Série: AI Act bez paniky · díl 5/8
V dílu 4 jsme řešili AI gramotnost v týmu. Dnes se podíváme ven z firmy: na dodavatele AI nástrojů. Co se jich zeptat na data, trénink modelů a logy, kdy potřebujete smlouvu o zpracování osobních údajů a jak poznat vyhýbavou odpověď. Mapu série najdete na konci článku.
Než AI nástroj zaplatíte a pustíte do něj firemní data, zjistěte od dodavatele čtyři věci: kde a jak dlouho data leží, jestli na nich trénuje modely, jaké logy vede a jestli s vámi podepíše smlouvu o zpracování osobních údajů (DPA). AI Act malé firmě, která jen používá ChatGPT nebo Copilot na texty, žádný „dotazník pro dodavatele“ výslovně neukládá. Smlouvu o zpracování ale vyžaduje GDPR (článek 28), jakmile do nástroje jdou osobní údaje klientů nebo zaměstnanců. U vysoce rizikových systémů pak AI Act přidává vlastní povinnosti, například uchovávat logy aspoň šest měsíců. Níže je hotový dotazník o 16 otázkách, srovnání toho, co velcí dodavatelé sami uvádějí, a checklist nákupu nástroje.
Nejde o právní radu. Vycházíme ze znění AI Actu na AI Act Service Desk (konsolidované znění po Digital Omnibus), z AI Actu v EUR-Lex a z GDPR v EUR-Lex. Údaje o dodavatelích jsou z jejich oficiálních stránek, ověřeno 12. 11. 2026. Podmínky se mění často; před podpisem si je vždy přečtěte znovu. U citlivých dat nebo vysoce rizikového použití řešte smlouvu s právníkem.
Shrnutí na 30 sekund
- Proč se ptát: vy odpovídáte za to, co s daty klientů děláte. Dodavatel AI je obvykle váš zpracovatel podle GDPR a vy jste správce.
- Na co se ptát: data (kde leží, kdo k nim má přístup), trénink (učí se model z vašich vstupů?), logy a retence (co se ukládá a jak dlouho), smlouva (DPA, subdodavatelé, předání mimo EU).
- Co si ohlídat: spotřebitelské tarify (Free, Plus, Pro) mají u většiny dodavatelů jiná pravidla než firemní tarify. Rozdíl bývá právě v tréninku a v možnosti podepsat DPA.
- Co říká AI Act: pro běžné používání chatbotů hlavně AI gramotnost a transparentnost (díly 2–4). U vysoce rizikových systémů povinnosti nasazujícího podle článku 26, včetně logů.
- Originální prvek: dotazník pro dodavatele (16 otázek s dobrou odpovědí a varovným signálem), tabulka „co dodavatelé sami uvádějí“, vzor e-mailu dodavateli a checklist nákupu.
Co k dodavatelům říká AI Act a GDPR
AI Act: role v hodnotovém řetězci
AI Act rozlišuje poskytovatele (kdo AI systém nebo model vyvíjí a uvádí na trh) a nasazující subjekt (kdo systém používá ve své činnosti). Malá firma, která si předplatí ChatGPT, Claude, Gemini nebo Microsoft Copilot, je nasazující subjekt. Pro dodavatelskou otázku jsou důležité tři články:
- Článek 25 (odpovědnost v hodnotovém řetězci): pokud na vysoce rizikový systém dáte své jméno, podstatně ho upravíte nebo změníte jeho účel tak, že se z něj stane vysoce rizikový, stáváte se poskytovatelem vy. Prakticky: když si nad cizím modelem postavíte vlastní nástroj na hodnocení uchazečů a prodáváte ho pod svou značkou, už nejste „jen uživatel“.
- Článek 26 (povinnosti nasazujících vysoce rizikových systémů): používat systém podle návodu, přidělit lidský dohled lidem s potřebnou kompetencí, hlídat vstupní data, která máte pod kontrolou, a uchovávat automaticky generované logy, pokud je máte pod kontrolou, nejméně šest měsíců (odstavec 6). Zaměstnavatel musí před nasazením na pracovišti informovat zaměstnance (odstavec 7).
- Článek 53 (poskytovatelé modelů pro obecné účely): firmy jako OpenAI, Anthropic nebo Google musí vést technickou dokumentaci, předávat informace těm, kdo jejich model integrují do vlastních systémů, mít politiku dodržování autorského práva a zveřejnit dostatečně podrobné shrnutí obsahu použitého k tréninku. To je dobrý zdroj pro vaše otázky: veřejné shrnutí si můžete vyžádat nebo dohledat.
