje výstupy o konkrétních osobách.
• Role: ten, kdo určuje účel a prostředky zpracování, je správce (například firma, která chatbota nasadí), ten, kdo zpracovává jeho jménem, je zpracovatel (například poskytovatel AI služby). Mezi nimi musí být vhodná smlouva.
• Výjimky pro domácnost: čistě osobní využití fyzické osoby se GDPR většinou netýká, ale jakmile jde o činnost firmy, spolku, školy či úřadu, GDPR platí.
• Citlivé údaje: zdraví, biometrie, politické názory a další podléhají přísnějšímu režimu.

Praktické pravidlo: čím více osobního, tím větší opatrnost; viz Únik dat do AI chatbotů.

Orientační postup posouzení nasazení AI z pohledu GDPR – vlastní infografika

Právní základy a zásady

GDPR vyžaduje pro zpracování osobních údajů právní základ (například souhlas, plnění smlouvy, právní povinnost, ochrana životně důležitých zájmů, veřejný zájem či oprávněný zájem). Právní přehledy, například ePravo a ARROWS, zdůrazňují, že AI Act řeší hlavně bezpečnost a rizika technologie, zatímco právní základ zpracování osobních údajů dál určuje GDPR. Dále platí základní zásady:

• Zákonnost, korektnost a transparentnost: lidé musí vědět, že a jak se jejich údaje zpracovávají.
• Účelové omezení: údaje lze použít jen k vymezenému účelu.
• Minimalizace: zpracujte jen to, co je nezbytné; do AI proto nevkládejte víc údajů, než potřebujete.
• Přesnost: AI může generovat nepravdivé informace o lidech; viz Proč AI halucinuje.
• Omezení uložení a bezpečnost: údaje se nesmí uchovávat déle, než je nutné, a musí být chráněny.
• Odpovědnost (accountability): správce musí své postupy umět doložit.

Trénování modelů a stanovisko EDPB

Evropský sbor pro ochranu osobních údajů (EDPB) přijal 18. prosince 2024 stanovisko 28/2024 k osobním údajům v kontextu modelů AI. Podle tiskové zprávy EDPB:

• Anonymita modelů se posuzuje případ od případu; model lze považovat za anonymní, pokud je velmi nepravděpodobné, že lze identifikovat osoby, jejichž údaje byly použity, a že lze tyto údaje z modelu získat dotazy.
• Oprávněný zájem může být právním základem pro vývoj i nasazení modelů, ale jen když je zpracování nezbytné a zachová se vyvážení práv; používá se třístupňový test. Zohledňuje se například to, zda byly údaje veřejně dostupné, jaký je vztah mezi osobou a správcem, jaký je kontext sběru a zda lidé mohli důvodně očekávat takové použití.
• Zmírňující opatření mohou dopad na jednotlivce snížit, pokud test vyváženosti vyjde negativně.
• Model vyvinutý z protiprávně zpracovaných údajů může mít dopad na zákonnost jeho dalšího nasazení, pokud nebyl řádně anonymizován.
• EDPB připravuje další pokyny, například k web scrapingu (automatizovanému sběru dat z webu).

Z praktického hlediska to znamená, že „je to veřejně na internetu“ samo o sobě neznamená, že lze údaje volně využít; viz také ePravo o trénování AI na veřejně dostupných datech.

Automatizované rozhodování a profilování

• Článek 22 GDPR dává lidem právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, které má pro ně právní či podobně závažné účinky (například zamítnutí úvěru, odmítnutí zaměstnání). Právní komentáře, například ARROWS, upozorňují, že u AI s takovými účinky se dostáváte do přísného režimu a je třeba zajistit lidský zásah.
• Lidský dohled je zásadní: formální „odklepnutí“ výstupu AI člověkem bez skutečného posouzení nemusí stačit.
• Profilování: vyhodnocování osobních aspektů (výkon, zájmy, chování) vyžaduje transparentnost a může vyžadovat posouzení rizik.
• Příklady: automatizovaný výběr uchazečů, scoring klientů, hodnocení pracovníků, cenová diskriminace; viz Rizika AI: bias a diskriminace.
• AI Act doplňuje GDPR u vysoce rizikových systémů povinnostmi týkajícími se kvality dat, dokumentace a lidského dohledu; konkrétní povinnosti a termíny se postupně uplatňují, proto je ověřte u aktuálních výkladů.

