Karikatury, avatary či chatboty vytvořené pomocí umělé inteligence jsou dnes běžnou součástí online světa. Málokdo si však uvědomuje, že při nahrávání fotografií nebo zadávání údajů do nástrojů umělé inteligence může docházet ke zpracování biometrických a osobních údajů podle nařízení GDPR. Přečtěte si, na co si dát pozor při používání umělé inteligence.
Máte už na svém profilu svou karikaturu tak, jak vás vidí umělá inteligence (AI)?
Tisíce lidí v posledních týdnech sdílely svou karikaturu vytvořenou umělou inteligencí. Roztomilý obrázek. Věděli jste ale, že jste tím pravděpodobně poskytli své biometrické údaje americké společnosti, souhlasili s použitím své tváře k trénování modelu AI a pokud jste do aplikace nahráli i fotku dítěte nebo kolegy, porušili jste ochranu osobních údajů?
Karikatury jsou jen jedním z příkladů. Umělá inteligence se stala součástí našeho každodenního života – chatboty, generátory textů, AI asistenti v práci. Málokdo však přemýšlí o tom, co nahrávání fotek nebo zadávání osobních údajů do AI nástrojů ve skutečnosti znamená z hlediska ochrany osobních údajů.
Karikatura, avatar, filtr Ghibli a vaše biometrické údaje
Když nahrajete fotografii do aplikace s umělou inteligencí, která z ní vytvoří karikaturu, animovaný avatar nebo umělecký portrét, aplikace provede něco víc než jen „změnu filtru“. Technicky dochází k rozpoznání obličeje, extrakci geometrických parametrů – vzdálenost očí, tvar čelisti, proporce – a jejich zpracování pomocí AI modelu. Tyto parametry jsou biometrickými údaji podle čl. 9 GDPR1 : zvláštní kategorie s nejvyšší úrovní ochrany.
Co se s vašimi údaji obvykle děje:
- Většina bezplatných aplikací má ve svých podmínkách klauzuli o možnosti použití vašich fotografií k trénování vlastního AI modelu.
- Aplikace jako Lensa vyžadují 10–20 selfie – čímž vytvářejí mini-model přímo z vašich biometrických údajů.
- Virální trend ChatGPT Ghibli zpracovává fotografie na serverech OpenAI v USA – jedná se o předávání osobních údajů mimo EU, jehož podmínky jsou upraveny v kapitole V nařízení GDPR.
- Pokud jste nahráli fotografii dítěte nebo kolegy: tyto osoby neudělily souhlas. Jedná se o porušení GDPR bez ohledu na to, jak „nevinně“ výsledek vypadá.
Osobní údaj není jen rodné číslo
Fotografie obličeje je osobní údaj. Pokud umožňuje identifikaci konkrétní osoby, a ve většině případů tomu tak je, jedná se o zpracování osobních údajů podle nařízení GDPR. Lidé si navíc často neuvědomují, co všechno do nástrojů umělé inteligence vkládají:
- fotografie obličeje (včetně dětských) – nahrávané do generátorů portrétů, aplikací pro výměnu obličejů, nástrojů pro úpravu snímků,
- hlasové nahrávky – AI dokáže z hlasu odvodit zdravotní stav, emoce či identitu,
- texty s informacemi o třetích osobách – kolezích, klientech, rodinných příslušnících,
- skeny dokladů, smluv, faktur, databáze klientů,
- zdravotní informace, finanční údaje či interní firemní dokumenty.
Kde končí vaše fotografie?
Většina populárních nástrojů umělé inteligence je provozována na serverech v USA nebo v jiných zemích mimo Evropský hospodářský prostor (EHP). Přenos osobních údajů do těchto zemí je povolen pouze za podmínek uvedených v kapitole V GDPR, např. na základě standardních smluvních doložek (SCC) nebo rozhodnutí Komise EU o přiměřenosti ochrany.
Slovenský zákon č. 18/2018 Z. z. o ochraně osobních údajů tyto povinnosti přebírá. Úřad pro ochranu osobních údajů SR (ÚOOÚ SR) je aktivně vymáhá. Před použitím jakékoli platformy umělé inteligence proto vždy ověřte, zda poskytovatel zaručuje přiměřené záruky podle GDPR.
Zásadní význam má nejen předávání, ale i doba uchovávání údajů. Mnohé nástroje umělé inteligence si ve svých podmínkách vyhrazují právo používat vstupní údaje ke zlepšování služeb, trénování modelů nebo vývoji nových produktů. Uživatel tak může ztratit kontrolu nad svým vlastním obsahem – včetně fotografií, které nahrál v souladu s podmínkami služby, které si při registraci nepřečetl.
Nastalo by vám mrazení v zádech, kdyby se to dostalo na veřejnost?
Než do nástroje s umělou inteligencí něco zadáte, položte si jednoduchou otázku:
„Co by se stalo, kdyby se obsah mých konverzací s umělou inteligencí stal veřejným? “ Pokud vás při této představě mrazí v zádech, je čas přehodnotit způsob používání.
Mnozí si neuvědomují, že účty s umělou inteligencí obsahující historii konverzací jsou atraktivním cílem pro útoky. Pokud se někdo dostane k vašemu účtu v AI (například prostřednictvím phishingu), může mít přístup k celé historii zadaných údajů – k interním plánům, osobním informacím, smlouvám, finančním údajům. Internet má jednu nepříjemnou vlastnost: pokud se něco dostane ven, je jeho úplné vymazání často prakticky nemožné.
