AI Act a GDPR v praxi: jak používat AI s osobními údaji

AI Act a GDPR se často popisují jako dvě konkurenční regulace. V praxi jde spíše o dva různé pohledy na stejný proces. AI Act řeší bezpečnost, rizikovost a odpovědné používání umělé inteligence. GDPR řeší zpracování osobních údajů a práva lidí, jejichž data firma používá. Pokud chatbot zpracuje jméno zákazníka, náborový model třídí životopisy nebo analytika vyhodnocuje chování návštěvníků, mohou se uplatnit oba předpisy současně.

Nejčastější chyba je začít u otázky, zda je nástroj „GDPR compliant“ nebo zda má dodavatel certifikát. Správný postup začíná popisem konkrétního použití: jaká data vstupují, proč je firma potřebuje, kdo systém ovládá, komu se data předávají a jaký dopad má výstup na člověka.

Krátká odpověď: AI Act sám o sobě nenahrazuje právní titul podle GDPR. Splnění požadavků AI Actu neznamená automaticky zákonné zpracování osobních údajů a platný právní titul podle GDPR neospravedlní zakázanou nebo jinak nepřípustnou praktiku AI.

Jak se oba předpisy doplňují

OtázkaHlavní rámecPraktický výsledek Jaká data zpracováváme a proč?GDPRÚčel, právní titul, minimalizace, transparentnost a doba uchování. Je použití AI zakázané nebo vysoce rizikové?AI ActKlasifikace, omezení, technické a organizační povinnosti. Jak vysvětlíme člověku rozhodnutí o něm?Oba rámceInformace o zpracování, transparentnost systému, lidský dohled a práva člověka. Jak pracujeme s dodavatelem?Oba rámceSmlouva, role, bezpečnost, dokumentace, audit a řízení změn. Co dělat při incidentu?Oba rámcePostup pro bezpečnostní incident, porušení ochrany dat, závažnou událost a nápravu.

To, že určitá věc není výslovně upravena jedním předpisem, neznamená, že je bez pravidel. Do posouzení mohou vstoupit také ePrivacy, pracovní právo, spotřebitelské předpisy, autorské právo, sektorová regulace nebo ochrana osobnosti.

Nejdříve vymezte účel

Účel je nejdůležitější spojovací bod obou předpisů. Stejný model může být přijatelný pro anonymní sumarizaci interního dokumentu, ale problematický při hodnocení konkrétních zaměstnanců. Stejný chatbot může odpovídat na obecné dotazy, ale také přijímat zdravotní nebo finanční informace zákazníků.

Účel napište konkrétně, například: „AI asistent navrhne odpověď na dotaz zákazníka z databáze veřejných produktových informací; pracovník návrh před odesláním zkontroluje.“ Věta „zlepšení zákaznické zkušenosti“ je příliš široká, protože neříká, jaká data se použijí a co se stane po výstupu.

Špatně a dobře formulovaný účel

• Špatně: „Budeme pomocí AI analyzovat zákazníky.“
• Lépe: „Systém seskupí anonymizované návštěvy podle navigace webem pro zlepšení struktury menu; nepoužívá jména, e-mail ani individuální hodnocení.“
• Špatně: „AI vybere nejlepší uchazeče.“
• Lépe: „Nástroj extrahuje dovednosti z CV pro recruiterův přehled; nedává automatické skóre, nerozhoduje o odmítnutí a každý výstup posoudí člověk.“

Právní titul není souhlas s AI

GDPR vyžaduje právní titul pro zpracování osobních údajů. V soukromém sektoru může podle situace jít například o plnění smlouvy, právní povinnost, oprávněný zájem nebo souhlas. U zvláštních kategorií osobních údajů je potřeba další podmínka podle článku 9 GDPR. Volba závisí na konkrétním účelu a způsobu zpracování.

AI Act neposkytuje univerzální právní titul. Věta „zpracování je nutné pro AI Act“ sama o sobě nestačí. Pokud firma používá oprávněný zájem, musí jej skutečně posoudit, popsat účel, nezbytnost, vyvážení zájmů a právo vznést námitku, pokud se uplatní.

Praktické otázky k právnímu titulu

• Je zpracování skutečně nutné pro uvedený účel, nebo jen pohodlnější?
• Šlo by stejného výsledku dosáhnout bez identifikace osoby?
• Jaké rozumné očekávání má člověk, jehož data používáme?
• Je zpracování přiměřené dopadu, který může AI výstup způsobit?
• Je u souhlasu možné jej svobodně odmítnout a později odvolat?
• Je u zvláštních kategorií dat splněna i zvláštní podmínka?

