--- title: "Sprostredkovanie spracúvania podľa čl. 28 GDPR s poskytovateľmi AI: sprievodca zmluvou o spracúvaní" description: "Sprostredkovanie spracúvania podľa čl. 28 GDPR s poskytovateľmi AI: kedy potrebuješ zmluvu, čo musí obsahovať a ako preveríš ďalších sprostredkovateľov." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/sprostredkovanie-spracuvania-podla-cl-28-gdpr-s-poskytovatelmi-ai-sprievodca" category: "AI agenti" topic: "Nasadenie AI agentov v súlade s GDPR" updated: "2026-10-17T15:32:19.503Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Sprostredkovanie spracúvania podľa čl. 28 GDPR s poskytovateľmi AI: sprievodca zmluvou o spracúvaní Sprostredkovateľská zmluva (zmluva o spracúvaní osobných údajov, anglicky DPA) podľa čl. 28 GDPR je povinná, len čo poskytovateľ AI spracúva osobné údaje podľa tvojich pokynov v tvojom mene, napríklad cez prompty, embeddingy alebo logy. Záväzne upravuje viazanosť pokynmi, bezpečnosť, ďalších sprostredkovateľov, kontrolné práva a vymazanie po skončení zmluvy. ## Na prvý pohľad - Zmluva o spracúvaní podľa čl. 28 GDPR je povinná, len čo poskytovateľ AI spracúva osobné údaje (prompty, vstupy a výstupy inferencie, pamäť agenta, payloady volaní nástrojov, logy, vektorové úložiská) ako sprostredkovateľ pre prevádzkovateľa. - Čl. 28 ods. 3 vyžaduje údaje o predmete, dobe, povahe a účele spracúvania a k tomu osem povinností podľa písm. a) až h): viazanosť pokynmi, dôvernosť, bezpečnosť podľa čl. 32, pravidlá pre ďalších sprostredkovateľov, pomoc pri právach dotknutých osôb, súčinnosť pri bezpečnosti, oznamovaní a DPIA, ako aj vymazanie a kontrolné práva. - Veľkí poskytovatelia (Microsoft, OpenAI, Anthropic, Google, AWS) ponúkajú štandardné DPA so zmluvným prísľubom „žiadny tréning“ pre údaje z verzií Enterprise a z API. Ide o zmluvné prísľuby, nie o štandard stanovený zákonom, a poskytovatelia si vyhradzujú úzke vlastné účely (monitorovanie zneužitia, safety). - Moderní agenti vytvárajú 5- až 8-stupňové kaskády ďalších sprostredkovateľov (model, cloud, vektorové úložisko, pamäť, MCP server, observability) a každý stupeň potrebuje neprerušený reťazec zmlúv podľa čl. 28 ods. 4. - Najčastejšie zistenia pri auditoch: nezdokumentované MCP toky, poskytovatelia observability bez zmluvy o spracúvaní, vágne opisy typu „AI služby“ a konflikty pri uchovávaní logov (poskytovateľ 30 dní oproti želaným 7 dňom). - Porušenia čl. 28 spadajú pod čl. 83 ods. 4 GDPR: pokuta do 10 mil. EUR alebo 2 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Pri obrate 50 mil. EUR je teda horná hranica 10 mil. EUR. Sprostredkovateľská zmluva, teda zmluva o spracúvaní osobných údajov (v nemeckej praxi AVV, anglicky DPA, Data Processing Agreement), je podľa čl. 28 [GDPR](https://blckalpaca.at/sk/slovnik/gdpr) povinná, len čo [poskytovateľ AI spracúva osobné údaje podľa tvojich pokynov v tvojom mene](https://blckalpaca.at/sk/sluzby/integracia-ai-agenta). Pri [AI](https://blckalpaca.at/sk/slovnik/ai) agentoch je to prakticky vždy: prompty, vstupy a výstupy inferencie, pamäť agenta, payloady volaní nástrojov, logy a vektorové úložiská priebežne prenášajú osobné údaje. Zmluva o spracúvaní záväzne upravuje, čo poskytovateľ s týmito údajmi smie robiť a čo nie. **Tri najdôležitejšie odpovede vopred:** - **Povinnosť uzavrieť zmluvu o spracúvaní vzniká pri viazanosti pokynmi.** Ak poskytovateľ sám neurčuje účel a podstatné prostriedky, je sprostredkovateľom podľa čl. 4 bodu 8 GDPR a zmluvu o spracúvaní predpisuje zákon. - **O povinných náležitostiach sa nevyjednáva.