Kdy jde o vysoce rizikové použití (nábor, hodnocení zaměstnanců, úvěruschopnost a další oblasti z přílohy III), jsme rozebírali v dílu 1 a v pilíři AI Act 2026 v praxi. Psaní e-mailů, shrnutí a rešerše do této kategorie nespadají.
GDPR: smlouva o zpracování osobních údajů (DPA)
Jakmile do AI nástroje vkládáte osobní údaje (jména klientů, e-maily, zápisy ze schůzek s konkrétními lidmi, životopisy), dodavatel je typicky zpracovatel a vy správce. Článek 28 GDPR pak říká dvě věci: správce smí použít jen zpracovatele, který poskytuje dostatečné záruky, a zpracování se musí řídit smlouvou. V angličtině se jí říká Data Processing Agreement nebo Addendum, zkráceně DPA. Česky se používá „smlouva o zpracování osobních údajů“ nebo „zpracovatelská smlouva“.
Podle článku 28 odst. 3 má smlouva mimo jiné stanovit, že zpracovatel:
- zpracovává údaje jen podle vašich doložených pokynů, a to i pokud jde o předání do třetí země,
- zavazuje své lidi k mlčenlivosti,
- přijme bezpečnostní opatření podle článku 32,
- zapojí dalšího zpracovatele (subdodavatele) jen s vaším povolením a o změnách vás informuje,
- pomáhá vám vyřizovat žádosti lidí o jejich práva (přístup, výmaz…),
- po skončení služby údaje vymaže nebo vrátí,
- poskytne informace a umožní audit.
Pokud data opouštějí EU, přidává se kapitola V GDPR (předání do třetích zemí). Dodavatele se proto ptejte i na to, kde data fyzicky leží a jakým mechanismem je předává mimo EU.
Dotazník pro dodavatele AI nástroje: 16 otázek
Tohle je jádro dílu. Otázky můžete poslat e-mailem, ale většinu odpovědí najdete i sami v dokumentaci dodavatele (trust center, privacy center, nápověda). Odpovědi si uložte k inventáři AI nástrojů.
A) Data: co se s nimi děje
| # | Otázka | Dobrá odpověď | Varovný signál |
|---|---|---|---|
| 1 | Kde se data fyzicky ukládají a zpracovávají? | Konkrétní region (EU / USA), možnost volby regionu | „V cloudu“ bez upřesnění |
| 2 | Kdo u vás má k datům přístup a proč? | Omezený přístup, jen podpora, bezpečnost, právní povinnost | Obecné „naši zaměstnanci“ |
| 3 | Kontrolují konverzace lidé (human review)? | Jasně popsané kdy a jak to vypnout | Nezmíněno, nebo jen ve spotřebitelských podmínkách |
| 4 | Jak se data šifrují? | Šifrování při přenosu i v úložišti, odkaz na audit (např. SOC 2) | Žádný audit ani certifikace |
B) Trénink: učí se model z vašich vstupů?
| # | Otázka | Dobrá odpověď | Varovný signál |
|---|---|---|---|
| 5 | Používáte vstupy a výstupy k tréninku modelů? | U firemního tarifu ne, ve výchozím stavu | „Ano, pokud to nevypnete“ u firemního tarifu |
| 6 | Platí to i pro zpětnou vazbu (palec nahoru/dolů)? | Ne, nebo jde správcem vypnout | Zpětná vazba = celá konverzace k tréninku |
| 7 | Posíláte data dalším poskytovatelům modelů? | Seznam subdodavatelů, včetně modelů třetích stran | Mlčí, přestože nástroj běží na cizím modelu |
| 8 | Máte veřejné shrnutí trénovacích dat (čl. 53 AI Actu)? | Odkaz na shrnutí nebo dokumentaci modelu | Nevědí, o co jde |
C) Logy a retence: co se ukládá a jak dlouho
| # | Otázka | Dobrá odpověď | Varovný signál |
|---|---|---|---|
| 9 | Jak dlouho uchováváte konverzace a soubory? | Konkrétní doba, nastavitelná správcem | „Dokud je to potřeba“ |
| 10 | Co se stane se smazanou konverzací? | Odstranění ze systémů v řádu dnů (např. do 30 dní) | Smazání jen z rozhraní |
| 11 | Máme jako správce přístup k audit logu? | Export, audit log, nastavitelná retence | Logy vidí jen dodavatel |
| 12 | Jak dlouho držíte data označená bezpečnostními systémy? | Uvedená doba | Neuvedeno |
D) Smlouva a odpovědnost
| # | Otázka | Dobrá odpověď | Varovný signál |
|---|---|---|---|
| 13 | Podepíšete DPA podle čl. 28 GDPR? | Ano, formulář nebo součást podmínek | DPA jen pro „enterprise“ za individuální cenu, přitom do nástroje dáváte osobní údaje |
| 14 | Jaké subdodavatele zapojujete a jak hlásíte změny? | Veřejný seznam, oznámení předem | Seznam neexistuje |
| 15 | Jakým mechanismem předáváte data mimo EU? | Konkrétní mechanismus podle kapitoly V GDPR | „Souhlasem s podmínkami“ |
| 16 | Kdo vlastní vstupy a výstupy a smím výstupy použít komerčně? | Vstupy i výstupy patří zákazníkovi | Nejasná licence na výstupy |
Jak dotazník vyhodnotit: nehledejte stoprocentní skóre. Rozhodující jsou otázky 1, 5, 9 a 13. Pokud dodavatel na některou z nich nemá jasnou odpověď a vy do nástroje chcete dávat osobní údaje klientů, máte dvě možnosti: zvolit jiný tarif či nástroj, nebo do něj osobní údaje nedávat vůbec.
Co velcí dodavatelé sami uvádějí (ověřeno 12. 11. 2026)
Tabulka shrnuje jen to, co dodavatelé píší na svých oficiálních stránkách. Nejde o naše testy ani o hodnocení, jestli sliby dodržují. Hlavní poučení: spotřebitelský a firemní tarif téhož nástroje se v tréninku a retenci liší.
| Nástroj a tarif | Trénink na vašich datech | Retence a mazání | DPA / smlouva |
|---|---|---|---|
| ChatGPT Free, Plus, Pro | Může trénovat; vypnutí v Nastavení → Ovládání dat („Improve the model for everyone“). Dočasné chaty se k tréninku nepoužívají. Zpětná vazba palcem může poslat celou konverzaci k tréninku i po vypnutí | Podle nastavení účtu | Spotřebitelské podmínky |
| ChatGPT Business, Enterprise, API | Ve výchozím stavu ne; zpětná vazba palcem u Business/Enterprise k tréninku nevede | Retenci řídí správce; smazané konverzace zmizí ze systémů do 30 dní (pokud zákon nevyžaduje jinak) | DPA lze uzavřít (Business, Enterprise, API); audit SOC 2 Type 2 |
| Claude Free, Pro, Max | Jen pokud trénink povolíte v nastavení soukromí; inkognito chaty ne | Smazaný chat zmizí z úložišť do 30 dní; při povoleném tréninku až 5 let v deidentifikované podobě | Spotřebitelské podmínky |
| Claude for Work (Team, Enterprise), API | Ve výchozím stavu ne; zpětná vazba palcem se ukládá až 5 let, vlastník ji může vypnout | Podle podmínek pro firmy | Obchodní podmínky (Commercial Terms) |
| Gemini s osobním účtem | Se zapnutým „Keep Activity“ se chaty používají ke zlepšování služeb včetně kontroly lidmi; kontrolované chaty se drží až 3 roky | Výchozí automatické mazání 18 měsíců; s vypnutou aktivitou 72 hodin | Spotřebitelské podmínky |
| Gemini v Google Workspace | Bez vašeho svolení se k tréninku nepoužívá | Prompty v aplikaci Gemini až 36 měsíců podle nastavení správce | Cloud Data Processing Addendum |
| Microsoft 365 Copilot | Prompty, odpovědi a data z Microsoft Graph se k tréninku základních modelů nepoužívají | Retenci nastavuje správce v Microsoft Purview | Product Terms a Data Protection Addendum; služba EU Data Boundary (pozor: modely Anthropic v Copilotu jsou zatím mimo EU Data Boundary) |
Co z toho plyne pro malou firmu:
- Osobní údaje klientů nepatří do spotřebitelských tarifů. I s vypnutým tréninkem nemáte DPA a o retenci rozhoduje dodavatel. Kolik stojí firemní tarify, najdete v článcích ChatGPT cena 2026, Claude cena a předplatné a Gemini cena 2026.
- Zpětná vazba palcem je zadní vrátka. U spotřebitelských tarifů může poslat celou konverzaci k tréninku. Řekněte to týmu při školení z dílu 4.
- Paměť a historie jsou taky data. Jak je mít pod kontrolou, popisuje Váš AI operační systém (3/10): paměť pod kontrolou.
