Právny základ GDPR pre AI agentov (čl. 6): kedy sa hodí súhlas, zmluva alebo oprávnený záujem

Právny základ GDPR pre AI určuje, o ktorý z právnych základov podľa čl. 6 ods. 1 GDPR podnik opiera spracúvanie údajov AI agentom. Pre interné nasadenia, fine-tuning, RAG a B2B servisných agentov je dominantným základom oprávnený záujem (čl. 6 ods. 1 písm. f), popri ňom súhlas, zmluva alebo zákonná povinnosť. Bez obhájiteľného právneho základu je každé spracúvanie nezákonné.

• Oprávnený záujem (písm. f) je najčastejším základom pre interných AI agentov, fine-tuning, RAG, odhaľovanie podvodov a bežných B2B servisných agentov, vyžaduje však trojstupňový test.
• Zmluva (písm. b) pokrýva len to, čo je na plnenie zmluvy nevyhnutne potrebné; súhlas (písm. a) sa hodí pre opt-in funkcie, na trénovacie množiny sa však sotva dá škálovať.
• Citlivé údaje (čl. 9) a automatizované individuálne rozhodovanie (čl. 22) prinášajú ďalšie požiadavky nad rámec čl. 6.

Prečo každý AI agent potrebuje právny základ

Podľa čl. 4 bodov 1 a 2 GDPR sa nariadenie uplatní na každú operáciu s osobnými údajmi. V agentickom systéme je spracúvaním takmer každý styčný bod: prompty a systémové prompty, výstupy (vrátane halucinovaných údajov o osobách), pamäť agenta a vektorové úložiská, payloady volaní nástrojov smerované na interné API alebo MCP servery, správy medzi agentmi v multiagentových systémoch, logy a záznamy trasovania (traces). Pre každý z týchto tokov údajov potrebuje prevádzkovateľ právny základ podľa čl. 6 ods. 1.

Dôležité: prompty a výstupy sú takmer vždy osobnými údajmi, ak uvádzajú konkrétnu osobu alebo ju dostatočne charakterizujú, a to aj pri vymyslenom obsahu. Na tom stojí sťažnosť organizácie noyb proti OpenAI na rakúskom úrade na ochranu osobných údajov z apríla 2024: ChatGPT opakovane uvádzal nesprávny dátum narodenia sťažovateľa a OpenAI opravu odmietol. Embeddingy vo vektorových úložiskách by si mal považovať za pseudonymizované osobné údaje, ak sa zdrojové texty týkajú osôb. Dôvodom je inverzia embeddingov: v štúdii z roku 2023 sa 92 % krátkych vstupov (32 tokenov) podarilo z ich embeddingov presne zrekonštruovať. Ako toto riziko posúdiš, opisuje článok o posúdení vplyvu na ochranu údajov pri AI agentoch.

Šesť právnych základov a ich vhodnosť pre AI agentov

Čl. 6 ods. 1 GDPR pozná šesť právnych základov. Pre AI agentov sú v praxi dominantné tri: súhlas (písm. a), zmluva (písm. b) a oprávnený záujem (písm. f), doplnené o zákonnú povinnosť (písm. c).

Trojstupňový test pre oprávnený záujem

Podľa usmernení EDPB 1/2024 (prijaté 8. októbra 2024) a stanoviska EDPB 28/2024 (prijaté 17. decembra 2024) musia prevádzkovatelia zdokumentovať tri kroky:

1. Test účelu. Záujem musí byť zákonný, skutočný, aktuálny a konkrétne formulovaný. Všeobecné „zlepšovať AI produkty“ nestačí; „zlepšenie presnosti klasifikácie interného HR skríningového agenta pre našich zamestnancov“ áno.
2. Test nevyhnutnosti. Dal by sa účel dosiahnuť s menším množstvom údajov alebo s anonymnými údajmi? Pri RAG to často hovorí v prospech pseudonymizácie indexovaných dokumentov a minimalizácie kontextových payloadov.
3. Test vyváženia. Záujem treba vyvážiť s primeranými očakávaniami dotknutých osôb, povahou údajov, vzťahom s prevádzkovateľom a rizikami, ako sú reidentifikácia, rozširovanie účelu (scope creep) a profilovanie. Platia kritériá EDPB zo stanoviska 28/2024 (sú údaje verejne dostupné?; aká je povaha služby?; vie dotknutá osoba, že jej údaje sú online?).

