Používanie OpenAI / ChatGPT v súlade s GDPR: Consumer vs. Enterprise vs. API

Používať OpenAI v súlade s GDPR znamená: na spracúvanie osobných údajov vo firme nasadzovať výlučne ChatGPT Enterprise/Business alebo OpenAI API s uzavretou zmluvou o spracúvaní osobných údajov (DPA), pri ktorých sa zákaznícke údaje štandardne nepoužívajú na tréning modelov. Spotrebiteľský ChatGPT sa na to nehodí, pretože chýba záväzná DPA s OpenAI ako sprostredkovateľom a tvoja firma nemôže riadiť uchovávanie ani rezidenciu údajov.

Pre firmy a agentúry v regióne DACH rozhoduje o súlade s GDPR to, ako službu odoberáš a aká zmluva za tým stojí.

• Spotrebiteľský ChatGPT (bezplatný, Plus): žiadna DPA s OpenAI ako sprostredkovateľom, žiadne spoľahlivé vylúčenie tréningu na zmluvnom základe, žiadna garantovaná rezidencia údajov v EÚ. Pre osobné obchodné údaje je tabu.
• ChatGPT Enterprise/Business (Business sa do premenovania 29. augusta 2025 volal Team): funguje na základe DPA spoločnosti OpenAI, štandardne žiadny tréning na zákazníckych údajoch, OpenAI ako sprostredkovateľ. Pri Enterprise správcovia pracovného priestoru určujú dĺžku uchovávania, vymazané chaty sa odstránia do 30 dní.
• OpenAI API: takisto na základe DPA. Logy na monitorovanie zneužitia uchováva OpenAI štandardne až 30 dní, uložené objekty ako súbory alebo Vector Stores až do vymazania. Zero-Data-Retention (ZDR) je k dispozícii pre oprávnené endpointy po schválení spoločnosťou OpenAI.

Prečo spotrebiteľský ChatGPT vo firme neobstojí

Pri každom spracúvaní osobných údajov prostredníctvom systému AI je OpenAI vo firemnom kontexte sprostredkovateľom v zmysle čl. 28 GDPR. Účinná zmluva o spracúvaní osobných údajov (DPA) je preto povinná. Spotrebiteľským tarifám chýba táto zmluva vo forme, ktorú prevádzkovateľ potrebuje: žiadna zdokumentovaná viazanosť pokynmi, žiadna zaručená rezidencia údajov, žiadne konfigurovateľné lehoty uchovávania.

K tomu sa pridáva technické riziko memorizácie. Nasr et al. (2023) demonštrovali extrakciu tréningových údajov (vrátane osobných údajov) z produkčných modelov, ako je ChatGPT, pri nákladoch na dopyty približne 200 amerických dolárov. Kto bez ochrany zadáva mená zákazníkov, personálne údaje alebo zdravotné informácie do spotrebiteľského rozhrania, nemá kontrolu nad tým, kde tieto údaje skončia.

Aj halucinované osobné údaje zostávajú osobnými údajmi. Tým sa zaoberá sťažnosť proti OpenAI, ktorú organizácia noyb podala v apríli 2024 rakúskemu úradu na ochranu údajov: ChatGPT opakovane uvádzal nesprávny dátum narodenia verejne známej osoby a OpenAI odmietla opravu aj vymazanie. Nesprávne, no vierohodne znejúce tvrdenie o identifikovateľnej osobe môže založiť nároky na opravu a prístup podľa čl. 16 a čl. 15 GDPR.

Spotrebiteľský ChatGPT vs. Enterprise/Business vs. API: porovnanie z hľadiska GDPR

Nasledujúca tabuľka zhŕňa rozdiely, ktoré sú pre súlad rozhodujúce. Údaje vychádzajú z verejných dokumentov OpenAI. Pri uzatváraní zmluvy si ich over znova, pretože podmienky poskytovateľov sa často menia.

Dôležité: Vylúčenie tréningu a ZDR sú zmluvné prísľuby, nie zákonné minimálne štandardy. Poskytovatelia si zvyčajne vyhradzujú úzko vymedzené práva na monitorovanie zneužitia, bezpečnostné kontroly a agregované analýzy, pri ktorých môžu konať ako samostatný prevádzkovateľ. Tieto výnimky (carve-outs) musia byť v DPA jednoznačne vymedzené.

Čo nás učí rozhodnutie úradu Garante

Často citovaným príkladom vymáhania je rozhodnutie talianskeho úradu na ochranu osobných údajov (Garante) z 2. novembra 2024 (zverejnené 20. decembra 2024): pokuta 15 mil. eur voči OpenAI. Úrad Garante konštatoval tieto porušenia:

• Spracúvanie osobných údajov na tréning ChatGPT predtým, ako bol identifikovaný vhodný právny základ (čl. 5(1)(a), čl. 5(2) a čl. 6 GDPR).
• Nedostatočná transparentnosť voči používateľom (čl. 12, 13).
• Žiadne primerané overovanie veku (čl. 8, 25).
• Oneskorené ohlásenie úniku histórie chatov z marca 2023 (čl. 33).
• Navyše: povinná šesťmesačná informačná kampaň v talianskych médiách.

Súd Tribunale di Roma rozhodnutie 18. marca 2026 zrušil, pretože úrad Garante nebol príslušný: od 15. februára 2024 je vedúcim dozorným orgánom pre OpenAI v rámci mechanizmu jednotného kontaktného miesta (one-stop-shop) írsky úrad na ochranu údajov DPC. O vecnej stránke vytýkaných porušení súd nerozhodoval. Zoznam napriek tomu ukazuje, na čo sa dozorné orgány pri poskytovateľoch LLM zameriavajú.

