„Nasadíme AI chatbota“ zní jednoduše, dokud si neuvědomíte, že chatbot zpracovává osobní údaje vašich zákazníků. Pak platí GDPR se vším všudy a od roku 2025 postupně i povinnosti z evropského AI Actu. Tady je konkrétní checklist, který používáme při návrhu AIssistanta.

Základní rámec: kdo je kdo

Provozovatel chatbota (vaše firma) je typicky správce osobních údajů. Dodavatel AI řešení a provozovatel LLM API jsou zpracovatelé. Z toho plyne: potřebujete zpracovatelské smlouvy (DPA) s celým řetězcem, včetně poskytovatele modelu, a musíte vědět, kde fyzicky probíhá zpracování.

Checklist: co musí mít každý AI chatbot

  1. Právní základ zpracování. Nejčastěji plnění smlouvy (vyřízení objednávky/rezervace) nebo oprávněný zájem. Zdokumentovaný, s balančním testem u oprávněného zájmu.
  2. Transparentnost. Uživatel musí vědět, že komunikuje s AI, ne s člověkem. To už dnes vyžaduje slušnost a AI Act to činí povinností. Informace o zpracování údajů musí být dostupná v momentě zahájení konverzace.
  3. Data residency. Kde se zpracovávají vstupy a kde běží inference modelu. Zpracování v EU výrazně zjednodušuje život; při přenosu do třetích zemí potřebujete SCC doložky a transfer impact assessment.
  4. DPA s poskytovatelem LLM, včetně závazku, že vaše data nebudou použita k trénování modelu. Velcí provideři to dnes v enterprise podmínkách nabízejí, ale musíte to mít smluvně, ne jen v marketingu.
  5. Minimalizace dat. Do promptu posílejte jen to, co je pro odpověď nutné. Chatbot nepotřebuje celou kartu zákazníka, aby odpověděl na otevírací dobu.
  6. Retention policy. Konverzace nemají žít věčně. Definujte dobu uchování, po ní mazat nebo anonymizovat. Pozor na zálohy, výmaz se musí propsat i tam v rozumné lhůtě.
  7. Právo na výmaz a přístup. Musíte umět najít a smazat všechny konverzace konkrétního subjektu údajů a exportovat je na žádost. To znamená mít konverzace vůbec dohledatelné podle identity, ne jen podle session.
  8. Logování a auditní stopa. Kdo se kdy k čemu dostal, co AI odpověděla a jakou akci systém provedl. Bez toho nesplníte ohlašovací povinnost při incidentu (72 hodin).
  9. Lidský dohled. Cesta k člověku musí existovat. Podezřelé nebo hraniční požadavky nemá AI vyřizovat automaticky, ale eskalovat.
  10. Zabezpečení. Šifrování v klidu i za běhu, řízení přístupů, tenant izolace u multi-tenant řešení a ochrana proti prompt injection (o té píšeme v samostatné sérii).

Data residency a LLM API v praxi

Častá otázka v praxi: „Můžeme vůbec používat americké LLM API?“ Odpověď: ano, ale s rozmyslem. Klíčové otázky na providera: Nabízí zpracování v EU regionu? Podepíše DPA? Zavazuje se neukládat vstupy pro trénink? Jak dlouho drží logy inference? U AIssistanta jsme si jako tvrdou podmínku stanovili veškeré zpracování v EU. Zjednodušuje to compliance nám i našim zákazníkům.

Právo na výmaz: nejpodceňovanější bod

Výmaz zní triviálně, dokud nemáte konverzační historii rozprostřenou mezi databází, vektorovým indexem, logy a zálohami. Prakticky to znamená: vést mapping subjekt údajů → všechna místa uložení, mazat kaskádově, u vektorových embeddings mazat i embedding (je odvozený z osobních údajů) a mít proces pro výmaz ze záloh po jejich rotaci.

Co reálně kontrolují kontroloři

Z veřejně dostupných rozhodnutí evropských dozorových úřadů se opakují tři témata: transparentnost (uživatel nevěděl, že mluví s AI, nebo chyběla informace o zpracování), právní základ (chatbot sbíral víc údajů, než bylo nutné) a bezpečnost (únik konverzací). Připravte si: záznamy o činnostech zpracování, DPIA (u systematického zpracování ve větším rozsahu ji budete potřebovat), řetězec DPA smluv a důkaz, že výmaz skutečně funguje.

Shrnutí

  • Chatbot = zpracování osobních údajů. GDPR platí celé, AI Act přidává transparentnost.
  • Smluvní řetězec DPA až po poskytovatele modelu, ideálně s EU processingem.
  • Minimalizace, retention, dohledatelnost podle subjektu údajů a funkční výmaz.
  • Auditní stopa jako základ: bez ní nezvládnete incident ani kontrolu.

Není to právní poradenství, u konkrétního nasazení se poraďte s právníkem. Ale pokud výše uvedený checklist splňujete, jste výrazně dál než většina dnešních nasazení.