Minimalizace dat před odesláním do modelu

Minimalizace znamená používat jen data přiměřená, relevantní a nezbytná pro účel. Před odesláním do externího AI nástroje proto nemusí být potřeba posílat celé jméno, adresu, telefon nebo kompletní historii klienta. Často stačí pseudonymizovaný identifikátor, věková kategorie, typ dotazu nebo vybraná část dokumentu.

Pseudonymizace není anonymizace. Pokud lze data s pomocí odděleného klíče znovu spojit s osobou, stále jde o osobní údaje. Anonymizace musí být taková, aby osobu nebylo možné rozumně identifikovat pomocí dostupných prostředků.

Příklad před a po minimalizaci

Vstup do AIRizikoMinimalizovaná varianta „Jan Novák, jan@example.cz, objednávka č. 1845…“Zbytečné přímé identifikátory.„Zákazník A, objednávka 1845, produkt X, dotaz na doručení.“ Celé CV včetně adresy a data narození.Data nesouvisející s posouzením dovedností.Extrahované dovednosti, praxe a relevantní kvalifikace. Celá zdravotní dokumentace do obecného asistenta.Vysoce citlivá data a nepřiměřený rozsah.Žádné osobní údaje; nebo specializovaný režim po odborném posouzení.

Správce, zpracovatel a AI dodavatel

Rozhodnutí, kdo je správcem a kdo zpracovatelem, se neurčuje podle názvu smlouvy. Správce určuje účely a prostředky zpracování. Zpracovatel zpracovává osobní údaje podle pokynů správce. Dodavatel AI může být zpracovatelem, samostatným správcem nebo kombinací rolí pro různé části služby.

Například provozovatel webu může být správcem konverzace zákazníka. Cloudová služba může být zpracovatelem pro uložení konverzace, ale pro vlastní bezpečnostní logy nebo vývoj služby může mít jiné postavení. Rozhodující je skutečný tok dat, účel a rozhodovací pravomoc.

Co ověřit u dodavatele

• zda se vstupy a výstupy používají k trénování obecného modelu,
• kde se data zpracovávají a kam se přenášejí,
• jak dlouho se ukládají a kdo k nim má přístup,
• zda lze trénování z vašich dat vypnout a jak to dodavatel doloží,
• kdo jsou subdodavatelé a jak se oznamují změny,
• jak funguje výmaz, export, oprava a reakce na žádost člověka,
• jaké bezpečnostní kontroly, logy a incidentní proces dodavatel nabízí.

Automatizované rozhodování podle GDPR

Článek 22 GDPR stanovuje pravidla pro rozhodnutí založená výhradně na automatizovaném zpracování, která mají právní účinky nebo se člověka podobně významně dotýkají. Typickým příkladem může být automatické odmítnutí žádosti, rozhodnutí o nároku nebo významné pracovní rozhodnutí.

Ne každý automatický výpočet spadá do tohoto režimu. Rozhodující je, zda probíhá výhradně automaticky a zda má dostatečně významný dopad. Formální lidské potvrzení nemusí stačit, pokud člověk nemá možnost výsledek skutečně přezkoumat, změnit a své rozhodnutí odůvodnit.

U výjimek podle článku 22 je potřeba počítat s vhodnými opatřeními na ochranu práv a svobod člověka, včetně možnosti získat lidský zásah, vyjádřit názor a napadnout rozhodnutí. AI Act může přidat další požadavky na lidský dohled, transparentnost a řízení rizik.

DPIA a posouzení dopadu

Posouzení vlivu na ochranu osobních údajů, známé jako DPIA, je podle GDPR povinné před zpracováním, které pravděpodobně povede k vysokému riziku pro práva a svobody fyzických osob. Typicky se posuzuje systematické a rozsáhlé vyhodnocování osobních aspektů, rozsáhlé zpracování citlivých údajů nebo systematické monitorování veřejně přístupných prostor.

AI Act u některých provozovatelů vyžaduje také posouzení dopadu na základní práva. Týká se zejména veřejných subjektů, poskytovatelů veřejných služeb a některých systémů v oblasti úvěrů a pojištění. Pokud se povinnosti překrývají, je praktické vytvořit jeden koordinovaný proces, ale nezapomenout na všechny otázky jednotlivých režimů.

Co má DPIA u AI pokrýt

• popis účelu, toku dat, modelu a osob dotčených výstupem,
• nezbytnost a proporcionalitu zpracování,
• rizika diskriminace, chybovosti, úniku dat a zneužití,
• lidský dohled, práva dotčených osob a způsob vysvětlení,
• opatření, která rizika sníží, a způsob ověření jejich účinnosti,
• dobu revize při změně modelu, účelu, dodavatele nebo dat.