Rámec pokút podľa čl. 83 GDPR siaha až do 20 mil. eur alebo 4 percent celosvetového ročného obratu. Na porovnanie: Clearview AI dostala v Taliansku za scraping verejných údajov pokutu 20 mil. eur (10. februára 2022). Verejne prístupné totiž neznamená „voľne použiteľné“.

Sedem krokov k nasadeniu v súlade s právom

1. Urči spôsob odberu. Na osobné údaje len ChatGPT Enterprise/Business alebo API. Spotrebiteľské prístupy zablokuj organizačne (interná smernica, prípadne technické blokovanie).
2. Uzavri a skontroluj DPA. DPA spoločnosti OpenAI (účinná od 1. januára 2026) s OpenAI Ireland Ltd. ako zmluvným partnerom pre EHP/CH; skontroluj prísľub vylúčenia tréningu, viazanosť pokynmi a výnimku pre monitorovanie zneužitia.
3. Zmapuj ďalších sprostredkovateľov. Zverejnený zoznam ďalších sprostredkovateľov (o. i. Microsoft Azure ako hosting) zaraď do záznamov o spracovateľských činnostiach (RoPA); zabezpeč neprerušený reťazec zmlúv so sprostredkovateľmi podľa čl. 28(4).
4. Nakonfiguruj rezidenciu údajov. Aktivuj rezidenciu údajov v EÚ pre oprávnené kontá Enterprise/Edu, prípadne vhodné nastavenia API; štandardom je globálne smerovanie.
5. Riaď uchovávanie. API štandardne uchováva logy na monitorovanie zneužitia až 30 dní. Uložené súbory, Vector Stores a Conversations aktívne vymazávaj, inak zostanú uložené. Pri Enterprise určuješ dĺžku uchovávania sám ako správca pracovného priestoru. Pre citlivé údaje cez API požiadaj OpenAI o ZDR; logy promptov pred trvalým uložením pseudonymizuj alebo v nich osobné údaje zamaskuj.
6. Zabezpeč právny základ prenosu. Využi EU-US DPF, no zdokumentuj aj štandardné zmluvné doložky ako záložné riešenie a posúdenie vplyvu prenosu, tzv. TIA. Stav 2026: konanie o odvolaní vo veci Latombe (DPF) prebieha na Súdnom dvore EÚ od 31. októbra 2025, s výhradou zmeny.
7. Zdokumentuj DPIA a právny základ. Posúdenie vplyvu na ochranu údajov podľa usmernenia DSK (Orientierungshilfe, 6. mája 2024); právny základ zaznamenaj pre každý prípad použitia, väčšinou čl. 6(1)(f) so zdokumentovaným oprávneným záujmom, pri zákazníckom servise prípadne čl. 6(1)(b).

Čo by si so spotrebiteľským ChatGPT NEMAL robiť

• Zadávať mená zákazníkov, výpisy z CRM, údaje uchádzačov alebo personálne údaje.
• Spracúvať osobitné kategórie údajov podľa čl. 9 (zdravie, náboženstvo, členstvo v odboroch, sexuálny život).
• Nahrávať dôverné obchodné dokumenty alebo celé sady dokumentov.
• Pripravovať automatizované rozhodnutia s právnymi účinkami alebo s podobne významným vplyvom (čl. 22). Navyše: ak na základe vysokorizikového systému AI podľa prílohy III AI Act, napríklad pri výbere uchádzačov, prijmeš rozhodnutie s právnymi účinkami alebo s podobne významným vplyvom, dotknuté osoby majú podľa čl. 86 AI Act právo na vysvetlenie. Bežné používanie ChatGPT pod to nespadá.

Výpočtový príklad: uchovávanie ako rizikový faktor

Agentúra prevádzkuje pre klienta asistenta zákazníckej podpory cez OpenAI API s 5 000 promptmi denne, z toho približne 8 percent (400 promptov) obsahuje mená zákazníkov alebo kontaktné údaje. Ak prompty zostávajú v logoch na monitorovanie zneužitia štandardne až 30 dní, leží v úložisku sprostredkovateľa v každom okamihu až 12 000 promptov s osobnými údajmi (400 x 30) a na každý z nich sa vzťahujú žiadosti o prístup a výmaz. So ZDR, ktorú schválila spoločnosť OpenAI, a s predchádzajúcim maskovaním osobných údajov klesne tento trvalý objem takmer na nulu. To je rozdiel medzi žiadosťou dotknutej osoby o prístup (DSAR), na ktorú sa dá odpovedať, a takou, na ktorú sa odpovedať nedá.

Pre agentúry a B2B

Marketingové agentúry a rozhodovatelia v B2B, ktorí nasadzujú ChatGPT v klientskych projektoch, sú spravidla sami prevádzkovateľmi alebo sprostredkovateľmi svojich klientov a musia reťazec smerom nadol zmapovať bez medzier: DPA s OpenAI, zdokumentovaná rezidencia údajov, ZDR pre citlivé toky údajov a šablóna DPIA, ktorá sa dá znova využiť pri každom prípade použitia. Kto to raz poriadne nastaví, urobí z rizika v oblasti súladu kvalitu, ktorú môže klientom predať. Blck Alpaca pomáha s preskúmaním DPA, mapovaním ďalších sprostredkovateľov a DPIA pre AI agentov v regióne DACH.

Upozornenie: Tento príspevok slúži na odbornú informáciu a nepredstavuje právne poradenstvo. Na právne záväzné posúdenie tvojho konkrétneho scenára nasadenia prizvi prosím zodpovednú osobu pre ochranu údajov alebo špecializovaného právneho zástupcu.