** Čl. 28 ods. 3 vyžaduje údaje o predmete, dobe, povahe a účele spracúvania a osem povinností podľa písm. a) až h); pri AI k nim pribúdajú doložky špecifické pre poskytovateľa (žiadny tréning, mapa ďalších sprostredkovateľov, rezidencia údajov, uchovávanie logov). - **Reťazec musí byť neprerušený.** Každý ďalší sprostredkovateľ v typickej 5- až 8-stupňovej kaskáde agenta potrebuje podľa čl. 28 ods. 4 vlastný, rovnocenný zmluvný záväzok. ## Prevádzkovateľ alebo sprostredkovateľ? Zaradenie poskytovateľa AI Podľa čl. 4 bodov 7 a 8 GDPR a usmernení EDPB 7/2020 určuje prevádzkovateľ účely a podstatné prostriedky spracúvania; [sprostredkovateľ koná na základe zdokumentovaných pokynov](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/openai-chatgpt-v-sulade-s-gdpr). Zaradenie poskytovateľa AI závisí od troch otázok: - **Kto určuje účely?** Ak poskytovateľ používa prompty na zlepšovanie vlastných modelov, pre tento účel sa dostáva do role prevádzkovateľa. - **Kto určuje podstatné prostriedky?** Technické prostriedky smie zvoliť sprostredkovateľ; podstatné prostriedky zostávajú u prevádzkovateľa. - **Praktické orientačné body:** použitie údajov na tréning, výber ďalších sprostredkovateľov, predvolené lehoty uchovávania, prístup na monitorovanie zneužitia. Väčšina podnikových zmlúv (Microsoft Azure [OpenAI](https://blckalpaca.at/sk/slovnik/openai), OpenAI Enterprise/[API](https://blckalpaca.at/sk/slovnik/api), Anthropic Claude for Work/Enterprise, Google Vertex AI, AWS Bedrock, Mistral, Aleph Alpha) je nastavená ako vzťah prevádzkovateľa a sprostredkovateľa, s výslovným prísľubom netrénovať na údajoch zákazníkov. Dôležité: ide o zmluvné prísľuby, nie o zákonné minimálne štandardy. Poskytovatelia si zvyčajne vyhradzujú úzke práva (monitorovanie zneužitia, safety review, agregované analýzy), pri ktorých môžu pre tieto obmedzené účely sami vystupovať ako prevádzkovateľ. ## Povinné náležitosti podľa čl. 28 ods. 3 GDPR [Čl. 28 ods. 3 GDPR](https://dsgvo-gesetz.de/art-28-dsgvo/) najprv vyžaduje, aby zmluva stanovila predmet a dobu spracúvania, povahu a účel spracúvania, typ osobných údajov, kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. Potom ustanovenie vymenúva osem povinností sprostredkovateľa: - **(a)** Spracúvanie len na základe zdokumentovaných pokynov, aj pri prenosoch do tretích krajín. - **(b)** Záväzok dôvernosti osôb, ktoré smú údaje spracúvať. - **(c)** Všetky bezpečnostné opatrenia potrebné podľa čl. 32. - **(d)** Dodržiavanie podmienok z čl. 28 ods. 2 a 4 pre ďalších sprostredkovateľov (povolenie, oznamovanie zmien, rovnocenné povinnosti). - **(e)** Pomoc pri plnení práv dotknutých osôb. - **(f)** Pomoc pri povinnostiach podľa čl. 32 až 36: bezpečnosť, oznamovanie porušení ochrany osobných údajov, DPIA a predchádzajúca konzultácia. - **(g)** Vymazanie alebo vrátenie všetkých osobných údajov po skončení poskytovania služieb vrátane existujúcich kópií. - **(h)** Poskytnutie všetkých informácií potrebných na preukázanie plnenia povinností a umožnenie auditov a inšpekcií. Pri poskytovateľoch AI treba navyše vyjednať tieto doložky: **žiadny tréning ani [fine-tuning](https://blckalpaca.at/sk/slovnik/fine-tuning)** modelov poskytovateľa na údajoch zákazníka bez výslovného súhlasu; **žiadna ľudská kontrola** promptov a výstupov okrem definovaných postupov na kontrolu safety a zneužitia s protokolovaným prístupom; **mapa ďalších sprostredkovateľov** s menovite uvedenými subjektmi, lokalitou, funkciou a ich vlastnými ďalšími sprostredkovateľmi; prísľuby **rezidencie údajov** (EU Data Boundary, spracúvanie