AI agenti dnes ve firmách čtou e-maily, vyplňují formuláře, komunikují se zákazníky nebo zpracovávají faktury – a přitom se téměř vždy dotýkají osobních údajů. Otázka AI agenti a GDPR proto není teoretická právnická poznámka, ale praktická podmínka nasazení: kdo odpovídá za rozhodnutí agenta, kde se data ukládají a jak firma prokáže, že zpracování je zákonné. Tento článek ukazuje, na co si dát pozor při návrhu a provozu AI agenta tak, aby zůstal v souladu s GDPR a zároveň reálně fungoval.
Proč je téma AI agenti a GDPR aktuální právě teď
Rozdíl mezi klasickým softwarem a AI agentem spočívá v tom, že agent nejen ukládá a zobrazuje data, ale také rozhoduje a jedná – posílá odpověď zákazníkovi, schvaluje žádost, přiřazuje prioritu ticketu. GDPR přitom nerozlišuje, zda rozhodnutí učinil člověk, nebo model; rozlišuje, zda jde o zpracování osobních údajů a zda je toto zpracování řízené, transparentní a omezené na nezbytný rozsah. Kombinace GDPR a umělé inteligence tak přináší několik specifických rizikových bodů, které firmy u běžného softwaru obvykle neřeší v takové míře: kam data putují při volání jazykového modelu, jak dlouho se uchovávají v logech a zda agent náhodou nedělá rozhodnutí, které má právní účinky na konkrétní osobu.
Pokud si firma téma ujasní před nasazením, vyhne se pozdějším přeprackám. Více o tom, jak AI agenti fungují na technické úrovni, popisuje článek Co jsou AI agenti a proč mění pravidla softwaru.
Právní základ zpracování – první krok před nasazením
Předtím, než AI agent začne zpracovávat byť jen jeden osobní údaj, musí mít firma jasný právní základ podle článku 6 GDPR. V praxi jde nejčastěji o tyto tři situace:
| Situace nasazení agenta | Typický právní základ |
|---|---|
| Agent odpovídá zákazníkům na dotazy k objednávce | Plnění smlouvy |
| Agent vyhodnocuje leady a kvalifikuje zájemce | Oprávněný zájem správce |
| Agent zpracovává citlivější údaje (např. zdravotní, HR agenda) | Explicitní souhlas subjektu údajů |
Oprávněný zájem vyžaduje zdokumentovaný test proporcionality – firma musí umět prokázat, že zájem na automatizaci nepřevažuje nad právy subjektu údajů. U citlivějších kategorií údajů (zdraví, odborová příslušnost, biometrie) se oprávněný zájem zpravidla nedá použít vůbec a je potřeba explicitní souhlas nebo jiný zvláštní důvod podle článku 9 GDPR.
Transparentnost: subjekt údajů musí vědět, že komunikuje s agentem
GDPR i samostatné nařízení o umělé inteligenci (AI Act) kladou důraz na informovanost. Pokud zákazník komunikuje s AI agentem místo člověka, měl by to vědět – stejně jako by měl vědět, jaké údaje se o něm sbírají a za jakým účelem. V praxi to znamená:
- jasné označení, že jde o automatizovanou komunikaci (chat, telefonát, e-mail),
- aktualizovanou zásadu ochrany osobních údajů, která zmiňuje zpracování pomocí AI,
- možnost jednoduše eskalovat konverzaci na člověka.
Toto se přímo dotýká i míry lidského dohledu nad agentem – tématu se podrobněji věnuje článek Autonomní AI agenti vs. agenti s lidským dohledem (human-in-the-loop), který popisuje, kdy má smysl nechat rozhodnutí zcela na agentovi a kdy je podmínit schválením člověka.
Automatizované rozhodování a článek 22 GDPR
Nejcitlivější bod při nasazování AI agentů je článek 22 GDPR, který omezuje výhradně automatizované rozhodování s právním nebo podobně významným účinkem na osobu – například automatické zamítnutí úvěru, zrušení objednávky bez lidské kontroly nebo automatické vyřazení kandidáta z náborového procesu.