Transparentnost vůči lidem

GDPR vyžaduje informovat člověka o zpracování osobních údajů, účelu, právním titulu, kategoriích příjemců, době uchování a jeho právech. AI Act přidává vlastní transparentnost podle typu systému, například oznámení, že člověk komunikuje s chatbotem, nebo označení deepfaku.

Informace nesmí být jen formálně dostupná. Musí být srozumitelná, dostupná ve správný okamžik a přiměřená situaci. Při náboru, úvěru nebo zdravotní službě je třeba vysvětlit více než u jednoduchého asistenta pro obecné dotazy.

Bezpečnost a uchování dat

AI workflow vytváří nové kopie dat: prompt, konverzaci, výstup, log, zálohu, analytický záznam a případně dataset. Každá kopie může mít jinou dobu uchování a jiný okruh oprávněných osob. Firma by měla mít přehled, kde data končí, co se maže a co zůstává v zálohách.

• omezit přístup k promptům a výstupům podle rolí,
• šifrovat přenos a úložiště podle citlivosti dat,
• nepoužívat produkční osobní údaje v testu bez důvodu a opatření,
• nastavit retenční lhůty pro konverzace, logy a exporty,
• testovat prompt injection a únik dat z kontextu,
• mít postup pro incident a posouzení, zda vzniklo porušení zabezpečení osobních údajů.

Praktický příklad: chatbot zákaznické podpory

Firma nasadí chatbot, který zpracovává jméno, e-mail, číslo objednávky a obsah dotazu.

1. Účel: rychle odpovědět na stav objednávky a předat složitý případ pracovníkovi.
2. Minimalizace: chatbot nepotřebuje datum narození ani celou historii zákazníka.
3. Role: firma určuje účel, dodavatel poskytuje infrastrukturu a zpracování podle smlouvy.
4. Transparentnost: na začátku chatu je uvedeno, že jde o AI asistenta.
5. Ochrana: zákazník je upozorněn, aby neposílal údaje k platební kartě nebo citlivé dokumenty.
6. Lidský dohled: reklamace, právní nároky a citlivé situace se předávají člověku.

Takový scénář může být přiměřený, pokud je skutečně omezen na popsaný účel. Pokud chatbot začne sám schvalovat reklamace, odhadovat bonitu nebo ukládat všechny konverzace pro trénink, je potřeba posouzení obnovit.

Praktický příklad: AI pro nábor

Firma chce používat AI k třídění životopisů. Z pohledu GDPR jde o zpracování osobních údajů uchazečů a může jít o profilování. Z pohledu AI Actu může použití v zaměstnání patřit mezi vysoce rizikové systémy. Oba režimy se řeší současně.

Firma by měla před nasazením popsat právní titul, informační povinnost, zdroj dat, kritéria, chybovost a způsob lidského rozhodnutí. Neměla by používat nepotřebné osobní údaje, nahradit recruiterovo posouzení jedním skóre ani předpokládat, že dodavatel vyřešil diskriminaci za ni.

Praktický workflow pro českou firmu

1. Zmapovat data: odkud pocházejí, jaké kategorie obsahují a kam se odesílají.
2. Určit účel: co přesně AI dělá a jaký krok následuje po výstupu.
3. Posoudit riziko: zakázané praktiky, vysoké riziko, transparentnost, DPIA a automatizované rozhodování.
4. Nastavit práva: informace, přístupy, výmaz, opravu, námitku, lidský zásah a reklamaci.
5. Pravidelně ověřit: změny modelu, dodavatele, dat, účelu, přesnosti a incidentů.

Checklist před nasazením AI s osobními údaji

• Máme přesně popsaný účel a očekávaný výstup?
• Víme, jaké osobní údaje, citlivé údaje nebo odvozené profily vstupují?
• Máme právní titul a zvláštní podmínku, pokud je relevantní?
• Je zpracování nezbytné, nebo lze použít anonymizaci či menší rozsah dat?
• Je vyřešené informování dotčených osob a jejich práva?
• Je jasné, kdo je správce, zpracovatel a případný další samostatný správce?
• Máme smlouvu, seznam subdodavatelů a pravidla pro přenosy mimo EU?
• Posoudili jsme DPIA, automatizované rozhodování a vysoké riziko podle AI Actu?
• Je nastavený lidský dohled, bezpečnost, logování a mazání?
• Máme vlastníka systému, termín revize a postup při změně modelu?