Bez řádných bezpečnostních opatření byste do veřejných nástrojů AI neměli zadávat:
- citlivé osobní údaje (zdravotní údaje, rodná čísla, identifikační údaje),
- interní dokumenty a strategie firmy, obchodní tajemství,
- kompletní smlouvy, faktury a databáze klientů,
- hesla a přístupové údaje,
- fotografie jiných osob bez jejich vědomí a souhlasu.
Kdo je zodpovědný a za co?
Pokud používáte nástroj umělé inteligence pro osobní účely, je provozovatelem (odpovědným subjektem) obvykle poskytovatel služby. Pokud však do AI zadáváte údaje o jiných osobách – kolezích, klientech, partnerech – jste to vy, kdo nese odpovědnost za ochranu těchto údajů.
To platí dvojnásob v podnikovém prostředí. Pokud firma používá ChatGPT, Microsoft Copilot nebo jiný nástroj umělé inteligence a zaměstnanci do něj zadávají osobní údaje klientů, má firma postavení správce a povinnost:
- mít právní základ pro takové zpracování,
- uzavřít smluvní vztah s poskytovatelem AI jako zpracovatelem (smlouva o zpracování podle čl. 28 GDPR),
- informovat dotčené osoby o tomto zpracování.
Bez toho se jedná o porušení GDPR, a to i v případě dobrého úmyslu.Důsledkem pochybení zaměstnanců, kteří (byť z nevědomosti) zadají do nástroje umělé inteligence citlivé firemní údaje nebo interní know-how, je nejen porušení interních směrnic, ale také ztráta reputace firmy, finanční škody či problémy s regulací.
Co přináší AI Act – evropské nařízení o umělé inteligenci
Od srpna 2024 platí nařízení EU 2024/1689 – AI Act, první komplexní právní předpis upravující umělou inteligenci. Jeho klíčová ustanovení nabývají účinnosti postupně:
- Únor 2025: zákazy nepřípustných praktik (včetně biometrické identifikace v reálném čase na veřejných místech a systémů sociálního hodnocení) jsou plně vymahatelné.
- Srpen 2025: pravidla pro modely všeobecného určení (např. ChatGPT, Gemini) – povinnosti týkající se transparentnosti a dokumentace.
- Srpen 2026: většina povinností pro vysoce rizikové systémy umělé inteligence (např. ve zdravotnictví, školství, personální oblasti, dopravě).
- Srpen 2027: prodloužené přechodné období pro vysoce rizikové systémy umělé inteligence zabudované do regulovaných produktů (např. zdravotnické prostředky, strojní zařízení).
Zákon o umělé inteligenci (AI Act) a GDPR se vzájemně doplňují. Pokud systém umělé inteligence zpracovává osobní údaje – což karikaturní aplikace a chatboty téměř vždy dělají – musí být splněny požadavky obou nařízení současně.
Praktické rady – co ano a co ne
Pro jednotlivce:
- Nikdy nenahrávejte fotografie jiných lidí (ani dětí) bez jejich vědomí a souhlasu.
- Před použitím aplikace s umělou inteligencí si přečtěte zásady ochrany osobních údajů (Privacy Policy), nejen všeobecné podmínky.
- Do chatbotů nezadávejte citlivé osobní údaje (rodná čísla, zdravotní informace, doklady).
- Ověřte si, kde má poskytovatel AI sídlo a kde jsou vaše data uložena.
- Zkontrolujte, zda nástroj s umělou inteligencí umožňuje výmaz vašich údajů (právo na výmaz podle čl. 17 GDPR).
- Zabezpečte svůj účet AI: silné heslo + vícefaktorová autentizace (MFA).
Pro firmy a zaměstnavatele:
- Vypracujte interní směrnici pro AI, ve které stanovíte, co mohou a nemohou zaměstnanci zadávat do nástrojů AI a jak mají postupovat v případě incidentu.
- Zvažte, zda při zavádění nástrojů AI není nutné posoudit dopad na ochranu osobních údajů podle čl. 35 GDPR (DPIA).
- Uzavřete smlouvu o zpracování osobních údajů s poskytovatelem AI (podle čl. 28 GDPR).
- Zakažte zadávání osobních údajů klientů a dalších „citlivých údajů“ do veřejných nástrojů umělé inteligence.
- Zajistěte pravidelné školení zaměstnanců o bezpečném používání AI.
- Zaveďte vícefaktorovou autentizaci (MFA) na firemních účtech AI a pravidelně provádějte audit jejich používání.
- Nechte si poradit od odborníků, kteří se zabývají AI a zajistí soulad vašich procesů s legislativou.
Karikatura místo profilové fotografie je roztomilá. Ale stejně jako u e-mailů, cloudových úložišť nebo sociálních sítí platí: technologie je bezpečná jen do té míry, do jaké ji bezpečně používáme. GDPR a zákon o AI (AI Act) tato pravidla jasně stanovují. Naším úkolem – ať už jsme běžní uživatelé, firmy nebo veřejné instituce – je znát je a dodržovat je. Protože ochrana osobních údajů není byrokracie. Je to respekt k lidské důstojnosti v digitálním věku.