Právě proto je rozdíl mezi plně autonomním agentem a agentem s lidským dohledem víc než technická volba – je to i otázka právního souladu. Podobná logika platí i při porovnání přístupů v článku AI agent vs. RPA: jaký je rozdíl a kdy použít co, kde autonomie procesu přímo ovlivňuje míru rizika.
Data a třetí strany: kam agent posílá osobní údaje
Většina AI agentů ve firmě stojí na jazykovém modelu třetí strany (například OpenAI, Anthropic, Google). Při každém takovém volání firma reálně předává data mimo vlastní infrastrukturu, což z pohledu GDPR znamená zpracování třetí stranou a vyžaduje:
- uzavřenou zpracovatelskou smlouvu (Data Processing Agreement) s poskytovatelem modelu,
- ověření, kde se data fyzicky zpracovávají (EU, nebo přenos do třetí země s adekvátními zárukami),
- nastavení, aby se vstupní data nepoužívala k dalšímu trénování modelu bez souhlasu.
Minimalizace údajů v promptech
Běžnou chybou je, že agent posílá do promptu pro jazykový model celý kontext záznamu zákazníka – včetně údajů, které pro danou úlohu vůbec nepotřebuje. Zásada minimalizace z článku 5 GDPR platí i zde: agent by měl dostávat jen ty údaje, které nezbytně potřebuje k provedení konkrétní úlohy, ne celý datový profil osoby.
Uchovávání logů a práva subjektů údajů
Konverzační logy AI agentů jsou z pohledu GDPR běžnými osobními údaji a platí pro ně stejná pravidla jako pro jakékoli jiné záznamy – definovaná doba uchovávání, možnost výmazu a schopnost firmy vyhledat a předat data při žádosti o přístup podle článku 15. Při nasazování agenta se proto vyplatí předem vyřešit:
- jak dlouho se logy konverzací uchovávají a kdo k nim má přístup,
- jak firma zareaguje na žádost o výmaz údajů zpracovaných agentem,
- zda logy neobsahují údaje, které tam vůbec nemusely být (například omylem sdílené rodné číslo v chatu).
Kdy je potřeba posouzení vlivu na ochranu údajů (DPIA)
Pokud AI agent zpracovává osobní údaje ve velkém rozsahu, systematicky monitoruje osoby nebo přijímá rozhodnutí s právním účinkem, GDPR vyžaduje vypracování DPIA (Data Protection Impact Assessment) ještě před spuštěním. DPIA by měla popsat účel zpracování, kategorie údajů, rizika pro subjekty údajů a opatření k jejich zmírnění. Metodiku k DPIA a k automatizovanému rozhodování zveřejňuje i Evropský sbor pro ochranu osobních údajů na edpb.europa.eu, který je relevantním zdrojem při přípravě dokumentace.
Praktický checklist před spuštěním AI agenta
- Máme určený právní základ zpracování pro každý typ dat, která agent zpracovává?
- Je s poskytovatelem LLM podepsaná zpracovatelská smlouva a víme, kde se data zpracovávají?
- Posílá agent do promptu jen minimálně nutné údaje, ne celý profil osoby?
- Ví subjekt údajů, že komunikuje s automatizovaným systémem?
- Existuje bod, kde může rozhodnutí agenta prověřit nebo změnit člověk?
- Máme definovanou dobu uchovávání logů a proces pro vyřízení žádosti o výmaz?
Jde o oblast, kde se vyplatí kombinovat technický návrh s právním posouzením už ve fázi plánování, ne až po nasazení. Pokud řešíte integraci AI agenta do firemních procesů a potřebujete konzultaci k nastavení zpracování dat, podívejte se na naše řešení v oblasti umělé inteligence a automatizace nebo nás kontaktujte přes nezávaznou konzultaci.
Shrnutí
Soulad AI agenta s GDPR není jednorázová kontrola, ale soubor rozhodnutí, která je třeba udělat už při návrhu: jaký právní základ zpracování má, kolik dat se reálně posílá do modelu, jak dlouho se uchovávají logy a kde v procesu zůstává prostor pro lidský zásah. Firmy, které tyto otázky vyřeší před spuštěním, se vyhnou pozdějším přeprackám i riziku stížnosti subjektu údajů – a agenta mohou nasadit s jistotou, že funguje v mezích zákona.