AI a GDPR v praxi: Co skutečně hrozí českým firmám

Italský dozor v prosinci 2024 pokutoval OpenAI 15 milionů eur za ChatGPT. Soud v Římě pokutu 18. března 2026 zrušil — argumentace ale zůstala platná a všech 26 ostatních dozorových úřadů v EU ji může zopakovat. Český ÚOOÚ už v roce 2024 udělil 351 milionů korun společnosti Avast, takže představa, že "u nás se za data nepokutuje", je mýtus. Nejhorší je, že pro většinu českých firem není největší riziko 20milionový strop GDPR, ale řetězec drobných pokut 500 000–5 000 000 Kč, které dostanou za věci, o kterých ani neví, že je dělají špatně. Tento článek mapuje sedm povinností, které platí už dnes (ne až od 2. srpna 2026), tři scénáře realistických postihů pro českou SME a nabízí rámec MAPA pro dosažení souladu před klíčovým datem AI Actu.

Proč je průnik GDPR a AI v roce 2026 časovaná bomba

Drtivá většina českých firem vnímá regulaci AI jako problém, který přijde s AI Actem v srpnu 2026. Je to zásadní omyl. AI Act žádná nová pravidla pro AI × osobní údaje nevytváří — jen přidává vrstvu transparentnosti a vysokorizikových kategorií nad existujícím rámcem GDPR. Obecné nařízení o ochraně osobních údajů se na AI vztahuje už od května 2018 a dozorové úřady ho vymáhají dnes, ne za čtyři měsíce.

Pokud firma používá ChatGPT Free pro zpracování zákaznických dotazů, Claude pro sumarizaci HR pohovorů nebo GitHub Copilot s vloženými jmény zákazníků v komentářích, už dnes potenciálně porušuje nejméně čtyři články GDPR najednou: čl. 6 (absence právního základu), čl. 13-14 (chybějící informační povinnost), čl. 28 (zpracování bez smluvního základu s zpracovatelem) a čl. 35 (chybějící DPIA u systému s vysokým rizikem).

Česká republika navíc není regulatorní safe haven. Český úřad pro ochranu osobních údajů (ÚOOÚ) v dubnu 2024 pokutoval Avast Software 351 milionů korun za neoprávněné sdílení dat 100 milionů uživatelů přes dceřinou společnost Jumpshot. To je druhá nejvyšší pokuta v zemi od účinnosti GDPR a přibližný ekvivalent 14 milionů eur. Tvrzení, že "v Česku se za data nepokutuje", je statisticky nepravdivé — úřad je jen méně hlasitý než italský Garante.

K tomu se přidává kontrolní plán ÚOOÚ na rok 2026, který byl zveřejněn v únoru 2026. Česko se letos účastní evropské koordinované akce Coordinated Enforcement Framework (CEF) 2026, jejímž tématem je transparentnost zpracování osobních údajů. V praxi to znamená, že informační povinnosti vůči klientům a zaměstnancům musí být aktuální a naprosto přesné — a pokud firma zpracovává data přes AI nástroj, musí to v privacy notice výslovně uvést. U 95 % českých privacy notice to tam dnes není.

Italský precedent ukazuje, jak vypadá nejagresivnější možný výklad. Garante 20. prosince 2024 uložil OpenAI pokutu 15 milionů eur plus povinnou šestiměsíční osvětovou kampaň v italských médiích. Tribunale di Roma tuto pokutu 18. března 2026 zrušil, ale pouze procedurálně — věcná argumentace (chybějící právní základ pro trénink, porušení transparentnosti, neohlášení breache z března 2023) zůstala platná a všechny evropské dozory ji mohou zopakovat. EDPB v opinion 28/2024 potvrdil, že legitimate interest lze použít jako právní základ, ale musí být doložen třístupňový balancing test.

