Aké firemné dáta môžete vkladať do AI podľa GDPR?

Čo sa nás zamestnanci pýtajú

Pri rozhovoroch o AI sa vracia otázka, čo do nej smieme vložiť. Firemný účet, verejne dostupný podklad ani odstránené meno nie sú samy osebe odpoveďou. Zamestnanec potrebuje vedieť, ktoré pravidlá platia pre jeho úlohu, aby nemusel hádať.

Nezodpovedané otázky o dátach môžu brzdiť zavádzanie AI do firemných procesov. Niekto nástroj radšej nepoužije, iný môže siahnuť po osobnom účte mimo firemných pravidiel. Firma preto potrebuje vedieť aj o používaní AI, ktoré sama nezaviedla.

Pred workshopom Myslite si s vedením ujasníme, aké nástroje tím má a s akými podkladmi môže bezpečne pracovať. Návrh interných pravidiel alebo podrobné posúdenie toku dát riešime len vtedy, ak je to súčasťou dohodnutého rozsahu spolupráce.

Tento prístup sa opiera o nariadenie GDPR a výklad Európskeho výboru pre ochranu údajov (EDPB). Firma musí pri spracúvaní osobných údajov vedieť pomenovať účel, právny základ a potrebný rozsah. V ďalších častiach rozoberáme, čo sa v roku 2026 zmenilo, čo sa deje s vloženými dátami, kedy treba právne posúdenie a čo má obsahovať interná smernica.

Čo sa v roku 2026 zmenilo

Firmy presúvajú AI do firemných účtov, osobné však nezmizli

Jeden pohľad poskytuje telemetria bezpečnostnej spoločnosti Netskope z podmnožiny jej európskych zákazníkov. Od marca 2025 do marca 2026 v nej klesol podiel používateľov osobných AI aplikácií zo 79 % na 43 %, kým podiel používateľov firemných AI riešení vzrástol z 28 % na 72 %. Podiel ľudí používajúcich oba typy vzrástol zo 7 % na 15 %. Skupiny sa teda prekrývajú. Ide o dáta dodávateľa z jeho vlastnej zákazníckej základne, nie o reprezentatívny prieskum európskych či slovenských malých a stredných podnikov (MSP).

V sledovanej vzorke pribudli firemné AI nástroje.

• Osobné AI aplikácie, marec 202579 %
• Osobné AI aplikácie, marec 202643 %
• Firemné AI riešenia, marec 202528 %
• Firemné AI riešenia, marec 202672 %

Rovnaká správa uvádza, že 95 % používateľov pracuje s aplikáciami, do ktorých je AI zabudovaná nepriamo, napríklad prepis porád, asistent písania alebo vyhľadávanie. Pravidlá pre dáta sa preto týkajú chatbotov aj funkcií v nástrojoch, ktoré firma už bežne používa.

AI Act: posunuté termíny a pružnejšia AI gramotnosť

Nariadenie (EÚ) 2026/1744, takzvaný Digital Omnibus pre AI, bolo prijaté 8. júla 2026 a účinnosť nadobudlo 27. júla 2026. Mení termíny niektorých vysokorizikových pravidiel aj znenie článku 4 o AI gramotnosti. Ten poskytovateľom a nasadzujúcim subjektom v rozsahu AI Act ukladá prijímať opatrenia na podporu AI gramotnosti zamestnancov a ďalších osôb, ktoré s AI pracujú v ich mene. Výslovne nevyžaduje garantovať konkrétnu úroveň u jednotlivca. Táto povinnosť nie je obmedzená na vysokorizikové systémy.

Omnibus mení AI Act. Povinnosti podľa GDPR pri používaní AI nástrojov zostávajú v platnosti, preto odklad vysokorizikových pravidiel neznamená, že firma môže s pravidlami pre osobné údaje počkať.

EDPB: rámec pre AI modely a nové návrhy usmernení

Stanovisko EDPB 28/2024 z decembra 2024 stanovuje kritériá, podľa ktorých dozorné úrady posudzujú spracúvanie osobných údajov pri vývoji a nasadzovaní AI modelov, a slúži ako rámec pre posúdenie každého prípadu zvlášť. V júli 2026 EDPB prijal návrhy usmernení 02/2026 k anonymizácii a 03/2026 k získavaniu dát z webu (web scraping) pre generatívnu AI, ktoré sú vo verejnej konzultácii do 30. októbra 2026. Pre bežnú firmu je z nich dôležitá najmä myšlienka, že posúdenie anonymity sa môže líšiť podľa toho, kto dáta drží, preto odstránenie mena z dokumentu ešte automaticky neznamená, že dáta sú anonymné.