v regiónoch CH); konfigurovateľné **uchovávanie logov** vrátane režimov Zero Data Retention; **oznamovanie zmien tréningovej politiky** s možnosťou opt-out; a **zodpovednosť za porušenia ďalších sprostredkovateľov** podľa čl. 28 ods. 4. ## Viazanosť pokynmi, ďalší sprostredkovatelia a kontrolné práva **Viazanosť pokynmi** (písm. a) je jadrom zmluvy: poskytovateľ smie spracúvať osobné údaje len tak, ako mu to prikážeš v zdokumentovaných pokynoch. Každá svojvoľná zmena účelu, napríklad zlepšovanie modelu na základe tvojich promptov, vybočuje z rámca spracúvania sprostredkovateľom. Pri **ďalších sprostredkovateľoch** vzniká najviac praktickej práce. Moderné nasadenie agenta zvyčajne zahŕňa päť- až osemstupňovú kaskádu: 1. Poskytovateľ základného modelu (OpenAI, Anthropic, Mistral, Aleph Alpha, Google, Cohere) 2. Poskytovateľ hostingu alebo cloudu (Azure, AWS, GCP, IONOS, STACKIT, Swisscom, Open Telekom Cloud) 3. Behové prostredie orchestračného alebo agentového frameworku 4. Vektorové úložisko a [RAG](https://blckalpaca.at/sk/slovnik/rag) infraštruktúra (Pinecone, Weaviate, Qdrant, Milvus, pgvector) 5. Poskytovateľ pamäte (mem0, Letta, vlastné riešenie) 6. [MCP](https://blckalpaca.at/sk/slovnik/mcp) servery (každý externý server je podľa toku údajov sprostredkovateľom alebo prevádzkovateľom) 7. Observability (Langfuse, LangSmith, Helicone, Datadog) 8. Služby na evaluáciu a red teaming Pri každom stupni musí nasadzujúci subjekt overiť, že existuje zmluva o spracúvaní, že reťazec podľa čl. 28 ods. 4 nie je prerušený a že prísľuby rezidencie údajov sú konzistentné. Najčastejšie zistenia pri auditoch: [nezdokumentované toky MCP serverov, poskytovatelia observability bez zmluvy o spracúvaní](https://blckalpaca.at/sk/blog/mcp-servery-pre-vyvojarov-v-roku-2026-vas-sprievodca) a evaluačné služby, ktoré zbierajú záznamy promptov. Pri **kontrolných právach** (písm. h) nestačia vzory typu „len súhrnná správa“, len čo [ide o vysoko rizikové údaje](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/posudenie-vplyvu-na-ochranu-udajov-dpia-pri-ai-agentoch-povinnost-prahove). BfDI, BayLDA, HmbBfDI a NRW LDI bežne požadujú zmluvu o spracúvaní a k tomu konkrétnu konfiguráciu telemetrie, opt-outu z tréningu a nastavení regiónu. ## Stav DPA veľkých poskytovateľov (k máju 2026) Nasledujúca tabuľka je súhrn rešerše so stavom k 14. máju 2026, nie právne poradenstvo; podmienky poskytovateľov sa často menia a pri uzatváraní zmluvy ich treba znova overiť. | Poskytovateľ | Štandardné DPA / zmluva o spracúvaní | „Žiadny tréning na údajoch zákazníkov“? | Rezidencia údajov EÚ/CH | Predvolené uchovávanie | | --- | --- | --- | --- | --- | | **Microsoft 365 Copilot / Azure OpenAI** | Microsoft Products and Services DPA | Áno, zmluvne: prompty, completions, embeddingy a údaje na fine-tuning sa bez výslovného pokynu nepoužívajú na tréning modelov; modely Anthropic v M365 Copilot (od jan. 2026) sú z EU Data Boundary vyňaté | Prísľub EU Data Boundary (ukladanie a spracúvanie v regióne); fine-tuning prípadne naprieč regiónmi | Konfigurovateľné; predvolene v rámci tenanta; logy monitorovania zneužitia do 30 dní, ak monitorovanie nevypneš | | **OpenAI API (Enterprise/Business/API)** | OpenAI DPA (účinné od 1. jan. 2026; OpenAI Ireland Ltd ako zmluvný partner pre EHP/CH) | Áno: údaje zákazníkov z API a ChatGPT Enterprise/Team sa štandardne nepoužívajú na tréning | Rezidencia údajov v EÚ pre oprávnené kontá Enterprise/Edu a určité nastavenia API; inak globálne smerovanie | Údaje z API max. 30 dní; Enterprise počas trvania zmluvy; Zero