Sedm povinností GDPR, které AI odhalila a firmy je přehlížejí

Featured snippet: GDPR definuje sedm povinností, které AI zpracování spouští téměř vždy současně: právní základ (čl. 6), informační povinnost (čl. 13-14), DPIA u rizikových operací (čl. 35), smlouva se zpracovatelem (čl. 28), práva subjektů (čl. 15-22), záznam činností (čl. 30) a zabezpečení s notifikací breache (čl. 32-34). Pouhé spuštění LLM nad firemními daty obvykle aktivuje minimálně pět z nich. Kdo je neplní, vystavuje se součtu sankcí — ne jedné.

Drtivá většina auditních nálezů v letech 2024 a 2025 není o obskurních detailech, ale o základech. Podíváme-li se na případy Garante × OpenAI, nizozemský DPC × Clearview, irský DPC × Meta nebo polský UODO × Santander, u všech se opakují stejná čtyři až pět porušení. Jejich pochopení je předpokladem pro jakoukoli smysluplnou práci s AI.

Právní základ: nejčastější slepé místo

Článek 6 GDPR vyžaduje, aby pro každé zpracování osobních údajů existoval některý ze šesti právních základů: souhlas, smlouva, zákonná povinnost, ochrana životních zájmů, veřejný zájem nebo legitimate interest (oprávněný zájem). U AI zpracování se typicky používá buď souhlas (pokud jde o nové zpracování, například marketingová AI personalizace), nebo oprávněný zájem (interní produktivita, fraud detection).

EDPB Opinion 28/2024 z 18. prosince 2024 potvrdil, že oprávněný zájem lze použít jako právní základ pro vývoj i nasazení AI modelu, ale nikdy ne defaultně. Kontrolor musí dokumentovat třístupňový test: identifikace legitimního zájmu, analýza nutnosti zpracování, vyvážení zájmů kontrolora se základními právy subjektů údajů. Pokud firma neumí tento test předložit během kontroly, dozor vyhodnotí zpracování jako nezákonné — a to je nejtěžší kategorie pokut (nižší sazba do 10 mil. eur nebo 2 % obratu se neuplatní, jde rovnou do horní).

Informační povinnost: privacy notice, které nikdo nečte a úřad ano

Články 13 a 14 GDPR detailně popisují, co musí privacy notice obsahovat: identita správce, účely zpracování, právní základ, příjemci, doby uchování, práva subjektu, automatizované rozhodování. Pokud firma zpracovává data přes AI nástroj, privacy notice musí jmenovat kategorii zpracování AI, ideálně s odkazem na konkrétního poskytovatele.

ÚOOÚ kontrolní plán 2026 dělá z tohoto bodu první linii. Většina českých privacy notice je ve stavu "z roku 2021" a AI vůbec nezmiňuje. Součástí CEF 2026 je právě tato kontrolní akce — úředník si vyžádá privacy notice, zkontroluje, jaké zpracování firma deklaruje, porovná s realitou (jaké nástroje skutečně používá) a každá nekonzistence je dokumentováno porušení čl. 13-14.

DPIA: kdy je povinné a proč ho 90 % firem nemá

Posouzení vlivu na ochranu osobních údajů (Data Protection Impact Assessment, zkratka DPIA) podle čl. 35 GDPR je povinné, pokud zpracování "pravděpodobně představuje vysoké riziko pro práva a svobody fyzických osob". WP248 rev.01 Evropského sboru definuje 9 kritérií; stačí, aby zpracování splňovalo dvě z nich, a DPIA se považuje za povinnou.

Typický AI agent spouští hned několik najednou: hodnocení nebo bodování (kritérium 1), automatizované rozhodování s právními účinky (kritérium 2), systematické monitorování (kritérium 3), citlivé údaje nebo údaje vysoce osobního charakteru (kritérium 4), inovativní technologie (kritérium 7). Dvě z pěti skoro vždy. Většina českých firem DPIA pro AI nemá — a to je položka, kterou polský UODO v roce 2024 přímo pokutoval u Santanderu (25 tisíc eur).

