Používanie OpenAI / ChatGPT v súlade s GDPR: Consumer vs. Enterprise vs. API

Používať OpenAI v súlade s GDPR znamená: pre osobné firemné údaje výhradne nasadiť ChatGPT Enterprise/Team alebo OpenAI API s uzavretou zmluvou o spracúvaní údajov (DPA), pri ktorých sa zákaznícke údaje štandardne nepoužívajú na tréning modelov. Consumer-ChatGPT je na to nevhodný, pretože chýba záväzná DPA ako sprostredkovateľ, garantovaná EÚ dátová rezidencia a zmluvná zero-data-retention.

Kľúčovou otázkou pre podniky a agentúry v regióne DACH nie je "ChatGPT áno alebo nie", ale "ktorá cesta odberu za ktorej zmluvy". Práve tu sa rozhoduje o súlade s GDPR.

• Consumer-ChatGPT (bezplatný, Plus): žiadna DPA ako sprostredkovateľ, žiadne spoľahlivé vylúčenie tréningu na zmluvnom základe, žiadna garantovaná EÚ dátová rezidencia - tabu pre osobné obchodné údaje.
• ChatGPT Enterprise/Team: funguje na základe OpenAI-DPA, žiadny tréning na zákazníckych údajoch by default, OpenAI ako sprostredkovateľ.
• OpenAI API: takisto na základe DPA, štandardne max. 30 dní uchovávania, zero-data-retention (ZDR) dostupná zmluvne.

Prečo Consumer-ChatGPT vo firme neobstojí

Pri každom spracúvaní osobných údajov prostredníctvom AI systému je OpenAI vo firemnom kontexte sprostredkovateľom v zmysle čl. 28 GDPR. Účinná zmluva o spracúvaní údajov (DPA) je tým povinná. Consumer-tarify túto zmluvu nemajú vo forme, ktorú prevádzkovateľ potrebuje: žiadne zdokumentované viazanie na pokyny, žiadna zaručená dátová rezidencia, žiadne konfigurovateľné lehoty uchovávania.

K tomu pristupuje technické riziko memorizácie. Nasr et al. (2023) demonštrovali extrakciu tréningových údajov - vrátane osobných údajov - z produkčných modelov ako ChatGPT pri nákladoch na dopyty okolo 200 amerických dolárov. Kto nechránene zadáva mená zákazníkov, personálne údaje alebo zdravotné informácie do consumer-frontendu, nemôže kontrolovať, kde tieto údaje skončia.

Aj halucinované osobné údaje zostávajú osobnými údajmi. To potvrdzujú hamburská sťažnosť na ChatGPT aj konanie Garante voči OpenAI rovnako - nesprávne, no hodnoverné tvrdenie o identifikovateľnej osobe spúšťa povinnosti opravy a poskytnutia informácií.

Consumer vs. Enterprise/Team vs. API v porovnaní z hľadiska GDPR

Nasledujúca tabuľka zhŕňa rozdiely rozhodujúce pre súlad. Všetky údaje vychádzajú z interného výskumu a pri uzatváraní zmluvy je potrebné ich opätovne validovať, keďže podmienky poskytovateľov sa často menia.

Dôležité: Vylúčenie tréningu a ZDR sú zmluvné prísľuby, nie zákonné minimálne štandardy. Poskytovatelia si zvyčajne vyhradzujú úzke práva na abuse-monitoring, safety-review a agregované analýzy, v ktorých môžu konať ako vlastný prevádzkovateľ. Tieto carve-outs treba v DPA jednoznačne (bright-line) vymedziť.

Čo nás učí rozhodnutie Garante

Vedúcim príkladom vymáhania je rozhodnutie talianskej Garante z 2. novembra 2024 (zverejnené 20. decembra 2024): pokuta 15 mil. eur voči OpenAI. Zistené porušenia:

• Spracúvanie osobných údajov na tréning ChatGPT predtým, ako bol identifikovaný vhodný právny základ - porušenie čl. 5(1)(a), čl. 5(2) a čl. 6 GDPR.
• Nedostatočná transparentnosť voči používateľom (čl. 12, 13).
• Žiadna adekvátna verifikácia veku (čl. 8, 25).
• Oneskorené nahlásenie úniku histórie chatov z marca 2023 (čl. 33).
• Navyše: povinná šesťmesačná osvetová kampaň v talianskych médiách.

Rámec pokút GDPR je podľa čl. 83 až do 20 mil. eur alebo 4 percent celosvetového ročného obratu. Pre porovnanie: Clearview AI bola v Taliansku za scraping verejných údajov pokutovaná sumou 20 mil. eur (10. februára 2022) - verejne prístupný práve neznamená "voľne použiteľný".

