Rezidencia údajov v EÚ pre LLM: Kde sa spracúvajú tvoje údaje

Rezidencia údajov v EÚ pre LLM znamená, že prompty, výstupy, embeddingy a logy sa ukladajú a spracúvajú výlučne v regióne EÚ. Z hľadiska ochrany údajov je relevantná, lebo každé spracúvanie mimo EHP je prenosom do tretej krajiny podľa kapitoly V GDPR a vyžaduje si tak základ pre prenos, napríklad rozhodnutie o primeranosti alebo štandardné zmluvné doložky.

• Rezidencia údajov = miesto spracúvania. Ak tok údajov opustí EHP, uplatní sa kapitola V GDPR: je potrebné rozhodnutie o primeranosti alebo nástroj prenosu podľa čl. 46, napríklad SCC, pri ktorom treba navyše vykonať posúdenie vplyvu prenosu (TIA).
• Hosting v EÚ je možný u väčšiny veľkých poskytovateľov, ale podmienečne a niekedy len obchádzkou. Azure OpenAI cez EU Data Boundary, Claude len cez AWS Bedrock EU alebo Vertex EU, Vertex cez regionálne koncové body v EÚ, Mistral ako poskytovateľ z EÚ.
• Samotný región v EÚ problém nerieši. Poskytovatelia z USA zostávajú napriek regiónu v EÚ vystavení americkému zákonu CLOUD Act; suverénni poskytovatelia z regiónu DACH sa téme tretej krajiny úplne vyhnú.

Čo je rezidencia údajov a prečo je dôležitá pre GDPR

Rezidencia údajov opisuje geografické miesto, na ktorom sa ukladajú a spracúvajú osobné údaje. Pri systéme založenom na LLM sa toto miesto neobmedzuje na inferenciu. Podľa čl. 4 bodov 1 a 2 GDPR je každá operácia s osobnými údajmi spracúvaním. V stacku agenta ide minimálne o tieto body:

• Vstupy inferencie: prompty, systémové prompty, priložené súbory, hlasové vzorky.
• Výstupy inferencie: texty a zhrnutia, ktoré pomenúvajú alebo opisujú osoby (aj halucinované osobné údaje).
• Pamäť agenta: kontextové okno, epizodická a sémantická pamäť, perzistentné vektorové úložiská.
• Embeddingy a vektorové úložiská: indexovaný text aj samotné vektory sa považujú za pseudonymizované osobné údaje, pretože inverzné útoky a útoky typu membership inference umožňujú opätovnú identifikáciu.
• Logy a stopy (traces): logy promptov, logy výstupov (completion logs), observability spany.

Rozhodujúce je toto: každý z týchto bodov môže byť na inom mieste. Inferencia s rezidenciou v EÚ ti pomôže málo, ak vektorové úložisko, observability backend alebo nadväzujúci MCP server posiela údaje do tretej krajiny.

Prenos do tretej krajiny ako spúšťač

Len čo osobné údaje opustia EHP, ide o prenos do tretej krajiny podľa kapitoly V GDPR. Rozhodujúci je tu rozsudok Súdneho dvora EÚ Schrems II (C-311/18, 16. júla 2020): vyhlásil Privacy Shield za neplatný a objasnil, že štandardné zmluvné doložky (SCC) zostávajú platné len v spojení s posúdením vplyvu prenosu pre konkrétny prípad, podľa potreby aj s doplnkovými opatreniami. Komisia to pretavila do praxe prostredníctvom SCC 2021/914 (4. júna 2021) v štyroch moduloch.

Rezidencia údajov v EÚ je preto najúčinnejší spôsob, ako problém s prenosom vôbec nevytvoriť: ak všetky vrstvy spracúvania zostanú v EHP, prenos do tretej krajiny ako bod posúdenia odpadá.

Stav EU-US Data Privacy Framework (stav 2026, s výhradou zmeny)

Tam, kde je prenos do USA nevyhnutný, je EU-US Data Privacy Framework (DPF) centrálnym nástrojom. Komisia prijala rozhodnutie o primeranosti 10. júla 2023 (ako nástupcu Privacy Shield). Dňa 3. septembra 2025 Všeobecný súd EÚ vo veci Latombe v Commission (T-553/23) zamietol prvú žalobu a potvrdil platnosť DPF v čase jeho prijatia.