Ako rozlíšiť dáta pred vložením do AI

Zamestnanec pri práci nemá čas posudzovať jednotlivé články GDPR. Potrebuje firemné pravidlo pre svoju úlohu a kontakt, na ktorý sa obráti pri neistote. Pri príprave takého pravidla je dôležité nepliesť si tri odlišné veci:

• Verejné neznamená bez osobných údajov. Aj verejne dostupný dokument môže obsahovať informácie o identifikovateľných ľuďoch. Zverejnenie samo osebe nedáva právny základ na ďalšie spracúvanie.
• Bez mena neznamená anonymné. Človeka možno identifikovať aj kombináciou ďalších údajov. Ak existuje kľúč na spätné priradenie, ide o pseudonymizáciu, nie o automatické vyňatie z GDPR.
• Dôverné a osobné nie je to isté. GDPR chráni osobné údaje; obchodné tajomstvo alebo zmluvná mlčanlivosť môžu chrániť aj podklady, ktoré žiadne osobné údaje neobsahujú.

Pri osobných údajoch treba určiť právny základ a nevyhnutný rozsah. Osobitné kategórie, napríklad údaje o zdraví, navyše vyžadujú splnenie podmienky podľa článku 9. Súhlas vedenia s použitím nástroja tieto požiadavky nenahrádza. Ak zamestnanec nevie, či jeho úloha spadá do schválených pravidiel, nemal by údaje vkladať, kým si to neoverí.

Náš postoj

Pod bezpečným používaním AI rozumieme stav, keď zamestnanec vie, ktoré dáta smie vložiť do ktorého nástroja, a firma vie preukázať, prečo to tak nastavila. Za vhodný krok v MSP považujeme začať úlohami bez osobných a dôverných údajov. Prácu s osobnými údajmi odporúčame rozšíriť až po posúdení konkrétneho použitia, nastavení pravidiel a preverení dodávateľa.

Vážne berieme aj riziko tieňového používania AI, teda používania mimo firemných pravidiel. Samotný zákaz firme neukáže, čo ľudia reálne robia. Odporúčame preto pravidlá vysvetliť, určiť povolené nástroje a vytvoriť priestor na otázky.

Otázka 1: Čo sa deje s dátami, ktoré vložíte do AI?

Vloženie textu do AI nástroja je z pohľadu GDPR spracúvanie osobných údajov, ak text obsahuje údaje o konkrétnych ľuďoch. Firma za ne zodpovedá aj vtedy, keď ich do nástroja vloží jednotlivý zamestnanec, preto potrebuje vedieť, čo sa s nimi u poskytovateľa deje.

• Osobný a firemný účet môžu mať odlišné podmienky. Firma má overiť konkrétny produkt, typ účtu, zmluvné strany a nastavenia. Z názvu plánu sa nedá bezpečne odvodiť, či dodávateľ používa vstupy na tréning ani aké povinnosti voči firme prevzal.
• Vypnutý tréning rieši len jednu otázku z viacerých. Prísľub, že vstupy sa nepoužijú na tréning, ešte nehovorí, ako dlho sa uchovávajú, kto k nim má prístup a kam sa prenášajú. GDPR posudzuje každú z týchto otázok samostatne.
• Zmluva o spracúvaní sama nestačí. Ak dodávateľ spracúva osobné údaje v mene firmy ako sprostredkovateľ, článok 28 GDPR vyžaduje zmluvu alebo iný záväzný právny akt s predpísaným obsahom. Bežne sa označuje skratkou DPA. Upravuje napríklad pokyny, bezpečnosť, ďalších sprostredkovateľov a vymazanie údajov. Nedáva však firme právny základ na spracúvanie ani nenahrádza posúdenie vplyvu, ak je potrebné. Ak dodávateľ používa údaje aj na vlastné účely, treba osobitne posúdiť jeho rolu a zákonnosť takého spracúvania.
• Prenos mimo EHP má ďalšie podmienky. Firma musí preveriť miesto spracovania aj prístupy z tretích krajín a zabezpečiť splnenie kapitoly V GDPR. Nestačí si iba vybrať región úložiska ani podpísať všeobecnú zmluvu. Konkrétny mechanizmus prenosu a prípadné doplnkové opatrenia treba posúdiť podľa služby a prijímateľa.
• Overte aj zabudované AI funkcie. Netskope uvádza, že 89 % používateľov v sledovanej európskej vzorke pracovalo s AI aplikáciami, ktoré zaraďuje medzi aplikácie využívajúce používateľské dáta na tréning. To nedokazuje, že sa na tréning použil konkrétny firemný dokument alebo účet. Rozhodujú podmienky a nastavenia danej služby, vrátane jej prepojení na ďalšie nástroje.

