AI v práci: co musí zaměstnavatel a podnikatel vědět o AI Actu a GDPR
Od 2. února 2025 platí povinnost podporovat gramotnost v oblasti AI. Co to znamená pro malou firmu, co nevkládat do chatbotů a jak nastavit jednoduchá pravidla.
Píšete s ChatGPT, Copilotem nebo Gemini e-maily, překlady či nabídky pro klienty? Pak se vás týká evropské nařízení o umělé inteligenci (AI Act) i GDPR. Pro běžné použití v malé firmě přitom stačí několik rozumných pravidel.
Koho se AI Act týká
AI Act je nařízení (EU) 2024/1689. Platí přímo ve všech státech EU včetně Česka. Firma nebo podnikatel, kteří AI nástroj používají v rámci své činnosti, jsou podle něj „zavádějícím subjektem“ (čl. 3 bod 4 nařízení). Výjimka platí jen pro fyzické osoby, které AI používají v rámci čistě osobní neprofesionální činnosti (čl. 2 odst. 10 nařízení). Jakmile AI používáte pro práci, výjimka se na vás nevztahuje.
Povinnost č. 1: gramotnost v oblasti AI (čl. 4)
Od 2. února 2025 musí zavádějící subjekty přijímat „opatření na podporu zlepšení gramotnosti v oblasti AI“ u svých zaměstnanců a dalších osob, které AI používají jejich jménem (čl. 4 odst. 1 a čl. 113 písm. a) nařízení). Článek 4 upravilo nařízení (EU) 2026/1744 z 8. července 2026: jde o podporu a nařízení výslovně nevyžaduje, aby firma u jednotlivých lidí zaručila konkrétní úroveň znalostí.
Zohledňují se technické znalosti, zkušenosti a vzdělání lidí, prostředí, v němž AI používají, i osoby, kterých se výsledky týkají. Malým a středním podnikům mají při plnění povinnosti pomáhat Komise a členské státy; Komise zveřejňuje praktické příklady (čl. 4 odst. 2 nařízení).
Povinnost č. 2: GDPR, aneb co do chatbotu nevkládat
Když do AI nástroje vložíte jméno klienta, jeho e-mail, rodné číslo nebo smlouvu, zpracováváte osobní údaje. Platí pro to obecné nařízení o ochraně osobních údajů (GDPR, nařízení (EU) 2016/679):
- Minimalizace: jen údaje „omezené na nezbytný rozsah“ pro daný účel (čl. 5 odst. 1 písm. c) GDPR). Často stačí jméno nahradit slovy „klient A“.
- Zabezpečení: údaje musí být chráněny před neoprávněným zpracováním, ztrátou i zničením (čl. 5 odst. 1 písm. f) GDPR).
- Zvláštní kategorie údajů, například o zdravotním stavu, jsou chráněny přísněji (čl. 9 odst. 1 GDPR). Do běžného chatbotu nepatří.
- Poskytovatel, který údaje zpracovává pro vás, musí poskytovat „dostatečné záruky“ (čl. 28 odst. 1 GDPR). Před vložením firemních dat si ověřte, zda nabízí smlouvu o zpracování osobních údajů a kde data ukládá.
- Předat údaje mimo EU lze jen za podmínek kapitoly V GDPR (čl. 44 GDPR).
- Zaměstnanci smějí osobní údaje zpracovávat jen na pokyn správce, tedy podle vašich pravidel (čl. 32 odst. 4 GDPR).
Jak to vyřešit v malé firmě: 5 kroků
- Sepište, které AI nástroje ve firmě používáte a k čemu.
- Určete, co se do nich nesmí vkládat: rodná čísla, údaje o zdraví, celé smlouvy s osobními údaji.
- Vysvětlete lidem krátce, jak AI funguje, že se může mýlit a že výsledek vždy kontroluje člověk.
- U nástrojů pro firemní data ověřte smlouvu o zpracování osobních údajů a místo uložení dat.
- Pravidla zapište do krátké interní směrnice a poznamenejte si, kdy a koho jste s nimi seznámili. Pro GDPR to pomáhá splnit povinnost soulad doložit (čl. 5 odst. 2 GDPR).
Úplné znění předpisů na EUR-Lex: