--- title: "Rezidencia údajov v EÚ pre LLM: Kde sa spracúvajú tvoje údaje" description: "Rezidencia údajov v EÚ pre LLM znamená, že prompty, výstupy, embeddingy a logy sa ukladajú a spracúvajú výlučne v regióne EÚ." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/rezidencia-udajov-v-eu-pre-llm-kde-sa-vase-udaje-spracuvaju" category: "AI agenti" topic: "Nasadenie AI agentov v súlade s GDPR" updated: "2026-10-17T15:32:23.134Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Rezidencia údajov v EÚ pre LLM: Kde sa spracúvajú tvoje údaje Rezidencia údajov v EÚ pre LLM znamená, že prompty, výstupy, embeddingy a logy sa ukladajú a spracúvajú výlučne v regióne EÚ. Z hľadiska ochrany údajov je relevantná, lebo každé spracúvanie mimo EHP je prenosom do tretej krajiny podľa kapitoly V GDPR a vyžaduje si tak základ pre prenos, napríklad rozhodnutie o primeranosti alebo štandardné zmluvné doložky. ## Na prvý pohľad - Rezidencia údajov opisuje fyzické miesto ukladania a spracúvania. Ak tok údajov opustí EHP, uplatní sa kapitola V GDPR: je potrebné rozhodnutie o primeranosti alebo nástroj prenosu podľa čl. 46, napríklad SCC, pri ktorom treba navyše vykonať posúdenie vplyvu prenosu (TIA). - Hosting v EÚ je u veľkých poskytovateľov možný, ale viazaný na podmienky: Azure OpenAI cez EU Data Boundary, Anthropic Claude len cez AWS Bedrock EU alebo Google Vertex EU, Vertex cez regionálne koncové body v EÚ, Mistral ako poskytovateľ z EÚ. - Dôležité obmedzenia (stav výskumu z októbra 2026): modely Anthropic v Microsoft 365 Copilot sú z EU Data Boundary vyňaté; na AWS European Sovereign Cloud (eusc-de-east-1, spustený v januári 2026) zatiaľ nie sú modely Claude dostupné. - Anthropic Direct API ponúka len regióny „us“ a „global“; skutočná rezidencia v EÚ si vyžaduje obchádzku cez AWS Bedrock EU alebo Vertex EU. - Poskytovatelia z USA zostávajú napriek regiónu v EÚ vystavení americkému zákonu CLOUD Act. EU-US Data Privacy Framework je platný, ale konanie Latombe prebieha pred Súdnym dvorom EÚ; držať SCC ako záložnú možnosť sa odporúča, nie je to však povinné (stav 2026, s výhradou zmeny). - Suverénne cloudové riešenia ako IONOS, STACKIT, Open Telekom Cloud, Aleph Alpha a Swisscom spracúvajú údaje výlučne v DE/EÚ, resp. v CH a obchádzajú tak problém tretej krajiny. **Rezidencia údajov v EÚ pre [LLM](https://blckalpaca.at/sk/slovnik/llm)** znamená, že prompty, výstupy, embeddingy a logy sa ukladajú a spracúvajú výlučne v regióne EÚ. Z hľadiska ochrany údajov je relevantná, lebo každé spracúvanie mimo EHP je [prenosom do tretej krajiny podľa kapitoly V GDPR](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/prenos-do-tretich-krajin-usa-data-privacy-framework) a vyžaduje si tak základ pre prenos, napríklad rozhodnutie o primeranosti alebo štandardné zmluvné doložky. - **Rezidencia údajov = miesto spracúvania.** Ak tok údajov opustí EHP, uplatní sa kapitola V [GDPR](https://blckalpaca.at/sk/slovnik/gdpr): je potrebné rozhodnutie o primeranosti alebo nástroj prenosu podľa čl. 46, napríklad SCC, pri ktorom treba navyše vykonať posúdenie vplyvu prenosu (TIA). - **Hosting v EÚ je možný u väčšiny veľkých poskytovateľov, ale podmienečne a niekedy len obchádzkou.** Azure [OpenAI](https://blckalpaca.at/sk/slovnik/openai) cez EU Data Boundary, Claude len cez AWS Bedrock EU alebo Vertex EU, Vertex cez regionálne koncové body v EÚ, Mistral ako poskytovateľ z EÚ. - **Samotný región v EÚ problém nerieši.