Stanovisko EDPB 28/2024 potvrdzuje, že oprávnený záujem je pre vývoj aj nasadenie v zásade k dispozícii. Ako potenciálne legitímne uvádza napríklad konverzačných asistentov, odhaľovanie podvodov a kybernetickú bezpečnosť. CNIL 19. júna 2025 doplnil taxonómiu predpokladane legitímnych účelov AI: vedecký výskum, poskytovanie verejného prístupu, konverzační asistenti, zlepšovanie výkonu existujúceho produktu a prevencia podvodov.

Uplatnenie na typické scenáre agentov

• Fine-tuning na interných údajoch zákazníkov: typicky čl. 6 ods. 1 písm. f. Účel musí byť užší než „zlepšiť našu AI“, treba vykonať LIA (Legitimate Interest Assessment, posúdenie oprávneného záujmu) doplnenú o analýzu zlučiteľnosti podľa čl. 5 ods. 1 písm. b. Ak ide o citlivé údaje, je navyše potrebná výnimka podľa čl. 9.
• RAG nad dokumentmi zamestnancov: väčšinou písm. b alebo písm. f. Ak agent meria správanie zamestnancov, v Nemecku je potrebné spolurozhodovanie zamestnaneckej rady (§ 87 ods. 1 bod 6 BetrVG), v Rakúsku súhlas zamestnaneckej rady podľa § 96 alebo § 96a ArbVG. Vo Švajčiarsku čl. 26 ArGV 3 zakazuje monitorovacie systémy, ktoré majú sledovať správanie zamestnancov na pracovisku.
• Pamäť agenta naprieč reláciami: právny základ musí pokrývať aj sekundárne uchovávanie; obvyklým vzorom je oprávnený záujem s jasnou politikou uchovávania a možnosťou opt-out, zdokumentovaný podľa čl. 5 ods. 1 písm. b.
• Trénovanie základných modelov (foundation models) na široko scrapovaných korpusoch: Stanovisko EDPB 28/2024 tu kladie vysokú latku. Bez zdokumentovanej LIA, politiky vylúčenia web scrapingu a obhájiteľného odôvodnenia „neprimeraného úsilia“ podľa čl. 14 ods. 5 písm. b by nasadzujúce subjekty nemali vykonávať rozsiahle trénovanie na scrapovaných údajoch.

Pasca „verejne dostupné“

Pretrvávajúcim omylom je, že verejne dostupné webové údaje sú z GDPR vyňaté. Clearview AI dostal sankcie práve preto: v Taliansku 20 mil. eur (10. februára 2022), vo Francúzsku 20 mil. eur (17. októbra 2022) plus 5,2 mil. eur penále, ďalej v Grécku, Spojenom kráľovstve a Holandsku. Verejná dostupnosť neznamená súhlas ani iný právny základ. Rozsudok Meta v. Bundeskartellamt (C-252/21 zo 4. júla 2023, body 85 až 89) potvrdzuje, že výnimka pre údaje, ktoré dotknutá osoba „preukázateľne zverejnila“ (čl. 9 ods. 2 písm. e), je veľmi úzka a čl. 6 ods. 1 písm. f naďalej vyžaduje vlastné vyváženie.

Citlivé údaje: čl. 9 ako druhá brána

Čl. 9 ods. 1 v zásade zakazuje spracúvanie citlivých údajov, medzi ktoré patria údaje o zdraví, biometrické údaje na individuálnu identifikáciu, údaje o sexuálnej orientácii a členstvo v odboroch. Právny základ podľa čl. 6 sám osebe nestačí; navyše je potrebná výnimka podľa čl. 9 ods. 2. V praxi sú relevantné: výslovný súhlas (písm. a), pracovné a sociálne právo (písm. b, napríklad § 26 ods. 3 BDSG), významný verejný záujem (písm. g) a zdravotná starostlivosť (písm. h/i).

Pravidlo aktu o umelej inteligencii (AI Act) o skresleniach (bias) bolo doteraz v čl. 10 ods. 5. AI Omnibus (digitálny omnibus k aktu o umelej inteligencii, nariadenie (EÚ) 2026/1744) ho vypustil a upravil ako nový čl. 4a. Poskytovatelia vysokorizikových systémov smú citlivé údaje výnimočne spracúvať, ak je to na odhaľovanie a nápravu skreslení nevyhnutne potrebné. Poskytovatelia a nasadzujúce subjekty iných systémov a modelov AI, ako aj nasadzujúce subjekty vysokorizikových systémov to smú tiež výnimočne, ak skreslenie pravdepodobne negatívne ovplyvní zdravie, bezpečnosť alebo základné práva alebo môže viesť k zakázanej diskriminácii. Odôvodnenie 9 AI Omnibusu zaraďuje toto spracúvanie medzi prípady významného verejného záujmu v zmysle čl. 9 ods. 2 písm. g GDPR. Základ tak poskytuje priamo právo Únie, nie až vnútroštátny zákon. Bianko šekom však čl. 4a nie je: spracúvanie je prípustné, len ak sa odhaľovanie skreslení nedá účinne vykonať s inými údajmi vrátane syntetických alebo anonymizovaných. Údaje musia byť pseudonymizované, s obmedzeným prístupom a po náprave vymazané a v záznamoch o spracovateľských činnostiach treba zdôvodniť, prečo bolo spracúvanie nevyhnutne potrebné.

