GDPR a AI governance

Rámec určujú dva predpisy: všeobecné nariadenie o ochrane údajov (nariadenie (EÚ) 2016/679) a EU AI Act (nariadenie (EÚ) 2024/1689), ktorý triedi systémy podľa rizika, od zakázaných praktík cez vysokorizikové aplikácie až po povinnosti pre modely všeobecnej AI. Vysvetľujeme, kde sa oba rámce prekrývajú, ktoré lehoty už reálne platia a kde generatívna AI, RAG pipeline a agentické workflowy nečakane spúšťajú dôkazné a dokumentačné povinnosti, s ktorými nikto nerátal.

Dátovú suverenitu neberieme ako nákladovú položku, ale ako predajný argument. Rezidencia dát v EÚ, preverená zmluva o spracovaní údajov (AVV/DPA), technické a organizačné opatrenia (TOM), ktoré obstoja, a obhájiteľný prístup k prenosom do tretích krajín podľa Schrems II, štandardných zmluvných doložiek a rámca EU-US Data Privacy Framework u európskych zákazníkov často vážia viac než samotné funkcie.

K tomu patrí posúdenie vplyvu na ochranu údajov (DPIA), hranice automatizovaného individuálneho rozhodovania podľa článku 22 GDPR a skutočná práca s tým, ako governance dostať do prevádzky cez ISO/IEC 42001, NIST AI Risk Management Framework a nemecký katalóg BSI C5. Automatizácia compliance zostáva stálou témou, pretože prevencia úniku údajov, auditné logovanie, dokumentácia modelov a promptov a priebežný monitoring, ak sú dobre nastavené, vytvárajú dôkazy samy, namiesto toho, aby vaše tímy viazali na manuálne kontrolné zoznamy.

Práve to väčšina podceňuje. Cieľom každého článku je použiteľnosť: jasné definície, pomenované zodpovednosti a rozhodovacie kritériá, s ktorými marketingové, IT a právne tímy uvedú AI na trh s preukázateľnou starostlivosťou.