AI chatbot a GDPR: osobní údaje, informování uživatelů a AI Act

AI chatbot a GDPR je téma, které by mělo zaznít už při výběru řešení, ne až po spuštění. Chatbot na webu nebo v aplikaci totiž téměř vždy pracuje s osobními údaji: uživatelé do něj píší jména, e-maily, čísla objednávek, někdy i citlivé informace, o které je nikdo nežádal. K tomu se přidávají povinnosti z evropského nařízení o umělé inteligenci (AI Act), zejména povinnost informovat lidi, že komunikují s AI. V tomto článku projdeme hlavní oblasti, na které je dobré myslet. Jde o obecný přehled, který vám pomůže připravit se na rozhovor s právníkem nebo pověřencem pro ochranu osobních údajů.

Upozornění: Tento článek není právní poradenství. Slouží jako obecná orientace. Konkrétní nastavení zpracování osobních údajů vždy konzultujte s právníkem nebo pověřencem pro ochranu osobních údajů.

Proč je AI chatbot a GDPR samostatné téma

Klasický kontaktní formulář má pevně daná pole: víte, jaké údaje sbíráte. Chatbot je jiný. Uživatel může napsat cokoli – včetně zdravotních potíží, rodného čísla nebo údajů o jiných lidech. Konverzace se navíc ukládají, mohou se zpracovávat u poskytovatele jazykového modelu mimo vaši firmu a někdy se používají ke zlepšování služby. Proto je potřeba řešit nejen to, co sbíráte záměrně, ale i to, co do chatu může přijít nečekaně.

Chatbot a osobní údaje: právní základ a účel

Každé zpracování osobních údajů podle GDPR potřebuje účel a právní základ. U chatbotů se typicky uvažuje o těchto situacích:

• Odpověď na dotaz zákazníka nebo vyřízení objednávky – často se opírá o plnění smlouvy nebo jednání o ní.
• Obecná podpora návštěvníků webu – obvykle se zvažuje oprávněný zájem firmy, který vyžaduje posouzení, zda nepřevažují zájmy uživatele.
• Marketingové využití kontaktu (zasílání nabídek) – zde se často vyžaduje souhlas, případně se uplatní pravidla pro obchodní sdělení.

Důležité je účely nemíchat. Pokud chatbot sbírá kontakt pro odpověď na dotaz, neznamená to automaticky, že ho smíte použít pro newsletter. Jak správně sbírat kontakty pro obchodní účely, popisuje článek chatbot pro generování leadů.

Informování uživatelů

Uživatel má vědět, kdo jeho údaje zpracovává a proč. V praxi to znamená:

• krátké upozornění přímo v okně chatu (s kým komunikuje, odkaz na zásady ochrany osobních údajů),
• doplnění zásad o popis chatbota: jaké údaje se zpracovávají, k jakému účelu, na jakém základě, kdo jsou příjemci, jak dlouho se údaje uchovávají a jaká má uživatel práva,
• informaci, zda konverzaci může převzít člověk.

Srozumitelné informování posiluje i důvěru v chatbota. Lidé snáze sdílí dotaz, když vědí, co se s ním stane.

Minimalizace dat

Zásada minimalizace říká: zpracovávejte jen údaje, které pro daný účel opravdu potřebujete. U chatbota to může znamenat:

• neptat se na údaje, které k vyřízení dotazu nejsou nutné,
• upozornit uživatele, ať do chatu nepíše citlivé údaje (zdravotní stav, rodné číslo, platební karty),
• zvážit automatické maskování některých údajů v uložených konverzacích,
• omezit, k jakým datům má chatbot přístup – například jen ke stavu jedné ověřené objednávky, ne k celé databázi zákazníků.

Zpracovatelé a předávání dat

Chatbot obvykle nestaví jedna firma sama. Podílí se na něm dodavatel chatbotové platformy, poskytovatel jazykového modelu, hosting, případně CRM. Pokud tyto subjekty zpracovávají osobní údaje vaším jménem, jsou zpracovateli a je potřeba s nimi mít zpracovatelskou smlouvu.