Data Retention zmluvne dostupné | | **Anthropic Claude for Work/Enterprise/API** | Anthropic Commercial Terms + DPA | Áno: komerčné vstupy a výstupy sa štandardne nepoužívajú na tréning (spotrebiteľský tarif sa líši, Enterprise nie) | Priame API „us“/„global“; rezidencia v EÚ cez AWS Bedrock EU alebo Google Vertex AI EU | Logy API: 7 dní (od 14. sept. 2025, predtým 30); ZDR cez DPA | | **Google Vertex AI (Gemini, Claude on Vertex)** | Google Cloud DPA + Vertex AI Terms | Áno: údaje zákazníkov sa nepoužívajú na tréning modelov Google ani modelov tretích strán | Regionálne endpointy v EÚ (10 regiónov EÚ pre Claude on Vertex); garancia regiónu | Konfigurovateľné; krátke predvolené uchovávanie | | **AWS Bedrock (Anthropic, Meta, Mistral, Cohere, Amazon)** | AWS GDPR DPA + Service Terms | Áno: prompty a výstupy sa nepoužívajú na tréning modelov poskytovateľov; modely sú izolované od služieb poskytovateľov | Regióny EÚ; European Sovereign Cloud (eusc-de-east-1, jan. 2026), Claude tam zatiaľ nie je dostupný | Konfigurovateľné; Bedrock štandardne nezaznamenáva prompty ani výstupy | [Suverénne alternatívy so zmluvami o spracúvaní podľa nemeckého alebo švajčiarskeho práva](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/mistral-aleph-alpha-eu-poskytovatelia) (Aleph Alpha Pharia, IONOS AI Model Hub, STACKIT, T-Systems Open Telekom Cloud, Swisscom Sovereign AI) ponúkajú spracúvanie výlučne v DE/EÚ, resp. v CH a uchovávanie pod kontrolou zákazníka. **DeepSeek** sa pre regulované odvetvia v regióne DACH neodporúča z dôvodu jurisdikcie ČĽR a [príkazu talianskeho dozorného orgánu Garante z 30. januára 2025](https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10098477), ktorý blokuje spracúvanie údajov talianskych používateľov. ## Časté chyby v zmluvách o spracúvaní pri AI projektoch - **Vágne opisy spracúvania** („AI služby“ namiesto konkrétnych modelov, promptov, embeddingov, fine-tuningu). - **Neaktuálne zoznamy ďalších sprostredkovateľov**: chýbajú MCP servery a poskytovatelia observability. - **Slabé audítorské práva** pri vysoko rizikových údajoch. - **Nejednoznačnosť pri tréningových údajoch**: prísľub „Netrénujeme na údajoch zákazníkov“ sa zlieva s formuláciou „Smieme ich použiť na safety a zlepšovanie“. - **Konflikty pri uchovávaní logov**: uchovávanie u poskytovateľa prekračuje vlastnú politiku (napr. 30 dní oproti želaným 7 dňom). - **Cezhraničné smerovanie** bez výslovného určenia rezidencie. - **Chýbajúca upstream due diligence** v rozpore so stanoviskom EDPB 28/2024 (preverenie zákonnosti tréningových údajov, na ktorých bol model natrénovaný). ## Kontrolný zoznam pre zmluvu o spracúvaní - [ ] Roly vyjasnené: poskytovateľ ako sprostredkovateľ (nie skrytý prevádzkovateľ alebo spoločný prevádzkovateľ)? - [ ] Predmet, doba, povaha, účel, typy údajov a kategórie dotknutých osôb stanovené a zmluva obsahuje všetkých osem povinností podľa čl. 28 ods. 3 písm. a) až h)? - [ ] Konkrétny opis spracúvania (modely, prompty, embeddingy, fine-tuning) namiesto „AI služieb“? - [ ] Viazanosť pokynmi s jasným zákazom zmeny účelu? - [ ] Jednoznačná doložka o zákaze tréningu a fine-tuningu bez zadných dvierok pre safety? - [ ] Ďalší sprostredkovatelia menovite uvedení, neprerušený reťazec podľa čl. 28 ods. 4 vrátane MCP serverov a observability? - [ ] Oznamovanie nových ďalších sprostredkovateľov s lehotou na námietku? - [ ] Rezidencia údajov určená (EU Data Boundary / región CH) a smerovanie zafixované? - [ ] Uchovávanie logov nakonfigurované (prípadne Zero Data Retention) a v súlade s vlastnou