AI agenti dnes vo firmách čítajú e-maily, vypĺňajú formuláre, komunikujú so zákazníkmi alebo spracúvajú faktúry – a pri tom sa takmer vždy dotknú osobných údajov. Otázka AI agenti a GDPR preto nie je teoretická právnická poznámka, ale praktická podmienka nasadenia: kto zodpovedá za rozhodnutie agenta, kde sa dáta ukladajú a ako firma preukáže, že spracovanie je zákonné. Tento článok ukazuje, na čo si dať pozor pri návrhu a prevádzke AI agenta tak, aby zostal v súlade s GDPR a zároveň reálne fungoval.
Prečo je téma AI agenti a GDPR aktuálna práve teraz
Rozdiel medzi klasickým softvérom a AI agentom je v tom, že agent nielen ukladá a zobrazuje dáta, ale aj rozhoduje a koná – posiela odpoveď zákazníkovi, schvaľuje žiadosť, priradí prioritu ticketu. GDPR pritom nerozlišuje, či rozhodnutie urobil človek alebo model; rozlišuje, či ide o spracovanie osobných údajov a či je toto spracovanie riadené, transparentné a obmedzené na nevyhnutný rozsah. Kombinácia GDPR a umelej inteligencie tak prináša niekoľko špecifických rizikových bodov, ktoré pri bežnom softvéri firmy zvyčajne neriešia v takej miere: kam dáta putujú pri volaní jazykového modelu, ako dlho sa uchovávajú v logoch a či agent náhodou nerobí rozhodnutie, ktoré má právne účinky na konkrétnu osobu.
Ak si firma tému ujasní pred nasadením, vyhne sa neskorším prerábkam. Viac o tom, ako AI agenti fungujú na technickej úrovni, popisuje článok Čo sú AI agenti a prečo menia pravidlá softvéru.
Právny základ spracovania – prvý krok pred nasadením
Predtým, ako AI agent začne spracúvať čo i len jeden osobný údaj, musí mať firma jasný právny základ podľa článku 6 GDPR. V praxi ide najčastejšie o tieto tri situácie:
| Situácia nasadenia agenta | Typický právny základ |
|---|---|
| Agent odpovedá zákazníkom na otázky k objednávke | Plnenie zmluvy |
| Agent vyhodnocuje leady a kvalifikuje záujemcov | Oprávnený záujem prevádzkovateľa |
| Agent spracúva citlivejšie údaje (napr. zdravotné, HR agenda) | Explicitný súhlas dotknutej osoby |
Oprávnený záujem si vyžaduje zdokumentovaný test proporcionality – firma musí vedieť preukázať, že záujem na automatizácii neprevažuje nad právami dotknutej osoby. Pri citlivejších kategóriách údajov (zdravie, odborová príslušnosť, biometria) sa oprávnený záujem spravidla nedá použiť vôbec a je potrebný explicitný súhlas alebo iný osobitný dôvod podľa článku 9 GDPR.
Transparentnosť: dotknutá osoba musí vedieť, že komunikuje s agentom
GDPR aj samostatné nariadenie o umelej inteligencii (AI Act) kladú dôraz na informovanosť. Ak zákazník komunikuje s AI agentom namiesto človeka, mal by to vedieť – rovnako ako by mal vedieť, aké údaje sa o ňom zbierajú a na aký účel. V praxi to znamená:
- jasné označenie, že ide o automatizovanú komunikáciu (chat, telefonát, e-mail),
- aktualizovanú politiku ochrany osobných údajov, ktorá spomína AI spracovanie,
- možnosť jednoducho eskalovať konverzáciu na človeka.
Toto sa priamo dotýka aj miery ľudského dohľadu nad agentom – téme sa podrobnejšie venuje článok Autonómne AI agenty vs. agenti s ľudským dohľadom (human-in-the-loop), ktorý popisuje, kedy má zmysel nechať rozhodnutie plne na agentovi a kedy ho podmieniť schválením človeka.
Automatizované rozhodovanie a článok 22 GDPR
Najcitlivejší bod pri nasadzovaní AI agentov je článok 22 GDPR, ktorý obmedzuje výlučne automatizované rozhodovanie s právnym alebo podobne významným účinkom na osobu – napríklad automatické zamietnutie úveru, zrušenie objednávky bez ľudskej kontroly alebo automatické vyradenie kandidáta z náborového procesu.
