--- title: "Právny základ GDPR pre AI agentov (čl. 6): kedy sa hodí súhlas, zmluva alebo oprávnený záujem" description: "Právny základ GDPR pre AI určuje, o ktorý z právnych základov podľa čl. 6 ods. 1 GDPR podnik opiera spracúvanie údajov AI agentom." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/pravny-zaklad-gdpr-pre-ai-agentov-cl-6-kedy-sa-hodi-suhlas-zmluva-alebo" category: "AI agenti" topic: "Nasadenie AI agentov v súlade s GDPR" updated: "2026-10-17T15:32:21.321Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Právny základ GDPR pre AI agentov (čl. 6): kedy sa hodí súhlas, zmluva alebo oprávnený záujem Právny základ GDPR pre AI určuje, o ktorý z právnych základov podľa čl. 6 ods. 1 GDPR podnik opiera spracúvanie údajov AI agentom. Pre interné nasadenia, fine-tuning, RAG a B2B servisných agentov je dominantným základom oprávnený záujem (čl. 6 ods. 1 písm. f), popri ňom súhlas, zmluva alebo zákonná povinnosť. ## Na prvý pohľad - Každé spracúvanie osobných údajov AI agentom (prompty, výstupy, pamäť agenta, RAG indexy, payloady volaní nástrojov, logy) potrebuje vlastný právny základ podľa čl. 6 ods. 1 GDPR. - Oprávnený záujem (čl. 6 ods. 1 písm. f) je podľa stanoviska EDPB 28/2024 v zásade k dispozícii, vyžaduje však trojstupňový test: účel, nevyhnutnosť, vyváženie. - Zmluva (písm. b) pokrýva len to, čo je na plnenie zmluvy nevyhnutne potrebné. Fine-tuning na údajoch zákazníkov je na plnenie zmluvy potrebný len zriedka. - Verejne dostupné údaje nie sú bianko šekom: Clearview AI dostal okrem iného v Taliansku a vo Francúzsku pokutu po 20 mil. eur; samostatné vyváženie zostáva povinné. - Spracúvanie citlivých údajov (čl. 9) je v zásade zakázané. Popri čl. 6 je potrebná aj samostatná výnimka podľa čl. 9 ods. 2. - Pri automatizovanom individuálnom rozhodovaní (čl. 22) sa požiadavky výrazne sprísňujú; venuje sa mu samostatný tematický klaster. **Právny základ [GDPR](https://blckalpaca.at/sk/slovnik/gdpr) pre [AI](https://blckalpaca.at/sk/slovnik/ai)** určuje, o ktorý z právnych základov podľa čl. 6 ods. 1 GDPR podnik opiera spracúvanie údajov AI agentom. Pre interné nasadenia, [fine-tuning](https://blckalpaca.at/sk/slovnik/fine-tuning), [RAG](https://blckalpaca.at/sk/slovnik/rag) a B2B servisných agentov je dominantným základom oprávnený záujem (čl. 6 ods. 1 písm. f), popri ňom súhlas, zmluva alebo zákonná povinnosť. Bez obhájiteľného právneho základu je každé spracúvanie nezákonné. - **Oprávnený záujem (písm. f)** je najčastejším základom pre interných AI agentov, [fine-tuning](https://blckalpaca.at/sk/slovnik/fine-tuning), [RAG](https://blckalpaca.at/sk/slovnik/rag), odhaľovanie podvodov a bežných B2B servisných agentov, vyžaduje však trojstupňový test. - **Zmluva (písm. b)** pokrýva len to, čo je na plnenie zmluvy nevyhnutne potrebné; **súhlas (písm. a)** sa hodí pre opt-in funkcie, na trénovacie množiny sa však sotva dá škálovať. - **Citlivé údaje (čl. 9)** a **automatizované individuálne rozhodovanie (čl. 22)** prinášajú ďalšie požiadavky nad rámec čl. 6. ## Prečo každý AI agent potrebuje právny základ Podľa čl. 4 bodov 1 a 2 GDPR sa nariadenie uplatní na každú operáciu s [osobnými údajmi](https://dsgvo-gesetz.de/art-4-dsgvo/). V