Otvorené body (stav výskumu z októbra 2026, s výhradou zmeny):

• Latombe podal 31. októbra 2025 odvolanie na Súdny dvor EÚ; konanie prebieha.
• NOYB/Max Schrems ohlásil vlastnú, širšiu žalobu. Dôvodom je rozsudok Najvyššieho súdu USA vo veci Trump v. Slaughter: podľa neho môže prezident USA odvolať členov FTC bez udania dôvodu (beck-aktuell). FTC je jedným z dozorných orgánov, o ktoré sa DPF opiera. NOYB preto koncom júna 2026 vyzval Komisiu, aby rozhodnutie o primeranosti usporiadane stiahla. Už predtým NOYB pre americké výkonné nariadenia (Executive Orders) spochybňoval nezávislosť Privacy and Civil Liberties Oversight Board (PCLOB). Scenár „Schrems III“ tak zostáva reálne možný.
• Všeobecný súd EÚ výslovne uviedol, že Komisia musí právny rámec priebežne sledovať a pri zmenených podmienkach môže rozhodnutie pozastaviť, zmeniť alebo zrušiť.

Operatívny dôsledok: certifikácia DPF je v súčasnosti platným základom prenosu. Prenos na základe rozhodnutia o primeranosti nepotrebuje žiadne osobitné povolenie (čl. 45 ods. 1 GDPR) ani ďalšie záruky (čl. 46 ods. 1 GDPR). Podniky by si napriek tomu mali držať SCC ako záložnú možnosť. TIA nie je pri príjemcoch certifikovaných podľa DPF predpísané, oplatí sa však ako príprava pre prípad, že DPF padne a prenos bude treba prestaviť na SCC. Pre Švajčiarsko platí Swiss-US DPF (účinný od 15. septembra 2024). Samotné Švajčiarsko sa považuje za krajinu s primeranou úrovňou ochrany od roku 2000 (rozhodnutie Komisie 2000/518/ES); Komisia to potvrdila 15. januára 2024 vo svojom preskúmaní jedenástich starších rozhodnutí o primeranosti.

Prečo región v EÚ neeliminuje riziko CLOUD Act

Región v EÚ rieši miesto uloženia, nie jurisdikciu nad poskytovateľom. V TIA pre poskytovateľov AI preto zostávajú tieto riziká:

• Americký CLOUD Act: riziko prístupu pri poskytovateľoch z USA a ich dcérskych spoločnostiach v EHP bez ohľadu na to, kde údaje fyzicky ležia.
• FISA 702 / EO 12333: expozícia poskytovateľov elektronických komunikačných služieb (napríklad Microsoft, Google, AWS).
• Protiopatrenia: šifrovanie at rest a in transit ako minimálny štandard; čoraz častejšie aj šifrovanie in use (Confidential Computing, TEE); BYOK/HYOK, aby poskytovateľ nemohol dešifrovať bez súčinnosti prevádzkovateľa.

Práve v tom je výhoda suverénnych poskytovateľov z regiónu DACH: nepodliehajú americkej jurisdikcii a spracúvajú údaje výlučne v DE/EÚ, resp. v CH.

Možnosti hostingu v EÚ u veľkých poskytovateľov

Nasledujúci prehľad zhŕňa možnosti rezidencie údajov. Ide o zhrnutie výskumu, nie o právne poradenstvo; podmienky poskytovateľov sa často menia a pri uzatváraní zmluvy ich treba znova preveriť.

Ako čítať tabuľku

Z tabuľky vyplývajú tri vzorce. Po prvé: hyperscaleri ponúkajú regióny v EÚ, viažu ich však na konfiguráciu (region pinning) a sčasti na príplatky, napríklad pri regionálnych koncových bodoch na Vertex. Po druhé: Anthropic Claude je v EÚ schopný rezidencie len nepriamo, a to cez AWS Bedrock EU alebo Vertex EU, nie cez Direct API. Direct API pozná podľa dokumentácie Anthropic (stav k októbru 2026) len inferenčné regióny „us“ a „global“. Po tretie: suverénni poskytovatelia z regiónu DACH (IONOS, STACKIT, Open Telekom Cloud, Aleph Alpha, Swisscom) sú jedinou možnosťou s výlučným spracúvaním v DE/EÚ, resp. v CH a bez rizika americkej jurisdikcie.

