--- title: "Nasadenie AI Agentov v súlade s GDPR" description: "Nasadenie AI Agentov v súlade s GDPR: právne základy, dátové toky a technické opatrenia pre súlad s ochranou údajov." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr" category: "AI agenti" updated: "2026-07-29T08:53:26.526Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Nasadenie AI Agentov v súlade s GDPR Nasadenie AI Agentov v súlade s GDPR: právne základy, dátové toky a technické opatrenia pre súlad s ochranou údajov. ## Nasadenie AI-Agentov v súlade s GDPR: o čo ide [AI Agent](/sk/slovnik/ai-agent) nie je klasický softvérový Tool, ale systém, ktorý priebežne spracúva osobné údaje, často na miestach, ktoré projektové tímy spočiatku prehliadajú. Kto v regióne DACH prevádzkuje [AI](/sk/slovnik/ai) Agenta ako prevádzkovateľ (Controller), musí preto každú vrstvu spracúvania osobitne odôvodniť z hľadiska ochrany údajov a zdokumentovať. Táto hub-stránka poskytuje prehľad piatich kľúčových nastavovacích prvkov: právny základ (čl. 6, prípadne čl. 9 [GDPR](https://gdpr-info.eu/)), automatizované individuálne rozhodnutia (čl. 22), sprostredkovanie spracúvania (čl. 28), posúdenie vplyvu na ochranu údajov (čl. 35) a rezidencia údajov v EÚ. Dôležité na úvod: dva najrelevantnejšie právne režimy pre AI Agentov, [GDPR](/sk/slovnik/gdpr) a [EU AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), sa prekrývajú, no platia nezávisle od seba. Spracúvanie môže byť relevantné z hľadiska [GDPR](/sk/slovnik/gdpr-2) bez toho, aby spadalo pod kategorizáciu vysokého rizika podľa AI Act; a naopak, vysokorizikový systém podľa Annexu III musí každú zásadu GDPR spĺňať samostatne. Tento príspevok je informačný a nepredstavuje právne poradenstvo. ## Kde sa GDPR uplatňuje v Agent-Stacku Podľa čl. 4(1)/(2) GDPR spúšťa nariadenie každá operácia s osobnými údajmi. V agentickom systéme to sú spravidla: - **Inference-Inputy**, Prompty, System-Prompty, nahraté súbory, hlasové a obrazové vzorky. - **Inference-Outputy**, texty a zhrnutia, ktoré pomenúvajú alebo opisujú osoby, vrátane **halucinovaných** osobných údajov (tak hamburská sťažnosť na ChatGPT, ako aj konanie Garante potvrdzujú: vymyslené informácie o osobách zostávajú osobnými údajmi). - [**Agent](/sk/slovnik/agent)-Memory**, krátkodobé context-windows, epizodická a sémantická pamäť, perzistentné Vektor-Stores (mem0, LangGraph, Letta, vlastné databázy). - **Payloady Tool-Callov**, každé JSON-body smerujúce na internú [API](/sk/slovnik/api) alebo [MCP](/sk/slovnik/mcp)-server prenáša osobné údaje do novej procesorovej sféry. - **Multi-Agent-komunikácia**, A2A-správy sú udalosťami spracúvania aj vtedy, keď obaja Agenti patria tomu istému prevádzkovateľovi. - **Logy a Traces** ako aj **Embeddings**. Obzvlášť podceňované: Embeddings **nie sú automaticky anonymné**. Text-inverzné útoky (Morris et al., 2023) a membership-inference útoky ukazujú, že Embeddings sú prostredníctvom vyhľadávania podobnosti re-identifikovateľné. CNIL a hamburský úrad na ochranu údajov preto Embeddings štandardne považujú za **pseudonymizované osobné údaje**. ## Právny základ: čl. 6 GDPR Každé spracúvanie potrebuje jeden zo [šiestich