agentickom systéme je spracúvaním takmer každý styčný bod: prompty a systémové prompty, výstupy (vrátane halucinovaných údajov o osobách), pamäť agenta a vektorové úložiská, payloady volaní nástrojov smerované na interné [API](https://blckalpaca.at/sk/slovnik/api) alebo [MCP](https://blckalpaca.at/sk/slovnik/mcp) servery, správy medzi agentmi v multiagentových systémoch, logy a záznamy trasovania (traces). Pre každý z týchto tokov údajov potrebuje prevádzkovateľ právny základ podľa čl. 6 ods. 1. Dôležité: prompty a výstupy sú takmer vždy osobnými údajmi, ak uvádzajú konkrétnu osobu alebo ju dostatočne charakterizujú, a to aj pri vymyslenom obsahu. Na tom stojí [sťažnosť organizácie noyb proti OpenAI na rakúskom úrade na ochranu osobných údajov z apríla 2024](https://noyb.eu/de/chatgpt-provides-false-information-about-people-and-openai-cant-correct-it): ChatGPT opakovane uvádzal nesprávny dátum narodenia sťažovateľa a [OpenAI](https://blckalpaca.at/sk/slovnik/openai) opravu odmietol. Embeddingy vo vektorových úložiskách by si mal považovať za pseudonymizované osobné údaje, ak sa zdrojové texty týkajú osôb. Dôvodom je inverzia embeddingov: v [štúdii z roku 2023](https://arxiv.org/abs/2310.06816) sa 92 % krátkych vstupov (32 tokenov) podarilo z ich embeddingov presne zrekonštruovať. Ako toto riziko posúdiš, opisuje článok o [posúdení vplyvu na ochranu údajov pri AI agentoch](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/posudenie-vplyvu-na-ochranu-udajov-dpia-pri-ai-agentoch-povinnost-prahove). ## Šesť právnych základov a ich vhodnosť pre AI agentov Čl. 6 ods. 1 GDPR pozná šesť právnych základov. Pre [AI agentov](https://blckalpaca.at/sk/sluzby/integracia-ai-agenta) sú v praxi dominantné tri: súhlas (písm. a), zmluva (písm. b) a oprávnený záujem (písm. f), doplnené o zákonnú povinnosť (písm. c). | Právny základ (čl. 6 ods. 1) | Kedy je vhodný | Predpoklady / obmedzenia | | --- | --- | --- | | **(a) Súhlas** | Asistenti pre koncových zákazníkov, klonovanie hlasu, analytika, ktorá nie je nevyhnutná, biometrickí agenti | Slobodný, konkrétny, informovaný, jednoznačný (čl. 7); odvolateľný; pri trénovacích množinách sotva realizovateľný; v pracovnom kontexte je pre vzťah závislosti slobodný len výnimočne ([usmernenia EDPB 05/2020, bod 21 a nasl.](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)); v Nemecku treba závislosť pri posudzovaní slobody súhlasu výslovne zohľadniť podľa [§ 26 ods. 2 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__26.html) | | **(b) Plnenie zmluvy** | Servisný [agent](https://blckalpaca.at/sk/slovnik/agent) pre existujúcich zákazníkov, agenti v pracovnoprávnom kontexte, vybavovanie objednávok s podporou agentov | Úzky: len to, čo je **nevyhnutné** na plnenie zmluvy s dotknutou osobou; fine-tuning na údajoch zákazníkov je na plnenie zmluvy potrebný zriedka | | **(c) Zákonná povinnosť** | KYC/AML agenti, sankčný skríning, daňová klasifikácia, auditné stopy (§ 257 HGB, § 147 AO) | Vyžaduje dostatočne určitý zákon EÚ alebo členského štátu; všeobecná „compliance“ nestačí | | **(d) Životne dôležité záujmy** | Pre agentov takmer nikdy dominantný základ | Len pre situácie, keď ide