** Poskytovatelia z USA zostávajú napriek regiónu v EÚ vystavení americkému zákonu CLOUD Act; suverénni poskytovatelia z regiónu DACH sa téme tretej krajiny úplne vyhnú. ## Čo je rezidencia údajov a prečo je dôležitá pre GDPR Rezidencia údajov opisuje geografické miesto, na ktorom sa ukladajú a spracúvajú osobné údaje. Pri systéme založenom na LLM sa toto miesto neobmedzuje na inferenciu. [Podľa čl. 4 bodov 1 a 2 GDPR je každá operácia s osobnými údajmi spracúvaním](https://dsgvo-gesetz.de/art-4-dsgvo/). V stacku agenta ide minimálne o tieto body: - **Vstupy inferencie**: prompty, systémové prompty, priložené súbory, hlasové vzorky. - **Výstupy inferencie**: texty a zhrnutia, ktoré pomenúvajú alebo opisujú osoby (aj halucinované osobné údaje). - **Pamäť agenta**: kontextové okno, epizodická a sémantická pamäť, perzistentné vektorové úložiská. - **Embeddingy a vektorové úložiská**: indexovaný text aj samotné vektory sa považujú za pseudonymizované osobné údaje, pretože inverzné útoky a útoky typu membership inference umožňujú opätovnú identifikáciu. - **Logy a stopy (traces)**: logy promptov, logy výstupov (completion logs), observability spany. Rozhodujúce je toto: každý z týchto bodov môže byť na inom mieste. Inferencia s rezidenciou v EÚ ti pomôže málo, ak vektorové úložisko, observability backend alebo nadväzujúci [MCP](https://blckalpaca.at/sk/slovnik/mcp) server posiela údaje do tretej krajiny. ### Prenos do tretej krajiny ako spúšťač Len čo osobné údaje opustia EHP, ide o prenos do tretej krajiny podľa kapitoly V GDPR. Rozhodujúci je tu rozsudok Súdneho dvora EÚ *Schrems II* (C-311/18, 16. júla 2020): vyhlásil Privacy Shield za neplatný a objasnil, že [štandardné zmluvné doložky (SCC)](https://blckalpaca.at/sk/slovnik/standardne-zmluvne-dolozky) zostávajú platné len v spojení s posúdením vplyvu prenosu pre konkrétny prípad, podľa potreby aj s doplnkovými opatreniami. Komisia to pretavila do praxe prostredníctvom SCC 2021/914 (4. júna 2021) v štyroch moduloch. Rezidencia údajov v EÚ je preto najúčinnejší spôsob, ako problém s prenosom vôbec nevytvoriť: ak všetky vrstvy spracúvania zostanú v EHP, prenos do tretej krajiny ako bod posúdenia odpadá. ## Stav EU-US Data Privacy Framework (stav 2026, s výhradou zmeny) Tam, kde je prenos do USA nevyhnutný, je [**EU-US Data Privacy Framework (DPF)**](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en) centrálnym nástrojom. Komisia prijala rozhodnutie o primeranosti 10. júla 2023 (ako nástupcu Privacy Shield). Dňa 3. septembra 2025 **Všeobecný súd EÚ** vo veci *Latombe v Commission* (T-553/23) zamietol prvú žalobu a potvrdil platnosť DPF v čase jeho prijatia. Otvorené body (stav výskumu z októbra 2026, s výhradou zmeny): - Latombe podal 31. októbra 2025 odvolanie na **Súdny dvor EÚ**; konanie prebieha. - NOYB/Max Schrems ohlásil vlastnú, širšiu žalobu. Dôvodom je rozsudok Najvyššieho súdu USA vo veci Trump v. Slaughter: podľa neho môže prezident USA odvolať členov FTC bez udania dôvodu ([beck-aktuell](https://www.beck-aktuell.de/heute-im-recht/rechtsgeschehen/ftc-trump-slaughter-transatlantischer-datentransfers-2026-07-06)). FTC je jedným z dozorných orgánov, o ktoré sa DPF opiera. NOYB preto koncom júna 2026 [vyzval Komisiu, aby rozhodnutie o primeranosti usporiadane stiahla](https://noyb.eu/en/us-supreme-court-just-blew-eu-us-data-transfers). Už predtým NOYB pre americké výkonné nariadenia (Executive Orders) spochybňoval nezávislosť Privacy and Civil Liberties Oversight Board (PCLOB). Scenár „Schrems III“ tak zostáva reálne možný. - Všeobecný súd EÚ výslovne uviedol, že Komisia musí právny rámec priebežne sledovať a pri zmenených podmienkach môže rozhodnutie