Uvedené body ukazujú, že slovo „Enterprise“ v názve plánu ešte nie je dôkazom súladu s GDPR. Chápeme, že majiteľ firmy s 30 ľuďmi nemá kapacitu študovať zmluvné podmienky každého nástroja. Preto odporúčame vyžiadať si od dodávateľa alebo IT partnera týchto päť podkladov:

1. Aktuálne zmluvné podmienky, rolu dodávateľa a pri sprostredkovaní zmluvu podľa článku 28.
2. Informáciu, či a ako sa vstupy, súbory a spätná väzba používajú na tréning.
3. Dobu uchovávania vstupov, záznamov a záloh.
4. Zoznam ďalších sprostredkovateľov a miesta spracovania vrátane podmienok prenosu mimo Európskeho hospodárskeho priestoru (EHP).
5. Popis, ako sa správajú pripojené služby, napríklad prepojenie na e-mail, zdieľané disky alebo vyhľadávanie na webe.

Podklady odporúčame prejsť s IT alebo správcom ešte pred tým, ako AI začne používať celý tím, a výsledok zapísať do zoznamu povolených nástrojov.

Otázka 2: Kedy firma potrebuje právny základ a posúdenie vplyvu?

Každé spracúvanie osobných údajov v rozsahu GDPR potrebuje právny základ podľa článku 6. Pri AI to platí rovnako ako pri e-maile či účtovníctve. Pri odoslaní celého dokumentu externému nástroju navyše hrozí, že odošleme viac údajov, než úloha vyžaduje. Preto sa oplatí posudzovať konkrétne použitie, nielen nástroj ako celok.

• Oprávnený záujem je možný, no treba ho preukázať. Stanovisko EDPB 28/2024 opisuje trojkrokový test: firma pomenuje skutočný a zákonný záujem, preukáže nevyhnutnosť spracúvania vrátane zváženia menej zasahujúcich možností a vyváži tento záujem voči právam a záujmom dotknutých ľudí. Nejde o automatický právny základ pre každé použitie AI.
• Osobitné kategórie údajov majú prísnejší režim. Pri údajoch o zdraví, odborovom členstve či biometrických údajoch používaných na jedinečnú identifikáciu človeka treba okrem článku 6 splniť aj niektorú podmienku článku 9 ods. 2. Verejná dostupnosť sama osebe ešte nepreukazuje, že človek údaje zjavne zverejnil v zmysle tohto článku. Súdny dvor EÚ v prípade C-252/21 zdôraznil jeho vedomú voľbu sprístupniť údaje neobmedzenému počtu osôb.
• Pri automatizovanom rozhodovaní záleží na skutočnej úlohe človeka. Článok 22 sa vzťahuje na rozhodnutia založené výlučne na automatizovanom spracúvaní s právnymi alebo podobne závažnými účinkami. Samotná príprava textu nie je takým rozhodnutím. Rozsudok SCHUFA (C-634/21) však ukazuje, že automaticky vypočítané skóre môže spadať pod článok 22, ak sa oň tretia strana rozhodujúco opiera. Formálne odkliknutie človekom preto nemožno zamieňať za skutočné posúdenie.
• Posúdenie vplyvu (DPIA) podľa článku 35 je povinné pri spracúvaní s pravdepodobne vysokým rizikom pre práva a slobody ľudí. Osobitnú pozornosť si zaslúži systematické hodnotenie ľudí, ktoré vedie k závažným rozhodnutiam, alebo rozsiahle spracúvanie osobitných kategórií údajov. Rozhoduje konkrétne použitie, rozsah a riziko, nie samotná skratka AI.
• Informovanie ľudí podľa článkov 13 a 14 má zodpovedať skutočnému spracúvaniu. Všeobecná veta „používame AI“ v informáciách pre zákazníkov či zamestnancov obvykle nestačí.