EU, nebo USA? Hosting bez paniky
Data uložená v USA nejsou automaticky problém a data v EU nejsou automaticky v pořádku. Rozhoduje, jestli máte smlouvu, jestli dodavatel uvádí mechanismus předání podle kapitoly V GDPR a jestli víte, co do nástroje posíláte. Tři praktické otázky:
- Nabízí dodavatel volbu regionu? Microsoft například uvádí, že Microsoft 365 Copilot je pro zákazníky z EU služba v rámci EU Data Boundary. Současně ale uvádí výjimku pro modely Anthropic. I u „evropské“ služby proto čtěte poznámky pod čarou.
- Běží nástroj na cizím modelu? Řada menších nástrojů posílá dotazy přes API velkých poskytovatelů. Pak je velký poskytovatel subdodavatelem vašeho dodavatele a patří do seznamu v DPA. Příklad: Genspark ve svých zásadách ochrany soukromí uvádí, že dotazy mohou jít přes API OpenAI nebo Anthropic a že data mohou být zpracovávána v USA. Víc v našem návodu ke Gensparku.
- Dá se nástroj používat bez osobních údajů? Pokud ano, je to často nejjednodušší řešení. Anonymizujte jména, čísla smluv a kontakty ještě před vložením. Obecné zásady najdete v článku Bezpečnost a soukromí s AI.
Vzor e-mailu dodavateli
Když odpovědi v dokumentaci nenajdete, pošlete krátký dotaz. Čím konkrétnější otázky, tím konkrétnější odpověď.
Předmět: Dotaz k ochraně dat – [název nástroje], tarif [název]
Dobrý den,
zvažujeme nasazení [nástroje] ve firmě (cca [počet] uživatelů).
Do nástroje mohou jít osobní údaje klientů (jména, e-maily, zápisy
ze schůzek). Prosíme o odpověď nebo odkaz na dokumentaci:
1. Kde (v jakém regionu) se data ukládají a zpracovávají?
2. Používáte vstupy, výstupy nebo zpětnou vazbu k tréninku modelů?
Dá se to vypnout pro celou organizaci?
3. Jak dlouho uchováváte konverzace a soubory a co se děje
se smazanými daty?
4. Uzavřete s námi smlouvu o zpracování osobních údajů (DPA)
podle čl. 28 GDPR? Kde najdeme seznam subdodavatelů?
5. Jakým mechanismem předáváte data mimo EU?
6. Máme jako správce přístup k audit logu?
Děkujeme,
[jméno, firma]
Checklist nákupu AI nástroje (máme / nemáme / nevíme)
| Bod | Máme | Nemáme | Nevíme |
|---|---|---|---|
| Víme, jaká data (a čí osobní údaje) do nástroje půjdou | ☐ | ☐ | ☐ |
| Máme odpovědi na otázky 1, 5, 9 a 13 z dotazníku | ☐ | ☐ | ☐ |
| Používáme firemní tarif, pokud jdou do nástroje osobní údaje | ☐ | ☐ | ☐ |
| Máme uzavřenou DPA a uložený seznam subdodavatelů | ☐ | ☐ | ☐ |
| Trénink na našich datech je vypnutý (nebo ve výchozím stavu neprobíhá) | ☐ | ☐ | ☐ |
| Víme, jak dlouho dodavatel drží konverzace, a máme nastavenou retenci | ☐ | ☐ | ☐ |
| Tým ví, že zpětná vazba palcem může poslat konverzaci dodavateli | ☐ | ☐ | ☐ |
| Nástroj je zapsaný v inventáři AI nástrojů (kdo, k čemu, jaký tarif) | ☐ | ☐ | ☐ |
| Ověřili jsme, že nejde o vysoce rizikové použití (příloha III) | ☐ | ☐ | ☐ |
| Podmínky dodavatele kontrolujeme znovu aspoň jednou ročně | ☐ | ☐ | ☐ |
Každé „nevíme“ je úkol na tento týden. Tabulka sedí k inventáři AI nástrojů v AI Act checklistu (viz CTA níže).
Praktický příklad: účetní kancelář se třemi lidmi
Ilustrační scénář redakce, ne skutečná firma. Účetní kancelář používá ChatGPT Plus na koncepty e-mailů klientům a Gemini s osobním účtem na shrnutí PDF. Majitelka projde dotazník a zjistí tři věci: u spotřebitelských tarifů nemá DPA, trénink je u ChatGPT zapnutý a jedna kolegyně dává do chatu celé výpisy s rodnými čísly. Řešení za jedno odpoledne: trénink vypnout okamžitě, rodná čísla a čísla účtů do AI nedávat vůbec (pravidlo z dílu 4), pro práci s klientskými daty přejít na firemní tarif s DPA a nástroje zapsat do inventáře. Pokud jde o smlouvy s klienty, AI tu slouží jen jako pomocník, jak ukazuje kontrola smlouvy a VOP s AI.