pozastaviť, zmeniť alebo zrušiť. Operatívny dôsledok: certifikácia DPF je v súčasnosti platným základom prenosu. Prenos na základe rozhodnutia o primeranosti nepotrebuje žiadne osobitné povolenie ([čl. 45 ods. 1 GDPR](https://dsgvo-gesetz.de/art-45-dsgvo/)) ani ďalšie záruky ([čl. 46 ods. 1 GDPR](https://dsgvo-gesetz.de/art-46-dsgvo/)). Podniky by si napriek tomu mali držať **SCC ako záložnú možnosť**. TIA nie je pri príjemcoch certifikovaných podľa DPF predpísané, oplatí sa však ako príprava pre prípad, že DPF padne a prenos bude treba prestaviť na SCC. Pre Švajčiarsko platí Swiss-US DPF (účinný od 15. septembra 2024). Samotné Švajčiarsko sa považuje za krajinu s primeranou úrovňou ochrany od roku 2000 ([rozhodnutie Komisie 2000/518/ES](https://eur-lex.europa.eu/eli/dec/2000/518)); Komisia to potvrdila 15. januára 2024 vo svojom [preskúmaní jedenástich starších rozhodnutí o primeranosti](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en). ## Prečo región v EÚ neeliminuje riziko CLOUD Act Región v EÚ rieši miesto uloženia, nie jurisdikciu nad poskytovateľom. V TIA pre poskytovateľov [AI](https://blckalpaca.at/sk/slovnik/ai) preto zostávajú tieto riziká: - **Americký CLOUD Act**: riziko prístupu pri poskytovateľoch z USA a ich dcérskych spoločnostiach v EHP bez ohľadu na to, kde údaje fyzicky ležia. - **FISA 702 / EO 12333**: expozícia poskytovateľov elektronických komunikačných služieb (napríklad Microsoft, Google, AWS). - **Protiopatrenia**: šifrovanie at rest a in transit ako minimálny štandard; čoraz častejšie aj šifrovanie in use (Confidential Computing, TEE); BYOK/HYOK, aby poskytovateľ nemohol dešifrovať bez súčinnosti prevádzkovateľa. Práve v tom je výhoda suverénnych poskytovateľov z regiónu DACH: nepodliehajú americkej jurisdikcii a spracúvajú údaje výlučne v DE/EÚ, resp. v CH. ## Možnosti hostingu v EÚ u veľkých poskytovateľov Nasledujúci prehľad zhŕňa možnosti rezidencie údajov. Ide o zhrnutie výskumu, nie o právne poradenstvo; podmienky poskytovateľov sa často menia a pri uzatváraní zmluvy ich treba znova preveriť. | Poskytovateľ | Je možný región v EÚ? | Poznámky | | --- | --- | --- | | **Microsoft Azure OpenAI / 365 Copilot** | Áno, cez EU Data Boundary | EU Data Boundary pre kľúčové služby; [fine-tuning](https://blckalpaca.at/sk/slovnik/fine-tuning) sa podľa DPA môže spracúvať naprieč regiónmi. Modely Anthropic v M365 Copilot (sept. 2025 / jan. 2026) sú z EU Data Boundary vyňaté | | **OpenAI [API](https://blckalpaca.at/sk/slovnik/api) (Enterprise/Business/API)** | Čiastočne | Rezidencia údajov v EÚ pre oprávnené účty Enterprise/Edu a určité nastavenia API; inak štandardne globálne smerovanie. OpenAI Ireland Ltd je zmluvný partner pre EHP/CH; DPA s účinnosťou dec. 2025 / jan. 2026 | | **Anthropic Claude (Direct API)** | Nie (len „us“/„global“) | Direct API ponúka len regióny „us“ a „global“. Pre rezidenciu v EÚ obchádzka cez AWS Bedrock EU alebo Vertex EU | | **Anthropic Claude cez AWS Bedrock** | Áno, regióny v EÚ | Regióny v EÚ sú dostupné; modely poskytovateľov sú izolované od služieb týchto poskytovateľov. European Sovereign Cloud (eusc-de-east-1, jan. 2026), Claude tam zatiaľ nie je dostupný | | **Google Vertex AI (Gemini, Claude)** | Áno, regionálne koncové body v EÚ | 10 regiónov v EÚ pre Claude na Vertex; výber regiónu garantuje spracúvanie v rámci regiónu; príplatok za regionálne koncové body | | **Mistral AI** | Áno | Poskytovateľ so sídlom v EÚ, dôraz na spracúvanie v EÚ; 10-dňová lehota na námietky pri zapojení nových ďalších sprostredkovateľov | | **IONOS / STACKIT / Open Telekom Cloud** | Áno, výlučne DE/EÚ | Suverénny cloud; spracúvanie v rámci krajiny, obmedzené reťazce ďalších sprostredkovateľov; zmluvy so sprostredkovateľom podľa nemeckého práva | | **Aleph Alpha (Pharia)** | Áno, suverénne v EÚ/on-prem | Možnosti on-prem a suverénne riešenia v EÚ; vzory zmlúv so sprostredkovateľom kompatibilné s BfDI | | **Swisscom Sovereign AI** | Rezidencia v CH | Spracúvanie s rezidenciou vo Švajčiarsku podľa revDSG | | **DeepSeek API** | Nie | Jurisdikcia ČĽR; riziko „country of concern“; pre podniky z regiónu DACH v regulovaných sektoroch sa neodporúča | ### Ako čítať tabuľku Z tabuľky vyplývajú tri vzorce. Po prvé: hyperscaleri ponúkajú regióny v EÚ, viažu ich však na konfiguráciu (region pinning) a sčasti na príplatky, napríklad pri regionálnych koncových bodoch na Vertex. Po druhé: Anthropic Claude je v EÚ schopný rezidencie len nepriamo, a to cez AWS Bedrock EU alebo Vertex EU, nie cez Direct API. Direct API pozná podľa [dokumentácie Anthropic](https://platform.claude.com/docs/en/manage-claude/data-residency) (stav k októbru 2026) len inferenčné regióny „us“ a „global“. Po tretie: suverénni poskytovatelia z regiónu DACH (IONOS, STACKIT, Open Telekom Cloud, Aleph Alpha, Swisscom) sú jedinou možnosťou s výlučným spracúvaním v DE/EÚ, resp. v CH a bez rizika americkej jurisdikcie. ## Príklad výpočtu: rezidencia údajov v stacku ďalších sprostredkovateľov Typický stack agentického nasadenia zahŕňa päť až osem vrstiev ďalších sprostredkovateľov: poskytovateľa foundation modelu, hosting/cloud, orchestráciu, vektorové úložisko, poskytovateľa pamäte, MCP server, observability a evaluáciu. Vezmime si konkrétny setup: rakúsky podnik prevádzkuje agenta zákazníckeho servisu na Claude cez AWS Bedrock v regióne EÚ (vrstva 1 + 2, rezidencia v EÚ). Vektorové úložisko je v EÚ (vrstva 4, rezidencia v EÚ). Lenže observability nástroj (vrstva 7) posiela stopy promptov do backendu v USA a napojený MCP server (vrstva 6) poskytovateľa z USA spracúva payloady volaní nástrojov globálne. Výpočet: z 8 vrstiev má 6 rezidenciu v EÚ, 2 smerujú do tretej krajiny. To na rezidenciu údajov v EÚ **nestačí**. Už jediná vrstva v tretej krajine robí z celého toku údajov prenos podľa kapitoly V, ktorý potrebuje základ pre prenos (DPF alebo SCC vrátane TIA) a nesie zostatkové riziko zo zákona CLOUD Act. Najčastejšie zistenia auditov sa týkajú práve týchto neviditeľných vrstiev: nezverejnených tokov cez MCP servery a observability poskytovateľov bez zmluvy so sprostredkovateľom. Pre predstavu o výške pokút: Clearview AI dostal za nezákonné spracúvanie údajov v Taliansku pokutu 20 mil. EUR (10. februára 2022) a vo Francúzsku 20 mil. EUR (17. októbra 2022); taliansky úrad Garante uložil OpenAI pokutu 15 mil. EUR (rozhodnutie z 2. novembra 2024). Disciplína v tokoch údajov teda nie je teoretické cvičenie. ## Praktické dôsledky pre výber poskytovateľa - **Region pinning zakotviť v zmluve.** Štandardné globálne smerovanie a vendor failover do regiónov mimo EÚ sú častým zistením auditov. Rezidencia musí byť stanovená v zmluve so sprostredkovateľom, nielen nastaviteľná v konfigurácii. - **Preveriť všetky vrstvy, nielen inferenciu.** Vektorové úložisko, pamäť, MCP server a observability preveriť samostatne z hľadiska rezidencie a zmluvy so sprostredkovateľom; zabezpečiť neprerušený reťazec podľa čl. 28 ods. 4. - **Pri poskytovateľoch z USA sa zabezpečiť na dvoch úrovniach.** Overiť certifikáciu DPF, držať SCC ako záložnú možnosť, zdokumentovať TIA. - **Pri citlivých sektoroch zvážiť suverénne možnosti.