Co dát do interní AI směrnice

Krátká interní směrnice může zaměstnancům říct:

• které AI nástroje jsou schválené a pro jaké účely,
• jaká data se do veřejných nástrojů nesmí vkládat,
• kdy se musí použít anonymizace nebo pseudonymizace,
• kdy je povinné lidské ověření a kdo jej provádí,
• jak se označuje AI obsah a chatbot,
• kam se hlásí incident, chybný výstup nebo žádost člověka,
• jak se eviduje nový use case a změna existujícího systému.

Směrnice nenahradí právní posouzení konkrétního systému, ale zabrání tomu, aby zaměstnanec omylem vložil osobní nebo obchodně důvěrné údaje do nástroje bez smluvních a bezpečnostních záruk.

Nejčastější chyby

• „Dodavatel říká, že je GDPR compliant.“ Odpovědnost závisí na konkrétním použití a rolích, ne na marketingové větě.
• „Souhlas vyřeší všechno.“ Souhlas musí být svobodný, konkrétní, informovaný a odvolatelný; u některých vztahů nemusí být vhodným titulem.
• „Pseudonymizace znamená anonymitu.“ Pseudonymizovaná data jsou stále osobní údaje, pokud lze osobu znovu spojit.
• „Člověk jen klikne na schválení.“ Formální kontrola nenahradí skutečný lidský dohled ani požadavek na lidský zásah.
• „AI Act je novější, takže nahrazuje GDPR.“ Oba předpisy se doplňují a musí se posoudit společně.
• „Jednou schváleno, navždy vyřešeno.“ Změna modelu, promptu, dat nebo účelu může znamenat nové posouzení.

Stav společných pokynů

Evropská komise a Evropský sbor pro ochranu osobních údajů pracují na společných pokynech k propojení AI Actu a práva na ochranu osobních údajů. K datu aktualizace tohoto článku jsou tyto pokyny součástí probíhající práce a není vhodné je vydávat za finální závazný výklad. Firma by proto měla vycházet z platného znění GDPR, AI Actu, oficiálních metodik příslušných úřadů a konkrétního kontextu.

Co může firma udělat tento týden

1. Vytvořit seznam AI nástrojů a u každého označit, zda pracuje s osobními údaji.
2. Vybrat jeden konkrétní use case a zakreslit celý tok dat od vstupu po výmaz.
3. Ověřit právní titul, účel a minimální rozsah dat.
4. Vyžádat si od dodavatele smluvní, bezpečnostní a technické podklady.
5. Prověřit DPIA, automatizované rozhodování, vysoké riziko a transparentnost.
6. Zapsat vlastníka, schválený účel a datum další revize.

Jak navázat na další články

Pro klasifikaci systému použijte článek Rizikové kategorie AI a praktický přehled vysoce rizikových systémů. Pokud systém komunikuje s lidmi nebo vytváří obsah, navazuje článek Transparentnost AI, chatboty a deepfaky. Zakázané scénáře shrnuje také praktický průvodce zakázanými praktikami.

Závěr

GDPR a AI Act je potřeba číst společně, ale ne zaměňovat. GDPR odpovídá na otázku, zda a jak smíte zpracovávat osobní údaje. AI Act odpovídá na otázku, jaké použití AI je zakázané, rizikové nebo podléhá transparentnosti a řízení. Jedna kontrola nemůže nahradit druhou.

Prakticky funguje jednoduchý princip: přesně vymezit účel, minimalizovat data, zkontrolovat dodavatele, posoudit dopad na člověka a nastavit lidský dohled. Firma, která tento postup eviduje a pravidelně opakuje, bude připravena nejen na kontrolu, ale také na běžné chyby, změny modelů a skutečné potřeby zákazníků.

Zdroje a právní poznámka

Článek vychází z nařízení Evropského parlamentu a Rady (EU) 2024/1689 (AI Act) a z obecného nařízení o ochraně osobních údajů (GDPR). Evropská komise popisuje další připravované metodiky v materiálu o podpoře implementace AI Actu. Evropský sbor pro ochranu osobních údajů uvádí společné pokyny k propojení AI Actu a GDPR ve svém pracovním programu 2026–2027. Pro vztah AI Actu a osobních údajů je relevantní také české znění AI Actu.

Aktualizováno 7. srpna 2026. Text je praktický orientační materiál, nikoliv právní stanovisko. Konkrétní povinnosti závisejí na účelu, datech, rolích, dodavatelích a dopadu systému. U HR, zdravotních, finančních, biometrických a veřejně významných scénářů doporučujeme individuální posouzení.