Odoslanie databázy klientov do ChatGPT: čo je legálne

Berte tento text ako bezplatné poznámky z praxe: ukazujeme, ako to zvyčajne funguje, nie ako to nutne musí vyzerať práve u vás. Sedíte v kancelárii pre 50 ľudí. Obchodník zdvihne zrak od notebooku a povie, že už mesiac vkladá do ChatGPT časti klientskej databázy, aby rýchlejšie pripravoval ponuky. Funguje to, šetrí mu to 2 hodiny denne. Otázka znie: je to vôbec legálne? Vo firme, ktorá je prevádzkovateľom osobných údajov, závisí odpoveď od jedinej veci: aký účet tento obchodník používa a či firma podpísala s dodávateľom sprostredkovateľskú zmluvu. Väčšina malých a stredných firiem používa bezplatné súkromné účty, čo je najhorší možný variant.

AIObraz vygenerovaný cez AI.

Rozdiel nie je kozmetický. V plánoch Free a Plus vystupuje OpenAI ako prevádzkovateľ: sprostredkovateľská zmluva neexistuje a zadaný obsah môže slúžiť na trénovanie modelov. V plánoch Team, Enterprise a API pôsobí OpenAI ako sprostredkovateľ, podpisuje Data Processing Addendum a umožňuje vypnúť trénovanie na údajoch klienta. Toto je prvé rozhodnutie, od ktorého závisí všetko ostatné. Právnym základom býva čl. 6 ods. 1 písm. b alebo f GDPR, pri citlivých údajoch čl. 9. Prenos do USA sa po rozhodnutí Komisie z 10. júla 2023 opiera o Data Privacy Framework, ak je dodávateľ certifikovaný.

Čo sa dá stihnúť tento týždeň

Krok 1: skontrolujte, na akých účtoch ľudia pracujú. Čas: 30 minút, rieši majiteľ alebo IT. Stačí sa opýtať na obchode a marketingu, kto používa ChatGPT, Claude alebo Gemini a či sa prihlasuje firemným alebo súkromným e-mailom. Krok 2: prejdite na firemný účet. Čas: 1 deň, rieši administrátor. Pre 50 ľudí predstavujú náklady približne 15 000–30 000 PLN ročne pri pláne Team (25–30 USD na osobu mesačne). V plánoch Team a Enterprise podpíšete DPA a v nastaveniach vypnete trénovanie. Krok 3: doplňte záznamy o spracovateľských činnostiach. Čas: 2 hodiny, rieši zodpovedná osoba za GDPR. Záznam má obsahovať: názov činnosti (napr. „Príprava ponúk s využitím ChatGPT Team“), účel, právny základ, kategórie dotknutých osôb a údajov, príjemcu (OpenAI Ireland Ltd ako sprostredkovateľ), prenos do USA podľa čl. 45 GDPR v spojení s DPF, lehotu uchovávania (pri API do 30 dní, pri Enterprise počas trvania zmluvy) a bezpečnostné opatrenia. Krok 4: aktualizujte zásady ochrany osobných údajov a informujte zamestnancov. Čas: 2 hodiny, rieši marketing alebo právnik. Stačí pridať jeden odsek o novom sprostredkovateľovi a jedným e-mailom pripomenúť, že do modelu vkladáme iba údaje nevyhnutné na vygenerovanie odpovede.

Čo nerobiť okamžite

Nekupujte hneď plán Enterprise: pre 50 ľudí je to zvyčajne zbytočný luxus, Team úplne stačí a cenový rozdiel býva dvojnásobný. Nenasadzujte lokálny open source model len preto, aby ste sa vyhli cloudu: ide o projekt na celé mesiace, kým firemným účtom vyriešite problém za týždeň. Nepíšte nové zásady ochrany osobných údajov od nuly: zvyčajne stačí dodatok k existujúcim. Neblokujte zamestnancom prístup k AI úplne, pretože sa vrátia k súkromným účtom a stratíte kontrolu. A nepodpisujte DPA bez overenia, či dodávateľ skutočne figuruje vo vyhľadávači Data Privacy Framework: samotný dokument nestačí, ak chýba certifikácia.

AIObraz vygenerovaný cez AI.

Ako po dvoch týždňoch overiť funkčnosť

Jediný ukazovateľ: percento zamestnancov využívajúcich AI na firemnom účte s vypnutým trénovaním modelov. Vyhodnotenie je jednoduché: v administračnom paneli OpenAI skontrolujete, koľko ľudí sa prihlasuje firemným e-mailom a koľko stále používa súkromné účty. Ak po dvoch týždňoch viac ako 20 % používateľov stále pracuje na bezplatných účtoch, školenie nezabralo. Treba situáciu znova prebrať alebo technicky zablokovať prístup k bezplatným verziám. Menej ako 20 % predstavuje prijateľný stav na začiatok, zvyšok dotiahnete v ďalšom mesiaci.

Náklady v tomto týždni tvorí hlavne čas: spolu približne 6 hodín práce rozdelených medzi štyri osoby. Firemné licencie predstavujú výdavok 15 000–30 000 PLN ročne. Porovnajte to však s rizikom: pokuta za absenciu právneho základu alebo sprostredkovateľskej zmluvy dosahuje 20 mil. EUR alebo 4 % ročného obratu. V praxi MSP málokedy dostane maximálnu sankciu, no samotné konanie dozorného úradu sa vie ťahať mesiace. Ak to nechcete riešiť sami, HEXART nasadzuje takéto konfigurácie u klientov: od výberu plánu cez podpis DPA až po zápis do registra a školenie tímu. Bez zbytočných zmien, za jeden týždeň.