Uvedené pravidlá znejú pre malú firmu náročne. Chápeme, že vedenie nemá vždy čas nad každým použitím AI premýšľať, preto navrhujeme jednoduchý postup pre použitia, pri ktorých sa pracuje s osobnými údajmi:

1. Účel a právny základ: opíšte výsledok jednou vetou a určte, na ktorom právnom základe spracúvanie stojí.
2. Nevyhnutnosť: vysvetlite, prečo nestačí text bez mien alebo menší výňatok.
3. Dopad: pomenujte, koho sa spracúvanie týka a čo by mu mohlo uškodiť.
4. Očakávania: zvážte, či človek môže rozumne očakávať, že jeho údaje takto spracujete.
5. Ochrana: určte, kto má prístup, ako dlho sa dáta uchovávajú a kto výstup kontroluje.
6. Rozhodnutie: zapíšte záver, zodpovednú osobu a dátum ďalšej kontroly.

Postup je orientačná pomôcka, nie náhrada právneho posúdenia, testu oprávneného záujmu ani DPIA. Pri vyššom riziku odporúčame zapojiť DPO, ak ho firma má, alebo právnika.

Otázka 3: Čo má obsahovať interná smernica o používaní AI?

Interná smernica môže preniesť požiadavky GDPR a AI Act do konkrétnych pravidiel pre ľudí. Tieto predpisy nevyžadujú dokument práve s týmto názvom. Zásada zodpovednosti podľa článku 5 ods. 2 GDPR však vyžaduje, aby firma vedela preukázať súlad spracúvania. Zrozumiteľné interné pravidlá sú jedným z praktických nástrojov.

Odporúčame v nich pokryť najmä:

1. Zoznam povolených nástrojov s presným názvom produktu a typom účtu. Schválenie jedného produktu jedného poskytovateľa sa nevzťahuje automaticky na ďalšie.
2. Povolené a nepovolené použitia dát podľa posúdenia firmy; osobitne osobné a dôverné údaje.
3. Povinnosť overiť výstup človekom pred tým, ako odíde zákazníkovi alebo sa podľa neho rozhoduje.
4. Činnosti, pri ktorých AI nenahrádza úsudok človeka, napríklad výber uchádzačov, hodnotenie zamestnancov či rozhodnutia o reklamáciách.
5. Pravidlá transparentnosti, teda kedy a ako firma uvádza, že text alebo obrázok vznikol s pomocou AI.
6. Kontakt a postup pri incidente. Odporúčame jednoduché hlásenie, ktoré podporuje včasné oznámenie omylu, nie jeho zatajovanie.
7. Záznam o absolvovanom školení a jeho obsahu pre evidenciu AI gramotnosti. Samotný záznam nezaručuje splnenie všetkých povinností.
8. Vlastníka pravidiel a termín revízie, pretože nástroje aj podmienky dodávateľov sa menia. Táto interná rola nie je automaticky funkciou DPO.

Ako pracovnú pomôcku odporúčame aj krátky register posúdených použití AI. Pri každom type použitia s osobnými údajmi môže zachytiť účel, právny základ, nástroj a výsledok posúdenia z predchádzajúcej časti.

Samotný podpis smernice nezaručuje, že jej zamestnanci rozumejú. Odporúčame pravidlá vysvetliť pri práci na konkrétnych úlohách. Ak je návrh pravidiel súčasťou spolupráce s Myslite, firma ho následne posúdi, upraví a schváli; nejde o automatický výstup každého workshopu.

Otázka 4: Čo firme hrozí?

Nasledujúce európske prípady sa týkajú veľkých poskytovateľov AI. Nie sú odhadom pokuty pre malú firmu. Ukazujú však význam právneho základu, transparentnosti a rozlíšenia medzi rozhodnutím úradu a výsledkom súdneho konania.