politikou? - [ ] Účinné audítorské práva namiesto čisto súhrnných správ? - [ ] Vymazanie alebo vrátenie po skončení zmluvy upravené a vykonateľné vo všetkých vrstvách nasadzujúceho subjektu? - [ ] Prenos do tretích krajín zabezpečený (DPF a/alebo SCC + TIA)? - [ ] Upstream due diligence tréningových údajov zdokumentovaná (stanovisko EDPB 28/2024)? ## Príklad s číslami: zavedenie Copilota v stredne veľkej firme Firma s 800 zamestnancami zavádza Microsoft 365 Copilot a chatbota zákazníckej podpory na Azure OpenAI. Potrebuje na to hlavnú zmluvu o spracúvaní s Microsoftom: Microsoft Products and Services DPA pokrýva M365 Copilot aj Azure OpenAI. OpenAI pri Azure OpenAI nie je zmluvným partnerom a prompty ani výstupy nie sú podľa [Microsoftu](https://learn.microsoft.com/de-de/legal/cognitive-services/openai/data-privacy) pre OpenAI prístupné. K tomu pribúda reťazec ďalších sprostredkovateľov. Konkrétne treba preveriť: Microsoft Products and Services DPA je v platnosti; tok s Anthropic ako ďalším sprostredkovateľom je zdokumentovaný (Anthropic je od začiatku roka 2026 vyňatý z EU Data Boundary, opt-in a opt-out určuje nasadzujúci subjekt); zoznam ďalších sprostredkovateľov Azure OpenAI (stav k aprílu 2025) je zapracovaný do záznamov o spracovateľských činnostiach; všetky toky MCP a konektorov sú zmapované; logy monitorovania zneužitia sú obmedzené na maximálne 30 dní; uchovávanie u ďalšieho sprostredkovateľa Anthropic je porovnané s DPA Microsoftu. Riziko pri zanedbaní: porušenia čl. 28 spadajú pod [čl. 83 ods. 4 GDPR](https://dsgvo-gesetz.de/art-83-dsgvo/), teda pod pokuty do 10 mil. EUR alebo 2 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Pri obrate 50 mil. EUR je preto horná hranica 10 mil. EUR, pretože 2 % by boli len 1 mil. EUR. Podiel z obratu prevýši pevnú sumu až pri ročnom obrate nad 500 mil. EUR. Ak navyše chýba právny základ spracúvania, môže sa uplatniť ods. 5 s pokutou do 20 mil. EUR alebo 4 %. Často citovaná pokuta Garante voči OpenAI (15 mil. EUR, rozhodnutie z 2. novembra 2024) nie je prípadom podľa čl. 28. Týkala sa právneho základu, transparentnosti, overovania veku a neoznámeného porušenia ochrany osobných údajov. Tribunale di Roma rozhodnutie 18. marca 2026 [zrušil](https://www.diritto.it/?p=249907), pretože podľa mechanizmu jednotného kontaktného miesta (one-stop-shop) by bol príslušný írsky dozorný orgán. ## Pre agentúry a B2B manažérov s rozhodovacou právomocou Kto stavia AI agentov pre klientov alebo ich zavádza vo firme, mal by preverenie zmluvy o spracúvaní zaradiť do obstarávania včas, nie až pri podpise zmluvy. Pre agentúry je [dôkladné zmapovanie ďalších sprostredkovateľov (model, cloud, vektorové úložisko, MCP, observability)](https://blckalpaca.at/sk/vedomosti/ai-agenti/co-je-rag-system/budovanie-rag-systemov-v-sulade-s-gdpr) konkrétnym rozlišovacím znakom oproti konkurentom, ktorí „AI služby“ zmluvne pokrývajú paušálne. [Blck Alpaca](https://blckalpaca.at/sk) pomáha firmám v regióne DACH s revíziou zmlúv o spracúvaní, mapovaním ďalších sprostredkovateľov a prepojením so záznamami o spracovateľských činnostiach. *Poznámka: Tento príspevok slúži na odbornú orientáciu a nie je právnym poradenstvom. Na záväzné posúdenie tvojho konkrétneho nasadenia si prizvi kvalifikovaného právnika. Všetky údaje a informácie o poskytovateľoch platia k máju 2026, zmeny vyhradené.