Zamestnanec môže používať ChatGPT v práci, ale nie na bezplatnom účte

Otvorený návod z našej praxe. Ponúkame smer a konkrétne čísla, rozhodnutie však zostáva na vás. Tvrdenie, ktoré najčastejšie počúvame vo firmách s 20–150 zamestnancami v oblasti služieb a administratívy: ChatGPT v práci je povolený, stačí zakázať vkladanie osobných údajov a nechať podpísať vyhlásenie. Znie to rozumne. Poľské pracovné právo neobsahuje paragraf „zákaz používania ChatGPT“ a Zákonník práce dáva zamestnávateľovi právo určovať spôsob výkonu práce. Problém nastáva, keď sa z tejto jedinej vety niekto pokúša spraviť celý interný postup.

Najsilnejší protiargument

Tento argument má reálny základ. Nariadenie GDPR priamo nezakazuje ChatGPT a AI Act neupravuje bežného zamestnanca ako nasadzujúci subjekt. Ak zamestnanec vkladá výhradne anonymizované údaje, riziko podľa článku 9 GDPR klesá. Zamestnávateľ sa môže oprieť o Zákonník práce: od napomenutia až po okamžité skončenie pracovného pomeru podľa článku 52 §1 ods. 1. Za prezradenie obchodného tajomstva hrozia až 2 roky odňatia slobody. V malej firme bez IT oddelenia je to pohodlné riešenie: jedna strana A4, podpis a vec vyzerá vyriešená.

AIObraz vygenerovaný cez AI.

Čo tento argument nepokrýva

Zanedbáva však fakt, že bezplatný účet ChatGPT nespĺňa štandardy GDPR: zadaný obsah môže slúžiť na trénovanie modelu a smeruje na servery mimo EHP. Samotné vloženie textu nezakladá sprostredkovateľskú zmluvu podľa článku 28 GDPR. Súhlas zamestnanca nie je právnym základom na spracúvanie údajov zamestnancov ani klientov. Vyhlásenie neprenáša povinnosť zodpovednosti prevádzkovateľa na zamestnanca. V našej praxi neuniká rodné číslo, ale obsah cenovej ponuky, cenník, zmluva alebo komunikácia s klientom, čo predstavuje obchodné tajomstvo, nielen osobné údaje. Otázkou zostáva, kto vo firme bez IT posúdi, či má daný SaaS nástroj DPA, vypnuté trénovanie a primeranú lehotu uchovávania údajov. Zamestnanec to nespraví, nie je to jeho úloha.

Naše stanovisko

Náš postoj: zamestnanec môže používať ChatGPT na prácu, ale až po posúdení nástroja, určení schválenej verzie a školení. Interný predpis je podmienkou legálnosti, nie byrokraciou. U nás sa implementácia vo firme s 20–100 zamestnancami začína otázkami: kto nástroj používa, na aký účel a aké údaje zadáva. Následne externý DPO alebo právna kancelária preverí verziu ChatGPT Team alebo Enterprise z hľadiska DPA, prenosu mimo EHP, uchovávania údajov a vypnutia trénovania. Takéto posúdenie jedného nástroja trvá zvyčajne 2–4 pracovné dni pri sadzbe 300–600 PLN net za hodinu. Samotné základné školenie trvá 1,5–2 hodiny. Rozhodnutie neprijíma samotný zamestnanec ani externý dodávateľ IT: požiadavku podáva vlastník procesu, COO alebo HR, schvaľuje ju prevádzkový riaditeľ alebo konateľ. Bezplatnú verziu ponechávame len na všeobecné testovanie bez firemných údajov. Na prácu nasadzujeme tímový účet s vypnutým trénovaním.

AIObraz vygenerovaný cez AI.

Čo v takom prípade uviesť v smernici

V smernici definujeme osem bodov: účel a definície; povolené verzie a účely použitia; zakázané údaje a operácie; pravidlá vkladania údajov bez súhlasu zamestnanca ako právneho základu; postup nahlasovania nástrojov; povinnosti používateľa a školenie AI literacy podľa čl. 4 AI Act; register nástrojov a incidentov; kontrolu a sankcie. Zoznam zakázaných údajov zahŕňa okrem iného rodné číslo, DIČ, adresy, telefónne čísla, čísla účtov, údaje podľa čl. 9 a 10 GDPR (zdravie, biometria, náboženstvo, pôvod, rozsudky), mzdy, hodnotenia, údaje detí, heslá, tokeny API, ceny, ponuky, zmluvy a obsah NDA. Pracovnoprávne sankcie siahajú od napomenutia podľa Zákonníka práce cez povinnosť nahradiť škodu do 3-mesačnej mzdy pri neúmyselnej škode a v plnej výške pri úmyselnej až po okamžité skončenie pracovného pomeru. Spoločnosti hrozí pokuta od UODO do 20 mil. EUR alebo 4% ročného obratu. Rozhodnutie na tento kvartál: ak firma funguje na bezplatných účtoch, najprv od nich odstrihnite firemné údaje a presuňte testovanie do oddeleného prostredia. Postoj zmeníme, ak bezplatná verzia získa DPA, vypnuté trénovanie modelov a spracovanie v EHP. Vtedy bude hodnotenie rizík vyzerať inak.