právnych základov podľa čl. 6(1)](/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/dsgvo-rechtsgrundlage-ki-art-6). Pre AI Agentov sú v praxi relevantné predovšetkým tri: | Právny základ | Typické použitie Agenta | Praktická poznámka | | --- | --- | --- | | (a) Súhlas | Consumer-asistenti, Voice-Cloning, biometrické Agenty | Dobrovoľný, špecifický, informovaný; v pracovnoprávnom kontexte väčšinou nie dobrovoľný; pri tréningu sotva realizovateľný | | (b) Plnenie zmluvy | Customer-service Agent pre existujúcich zákazníkov, Agenty pre zamestnancov | Úzky: len to, čo je pre zmluvu **nevyhnutné**; [fine-tuning](/sk/slovnik/fine-tuning) na údajoch zákazníkov je zriedka zmluvne potrebný | | (f) Oprávnený záujem | Interný deployment, tréning, fine-tuning, [RAG](/sk/slovnik/rag), fraud-detection, B2B customer-service | Dominantný základ; trojstupňový test povinný; nie pre orgány verejnej moci pri plnení ich úloh | **Trojstupňový test** podľa čl. 6(1)(f), v zmysle usmernení EDPB 1/2024 (8. 10. 2024) a stanoviska EDPB 28/2024, vyžaduje: (1) konkrétne artikulovaný, reálny záujem („zlepšenie nášho HR-screening Agenta pre vlastných zamestnancov“ namiesto abstraktného „zlepšiť KI“), (2) nevyhnutnosť (dalo by sa to s menším množstvom alebo s anonymizovanými údajmi?) a (3) vyváženie voči rozumným očakávaniam dotknutých osôb. **Pasca „verejne dostupné“:** Tvrdošijným omylom je domnienka, že voľne prístupné webové údaje sú mimo GDPR. [**Clearview AI**](https://www.forbes.sk/) bola sankcionovaná okrem iného v Taliansku (20 mil. eur, 10. 2. 2022) a vo Francúzsku (20 mil. eur, 17. 10. 2022), verejná dostupnosť nenahrádza ani súhlas, ani iný právny základ. Rozsudok Súdneho dvora EÚ *Meta v Bundeskartellamt* (C-252/21) potvrdzuje: aj pri verejných údajoch sa musí vyváženie podľa čl. 6(1)(f) vykonať samostatne. **Enforcement-benchmark:** Taliansky Garante uložil 2. 11. 2024 pokutu **15 mil. eur** spoločnosti [OpenAI](/sk/slovnik/openai), za tréning bez identifikovaného právneho základu (porušenie čl. 5(1)(a), 5(2), 6), nedostatočnú transparentnosť a chýbajúce overovanie veku. Rozhodnutie vo veci Replika proti Luka Inc. (10. 4. 2025, **5 mil. eur**) dopĺňa: plnenie zmluvy (čl. 6(1)(b)) neobstojí, ak okruh používateľov zahŕňa maloletých bez spôsobilosti na právne úkony. ## Osobitné kategórie údajov: čl. 9 GDPR Hneď ako Agent spracúva údaje o zdravotnom stave, biometrické alebo iné citlivé údaje, uplatňuje sa zásadný zákaz podľa čl. 9(1). Prakticky relevantnými výnimkami sú výslovný súhlas (čl. 9(2)(a)), pracovnoprávne a sociálnoprávne základy (čl. 9(2)(b), napr. §26(3) BDSG) ako aj významný verejný záujem (čl. 9(2)(g)). Pozor pri súčinnosti s AI Act: jeho čl. 10(5) povoľuje [spracúvanie citlivých údajov](https://commission.europa.eu/law/law-topic/data-protection_en) na detekciu biasu, no **nie je samostatnou výnimkou podľa čl. 9(2) GDPR**, právny základ musí navyše vychádzať z čl. 9(2) (väčšinou (g)), čo vo väčšine členských štátov ešte vyžaduje národnú legislatívu. ## Automatizované individuálne rozhodnutia: čl. 22 po veciach SCHUFA a Dun & Bradstreet Čl. 22 je najčastejšie súdne riešenou normou GDPR v prostredí AI Agentov. Dva rozsudky Súdneho dvora EÚ rozsah jeho pôsobnosti výrazne rozšírili: - **SCHUFA (C-634/21, 7. 