Časté otázky
Potřebuji smlouvu o zpracování osobních údajů, když používám jen ChatGPT na texty?
Pokud do něj nevkládáte osobní údaje, DPA obvykle neřešíte. Jakmile tam jdou jména, e-maily nebo zápisy o konkrétních lidech, dodavatel je zpracovatel a článek 28 GDPR vyžaduje smlouvu. OpenAI uvádí, že DPA uzavírá pro ChatGPT Business, Enterprise a API.
Ukládá AI Act malé firmě povinnost prověřovat dodavatele?
Pro běžné používání chatbotů výslovně ne. U vysoce rizikových systémů má nasazující subjekt povinnosti podle článku 26 (návod k použití, lidský dohled, logy nejméně šest měsíců) a poskytovatel podle článku 13 musí dodat informace. Prověření dodavatele vám tyto povinnosti usnadní.
Stačí vypnout trénink ve spotřebitelském tarifu?
Pomůže to, ale neřeší to smlouvu ani retenci. Navíc u některých tarifů může zpětná vazba palcem poslat celou konverzaci k tréninku i po vypnutí.
Co je DPA?
Data Processing Agreement nebo Addendum, česky smlouva o zpracování osobních údajů nebo zpracovatelská smlouva. Její povinný obsah stanoví článek 28 odst. 3 GDPR.
Musí být data uložena v EU?
GDPR předání mimo EU nezakazuje, ale vyžaduje k němu zákonný mechanismus (kapitola V). Ptejte se dodavatele, jaký používá.
Kde najdu shrnutí trénovacích dat modelu?
Poskytovatelé modelů pro obecné účely ho musí podle článku 53 odst. 1 písm. d) AI Actu zveřejnit podle šablony AI Office. Hledejte ho v dokumentaci modelu nebo se zeptejte dodavatele.
Zdroje
- AI Act Service Desk: článek 25, článek 26 a článek 53 – konsolidované znění k 27. 7. 2026 (ověřeno 12. 11. 2026)
- Nařízení (EU) 2024/1689 (AI Act) v EUR-Lex
- Nařízení (EU) 2016/679 (GDPR) v EUR-Lex – čl. 28, čl. 32, kapitola V (ověřeno 12. 11. 2026)
- OpenAI: Enterprise privacy a How your data is used to improve model performance (ověřeno 12. 11. 2026)
- Anthropic Privacy Center: trénink u spotřebitelských tarifů, u firemních tarifů a doba uchování (ověřeno 12. 11. 2026)
- Google: Gemini Apps Privacy Hub a Generative AI in Google Workspace Privacy Hub (ověřeno 12. 11. 2026)
- Microsoft Learn: Data, Privacy, and Security for Microsoft 365 Copilot (ověřeno 12. 11. 2026)
Mapa série: AI Act bez paniky
| Díl | Téma |
|---|---|
| 1 | Co z AI Actu vás jako malou firmu opravdu týká (a co ne) |
| 2 | Chatboti a AI na webu: informace pro uživatele srozumitelně |
| 3 | AI texty a obrázky: označování, deepfaky, dobrá praxe |
| 4 | AI gramotnost v týmu: co má umět každý, kdo AI používá |
| 5 | Dodavatelé a nástroje: na co se ptát (data, trénink, logy) (právě čtete) |
| 6 | Interní pravidla na 1 stránku: šablona AI policy light |
| 7 | Incident a stížnost: co dělat, když AI „řekne blbost“ klientovi |
| 8 | Roční review: kalendář povinností do 2027 |
Předchozí díl: AI Act bez paniky (4/8) – AI gramotnost v týmu. Další díl: Interní pravidla na 1 stránku – šablona AI policy light (6/8).
Stáhněte si AI Act checklist pro malé firmy (zdarma)
Odškrtněte si v AI Act checklistu inventář AI nástrojů: ke každému nástroji dopište tarif, odpovědi na otázky 1, 5, 9 a 13 z dnešního dotazníku a jestli máte DPA. AI Act checklist pro malé firmy (CZ) obsahuje zaškrtávání máme / nemáme / nevíme, inventář AI nástrojů a vzor interních pravidel AI policy light na jednu stranu.
👉 Stáhnout AI Act checklist zdarma
Nejde o právní radu.