o život | | **(e) Verejná úloha** | Agenti verejnej správy (základ podľa [čl. 6 ods. 3 GDPR](https://dsgvo-gesetz.de/art-6-dsgvo/): v Nemecku § 3 BDSG, v Rakúsku príslušný osobitný zákon, tzv. Materiengesetz) | Vyžaduje zákonný základ pre danú úlohu | | **(f) Oprávnený záujem** | Dominantný základ pre interné nasadenia, trénovanie, fine-tuning, RAG, analytiku správania, odhaľovanie podvodov, kybernetickú bezpečnosť, bežných B2B servisných agentov | Trojstupňový test; pri čl. 22 osobitne obmedzený; orgánom verejnej moci pri plnení ich úloh nie je k dispozícii | ## Trojstupňový test pre oprávnený záujem Podľa [usmernení EDPB 1/2024](https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2024/guidelines-12024-processing-personal-data-based_en) (prijaté 8. októbra 2024) a stanoviska EDPB 28/2024 (prijaté 17. decembra 2024) musia prevádzkovatelia zdokumentovať tri kroky: 1. **Test účelu.** Záujem musí byť zákonný, skutočný, aktuálny a konkrétne formulovaný. Všeobecné „zlepšovať AI produkty“ nestačí; „zlepšenie presnosti klasifikácie interného HR skríningového agenta pre našich zamestnancov“ áno. 2. **Test nevyhnutnosti.** Dal by sa účel dosiahnuť s menším množstvom údajov alebo s anonymnými údajmi? Pri RAG to často hovorí v prospech pseudonymizácie indexovaných dokumentov a minimalizácie kontextových payloadov. 3. **Test vyváženia.** Záujem treba vyvážiť s primeranými očakávaniami dotknutých osôb, povahou údajov, vzťahom s prevádzkovateľom a rizikami, ako sú reidentifikácia, rozširovanie účelu (scope creep) a profilovanie. Platia kritériá EDPB zo stanoviska 28/2024 (sú údaje verejne dostupné?; aká je povaha služby?; vie dotknutá osoba, že jej údaje sú online?). Stanovisko EDPB 28/2024 potvrdzuje, že oprávnený záujem je pre vývoj aj nasadenie v zásade k dispozícii. Ako potenciálne legitímne uvádza napríklad konverzačných asistentov, odhaľovanie podvodov a kybernetickú bezpečnosť. CNIL 19. júna 2025 doplnil taxonómiu predpokladane legitímnych účelov AI: vedecký výskum, poskytovanie verejného prístupu, konverzační asistenti, zlepšovanie výkonu existujúceho produktu a prevencia podvodov. ## Uplatnenie na typické scenáre agentov - **Fine-tuning na interných údajoch zákazníkov:** typicky čl. 6 ods. 1 písm. f. Účel musí byť užší než „zlepšiť našu AI“, treba vykonať LIA (Legitimate Interest Assessment, posúdenie oprávneného záujmu) doplnenú o analýzu zlučiteľnosti podľa čl. 5 ods. 1 písm. b. Ak ide o citlivé údaje, je navyše potrebná výnimka podľa čl. 9. - **RAG nad dokumentmi zamestnancov:** väčšinou písm. b alebo písm. f. Ak agent meria správanie zamestnancov, v Nemecku je potrebné spolurozhodovanie zamestnaneckej rady (§ 87 ods. 1 bod 6 BetrVG), v Rakúsku súhlas zamestnaneckej rady podľa [§ 96](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10008329&Paragraf=96) alebo [§ 96a ArbVG](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10008329&Paragraf=96a). Vo Švajčiarsku [čl. 26 ArGV 3](https://www.fedlex.admin.ch/eli/cc/1993/2553_2553_2553/de) zakazuje monitorovacie systémy, ktoré majú sledovať správanie zamestnancov na pracovisku. - **Pamäť agenta naprieč reláciami:** právny základ musí pokrývať aj sekundárne uchovávanie; obvyklým