AI a GDPR: na co si dát pozor u zákaznických dat

Většina AI projektů v e-shopu dřív nebo později narazí na osobní údaje. Chatbot vidí jméno a číslo objednávky. AI podpora čte e-maily zákazníků. Personalizace pracuje s historií nákupů. Ve chvíli, kdy tato data odcházejí k poskytovateli jazykového modelu, řešíte GDPR, a od srpna 2026 také AI Act.

Dobrá zpráva: nejde o nic, co by nešlo zvládnout. Potřebujete správnou smlouvu, správný tarif, rozumné množství dat a pravdivou informaci pro zákazníky. V článku shrnujeme stav k září 2026. Nejde o právní radu. U větších projektů doporučujeme konzultaci s advokátem nebo pověřencem.

Kdo je kdo: správce a zpracovatel

Za osobní údaje zákazníků odpovídá e-shop jako správce. Poskytovatel AI, kterému data posíláte přes API nebo firemní tarif, bývá v roli zpracovatele: zpracovává je jen podle vašich pokynů a pro vás.

Z toho plynou tři povinnosti:

• Zpracovatelská smlouva (DPA). Čl. 28 GDPR vyžaduje, aby vztah se zpracovatelem upravovala smlouva. OpenAI, Anthropic i Google ji u firemních služeb a API nabízejí jako dodatek k podmínkám. U osobních tarifů typu ChatGPT Plus ji nemáte.
• Informace pro zákazníky. Do zásad ochrany osobních údajů doplňte, že využíváte AI nástroje, kategorie příjemců a případné předávání mimo EU.
• Právní základ. Odpověď na dotaz zákazníka nebo vyřízení objednávky obvykle pokryje plnění smlouvy nebo oprávněný zájem. U marketingové personalizace a profilování je potřeba posoudit základ zvlášť.

Pozor na osobní účty zaměstnanců, tam role zpracovatele nefunguje. U ChatGPT Free, Plus a Pro je sdílení konverzací pro trénink modelů ve výchozím stavu zapnuté. U Claude Free, Pro a Max si uživatel volí, zda data k tréninku poskytne. Firemní tarify (ChatGPT Business a Enterprise, Claude Team a Enterprise, Gemini v Google Workspace) a placené API podle podmínek poskytovatelů data k tréninku ve výchozím stavu nepoužívají. Porovnání tarifů najdete v článku ChatGPT, Claude, Gemini — srovnání pro ecommerce.

Předávání dat do USA: stav k září 2026

Všichni tři velcí poskytovatelé jsou americké firmy. Předání osobních údajů do USA dnes stojí hlavně na EU-US Data Privacy Framework (DPF), tedy rozhodnutí Evropské komise o odpovídající ochraně z července 2023. Pro přehled:

K září 2026 tedy DPF platí a certifikované firmy se na něj mohou spolehnout. Riziko zrušení je ale reálné, podobně jako u předchozích rámců Safe Harbor a Privacy Shield. Prakticky doporučujeme:

1. Ověřte, že je poskytovatel certifikovaný na dataprivacyframework.gov.
2. Zkontrolujte, zda jeho DPA obsahuje i standardní smluvní doložky jako záložní mechanismus.
3. Kde to jde, zpracovávejte data v EU. OpenAI nabízí evropskou data residency pro způsobilé API projekty, Gemini lze provozovat přes Google Cloud v evropském regionu, Claude přes cloudové partnery v EU. Detaily v KB heslech GPT modely, Claude a Gemini.

Zpracování v EU neřeší všechno. Poskytovatel zůstává americkou firmou. Výrazně ale snižuje objem dat, která opouštějí Evropu.

Minimalizace: posílejte jen to, co model potřebuje

Nejlevnější ochrana osobních údajů je neposílat je. U většiny úloh model identitu zákazníka vůbec nepotřebuje.

• Produktové popisy, kategorizace, parametry osobní údaje neobsahují. Tady GDPR prakticky neřešíte.
• AI podpora potřebuje obsah dotazu a stav objednávky, ne celou zákaznickou kartu. Adresu, telefon a historii nákupů posílejte jen tehdy, když jsou pro odpověď nutné.
• Analýza recenzí a tiketů zvládne pseudonymizovaná data. Jména a e-maily nahraďte před odesláním zástupnými značkami.
• Znalostní báze pro [RAG](/kb/ai/rag-architektura) by neměla obsahovat osobní údaje vůbec. Stavte ji z podmínek, FAQ a interních postupů, ne z exportu e-mailové schránky.

Hlídejte i dobu uchování. Poskytovatelé API standardně uchovávají vstupy a výstupy po omezenou dobu kvůli kontrole zneužití, obvykle do 30 dnů. Způsobilí zákazníci si mohou sjednat nulové uchovávání. Logy konverzací ve vašich systémech potřebují vlastní lhůtu pro výmaz. Technickou stránku rozebíráme v článku Ochrana zákaznických dat: technická opatření.