Práve preto je rozdiel medzi plne autonómnym agentom a agentom s ľudským dohľadom viac než technická voľba – je to aj otázka právneho súladu. Podobná logika platí aj pri porovnaní prístupov v článku AI agent vs. RPA: aký je rozdiel a kedy použiť čo, kde autonómia procesu priamo ovplyvňuje mieru rizika.
Dáta a tretie strany: kam agent posiela osobné údaje
Väčšina AI agentov vo firme stojí na jazykovom modeli tretej strany (napríklad OpenAI, Anthropic, Google). Pri každom takom volaní firma reálne odovzdáva dáta mimo vlastnej infraštruktúry, čo z pohľadu GDPR znamená spracovanie treťou stranou a vyžaduje:
- uzatvorenú spracovateľskú zmluvu (Data Processing Agreement) s poskytovateľom modelu,
- overenie, kde sa dáta fyzicky spracúvajú (EÚ, alebo prenos do tretej krajiny s adekvátnymi zárukami),
- nastavenie, aby sa vstupné dáta nepoužívali na ďalšie trénovanie modelu bez súhlasu.
Minimalizácia údajov v promptoch
Bežná chyba je, že agent do promptu pre jazykový model posiela celý kontext záznamu zákazníka – vrátane údajov, ktoré na danú úlohu vôbec nepotrebuje. Zásada minimalizácie z článku 5 GDPR platí aj tu: agent by mal dostávať len tie údaje, ktoré nevyhnutne potrebuje na vykonanie konkrétnej úlohy, nie celý dátový profil osoby.
Uchovávanie logov a práva dotknutých osôb
Konverzačné logy AI agentov sú z pohľadu GDPR bežnými osobnými údajmi a platia pre ne rovnaké pravidlá ako pre akékoľvek iné záznamy – definovaná doba uchovávania, možnosť výmazu a schopnosť firmy vyhľadať a odovzdať dáta pri žiadosti o prístup podľa článku 15. Pri nasadzovaní agenta preto stojí za to vopred vyriešiť:
- ako dlho sa logy konverzácií uchovávajú a kto k nim má prístup,
- ako firma zareaguje na žiadosť o výmaz údajov spracovaných agentom,
- či logy obsahujú dáta, ktoré tam vôbec nemuseli byť (napríklad omylom zdieľané rodné číslo v chate).
Kedy je potrebné posúdenie vplyvu na ochranu údajov (DPIA)
Ak AI agent spracúva osobné údaje vo veľkom rozsahu, systematicky monitoruje osoby alebo prijíma rozhodnutia s právnym účinkom, GDPR vyžaduje vypracovanie DPIA (Data Protection Impact Assessment) ešte pred spustením. DPIA by mala popísať účel spracovania, kategórie údajov, riziká pre dotknuté osoby a opatrenia na ich zmiernenie. Metodiku k DPIA a k automatizovanému rozhodovaniu publikuje aj Európsky výbor pre ochranu údajov na edpb.europa.eu, ktorý je relevantným zdrojom pri príprave dokumentácie.
Praktický checklist pred spustením AI agenta
- Máme určený právny základ spracovania pre každý typ dát, ktoré agent spracúva?
- Je s poskytovateľom LLM podpísaná spracovateľská zmluva a vieme, kde sa dáta spracúvajú?
- Posiela agent do promptu len minimálne potrebné údaje, nie celý profil osoby?
- Vie dotknutá osoba, že komunikuje s automatizovaným systémom?
- Existuje bod, kde môže rozhodnutie agenta preveriť alebo zmeniť človek?
- Máme definovanú dobu uchovávania logov a proces na vybavenie žiadosti o výmaz?
Ide o oblasť, kde sa oplatí kombinovať technický návrh s právnym posúdením už vo fáze plánovania, nie až po nasadení. Ak riešite integráciu AI agenta do firemných procesov a potrebujete konzultáciu k nastaveniu spracovania dát, pozrite si naše riešenia v oblasti umelej inteligencie a automatizácie alebo nás kontaktujte cez nezáväznú konzultáciu.
Zhrnutie
Súlad AI agenta s GDPR nie je jednorazová kontrola, ale súbor rozhodnutí, ktoré treba urobiť už pri návrhu: aký právny základ spracovanie má, koľko dát sa reálne posiela do modelu, ako dlho sa uchovávajú logy a kde v procese zostáva priestor pre ľudský zásah. Firmy, ktoré tieto otázky vyriešia pred spustením, sa vyhnú neskorším prerábkam aj riziku sťažnosti dotknutej osoby – a agenta môžu nasadiť s istotou, že funguje v medziach zákona.