Odeslání databáze klientů do ChatGPT: co je legální

Berte tento text jako praktické poznámky sdílené zdarma: ukazujeme obvyklý postup, ne univerzální dogma pro každou situaci. Sedíte v kanceláři o 50 lidech. Obchodník zvedne oči od notebooku a řekne, že už měsíc vkládá do ChatGPT části klientské databáze, aby rychleji sestavoval nabídky. Funguje to, šetří mu to 2 hodiny denně. Otázka zní: je to vůbec legální? Ve firmě, která vystupuje jako správce osobních údajů, závisí odpověď na jediné věci: jaký účet daný obchodník má a zda firma uzavřela s poskytovatelem zpracovatelskou smlouvu. Většina malých a středních firem používá bezplatné soukromé účty, což představuje nejhorší možnou variantu.

AIObraz vygenerovaný přes AI.

Rozdíl není kosmetický. V tarifech Free a Plus vystupuje OpenAI jako správce údajů. Zpracovatelská smlouva neexistuje a zadaný obsah může sloužit k trénování modelů. V tarifech Team, Enterprise a API funguje OpenAI jako zpracovatel, uzavírá Data Processing Addendum a umožňuje trénování na datech klienta vypnout. To je základní rozhodnutí, od kterého se odvíjí vše ostatní. Právním základem bývá čl. 6 odst. 1 písm. b nebo f GDPR, u citlivých údajů čl. 9. Předávání dat do USA se po rozhodnutí Komise z 10. července 2023 opírá o Data Privacy Framework, pokud má poskytovatel platnou certifikaci.

Co lze zvládnout ještě tento týden

Krok 1: prověřte, na jakých účtech lidé pracují. Čas: 30 minut, provádí majitel nebo IT. Stačí se zeptat v obchodním a marketingovém týmu, kdo používá ChatGPT, Claude nebo Gemini a zda se přihlašuje firemním, nebo soukromým e-mailem. Krok 2: přejděte na firemní účet. Čas: 1 den, provádí administrátor. Pro 50 lidí vychází náklad zhruba na 15 000–30 000 PLN ročně při tarifu Team (25–30 USD na osobu měsíčně). V tarifech Team a Enterprise uzavřete DPA a v nastavení vypnete trénování. Krok 3: doplňte záznamy o činnostech zpracování. Čas: 2 hodiny, provádí pověřenec nebo osoba odpovědná za GDPR. Záznam musí obsahovat: název činnosti (např. „Příprava nabídek pomocí ChatGPT Team“), účel, právní základ, kategorie subjektů a údajů, příjemce (OpenAI Ireland Ltd jako zpracovatel), předávání do USA podle čl. 45 GDPR ve spojení s DPF, dobu uchovávání (pro API do 30 dnů, pro Enterprise po dobu trvání smlouvy) a bezpečnostní opatření. Krok 4: aktualizujte zásady ochrany soukromí a informujte zaměstnance. Čas: 2 hodiny, provádí marketing nebo právník. Stačí přidat jeden odstavec o novém zpracovateli a jedním e-mailem připomenout, že do modelu vkládáme pouze údaje nezbytné pro získání odpovědi.

Co nedělat hned na začátku

Nekupujte hned tarif Enterprise: pro 50 lidí je to obvykle zbytečně naddimenzované, tarif Team plně postačí a cenový rozdíl bývá dvojnásobný. Nenasazujte lokální open source model jen kvůli tomu, abyste se vyhnuli cloudu: to je projekt na měsíce, zatímco firemní účet vyřeší situaci za týden. Nepište nové zásady ochrany soukromí od nuly: většinou stačí dodatek k těm stávajícím. Neblokujte zaměstnancům přístup k AI plošně, protože se vrátí k soukromým účtům a ztratíte kontrolu. A nepodepisujte DPA bez ověření, zda poskytovatel skutečně figuruje ve vyhledávači Data Privacy Framework: samotný dokument bez platné certifikace nestačí.

AIObraz vygenerovaný přes AI.

Jak po dvou týdnech ověřit, že systém funguje

Jeden ukazatel: podíl zaměstnanců využívajících AI na firemním účtu s vypnutým trénováním. Vyhodnocení je snadné: v administrátorském panelu OpenAI zkontrolujete, kolik lidí se přihlašuje firemním e-mailem a kolik stále používá soukromé účty. Pokud po dvou týdnech více než 20 % uživatelů stále pracuje na bezplatných účtech, školení nezabralo a je třeba situaci znovu probrat, případně technicky zablokovat přístup k bezplatným verzím. Hodnota pod 20 % představuje pro začátek přijatelný stav: zbytek doladíte v dalším měsíci.

Náklady v tomto týdnu tvoří hlavně čas: celkem zhruba 6 hodin práce rozdělených mezi čtyři lidi. Firemní licence vyjdou na 15–30 tis. PLN ročně. Porovnejte to však s rizikem: pokuta za absenci právního základu nebo zpracovatelské smlouvy dosahuje 20 mil. EUR nebo 4 % ročního obratu. V praxi MSP maximální sankce dostávají zřídka, samotné šetření dozorového úřadu se však může táhnout měsíce. Pokud to nechcete řešit sami, HEXART tyto konfigurace implementuje na klíč: od výběru plánu přes podpis DPA až po zápis do registru a proškolení týmu. Bez revolucí, za týden.