Automatizované rozhodování a posouzení vlivu

Čl. 22 GDPR dává lidem právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, pokud má pro ně právní účinky nebo je podobně významně ovlivňuje. Pro e-shop to znamená: o zamítnutí reklamace, zablokování účtu nebo odmítnutí platby na fakturu by neměla rozhodovat AI bez účasti člověka. AI může připravit podklady a návrh, rozhoduje člověk.

U rozsáhlého profilování, například personalizace cen nebo nabídek nad celou zákaznickou bází, zvažte posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR.

Evropský sbor pro ochranu osobních údajů (EDPB) se AI modely zabýval ve stanovisku 28/2024 z prosince 2024. Týká se hlavně vývojářů modelů, pro e-shop z něj plyne jedna praktická věc: kdo model nasazuje, má si přiměřeně ověřit, že nevznikl na protiprávně zpracovaných datech. U renomovaných poskytovatelů to znamená přečíst si jejich dokumentaci a podmínky, ne slepě důvěřovat neznámému nástroji. Český ÚOOÚ ve výroční zprávě za rok 2025 opakovaně zdůrazňuje přiměřenost: správce má umět vysvětlit, proč cíle nedosáhne méně invazivním způsobem.

AI Act: co platí od srpna 2026

AI Act je samostatné nařízení vedle GDPR. Pro běžný e-shop jsou klíčové povinnosti transparentnosti podle čl. 50:

• Chatboti a hlasoví asistenti musí být navrženi tak, aby lidé věděli, že komunikují s AI, pokud to není zřejmé z okolností. Platí od 2. srpna 2026.
• Deepfake obsah, tedy realisticky vypadající obrázky, video nebo zvuk, musí zavádějící subjekt označit jako uměle vytvořený.
• Strojově čitelné označení AI výstupů je povinnost poskytovatelů generativních systémů. Pro systémy uvedené na trh před 2. srpnem 2026 platí přechodné období do 2. prosince 2026.

Digital Omnibus. Nařízení (EU) 2026/1744 vstoupilo v platnost 27. července 2026. Odložilo povinnosti pro vysoce rizikové systémy na 2. prosince 2027, u systémů podle přílohy I na 2. srpna 2028. Povinnosti transparentnosti podle čl. 50 zůstaly beze změny. Druhá část balíčku, změny GDPR a pravidel pro cookies, je k září 2026 stále ve vyjednávání. Dokud nebude přijata, platí GDPR v současném znění.

Většina AI nástrojů v e-shopu, jako chatbot, popisky nebo doporučování produktů, do vysoce rizikových kategorií nespadá. Autorskoprávní otázky kolem AI obsahu rozebíráme v článku Práva duševního vlastnictví a obsah generovaný AI.

Checklist před spuštěním AI nad zákaznickými daty

1. Zmapujte toky dat. Jaké údaje jdou do kterého nástroje, kde se zpracují a jak dlouho se uchovají.
2. Používejte firemní tarif nebo API, nikdy osobní účty zaměstnanců.
3. Uzavřete DPA s každým poskytovatelem, který osobní údaje zpracovává.
4. Ověřte předávání do USA: certifikace v DPF a standardní smluvní doložky jako záloha.
5. Zvažte zpracování v EU, pokud to poskytovatel a model umožňují.
6. Minimalizujte data. Pseudonymizace, jen nezbytné údaje, žádné osobní údaje ve znalostní bázi.
7. Aktualizujte zásady ochrany osobních údajů o AI nástroje a příjemce.
8. Označte chatbota jako AI už v prvním okně konverzace a nabídněte cestu k člověku.
9. Nechte rozhodovat člověka o reklamacích, vrácení peněz a blokaci účtů.
10. Vydejte interní pravidla pro tým: co se do AI smí vkládat a co ne.
11. Nastavte výmaz logů a pravidelnou kontrolu vzorku konverzací.

Obecná pravidla GDPR pro e-shop najdete v článku GDPR pro e-shopy: praktický checklist 2026.

Jak to řešíme my

Ochranu dat řešíme od prvního návrhu, ne až před spuštěním. V rámci AI auditu, který zvládneme do týdne, zmapujeme, s jakými daty by AI pracovala, a navrhneme poskytovatele, tarif a region zpracování. Při nasazení, například AI zákaznické podpory, nastavujeme minimalizaci dat, označení chatbota a předání člověku jako výchozí stav. Právní výklad konkrétní situace nenahrazujeme, rádi ale připravíme technické podklady pro vašeho advokáta nebo pověřence.