* ## Často kladené otázky ### Kedy potrebujem zmluvu o spracúvaní s poskytovateľom AI? Len čo poskytovateľ AI spracúva osobné údaje podľa tvojich pokynov v tvojom mene a pritom sám neurčuje účely ani podstatné prostriedky, teda koná ako sprostredkovateľ v zmysle čl. 4 bodu 8 GDPR. Pri AI agentoch je to prakticky vždy, pretože prompty, vstupy a výstupy inferencie, pamäť agenta, payloady volaní nástrojov, logy a vektorové úložiská prenášajú osobné údaje. Väčšina podnikových zmlúv (Microsoft Azure OpenAI, OpenAI Enterprise/API, Anthropic Claude for Work, Google Vertex AI, AWS Bedrock) je nastavená ako vzťah prevádzkovateľa a sprostredkovateľa a vyžaduje zmluvu o spracúvaní. ### Aké minimálne náležitosti musí mať zmluva o spracúvaní podľa čl. 28 ods. 3 GDPR? Najprv musí zmluva stanoviť predmet a dobu spracúvania, povahu a účel spracúvania, typ údajov, kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. K tomu pribúda osem povinností sprostredkovateľa: (a) spracúvanie len na základe zdokumentovaných pokynov, aj pri prenosoch do tretích krajín; (b) záväzok dôvernosti oprávnených osôb; (c) bezpečnostné opatrenia podľa čl. 32; (d) podmienky pre ďalších sprostredkovateľov podľa čl. 28 ods. 2 a 4 (povolenie, oznamovanie zmien); (e) pomoc pri právach dotknutých osôb; (f) pomoc pri povinnostiach podľa čl. 32 až 36 (bezpečnosť, oznamovacie povinnosti, DPIA); (g) vymazanie alebo vrátenie údajov po skončení poskytovania služieb; (h) informácie na preukázanie plnenia povinností, audity a inšpekcie. ### Stačí prísľub, že poskytovateľ nebude trénovať na údajoch zákazníkov? Nie, je nutný, ale nie postačujúci. Ide o zmluvný prísľub, nie o štandard stanovený zákonom. Poskytovatelia si zvyčajne vyhradzujú úzke vlastné účely (monitorovanie zneužitia, safety review, agregované analýzy), pri ktorých môžu pre tieto obmedzené účely vystupovať ako prevádzkovateľ. Dbaj na jednoznačnú formuláciu: „Netrénujeme“ sa nesmie zlievať s „Údaje smieme použiť na safety a zlepšovanie“. Stanovisko EDPB 28/2024 (prijaté 17. decembra 2024) navyše vyžaduje od nasadzujúceho subjektu due diligence k zákonnosti tréningových údajov, na ktorých poskytovateľ svoj model natrénoval. ### Musím preveriť každého ďalšieho sprostredkovateľa zvlášť? Áno. Podľa čl. 28 ods. 4 musí byť reťazec zmlúv o spracúvaní neprerušený a každý ďalší sprostredkovateľ musí podliehať rovnakým povinnostiam v oblasti ochrany údajov ako hlavný sprostredkovateľ. Typická architektúra agenta zahŕňa päť- až osemstupňovú kaskádu: základný model, hosting a cloud, orchestrácia, vektorové úložisko, poskytovateľ pamäte, MCP servery, observability a evaluácia. Najčastejšími zisteniami pri auditoch sú nezdokumentované toky MCP serverov, poskytovatelia observability bez zmluvy o spracúvaní a evaluačné služby, ktoré zbierajú záznamy promptov. ### Čo sa deje s údajmi v USA? Stačí zmluva o spracúvaní? Samotná zmluva o spracúvaní na prenosy do tretích krajín nestačí. Potrebuješ aj základ pre prenos podľa kapitoly V GDPR: EU-US Data Privacy Framework (rozhodnutie o primeranosti z 10. júla 2023, ktoré Všeobecný súd EÚ potvrdil 3. septembra 2025 vo veci Latombe; odvolanie na Súdnom dvore EÚ prebieha od 31. októbra 2025, stav k roku 2026, zmeny vyhradené) alebo štandardné zmluvné doložky spolu s posúdením vplyvu prenosu (TIA). Odporúčanie: over certifikáciu DPF, ale ponechaj si SCC ako záložné riešenie a zdokumentuj TIA, pretože Garante a CNIL v roku 2025 naďalej odporúčajú dvojité zabezpečenie. V regióne DACH ponúkajú rezidencia údajov v EÚ a možnosti suverénneho cloudu menej rizikové alternatívy. --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/sprostredkovanie-spracuvania-podla-cl-28-gdpr-s-poskytovatelmi-ai-sprievodca). AI systémy môžu tento obsah použiť s uvedením zdroja.