12. 2023):** Už samotná automatizovaná hodnota pravdepodobnosti (skóre) **je sama osebe** automatizovaným individuálnym rozhodnutím v zmysle čl. 22(1), ak sa naň tretia strana (napr. banka) zásadne spolieha. Čl. 22 obsahuje **zásadný zákaz**, nielen právo, ktoré treba uplatniť, dôkazné bremeno o výnimke nesie prevádzkovateľ. - **Dun & Bradstreet (C-203/22, 27. 2. 2025):** „Zmysluplné informácie o použitom postupe“ (čl. 15(1)(h)) znamenajú **konkrétne, zrozumiteľné vysvetlenie**, ktoré dotknutým osobám umožňuje rozhodnutie pochopiť, preskúmať a napadnúť. Zverejnenie algoritmu alebo matematického vzorca nestačí. Obchodné tajomstvá zverejneniu automaticky nebránia, v spornom prípade rozhoduje dozorný úrad alebo súd v konkrétnom prípade. Pre prax to znamená: skóre-riadení Agenti (HR-screening, úverové rozhodnutie, poistné underwriting, dynamický pricing) spúšťajú čl. 22 takmer štandardne. Najčastejším audit-nálezom 2024–2025 je **rubber-stamp-review**, iba formálne ľudské potvrdenie. Aby rozhodnutie **nebolo** „výlučne automatizované“, musí mať človek kompetenciu a oprávnenie ho prevážiť, údaje skutočne preskúmať a vykazovať plauzibilné override-rates. Rakúsky DSB je ako východiskový úrad prípadu Dun & Bradstreet priamym udávateľom meradla pre región DACH. ## Sprostredkovanie spracúvania: čl. 28 GDPR Väčšina enterprise-AI zmlúv (Microsoft Azure OpenAI, [OpenAI Enterprise](/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/openai-dsgvo-konform-nutzen), Anthropic Claude for Work, Google Vertex AI, AWS Bedrock, Mistral, Aleph Alpha) je štruktúrovaná ako controller-to-processor, s výslovným prísľubom **nepoužiť** údaje zákazníkov na tréning modelov. Tieto prísľuby sú však **zmluvnej**, nie zákonnej povahy a často si vyhradzujú úzke práva na abuse-monitoring alebo safety-review. Moderný Agent-Stack typicky vytvára **päť- až osemvrstvovú sub-procesorovú kaskádu**: foundation-model-provider → cloud/hosting → orchestračný runtime → Vektor-Store → memory-provider → MCP-server → observability → evaluation. Pre každú vrstvu musí existovať AVZ, [reťazec podľa čl. 28(4)](/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/auftragsverarbeitung-art-28-ki-anbieter) musí byť bezo zvyšku a rezidencia údajov konzistentná. Najčastejšie audit-nálezy: nezverejnené MCP-server-flows, observability-poskytovatelia bez AVZ a evaluation-služby, ktoré zbierajú [Prompt](/sk/slovnik/prompt)-Traces. Nad rámec samotnej otázky procesora hrozí navyše **joint controllership** (čl. 26): hneď ako poskytovateľ použije údaje na vlastné účely, napríklad keď web-search-Tool (Bing v Copilot, Google Search v Gemini) dopytuje verejný web, opúšťa dátový tok procesorovú sféru. ## Posúdenie vplyvu na ochranu údajov (DPIA): čl. 35 GDPR [AI Agenti](/sk/sluzby/integracia-ai-agenta) spúšťajú DPIA **takmer vždy**, pretože pravidelne spĺňajú aspoň jeden z triggerov podľa čl. 35(3) a blacklistov dozorných úradov: automatizované rozhodnutie s účinkom, rozsiahle profilovanie, biometrické spracúvanie, inovatívne použitie technológie alebo monitorovanie zamestnancov. Orientačná pomôcka DSK „Künstliche Intelligenz und Datenschutz“ (verzia 1.0, 6. 5. 2024) vyžaduje DPIA výslovne pre väčšinu [LLM](/sk/slovnik/llm)-deploymentov. Metodika DPIA (DSK-Kurzpapier č. 5, BfDI-Tool, EDPB WP248) zahŕňa: (1) posúdenie nevyhnutnosti a proporcionality, (2) identifikáciu rizík (pre AI Agentov: halucinácia, bias, Prompt-Injection, memory-leakage, output-regurgitation, Tool-Call-exfiltrácia, re-identifikácia), (3) hodnotenie rizík a (4) zaobchádzanie s rizikami. Potrebnými artefaktmi sú diagramy dátového toku cez každý hop osobných údajov, mapa rolí (Controller, Joint Controller, Processor s reťazcom podľa čl. 28(4)), register rizík a doklady o konzultáciách (stanovisko DPO podľa čl. 35(2); účasť zamestnaneckej rady/zastúpenia zamestnancov podľa §87 BetrVG, resp. ArbVG). Tam, kde ide o vysoké riziko podľa Annexu III, možno DPIA zlúčiť s posúdením vplyvu na základné práva (FRIA, čl. 27 AI Act) do spoločného artefaktu (čl. 27(4) AI Act). ## Rezidencia údajov v EÚ a cezhraničné transfery Pre rozhodovateľov v regióne DACH je EÚ-rezidencia údajov kľúčovou pákou na zníženie rizika. Dosiahnuteľná je prostredníctvom **EU Data Boundary** (Microsoft), **EÚ-regiónov** (Vertex AI s EÚ-regionálnymi endpointmi, AWS) alebo prostredníctvom **suverénnych poskytovateľov** ako Aleph Alpha (Pharia), IONOS AI Model Hub, STACKIT, T-Systems Open Telekom Cloud (DE/EÚ) a Swisscom Sovereign AI (CH). Pri transfere do tretích krajín platí meradlo *Schrems II*: SCC len s prípadovým [**Transfer Impact Assessment (TIA)**](/sk/slovnik/transfer-impact-assessment). [**EU-US Data Privacy Framework**](/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/drittlandtransfer-usa-data-privacy-framework) (rozhodnutie o primeranosti z 10. 7. 2023) je v súčasnosti platné; súd EÚ zamietol 3. 9. 2025 vo veci *Latombe v Komisia* prvú žalobu, no odvolanie na Súdnom dvore EÚ prebieha. Operatívne odporúčanie: využiť DPF-certifikáciu, ale **mať SCC ako zálohu** a vykonávať TIA aj pre DPF-certifikovaných príjemcov. Pre amerických poskytovateľov zostávajú v TIA na riešenie riziká CLOUD Act a FISA 702. Švajčiarsko je od 15. 1. 2024 uznané za primerané; Swiss-US DPF platí od 15. 9. 2024. ## Špecifiká regiónu DACH a švajčiarske sprísnenie V rámci regiónu DACH sa dozorné úrady rozchádzajú. Hamburský úrad na ochranu údajov zastáva tézu, že samotné uloženie LLM nie je spracúvaním (diskusný dokument, 15. 7. 2024), stanovisko EDPB 28/2024 implicitne oponuje. Pre deployerov je bezpečným postojom: zaobchádzať s modelom ako s potenciálne osobne identifikovateľným a sústrediť compliance-prácu na **deployerom kontrolované vrstvy** ([RAG-indexy](/sk/vedomosti/ai-agenti/co-je-rag-system/rag-dsgvo-konform-aufbauen), Memory, Logy), kde je vymazanie technicky možné. Vo **Švajčiarsku** je čl. 21 revDSG **prísnejší** než čl. 22 GDPR: informačná povinnosť pri automatizovaných individuálnych rozhodnutiach je pravidlom, nie výnimkou. Navyše pri úmyselných porušeniach hrozia **trestnoprávne sankcie voči fyzickým osobám** (vedenie, DPO) až do 250 000 CHF. Pre poskytovateľov finančných služieb regulovaných FINMA pribúdajú outsourcingové notifikácie a analýzy bankového tajomstva, ktoré mnohých deployerov tlačia smerom k sovereign cloud. ## Praktický výhľad Súlad s GDPR pri AI Agentoch nie je jednorazový dokument, ale architektonický princíp: oddeľte inference-vrstvu (managed API s „no-training“ AVZ) od deployerom kontrolovaných vrstiev, ktoré musia zostať úplne vymazateľné, a doplňte filtračnú vrstvu pre DSAR a žiadosti podľa čl. 17. Kto právny základ, čl.-22-architektúru, bezo zvyšku pokrytú AVZ-kaskádu, DPIA a rezidenciu údajov premyslí od začiatku, vyhne sa najčastejším audit-nálezom, od nechránených memory-stores cez Prompt-Logy bez koncepcie vymazania až po nezverejnené MCP-flows. Pre konkrétne zmluvné a technické nastavenie by si mali prevádzkovatelia vždy vyžiadať odborné právne poradenstvo; tento prehľad ho nenahrádza. ## Clanky - [Sprostredkovanie spracúvania podľa čl. 28 GDPR s poskytovateľmi AI: Sprievodca zmluvou o spracúvaní](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/auftragsverarbeitung-art-28-ki-anbieter) — Zmluva o sprostredkovaní spracúvania (AVV/DPA) podľa čl. 28 GDPR je povinná, akonáhle poskytovateľ AI spracúva osobné údaje na základe pokyn - [Právny základ GDPR pre AI agentov (čl. 6): Kedy sa hodí súhlas, zmluva alebo oprávnený záujem](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/dsgvo-rechtsgrundlage-ki-art-6) — Právny základ GDPR pre AI určuje, o ktorý skutkový stav čl. 6 ods. 1 GDPR podnik opiera spracúvanie údajov AI agentom. Pre interné nasadenia - [Rezidencia údajov v EÚ pre LLM: Kde sa vaše údaje spracúvajú](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/eu-datenresidenz-fuer-llms) — Rezidencia údajov v EÚ pre LLM znamená, že prompty, výstupy, embeddingy a logy sa ukladajú a spracúvajú výlučne v regióne EÚ. Z hľadiska och - [Používanie OpenAI / ChatGPT v súlade s GDPR: Consumer vs. Enterprise vs. API](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/openai-dsgvo-konform-nutzen) — Používať OpenAI v súlade s GDPR znamená: pre firemné údaje výhradne nasadiť ChatGPT Enterprise/Team alebo OpenAI API s uzavretou zmluvou o s - [Mistral a Aleph Alpha: Výhody európskych poskytovateľov LLM v oblasti GDPR](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/mistral-aleph-alpha-eu-anbieter) — Poskytovatelia LLM z EÚ sú poskytovatelia jazykových modelov so sídlom v EÚ, ako Mistral AI (Francúzsko) a Aleph Alpha (Nemecko). Ich výhoda - [Prenos do tretích krajín do USA: Data Privacy Framework a AI](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/drittlandtransfer-usa-data-privacy-framework) — EU-US Data Privacy Framework (DPF) je rozhodnutie Európskej komisie o primeranosti platné od 10. júla 2023, na základe ktorého možno prenáša - [Posúdenie vplyvu na ochranu údajov (DPIA) pri AI agentoch: povinnosť, prahové hodnoty a postup krok za krokom](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/datenschutz-folgenabschaetzung-ki-agent) — Posúdenie vplyvu na ochranu údajov (DPIA) je podľa čl. 35 GDPR povinné, ak spracúvanie pravdepodobne predstavuje vysoké riziko pre práva a s --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr). AI systemy mozu tento obsah pouzit s uvedenim zdroja.