Automatizované individuálne rozhodovanie (čl. 22) v skratke

Ak AI agent prijme rozhodnutie založené výlučne na automatizovanom spracúvaní, ktoré má právne účinky alebo podobne významný dosah, čl. 22 požiadavky výrazne sprísňuje. Podľa rozsudku Súdneho dvora EÚ SCHUFA (C-634/21, 7. decembra 2023) sa už automatizované určenie hodnoty pravdepodobnosti považuje za „rozhodnutie“, ak sa na ňu tretia strana pri svojom rozhodnutí vo veľkej miere spolieha. Podľa rozsudku Dun & Bradstreet Austria (C-203/22, 27. februára 2025) majú dotknuté osoby nárok na zrozumiteľné vysvetlenie konkrétne použitého postupu a zásad, ktoré im umožní rozhodnutie napadnúť. Podrobnosti rozoberá samostatný článok klastra o čl. 22.

Konkrétny príklad s číslami

Stredne veľká firma z regiónu DACH (približne 800 zamestnancov) nasadí interného agenta na lead scoring, ktorý klasifikuje záznamy v CRM. Spracúvanie sa opiera o čl. 6 ods. 1 písm. f. LIA vymedzuje účel úzko („prioritizácia prichádzajúcich B2B dopytov“), preveruje nevyhnutnosť (pseudonymizácia indexovaných polí) a vyváženie. V rámci minimalizácie údajov sa kontextový payload na jedno volanie nástroja zníži z pôvodných 42 polí CRM na 7 potrebných polí a uchovávanie promptov sa obmedzí na 30 dní so začiernením údajov pred trvalým uložením, podľa vzoru štandardnej doby uchovávania v API OpenAI a v API Anthropic, ktorá je najviac 30 dní. Ak skóre automaticky odmietne dopyt a fyzickú osobu to právne alebo podobne významne ovplyvní, uplatní sa čl. 22. Vtedy je potrebná výnimka podľa čl. 22 ods. 2. Ak sa rozhodnutie opiera o zmluvu alebo výslovný súhlas, prevádzkovateľ musí navyše umožniť aspoň ľudský zásah, vyjadrenie vlastného stanoviska a napadnutie rozhodnutia (čl. 22 ods. 3).

Pre agentúry a vedenie B2B firiem

Kto nasadzuje AI agentov v produkcii, mal by právny základ určiť pred spustením a zdokumentovať ho pre každý tok údajov, nie ho dodatočne obhajovať. Taliansky úrad Garante uložil OpenAI pokutu 15 mil. eur (rozhodnutie z 2. novembra 2024, zverejnené 20. decembra 2024) okrem iného preto, že údaje sa spracúvali bez vopred vyjasneného právneho základu (porušenie čl. 5 ods. 1 písm. a, čl. 5 ods. 2 a čl. 6). Rímsky súd Tribunale di Roma rozhodnutie 18. marca 2026 zrušil, pretože podľa mechanizmu jednotného kontaktného miesta (one-stop-shop) by bol príslušný írsky úrad na ochranu údajov. O samotných vytýkaných porušeniach súd nerozhodol. Pre agentúry z toho vyplýva: dôkladná LIA, viacúrovňové vyhlásenie o ochrane osobných údajov s upozornením na AI a dobre viditeľný opt-out patria do štandardného rozsahu dodávky každého AI projektu. Blck Alpaca pomáha firmám z regiónu DACH zvoliť vhodný právny základ, zdokumentovať vyváženie záujmov tak, aby obstálo pri kontrole, a nastaviť AI agentov v súlade s GDPR od začiatku.

Poznámka: Tento príspevok slúži na odbornú orientáciu a nepredstavuje právne poradenstvo. V konkrétnych prípadoch odporúčame konzultáciu so zodpovednou osobou za ochranu údajov alebo so špecializovanou advokátskou kanceláriou.