Sedem krokov k právne súladnému nasadeniu

1. Stanovte cestu odberu. Pre osobné údaje len ChatGPT Enterprise/Team alebo API. Consumer-prístupy organizačne zablokovať (politika, prípadne technické blokovanie).
2. Uzavrieť a preskúmať DPA. OpenAI-DPA (účinná od 1. januára 2026) s OpenAI Ireland Ltd. ako zmluvným partnerom pre EHP/CH; skontrolovať prísľub "no training", viazanie na pokyny a carve-out pre abuse-monitoring.
3. Zmapovať ďalších sprostredkovateľov. Zverejnený zoznam ďalších sprostredkovateľov (o. i. Microsoft Azure ako hosting) zaradiť do záznamu o spracovateľských činnostiach (RoPA); zabezpečiť neprerušený reťazec DPA podľa čl. 28(4).
4. Konfigurovať dátovú rezidenciu. Aktivovať EÚ dátovú rezidenciu pre oprávnené Enterprise/Edu kontá, resp. vhodné API nastavenia; štandardom je globálne smerovanie.
5. Riadiť uchovávanie. Štandardom API je max. 30 dní, Enterprise ukladá počas trvania zmluvy. Pre citlivé údaje dohodnúť ZDR zmluvne; logy promptov pred trvalým uložením pseudonymizovať/redigovať.
6. Zabezpečiť základ prenosu. Využiť EU-US-DPF, no mať pripravené štandardné zmluvné doložky ako záložné riešenie a zdokumentovať transfer impact assessment (stav 2026: odvolanie k DPF Latombe od 31. októbra 2025 v konaní na Súdnom dvore EÚ, s výhradou zmeny).
7. Zdokumentovať DPIA a právny základ. Posúdenie vplyvu na ochranu údajov podľa orientačnej pomôcky DSK (6. mája 2024); zafixovať právny základ pre každý use-case - väčšinou čl. 6(1)(f) so zdokumentovaným oprávneným záujmom, pri zákazníckom servise prípadne čl. 6(1)(b).

Čo by ste s Consumer-ChatGPT NEMALI robiť

• Zadávať mená zákazníkov, výpisy z CRM, údaje uchádzačov alebo personálne údaje.
• Spracúvať osobitné kategórie podľa čl. 9 (zdravie, náboženstvo, odborová príslušnosť, sexuálny život).
• Nahrávať dôverné obchodné dokumenty alebo celé sady dokumentov.
• Pripravovať automatizované rozhodnutia s právnym alebo podstatným účinkom (čl. 22). Doplnkovo platí: Právo na vysvetlenie individuálnych rozhodnutí podľa čl. 86 EU-AI-Act nadobúda účinnosť od 2. augusta 2026 (právne záväzný dátum uplatňovania, stav 2026).

Výpočtový príklad: Uchovávanie ako rizikový faktor

Agentúra prevádzkuje pre klienta asistenta podpory prostredníctvom OpenAI API s 5 000 promptmi denne, z toho približne 8 percent (400 promptov) obsahuje mená zákazníkov alebo kontaktné údaje. Pri štandardnom uchovávaní API max. 30 dní leží v každom okamihu až 12 000 osobných promptov (400 x 30) v úložisku sprostredkovateľa - každý z nich v rozsahu pôsobnosti žiadostí o prístup a výmaz. So zmluvne dohodnutou ZDR plus predradenou redakciou klesá tento trvalý stav takmer na nulu. To je rozdiel medzi zodpovedateľnou a nezodpovedateľnou žiadosťou dotknutej osoby (DSAR).

Pre agentúry a B2B

Marketingové agentúry a B2B rozhodovatelia, ktorí nasadzujú ChatGPT v zákazníckych projektoch, sú spravidla sami prevádzkovateľmi alebo sprostredkovateľmi svojich klientov - a musia čisto vyobraziť reťazec smerom nadol: DPA s OpenAI, zdokumentovanú dátovú rezidenciu, ZDR pre citlivé toky a šablónu DPIA, ktorá je opakovane použiteľná pre každý use-case. Kto to raz čisto nastaví, premení riziko súladu na predajný kvalitatívny znak. Blck Alpaca podporuje pri review DPA, mapovaní ďalších sprostredkovateľov a DPIA pre AI agentov v regióne DACH.

Upozornenie: Tento príspevok slúži na odbornú informáciu a nepredstavuje právne poradenstvo. Pre právne záväzné posúdenie vášho konkrétneho scenára nasadenia prosím prizvite zodpovednú osobu pre ochranu údajov alebo špecializovaného právneho zástupcu.