Tabuľku môžete posunúť do strany →

Uvedené prípady ukazujú dve veci. Dozorné úrady sa sústreďujú na právny základ, transparentnosť a práva ľudí, teda na rovnaké otázky, ktoré rieši aj malá firma. Zároveň je pri veľkých poskytovateľoch výsledok konania často neistý a trvá roky.

Aj malá firma musí byť pripravená na únik dát alebo sťažnosť konkrétneho človeka. Pri vložení osobných údajov do nepovoleného nástroja odporúčame tento postup:

1. Ihneď nahlásiť incident internému kontaktu a zastaviť ďalšie odosielanie alebo zdieľanie dotknutých údajov.
2. Zaznamenať potrebné okolnosti: čas zistenia, použitú službu a účet, druh a rozsah údajov, nastavenia a vykonané kroky. Záznam chrániť a zbytočne v ňom nekopírovať citlivý obsah.
3. Obmedziť následky v koordinácii s IT alebo DPO: podľa situácie zrušiť zdieľanie, požiadať poskytovateľa o vymazanie a preveriť uchovávanie či ďalšie použitie. Vymazanie konverzácie z rozhrania samo osebe nepreukazuje odstránenie všetkých kópií.
4. Posúdiť porušenie a oznamovacie povinnosti. Firma ako prevádzkovateľ dokumentuje každé porušenie ochrany osobných údajov vrátane následkov a nápravy podľa článku 33 ods. 5, aj keď ho úradu neoznamuje.

Podľa článku 33 sa porušenie oznamuje príslušnému dozornému úradu bez zbytočného odkladu a podľa možností najneskôr do 72 hodín od chvíle, keď sa o ňom prevádzkovateľ dozvedel. Výnimkou je prípad, keď nie je pravdepodobné riziko pre práva a slobody ľudí. Nie je správne čakať na istotu, že škoda vznikla. Ak ešte chýbajú všetky informácie, oznámenie možno dopĺňať postupne; oneskorenie treba odôvodniť. Pri pravdepodobne vysokom riziku treba bez zbytočného odkladu informovať aj dotknutých ľudí, pokiaľ sa neuplatní výnimka podľa článku 34. Sprostredkovateľ oznamuje porušenie prevádzkovateľovi bez zbytočného odkladu.

Prípad Clearview zároveň pripomína zodpovednosť používateľov služby: holandský úrad výslovne varoval holandské organizácie pred jej používaním. Pre firmu je dôležité zdokumentovať vlastné posúdenie a nespoliehať sa iba na meno dodávateľa alebo na to, že konanie o jeho službe ešte nie je uzavreté.

Záver

Pri používaní AI je dôležité, aby zamestnanci vedeli, aké dáta do nej smú vložiť, firma poznala podmienky dodávateľa a pravidlá sa dali používať v bežnej práci. GDPR vyžaduje, aby vedela preukázať súlad spracúvania. Zmena článku 4 AI Act zároveň ponechala povinnosť prijímať opatrenia na podporu AI gramotnosti v rozsahu tohto nariadenia.

Ak chcete nastaviť pravidlá pre dáta a naučiť tím pracovať s AI bezpečne na vlastných úlohách, ozvite sa nám na myslite.ai.

Časté otázky

Môžu zamestnanci vkladať osobné údaje zákazníkov do ChatGPT alebo inej AI?

Len v použití, ktoré firma posúdila a schválila. Potrebuje právny základ, nevyhnutný rozsah údajov, primerané zabezpečenie a preverenie dodávateľa; pri sprostredkovaní aj zmluvu podľa článku 28 a pri prenose mimo EHP splnenie kapitoly V. Odporúčame nepoužívať súkromné neschválené účty. Rozhodujú však skutočné podmienky služby, nie iba označenie „osobný“ alebo „firemný“.

Stačí kúpiť firemnú verziu AI nástroja, aby bola firma v súlade s GDPR?

Nestačí. Rozhodujú konkrétne podmienky a použitie služby. Firma potrebuje právny základ, informovať dotknutých ľudí, minimalizovať rozsah dát a poznať dobu uchovávania a miesto spracovania. Ak dodávateľ koná ako sprostredkovateľ, potrebuje aj zmluvu alebo iný záväzný právny akt podľa článku 28. Pri pravdepodobne vysokom riziku je potrebné posúdenie vplyvu podľa článku 35.

Musí mať firma internú smernicu o používaní AI?