vzorom je oprávnený záujem s jasnou politikou uchovávania a možnosťou opt-out, zdokumentovaný podľa čl. 5 ods. 1 písm. b. - **Trénovanie základných modelov (foundation models) na široko scrapovaných korpusoch:** Stanovisko EDPB 28/2024 tu kladie vysokú latku. Bez zdokumentovanej LIA, politiky vylúčenia web scrapingu a obhájiteľného odôvodnenia „neprimeraného úsilia“ podľa čl. 14 ods. 5 písm. b by nasadzujúce subjekty nemali vykonávať rozsiahle trénovanie na scrapovaných údajoch. ## Pasca „verejne dostupné“ Pretrvávajúcim omylom je, že verejne dostupné webové údaje sú z GDPR vyňaté. [**Clearview AI**](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9751362) dostal sankcie práve preto: v Taliansku 20 mil. eur (10. februára 2022), vo Francúzsku 20 mil. eur (17. októbra 2022) plus 5,2 mil. eur penále, ďalej v Grécku, Spojenom kráľovstve a Holandsku. Verejná dostupnosť neznamená súhlas ani iný právny základ. Rozsudok Meta v. Bundeskartellamt (C-252/21 zo 4. júla 2023, body 85 až 89) potvrdzuje, že výnimka pre údaje, ktoré dotknutá osoba „preukázateľne zverejnila“ (čl. 9 ods. 2 písm. e), je veľmi úzka a čl. 6 ods. 1 písm. f naďalej vyžaduje vlastné vyváženie. ## Citlivé údaje: čl. 9 ako druhá brána [Čl. 9 ods. 1](https://dsgvo-gesetz.de/art-9-dsgvo/) v zásade zakazuje spracúvanie citlivých údajov, medzi ktoré patria údaje o zdraví, biometrické údaje na individuálnu identifikáciu, údaje o sexuálnej orientácii a členstvo v odboroch. Právny základ podľa čl. 6 sám osebe nestačí; **navyše** je potrebná výnimka podľa čl. 9 ods. 2. V praxi sú relevantné: výslovný súhlas (písm. a), pracovné a sociálne právo (písm. b, napríklad § 26 ods. 3 BDSG), významný verejný záujem (písm. g) a zdravotná starostlivosť (písm. h/i). Pravidlo aktu o umelej inteligencii (AI Act) o skresleniach (bias) bolo doteraz v čl. 10 ods. 5. AI Omnibus (digitálny omnibus k aktu o umelej inteligencii, [nariadenie (EÚ) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/deu)) ho vypustil a upravil ako nový čl. 4a. Poskytovatelia vysokorizikových systémov smú citlivé údaje výnimočne spracúvať, ak je to na odhaľovanie a nápravu skreslení nevyhnutne potrebné. Poskytovatelia a nasadzujúce subjekty iných systémov a modelov AI, ako aj nasadzujúce subjekty vysokorizikových systémov to smú tiež výnimočne, ak skreslenie pravdepodobne negatívne ovplyvní zdravie, bezpečnosť alebo základné práva alebo môže viesť k zakázanej diskriminácii. Odôvodnenie 9 AI Omnibusu zaraďuje toto spracúvanie medzi prípady významného verejného záujmu v zmysle čl. 9 ods. 2 písm. g GDPR. Základ tak poskytuje priamo právo Únie, nie až vnútroštátny zákon. Bianko šekom však čl. 4a nie je: spracúvanie je prípustné, len ak sa odhaľovanie skreslení nedá účinne vykonať s inými údajmi vrátane syntetických alebo anonymizovaných. Údaje musia byť pseudonymizované, s obmedzeným prístupom a po náprave vymazané a v záznamoch o spracovateľských činnostiach treba zdôvodniť, prečo bolo spracúvanie nevyhnutne potrebné. ## Automatizované individuálne rozhodovanie (čl. 22) v skratke Ak [AI agent](https://blckalpaca.at/sk/slovnik/ai-agent) prijme rozhodnutie založené výlučne na automatizovanom spracúvaní, ktoré