DPA se zpracovatelem: proč ChatGPT Free = nezákonné použití

Článek 28 GDPR vyžaduje, aby mezi správcem a zpracovatelem existovala smlouva (Data Processing Agreement, DPA), která upravuje podmínky zpracování. Když firma zadá jméno zákazníka nebo e-mailovou adresu do ChatGPT Free, Claude Free nebo DeepSeek Free, předává data třetí straně — poskytovateli AI — bez jakéhokoli smluvního základu. To je samostatné porušení čl. 28.

Řešení existuje: OpenAI nabízí DPA šablonu pro ChatGPT Team, Enterprise a API; Anthropic má DPA pro Claude Team a Enterprise; Google Workspace má zero-retention tier pro Gemini. Všechny tyto verze také deklarují, že data nejsou použita pro trénink. Placené enterprise tiery jsou pro firemní použití minimum, nikoli luxus. Za 20 eur měsíčně za ChatGPT Team má firma podepsanou DPA a splněný čl. 28.

Tři scénáře realistického postihu pro českou firmu

Featured snippet: Skutečné riziko pro českou SME při AI použití bez compliance není teoretický strop 20 milionů eur, ale kombinace drobnějších pokut 300 000 až 5 000 000 Kč podle rozsahu zpracování. Tři typické scénáře: interní ChatGPT Free bez DPA (50 zaměstnanců), zákaznický chatbot bez AI transparency (5 000 zákazníků), HR screening nástroj. Každý spouští 3–5 porušení současně; úřad obvykle kombinuje pokutu s nucenou nápravou a auditem.

Dozorové úřady v EU pracují s tzv. tiered penalty approach — výše pokuty roste podle obratu, rozsahu zpracování, úmyslu nebo nedbalosti, spolupráce s úřadem a historie porušení. Z rozhodovací praxe roku 2024–2025 je možné odhadnout typické rozmezí pro českou firmu s 20–200 zaměstnanci. Následující tři scénáře nejsou fiktivní; jsou syntézou skutečných rozhodnutí v EU se škálováním na český kontext.

Scénář A: Interní ChatGPT Free bez DPA

Výrobní firma s 50 zaměstnanci, roční obrat 90 milionů korun. Marketing používá ChatGPT Free na copywriting e-mailových kampaní (s vloženými jmény příjemců), HR na sumarizaci CV uchazečů a IT na revizi kódu s cizími jmény v komentářích. Zaměstnanec firmu upozorní formou podnětu, ÚOOÚ zahájí kontrolu.

Nálezy: žádná DPA s OpenAI (čl. 28), chybějící záznam činnosti zpracování pro AI (čl. 30), neprovedené DPIA u HR zpracování (čl. 35), chybějící technicko-organizační opatření (čl. 32). Hlavní přitěžující okolnost: zaměstnanci o těchto porušeních nemají povědomí, chybí interní AI policy. Polehčující okolnost: firma zpracovává relativně omezený objem dat, žádný breach nenastal. Realistická pokuta: 300 000 až 1 500 000 Kč, doplněná povinným školením a sjednáním enterprise DPA. Firma navíc ztrácí několik B2B zákazníků, kteří v tendru vyžadují doklad o AI compliance.

Scénář B: Zákaznický chatbot bez transparency

Střední e-shop s módou, 5 000 aktivních zákazníků, obrat 45 milionů korun ročně. V roce 2026 nasadí AI chatbota jako "virtuální poradkyni Karolínu", která odpovídá na dotazy, sbírá preference a doporučuje produkty. Zákazníci netuší, že nemluví s člověkem. Privacy notice nezmiňuje AI, chatbot nemá informační úvod ("Tato konverzace probíhá s AI asistentem"), data se přeposílají do OpenAI API bez DPA na úrovni odpovídající požadavkům zákona.