GDPR ani AI Act nevyžadujú dokument práve s týmto názvom. Firma však musí vedieť preukázať súlad spracúvania a prijať príslušné opatrenia na podporu AI gramotnosti. Krátke interné pravidlá sú praktická možnosť, nie automatický dôkaz splnenia všetkých povinností.

Platí ešte povinnosť AI gramotnosti podľa článku 4 AI Act?

Áno. Nariadenie (EÚ) 2026/1744, účinné od 27. júla 2026, zmenilo jej znenie na prijímanie opatrení na podporu AI gramotnosti. Týka sa poskytovateľov a nasadzujúcich subjektov v rozsahu AI Act, nielen vysokorizikových systémov. Výslovne nevyžaduje garantovať konkrétnu úroveň u každého jednotlivca.

Je dokument bez mien anonymný?

Nie vždy. GDPR považuje údaje za osobné, kým je človek identifikovateľný aj nepriamo, napríklad podľa pozície, dátumu a opisu udalosti. Ak firma uchováva tabuľku, podľa ktorej vie dokument priradiť ku konkrétnemu človeku, ide o pseudonymizované osobné údaje, na ktoré sa GDPR stále vzťahuje.

Čo robiť, ak zamestnanec omylom vložil citlivé dáta do AI?

Ihneď nahlásiť incident internému kontaktu, obmedziť ďalšie sprístupňovanie a zaznamenať potrebné okolnosti. V koordinácii s IT alebo DPO riešiť nápravu vrátane vymazania; samotné zmiznutie chatu nepreukazuje vymazanie všetkých kópií. Každé porušenie ochrany osobných údajov sa dokumentuje. Prevádzkovateľ ho oznamuje príslušnému úradu bez zbytočného odkladu, podľa možností do 72 hodín od chvíle, keď sa o ňom dozvedel, okrem prípadov, keď riziko pre práva a slobody ľudí nie je pravdepodobné. Pri pravdepodobne vysokom riziku sa podľa článku 34 informujú aj dotknutí ľudia, s výnimkami uvedenými v tomto článku.

Zdroje

• Autoriteit Persoonsgegevens (2024). Dutch DPA imposes a fine on Clearview because of illegal data collection for facial recognition, 3. 9. 2024 (rozhodnutie zo 16. 5. 2024). Tlačová správa dozorného úradu.
• Data Protection Commission (2025). DPC statement on Meta AI, 21. 5. 2025. Vyhlásenie dozorného úradu.
• Data Protection Commission (2026). AI Insights Report, september 2026. Správa dozorného úradu.
• Európsky parlament a Rada EÚ (2016). Nariadenie (EÚ) 2016/679 (GDPR). Právny predpis.
• Európsky parlament a Rada EÚ (2026). Nariadenie (EÚ) 2026/1744 (Digital Omnibus on AI), 8. 7. 2026. Právny predpis.
• European Data Protection Board (2024). Opinion 28/2024, 17. 12. 2024. Stanovisko.
• European Data Protection Board (2026a). Guidelines 02/2026 on anonymisation, prijaté 7. 7. 2026, zverejnené 8. 7. 2026. Návrh usmernení vo verejnej konzultácii.
• European Data Protection Board (2026b). Guidelines 03/2026 on web scraping in the context of generative AI, prijaté 7. 7. 2026, zverejnené 8. 7. 2026. Návrh usmernení vo verejnej konzultácii.
• European Data Protection Board. Data breaches: Data protection guide for small business. Postup a oznamovacie povinnosti podľa článkov 33 a 34, overené 26. 10. 2026.
• Netskope Threat Labs (2026). Threat Labs Report: Europe 2026, 25. 5. 2026. Správa dodávateľa bezpečnostných riešení, telemetria podmnožiny jeho zákazníkov v Európe, marec 2025 až marec 2026.
• Papini, L. (2026). OpenAI vince contro il Garante privacy, Diritto.it, 3. 6. 2026. Odborný komentár k rozsudku Tribunale di Roma z 18. 3. 2026 (sp. zn. R.G. 4785/2025).
• Súdny dvor EÚ (2023). C-252/21 Meta Platforms a i., 4. 7. 2023, najmä body 77–84 a výrok 3; C-634/21 SCHUFA Holding, 7. 12. 2023, najmä body 43–50 a výrok.