má právne účinky alebo podobne významný dosah, čl. 22 požiadavky výrazne sprísňuje. Podľa rozsudku Súdneho dvora EÚ SCHUFA (C-634/21, 7. decembra 2023) sa už automatizované určenie hodnoty pravdepodobnosti považuje za „rozhodnutie“, ak sa na ňu tretia strana pri svojom rozhodnutí [vo veľkej miere spolieha](https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230186de.pdf). Podľa rozsudku Dun & Bradstreet Austria (C-203/22, 27. februára 2025) majú dotknuté osoby nárok na zrozumiteľné vysvetlenie konkrétne použitého postupu a zásad, ktoré im [umožní rozhodnutie napadnúť](https://curia.europa.eu/jcms/upload/docs/application/pdf/2025-02/cp250022de.pdf). Podrobnosti rozoberá samostatný článok klastra o čl. 22. ## Konkrétny príklad s číslami Stredne veľká firma z regiónu DACH (približne 800 zamestnancov) nasadí interného agenta na [lead scoring](https://blckalpaca.at/sk/slovnik/lead-scoring), ktorý klasifikuje záznamy v [CRM](https://blckalpaca.at/sk/slovnik/crm). Spracúvanie sa opiera o čl. 6 ods. 1 písm. f. LIA vymedzuje účel úzko („prioritizácia prichádzajúcich B2B dopytov“), preveruje nevyhnutnosť (pseudonymizácia indexovaných polí) a vyváženie. V rámci minimalizácie údajov sa kontextový payload na jedno volanie nástroja zníži z pôvodných 42 polí CRM na 7 potrebných polí a uchovávanie promptov sa obmedzí na 30 dní so začiernením údajov pred trvalým uložením, podľa vzoru štandardnej doby uchovávania v API OpenAI a v [API Anthropic](https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data), ktorá je najviac 30 dní. Ak skóre automaticky odmietne dopyt a fyzickú osobu to právne alebo podobne významne ovplyvní, uplatní sa [čl. 22](https://dsgvo-gesetz.de/art-22-dsgvo/). Vtedy je potrebná výnimka podľa čl. 22 ods. 2. Ak sa rozhodnutie opiera o zmluvu alebo výslovný súhlas, prevádzkovateľ musí navyše umožniť aspoň ľudský zásah, vyjadrenie vlastného stanoviska a napadnutie rozhodnutia (čl. 22 ods. 3). ## Pre agentúry a vedenie B2B firiem Kto nasadzuje AI agentov v produkcii, mal by právny základ určiť **pred** spustením a zdokumentovať ho pre každý tok údajov, nie ho dodatočne obhajovať. Taliansky úrad Garante uložil OpenAI pokutu 15 mil. eur (rozhodnutie z 2. novembra 2024, zverejnené 20. decembra 2024) okrem iného preto, že údaje sa spracúvali bez vopred vyjasneného právneho základu (porušenie čl. 5 ods. 1 písm. a, čl. 5 ods. 2 a čl. 6). Rímsky súd Tribunale di Roma rozhodnutie 18. marca 2026 [zrušil](https://www.diritto.it/open-ai-annullata-la-sanzione-del-garante-privacy/), pretože podľa mechanizmu jednotného kontaktného miesta (one-stop-shop) by bol príslušný írsky úrad na ochranu údajov. O samotných vytýkaných porušeniach súd nerozhodol. Pre agentúry z toho vyplýva: dôkladná LIA, viacúrovňové vyhlásenie o ochrane osobných údajov s upozornením na AI a dobre viditeľný opt-out patria do štandardného rozsahu dodávky každého AI projektu. [Blck Alpaca](https://blckalpaca.at/sk) pomáha firmám z regiónu DACH zvoliť vhodný právny základ, zdokumentovať vyváženie záujmov tak, aby obstálo pri kontrole, a nastaviť AI agentov v súlade s GDPR od začiatku. *Poznámka: Tento príspevok slúži na odbornú orientáciu a nepredstavuje právne poradenstvo. V konkrétnych prípadoch odporúčame konzultáciu so zodpovednou osobou za ochranu údajov alebo so špecializovanou advokátskou kanceláriou.