AI vo firme bezpečne: kde končia vaše dáta

Pri každom AI nástroji si položte tri otázky: ktoré dáta doň idú, kde sa ukladajú a kto sa k nim dostane. Keď na všetky tri viete odpovedať skôr, než nástroj pustíte medzi svoje dokumenty, máte bezpečnosť vyriešenú z väčšej časti. Väčšina problémov totiž nevzniká z toho, že by model „unikol”, ale z toho, že tieto otázky nikto nepoložil pred nasadením.

Čo si všímať pri výbere AI nástroja pre firmu?

Pri výbere AI nástroja pre firmu si v malých písmenách podmienok všímajte tri veci: či sa model trénuje na vašich vstupoch, kde fyzicky beží spracovanie a či vám poskytovateľ podpíše zmluvu o spracovaní osobných údajov (DPA). Zadarmo dostupný chatbot a firemný nástroj s tým istým modelom sú rovnako inteligentné, líšia sa práve týmito podmienkami.

Trénuje sa model na vašich vstupoch? Bezplatné verzie mnohých nástrojov si vyhradzujú právo použiť to, čo do nich napíšete, na ďalší tréning. Firemné a platené plány to spravidla vypínajú — ale musíte to mať potvrdené v podmienkach, nie odhadom.

Kde fyzicky beží spracovanie? Časť poskytovateľov ponúka spracovanie v EÚ, iní posielajú dáta do USA. Pre citlivé údaje je to rozdiel, ktorý rieši aj právnik, nielen technik.

Existuje spracovateľská zmluva? Vážny poskytovateľ vám podpíše zmluvu o spracovaní osobných údajov (DPA). Keď ju odmieta alebo o nej nevie, je to samo o sebe odpoveď.

Praktické pravidlo: do nástroja, s ktorým nemáte zmluvu, nedávajte nič, čo by nemohlo byť verejné. Osobné údaje klientov, zmluvy, zdrojový kód a interné čísla patria len tam, kde máte podmienky prečítané.

Prístupy a logovanie

Aj bezpečný nástroj sa dá nasadiť nebezpečne. Rozhoduje, kto vidí čo.

Držte sa najnižších potrebných prístupov. AI agent na spracovanie faktúr potrebuje vidieť faktúry — nie celý účtovný systém a nie mzdovú agendu. Čím širší prístup dáte, tým väčšia je plocha, ktorá sa môže pokaziť alebo zneužiť.

Druhá vec je logovanie. Keď automatizácia spracuje objednávku, odpovie zákazníkovi alebo vytiahne údaj z dokumentu, malo by ostať zaznamenané, čo urobila a s akými dátami. Bez logu sa problém nedá dohľadať a pri kontrole nemáte čím doložiť, čo sa dialo. Log je nuda, kým ho nepotrebujete — a vtedy je jediné, čo vás zachráni.

Pri citlivých krokoch nechajte rozhodnutie na človeka. AI pripraví podklad, človek ho schváli. Nie preto, že by model bol hlúpy, ale preto, že za rozhodnutie musí niekto niesť zodpovednosť — princípu sa hovorí human-in-the-loop.

Čo hovoria GDPR a AI Act o používaní AI vo firme?

GDPR a európska regulácia AI (AI Act) sa firmy týkajú, aj keď nie je veľká. GDPR platí vždy, keď do AI nástroja idú osobné údaje, a posunúť ich tam bez zmluvy je porušenie. AI Act delí systémy podľa rizika: väčšina bežných firemných automatizácií má miernejšie povinnosti, vyššie nároky prichádzajú tam, kde AI rozhoduje o ľuďoch.

GDPR sa vás týka častejšie, než si firmy myslia. E-mailová adresa v dopyte, meno na faktúre, poznámka o klientovi v CRM. Musíte vedieť, na akom právnom základe ich spracúvate, ako dlho sa uchovávajú a či poskytovateľ vystupuje ako spracovateľ. Posunúť osobné údaje do nástroja bez zmluvy je porušenie bez ohľadu na to, či sa niečo „stalo”.

Európska regulácia AI (AI Act) delí systémy podľa rizika. Väčšina bežných firemných automatizácií — podpora, triedenie dopytov, spracovanie dokumentov — spadá do nižších kategórií s miernejšími povinnosťami. Vyššie nároky prichádzajú tam, kde AI rozhoduje o ľuďoch: nábor, hodnotenie zamestnancov, prístup k službám. Povinnosti sa nabiehajú postupne — zákazy najrizikovejších praktík platia od februára 2025, pravidlá pre všeobecné AI modely od augusta 2025 a väčšina povinností pre vysokorizikové systémy od augusta 2026. Pred nasadením si overte, do ktorej kategórie vaše riešenie patrí.

Nie sme právna kancelária a toto nie je právne stanovisko. Je to zoznam otázok, s ktorými za právnika prídete pripravení.

Ako bezpečne nasadiť AI vo firme?

Bezpečné nasadenie AI nástroja alebo automatizácie vo firme má päť krokov, ktoré idú v tomto poradí: spíšete, ktoré dáta do nástroja pôjdu, vyberiete nástroj podľa podmienok, nastavíte najnižšie potrebné prístupy, zapnete logovanie a určíte, kto kontroluje výstup, a nakoniec spustíte pilot na jednom procese s meraním.

1. Spíšte, ktoré dáta doň pôjdu. Konkrétne polia, nie „údaje o klientoch”. Až keď to vidíte na papieri, viete posúdiť citlivosť.
2. Vyberte nástroj podľa podmienok, nie podľa demánka. Tréning na vstupoch vypnutý, spracovanie tam, kde ho potrebujete, DPA na stole.
3. Nastavte najnižšie potrebné prístupy. Radšej dokupovať prístup, keď chýba, než odoberať, keď je neskoro.
4. Zapnite logovanie a určite, kto kontroluje výstup. Pri citlivých krokoch schvaľuje človek.
5. Spustite pilot na jednom procese s meraním. Malý rozsah znamená malú škodu, keď sa niečo ukáže inak, než ste čakali.

Bezpečnosť pri AI nie je jeden veľký úkon, ale poradie krokov, ktoré sa nepreskočia. Väčšina firiem, ktoré sa popálili, nespravila nič dramatické — len začali od kroku päť.