** V silne regulovaných oblastiach (napríklad finančné služby s bankovým tajomstvom podľa čl. 47 BankG vo Švajčiarsku) sa suverénne cloudové a on-prem riešenia prakticky dostávajú do popredia. ## Pre agentúry a B2B rozhodovateľov Rezidencia údajov nie je čisto IT detail, ale zmluvná a architektonická téma, ktorá patrí do výberu poskytovateľa už na začiatku. Pre agentúry, ktoré stavajú AI agentov pre zákazníkov z regiónu DACH, je architektúra v súlade s požiadavkami na rezidenciu predajným znakom kvality: zdokumentovaný tok údajov v EÚ naprieč všetkými vrstvami ďalších sprostredkovateľov merateľne znižuje riziko tretej krajiny pre tvojich zákazníkov. Pre B2B rozhodovateľov platí: žiadaj od poskytovateľa úplnú mapu ďalších sprostredkovateľov s lokalitou a funkciou pre každú vrstvu, skôr než pôjdeš do produkcie. [Blck Alpaca](https://blckalpaca.at/sk) pomáha pri hodnotení možností rezidencie v EÚ, pri dokumentácii TIA a pri budovaní stackov agentov v súlade s požiadavkami na rezidenciu. --- *Upozornenie: Tento príspevok slúži na odborné informovanie a nie je právnym poradenstvom. Pre záväzné posúdenie tvojho konkrétneho prípadu sa, prosím, obráť na advokátku alebo advokáta, prípadne na svoju zodpovednú osobu pre ochranu údajov.* ## Často kladené otázky ### Čo presne znamená rezidencia údajov v EÚ pri LLM? Rezidencia údajov opisuje, na akom geografickom mieste sa ukladajú a spracúvajú osobné údaje. Pri LLM to nezahŕňa len inferenciu, ale každý bod spracúvania: prompty, výstupy, pamäť agenta, embeddingy vo vektorových úložiskách, ako aj logy a stopy (traces). O rezidenciu údajov v EÚ ide len vtedy, ak všetky tieto vrstvy zostanú v rámci EHP. ### Prečo je rezidencia údajov relevantná pre GDPR? Len čo osobné údaje opustia EHP, ide o prenos do tretej krajiny podľa kapitoly V GDPR. Ten je prípustný len na základe rozhodnutia o primeranosti, štandardných zmluvných doložiek alebo iných záruk. Ak sa prenos opiera o štandardné zmluvné doložky, je podľa rozsudku Súdneho dvora EÚ Schrems II (C-311/18, 16. júla 2020) navyše potrebné posúdenie vplyvu prenosu. Rezidencia v EÚ sa tomuto problému s prenosom z veľkej časti vyhne. ### Môžem používať Anthropic Claude s rezidenciou údajov v EÚ? Nie cez Direct API: podľa dokumentácie Anthropic (stav k októbru 2026) ponúka len regióny „us“ a „global“. Pre rezidenciu v EÚ musíš Claude odoberať cez EÚ profily AWS Bedrock alebo cez regionálne koncové body Google Vertex AI v EÚ. Pozor: na AWS European Sovereign Cloud (eusc-de-east-1, spustený v januári 2026) zatiaľ nie sú modely Claude dostupné. ### Stačí región v EÚ na obídenie amerického zákona CLOUD Act? Nie. Región v EÚ nezabráni tomu, aby poskytovatelia z USA a ich dcérske spoločnosti v EHP mohli podliehať americkému zákonu CLOUD Act, ako aj FISA 702 / EO 12333. Riziko úradného príkazu na vydanie údajov existuje bez ohľadu na fyzické miesto uloženia. Ak sa prenos opiera o štandardné zmluvné doložky, posúdenie vplyvu prenosu musí zdokumentovať práve toto zostatkové riziko. ### Ktorí poskytovatelia spracúvajú údaje výlučne v EÚ alebo vo Švajčiarsku? Suverénni poskytovatelia ako IONOS AI Model Hub, STACKIT a T-Systems Open Telekom Cloud spracúvajú údaje výlučne v DE/EÚ. Aleph Alpha (Pharia) ponúka možnosti on-prem a suverénne riešenia v EÚ, Mistral AI sídli v EÚ. Pre Švajčiarsko ponúka Swisscom Sovereign AI čistú rezidenciu v CH podľa revDSG. --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/rezidencia-udajov-v-eu-pre-llm-kde-sa-vase-udaje-spracuvaju). AI systémy môžu tento obsah použiť s uvedením zdroja.