* ## Často kladené otázky ### Aký právny základ platí pre interného AI agenta, ktorý pristupuje k údajom zamestnancov alebo zákazníkov? Spravidla oprávnený záujem podľa čl. 6 ods. 1 písm. f GDPR. Musí existovať konkrétne formulovaný účel (nie „zlepšiť AI“), posúdenie nevyhnutnosti a zdokumentované vyváženie záujmov (LIA). Pri RAG nad dokumentmi zamestnancov môže prichádzať do úvahy aj písm. b (zmluva); ak agent meria správanie zamestnancov, je potrebné spolurozhodovanie zamestnaneckej rady (§ 87 ods. 1 bod 6 BetrVG v Nemecku, § 96, resp. § 96a ArbVG v Rakúsku), vo verejnej službe spolurozhodovanie zastupiteľského orgánu zamestnancov podľa príslušných predpisov o personálnom zastúpení. ### Môžem použiť súhlas ako právny základ na trénovanie AI modelu? V praxi zriedka. Súhlas podľa čl. 6 ods. 1 písm. a musí byť slobodný, konkrétny, informovaný, jednoznačný (čl. 7) a odvolateľný, čo je pri trénovacích množinách sotva realizovateľné. V pracovnom kontexte je pre vzťah závislosti slobodný len výnimočne (usmernenia EDPB 05/2020, bod 21 a nasl.). V Nemecku treba závislosť pri posudzovaní slobody súhlasu výslovne zohľadniť podľa § 26 ods. 2 BDSG. Pre opt-in funkcie, napríklad klonovanie hlasu známeho dabéra, sa súhlas hodiť môže. ### Postačujú verejne dostupné webové údaje ako právny základ na trénovanie AI? Nie. Verejná dostupnosť neznamená súhlas ani iný právny základ. Clearview AI dostal sankcie okrem iného v Taliansku (20 mil. eur, 10.02.2022) a vo Francúzsku (20 mil. eur, 17.10.2022 plus 5,2 mil. eur penále). Podľa rozsudku Meta v. Bundeskartellamt (C-252/21) zostáva pri písm. f vlastné vyváženie povinné; výnimka pre údaje, ktoré dotknutá osoba preukázateľne zverejnila (čl. 9 ods. 2 písm. e), je veľmi úzka. ### Čo sa stane, ak AI agent spracúva citlivé údaje podľa čl. 9? Čl. 9 ods. 1 v zásade zakazuje spracúvanie okrem iného údajov o zdraví, biometrických údajov, údajov o členstve v odboroch alebo údajov o sexuálnom živote. Popri právnom základe podľa čl. 6 je potrebná samostatná výnimka podľa čl. 9 ods. 2, napríklad výslovný súhlas (písm. a), pracovné právo (písm. b) alebo významný verejný záujem (písm. g). Na odhaľovanie skreslení (bias) existuje úzke osobitné pravidlo v čl. 4a aktu o umelej inteligencii (predtým čl. 10 ods. 5), ktoré nadväzuje na písm. g a uplatní sa len vtedy, ak je spracúvanie nevyhnutne potrebné. ### Postačuje zmluva so zákazníkom ako právny základ pre každého servisného agenta? Len obmedzene. Čl. 6 ods. 1 písm. b pokrýva výlučne to, čo je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba. Servisný agent, ktorý odpovedá na konkrétnu požiadavku zákazníka, je zvyčajne pokrytý. Fine-tuning na údajoch zákazníkov alebo pamäť naprieč reláciami však na plnenie zmluvy potrebné bývajú len zriedka a zvyčajne si vyžadujú oprávnený záujem a k tomu test zlučiteľnosti (čl. 5 ods. 1 písm. b). --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/pravny-zaklad-gdpr-pre-ai-agentov-cl-6-kedy-sa-hodi-suhlas-zmluva-alebo). AI systémy môžu tento obsah použiť s uvedením zdroja.