Príklad výpočtu: rezidencia údajov v stacku ďalších sprostredkovateľov

Typický stack agentického nasadenia zahŕňa päť až osem vrstiev ďalších sprostredkovateľov: poskytovateľa foundation modelu, hosting/cloud, orchestráciu, vektorové úložisko, poskytovateľa pamäte, MCP server, observability a evaluáciu.

Vezmime si konkrétny setup: rakúsky podnik prevádzkuje agenta zákazníckeho servisu na Claude cez AWS Bedrock v regióne EÚ (vrstva 1 + 2, rezidencia v EÚ). Vektorové úložisko je v EÚ (vrstva 4, rezidencia v EÚ). Lenže observability nástroj (vrstva 7) posiela stopy promptov do backendu v USA a napojený MCP server (vrstva 6) poskytovateľa z USA spracúva payloady volaní nástrojov globálne.

Výpočet: z 8 vrstiev má 6 rezidenciu v EÚ, 2 smerujú do tretej krajiny. To na rezidenciu údajov v EÚ nestačí. Už jediná vrstva v tretej krajine robí z celého toku údajov prenos podľa kapitoly V, ktorý potrebuje základ pre prenos (DPF alebo SCC vrátane TIA) a nesie zostatkové riziko zo zákona CLOUD Act. Najčastejšie zistenia auditov sa týkajú práve týchto neviditeľných vrstiev: nezverejnených tokov cez MCP servery a observability poskytovateľov bez zmluvy so sprostredkovateľom.

Pre predstavu o výške pokút: Clearview AI dostal za nezákonné spracúvanie údajov v Taliansku pokutu 20 mil. EUR (10. februára 2022) a vo Francúzsku 20 mil. EUR (17. októbra 2022); taliansky úrad Garante uložil OpenAI pokutu 15 mil. EUR (rozhodnutie z 2. novembra 2024). Disciplína v tokoch údajov teda nie je teoretické cvičenie.

Praktické dôsledky pre výber poskytovateľa

• Region pinning zakotviť v zmluve. Štandardné globálne smerovanie a vendor failover do regiónov mimo EÚ sú častým zistením auditov. Rezidencia musí byť stanovená v zmluve so sprostredkovateľom, nielen nastaviteľná v konfigurácii.
• Preveriť všetky vrstvy, nielen inferenciu. Vektorové úložisko, pamäť, MCP server a observability preveriť samostatne z hľadiska rezidencie a zmluvy so sprostredkovateľom; zabezpečiť neprerušený reťazec podľa čl. 28 ods. 4.
• Pri poskytovateľoch z USA sa zabezpečiť na dvoch úrovniach. Overiť certifikáciu DPF, držať SCC ako záložnú možnosť, zdokumentovať TIA.
• Pri citlivých sektoroch zvážiť suverénne možnosti. V silne regulovaných oblastiach (napríklad finančné služby s bankovým tajomstvom podľa čl. 47 BankG vo Švajčiarsku) sa suverénne cloudové a on-prem riešenia prakticky dostávajú do popredia.

Pre agentúry a B2B rozhodovateľov

Rezidencia údajov nie je čisto IT detail, ale zmluvná a architektonická téma, ktorá patrí do výberu poskytovateľa už na začiatku. Pre agentúry, ktoré stavajú AI agentov pre zákazníkov z regiónu DACH, je architektúra v súlade s požiadavkami na rezidenciu predajným znakom kvality: zdokumentovaný tok údajov v EÚ naprieč všetkými vrstvami ďalších sprostredkovateľov merateľne znižuje riziko tretej krajiny pre tvojich zákazníkov. Pre B2B rozhodovateľov platí: žiadaj od poskytovateľa úplnú mapu ďalších sprostredkovateľov s lokalitou a funkciou pre každú vrstvu, skôr než pôjdeš do produkcie. Blck Alpaca pomáha pri hodnotení možností rezidencie v EÚ, pri dokumentácii TIA a pri budovaní stackov agentov v súlade s požiadavkami na rezidenciu.

Upozornenie: Tento príspevok slúži na odborné informovanie a nie je právnym poradenstvom. Pre záväzné posúdenie tvojho konkrétneho prípadu sa, prosím, obráť na advokátku alebo advokáta, prípadne na svoju zodpovednú osobu pre ochranu údajov.