GDPR v éře umělé inteligence: tři věci, které byste letos neměli přehlédnout

Umělá inteligence se do běžného provozu firem i úřadů dostala rychleji, než se tam stačila dostat pravidla. Dnes se to mění. Akt o umělé inteligenci (AI Act) postupně nabývá účinnosti a ochrana osobních údajů tím dostává nový rozměr. V poslední době se setkáváme hlavně se třemi tématy: jak skloubit AI Act s GDPR, co přinese evropský balíček Digital Omnibus a jak se vypořádat se „stínovou“ AI, kterou zaměstnanci používají bez vědomí vedení.

01

AI Act a GDPR jdou ruku v ruce

Mnoho vysoce rizikových systémů AI zároveň zpracovává osobní údaje, takže musí splnit požadavky obou předpisů. V praxi to znamená, že posouzení vlivu na ochranu osobních údajů (DPIA) a nové hodnocení dopadů na základní práva (FRIA) se často dělají souběžně a vyplatí se je od začátku plánovat společně.

Pokud AI nasazujete nebo to plánujete, ať už jde o analýzu lékařských snímků, automatizované zpracování žádostí, chatbota na webu nebo podporu rozhodování v sociální oblasti, čeká vás několik konkrétních kroků. Je potřeba předem zpracovat DPIA, zajistit lidský dohled nad systémem, proškolit obsluhu a smluvně ošetřit odpovědnost dodavatele. Týká se to nemocnic, krajů a obcí stejně jako soukromých firem.

Termíny se posunuly, klid to ale neznamená

Nejrozsáhlejší vlna povinností pro vysoce rizikové systémy měla původně začít platit v srpnu 2026. V červenci 2026 ji ale odložilo nařízení (EU) 2026/1744, tzv. Digital Omnibus o AI. U samostatných vysoce rizikových systémů (např. nábor zaměstnanců, hodnocení bonity, biometrie) se termín posunul na 2. prosince 2027, u AI zabudované do regulovaných výrobků na 2. srpna 2028.

Od srpna 2026 totiž platí povinnosti transparentnosti: lidé musí vědět, že komunikují s umělou inteligencí, třeba s chatbotem na webu úřadu nebo e-shopu, a obsah vytvořený AI má být rozpoznatelný. Z praxe víme, že odklad je spíš příležitost než důvod k úlevě. Kdo začne s přípravou teď, má čas udělat to v klidu a pořádně.

Veřejný sektor může jako praktické vodítko využít katalog využití AI ve veřejné správě na egovai.dia.gov.cz. Evropský sbor pro ochranu osobních údajů (EDPB) má navíc ve svém pracovním programu na roky 2026–2027 společné pokyny s Evropskou komisí ke vztahu GDPR a AI Actu. Mají vyjasnit mimo jiné to, zda a jak lze DPIA a FRIA zpracovat společně. Až vyjdou, rádi vám je přiblížíme.

02

Digital Omnibus: konec „šikanózních“ žádostí?

Balíček Digital Omnibus, který Evropská komise představila v listopadu 2025, se netýká jen AI Actu. Jeho druhá část navrhuje změny GDPR a ta je zatím ve hře. Jedna z nich počítá s tím, že žádosti o přístup k osobním údajům bude možné odmítnout nebo zpoplatnit, pokud budou zjevně nedůvodné, nepřiměřené nebo motivované postranními úmysly.

Pro úřady i firmy, které pravidelně čelí žádostem podaným hlavně proto, aby zahltily jejich agendu, to může být vítaný nástroj. Odborníci ale upozorňují, že návrh posouvá rovnováhu mezi ochranou soukromí a zájmy správců. Právě tato pasáž patří k bodům, o kterých se v Radě EU od září 2026 stále vyjednává, a výsledná podoba tedy zatím není jistá. Do té doby platí GDPR v současném znění. Vývoj doporučujeme sledovat na uoou.gov.cz nebo edpb.europa.eu, a my vás o podstatných změnách budeme informovat.

03

Shadow AI: riziko, o kterém vedení často neví

Samostatnou a velmi praktickou výzvou je tzv. Shadow AI, tedy používání veřejně dostupných AI nástrojů zaměstnanci bez vědomí vedení nebo IT oddělení. Zaměstnanec si chce ušetřit práci, a tak vloží text do bezplatného chatbota a nechá si ho shrnout nebo přeložit. Pokud jsou v textu osobní údaje, organizace tím může porušit GDPR, aniž by o tom tušila.

Výrazné je to zejména ve zdravotnictví. V nemocnicích a ambulancích se generativní AI často používá mimo dohled IT, vnitřních pravidel i vedení, a jde dnes o jedno z nejzávažnějších kybernetických rizik celého sektoru.

Zakazovat AI plošně obvykle nefunguje, lidé si cestu najdou. Mnohem lepší je dát jim jasná a bezpečná pravidla. Povinnost podporovat AI gramotnost zaměstnanců ostatně podle AI Actu platí už od února 2025.