Při výběru se ptejte zejména:

• Kde se data fyzicky zpracovávají a ukládají? Dochází k předávání mimo EU a na jakém základě?
• Používá poskytovatel konverzace k trénování svých modelů? Lze to vypnout?
• Jaké má zabezpečení a kdo má k datům přístup?
• Jaké další subdodavatele využívá?

Pro firmy s vysokými nároky na ochranu dat může být řešením chatbot běžící na vlastní infrastruktuře. Tuto možnost rozebírá článek kdy firma potřebuje AI server.

Doba uložení konverzací

Konverzace se nemají uchovávat „navždy pro jistotu“. Stanovte, jak dlouho je potřebujete – například pro vyřízení požadavku, případné reklamace a vyhodnocení kvality – a po uplynutí lhůty je smažte nebo anonymizujte. Dobu uložení uveďte v zásadách a ověřte, že ji dodržuje i dodavatel. Zapomenout nesmíte ani na zálohy a logy.

Uživatel má také právo na přístup ke svým údajům, jejich opravu nebo výmaz. Je proto dobré vědět, jak konkrétní konverzaci dohledat a odstranit.

Bezpečnost chatbotů

Ochrana dat chatbota není jen právní, ale i technická otázka. Bezpečnost chatbotů zahrnuje mimo jiné:

• ověření totožnosti před sdělením údajů o objednávce nebo účtu,
• ochranu proti pokusům „přemluvit“ chatbota, aby prozradil interní informace nebo data jiných uživatelů (tzv. prompt injection),
• omezení oprávnění – chatbot má jen čtecí přístup k nezbytným datům,
• šifrování přenosu a ukládání, řízení přístupů ve firmě,
• pravidelné testování a kontrolu konverzací.

AI Act a transparentnost

Evropské nařízení o umělé inteligenci (AI Act) ukládá poskytovatelům a provozovatelům určitých AI systémů povinnosti transparentnosti. Pro chatboty je klíčové, že lidé mají být informováni, že komunikují se systémem umělé inteligence, pokud to není zřejmé z okolností. V praxi stačí jasné upozornění v okně chatu, například „Jsem virtuální asistent s umělou inteligencí“.

AI Act zároveň zdůrazňuje AI gramotnost – firmy, které AI používají, by měly zajistit, že lidé pracující s těmito systémy rozumí jejich možnostem a rizikům. Přesné povinnosti a termíny se liší podle typu systému a role firmy, proto je dobré je ověřit pro vaši konkrétní situaci.

Kdy zvážit posouzení vlivu

U některých chatbotů může být potřeba provést posouzení vlivu na ochranu osobních údajů. Typicky jde o situace, kdy chatbot zpracovává zvláštní kategorie údajů (například ve zdravotnictví), pracuje s údaji ve velkém rozsahu, profiluje uživatele nebo o nich automaticky rozhoduje. I když posouzení povinné není, vyplatí se rizika alespoň sepsat: jaké údaje mohou do chatu přijít, co by se stalo při jejich úniku a jaká opatření je omezují. Takový dokument se hodí i při jednání s dodavatelem a při kontrole.

Kontrolní seznam před spuštěním

• Je určen účel a právní základ zpracování?
• Je v chatu upozornění na AI a odkaz na zásady?
• Jsou zásady ochrany osobních údajů doplněné o chatbota?
• Máte zpracovatelské smlouvy s dodavateli a víte, kde se data zpracovávají?
• Je vyloučeno trénování na vašich datech (pokud ho nechcete)?
• Je stanovena doba uložení a funguje mazání?
• Je ošetřeno ověření totožnosti a omezení oprávnění chatbota?
• Je vyhodnoceno, zda není potřeba posouzení vlivu na ochranu osobních údajů?

Závěr a další krok

AI chatbot a GDPR se nevylučují. Stačí myslet na ochranu dat od začátku: jasný účel, srozumitelné informování, minimum údajů, prověření dodavatelé, rozumná doba uložení a upozornění, že jde o AI. Takový chatbot je bezpečnější pro firmu i pro zákazníky.

Pokud chcete, aby váš tým rozuměl povinnostem z AI Actu a bezpečnému používání AI, podívejte se na školení AI Act. Pokud plánujete chatbota a chcete ho od začátku navrhnout s ohledem na ochranu dat, prohlédněte si službu AI chatbot pro firmy.