Práva lidí

• Právo na informace: co, proč a jak dlouho se zpracovává.
• Právo na přístup k vlastním údajům.
• Právo na opravu nepřesných údajů, což je u AI významné, protože modely mohou vytvářet nepravdivé informace o lidech.
• Právo na výmaz a omezení zpracování, s ohledem na výjimky; u natrénovaných modelů je jeho uplatnění technicky obtížné.
• Právo vznést námitku proti zpracování založenému na oprávněném zájmu.
• Právo na přenositelnost u některých zpracování.
• Právo nebýt předmětem výhradně automatizovaného rozhodnutí (čl. 22).
• Stížnost u dozorového úřadu: v ČR u Úřadu pro ochranu osobních údajů.

Poskytovatelé AI služeb obvykle nabízejí formuláře pro uplatnění práv; viz Jak smazat historii a účet ChatGPT.

Případ pokuty OpenAI v Itálii

Italský úřad Garante podle zpráv médií v prosinci 2024 uložil společnosti OpenAI pokutu 15 milionů eur. Úřad vytkl zpracování osobních údajů k trénování ChatGPT bez odpovídajícího právního základu, porušení transparentnosti, neohlášení úniku dat z března 2023 a chybějící ověřování věku; OpenAI měl rovněž vést šestiměsíční informační kampaň. Podle analýzy Lewis Silkin šlo zhruba o 1,58 % celosvětového ročního obratu za rok 2023. OpenAI rozhodnutí označil za nepřiměřené a oznámil odvolání; aktuální stav řízení ověřte. Případ ukazuje, že dozorové úřady berou AI vážně a že transparentnost a právní základ nelze obcházet.

Praktická pravidla pro uživatele

1. Nevkládejte cizí osobní údaje do veřejných chatbotů; anonymizujte texty.
2. Pozor na fotografie a hlasy druhých, zvlášť dětí; viz AI chatboti a děti.
3. Zkontrolujte nastavení soukromí a využití dat k trénování; viz ChatGPT: paměť a nastavení soukromí.
4. Uplatněte svá práva (přístup, výmaz, námitka) u poskytovatelů.
5. Nespoléhejte na AI jako na zdroj o lidech; informace mohou být nepravdivé.
6. Chraňte účet silným heslem a dvoufázovým ověřením; viz Dvoufaktorová autentizace.
7. Při podezření na porušení se obraťte na poskytovatele a případně na dozorový úřad.

Kontrolní seznam – vlastní infografika

Praktická pravidla pro firmy

• Mapování dat a účelů: zjistěte, které AI nástroje se ve firmě používají (včetně neschválených) a jaká data do nich jdou; viz Firemní politika používání AI.
• Právní základ a informování: zaměstnanci, zákazníci a klienti musí vědět, že jejich údaje zpracovává AI, a k čemu.
• Smlouva se zpracovatelem: zahrňte účel, bezpečnost, umístění dat, doby uchování a zákaz využití k trénování, pokud je to potřeba.
• Posouzení vlivu (DPIA): u vysoce rizikového zpracování (rozsáhlé profilování, citlivé údaje, nové technologie) se obvykle vyžaduje; konkrétní povinnosti vyplývají z článku 35 GDPR a pokynů úřadů.
• Minimalizace a anonymizace vstupů.
• Lidský dohled a možnost přezkumu rozhodnutí.
• Bezpečnost: řízení přístupů, logování, ochrana před únikem; viz Kybernetický incident v malé firmě.
• Oznamování porušení: při úniku osobních údajů může vzniknout povinnost oznámení úřadu a dotčeným osobám v krátkých lhůtách; konzultujte pověřence či právníka.
• Školení: zaměstnanci musí znát pravidla; viz Únik dat do AI chatbotů.
• Sledování legislativy: AI Act a výklady se vyvíjejí.

GDPR a AI v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro uživatele – vlastní infografika

Související články

V kategorii Bezpečnost, etika a rizika AI najdete také Etika AI a autorská práva, Umělá inteligence a autorský zákon v ČR a Bezpečné používání AI: checklist.

Shrnutí

GDPR se vztahuje na AI vždy, když se zpracovávají údaje o identifikovatelných osobách: při vkládání do chatbotů, trénování modelů i automatizovaném rozhodování. Nutný je právní základ, minimalizace, transparentnost a lidský dohled. Stanovisko EDPB 28/2024 posuzuje anonymitu modelů případ od případu a oprávněný zájem vyžaduje třístupňový test. Firmy by měly mít smlouvy se zpracovateli, interní pravidla a v případě rizika posouzení vlivu; uživatelé by neměli do AI vkládat cizí osobní údaje.

Často kladené otázky k AI a GDPR