Nálezy: absence právního základu pro nové kategorie dat (čl. 6), porušení informační povinnosti (čl. 13-14), chybějící posouzení vlivu (čl. 35), automatizované rozhodování bez zajištění práv subjektů (čl. 22 — doporučovací systém může tvořit "rozhodnutí" ve smyslu judikatury SCHUFA C-634/21). Od 2. 8. 2026 se přidává porušení čl. 50 AI Act (povinné označení AI interakce). Realistická pokuta: 800 000 až 3 500 000 Kč, nucená úprava rozhraní včetně zobrazení "Mluvíte s AI" a aktualizace privacy notice.

Scénář C: HR screening AI

Personální agentura s 25 recruitery filtruje CV uchazečů přes komerční AI screening nástroj (typicky integrovaný v ATS systému). Algoritmus hodnotí uchazeče na základě textové shody, tvaru CV a anamnestických údajů. Odmítnutí uchazeči dostávají automatizovaný e-mail bez lidského přezkoumání.

Toto je nejtěžší kategorie. AI Act v Annex III bod 4 řadí nástroje pro nábor mezi vysokorizikové systémy; plný režim nastává 2. 8. 2027. Ještě před tím ale platí GDPR čl. 22 — automatizované rozhodování s právními nebo obdobně významnými důsledky je zakázáno bez výslovné právní podpory a bez smysluplného lidského přezkoumání. Judikatura SCHUFA (SDEU C-634/21, prosinec 2023) potvrdila, že samotné skóre může být rozhodnutím ve smyslu čl. 22. K tomu se přidává: chybějící DPIA (čl. 35), porušení čl. 13-14 (uchazeči o screeningu neví), potenciálně čl. 9 (citlivé údaje — pohlaví, věk, etnický původ odvoditelné z CV), nesplnění práva na vysvětlení algoritmu.

Realistická pokuta: 1 500 000 až 5 000 000 Kč, nucené odstavení systému, compliance audit, případně individuální odškodnění dotčených uchazečů. Podobný případ řešil polský UODO v roce 2024 (Santander — pokuta 25 tisíc eur za chybějící DPIA u HR systému, plus povinnost retrain a re-evaluate všech uchazečů).

DPIA pro AI: jak ho udělat bez externího právníka za 200 000 Kč

Featured snippet: DPIA podle čl. 35 GDPR je povinné, pokud zpracování splňuje minimálně dvě z devíti rizikových kritérií EDPB (WP248 rev.01). AI systémy typicky splní 3 až 5. Dobré DPIA má sedm sekcí: popis systému, posouzení nutnosti, mapa datových toků, analýza rizik, plán zmírnění, konzultace s DPO, iterace po nasazení. Základní DPIA pro interní AI copilot zvládne compliance tým interně za 2–3 pracovní dny.

Nejčastější chyba českých firem je, že DPIA buď chybí úplně, nebo se vyplní jako jedno-stránková šablona bez skutečného obsahu. Úřad pozná obojí. Dobrý DPIA má dvě vlastnosti: je živý dokument (aktualizuje se při změně AI nástroje nebo rozsahu zpracování) a je pouze základem pro následnou konzultaci s DPO nebo dozorem, ne samoúčelnou formalitou.

Sedm sekcí správně udělaného DPIA

EDPB zveřejnil v dubnu 2026 aktualizovaný šablonový dokument pro DPIA specifický pro AI systémy. Na strukturu šablony lze navázat, ale podstata je stabilní. Každá DPIA pro AI by měla obsahovat následujících sedm sekcí:

1. Systematický popis zpracování. Název AI nástroje, poskytovatel, kategorie dat, účely, právní základ, rozsah, doba uchování, sub-processors. U cloudového AI přidejte zeměpisnou polohu zpracování.
2. Posouzení nutnosti a proporcionality. Čeho se chce dosáhnout? Lze toho dosáhnout méně invazivní cestou? Proč je AI nezbytné?
3. Mapa datových toků. Grafické znázornění: od sběru dat přes přenos do AI, zpracování, uchování, výstup, mazání. Ve kterých bodech jsou osobní údaje zpřístupněny třetí straně?
4. Analýza rizik pro subjekty. Identifikace konkrétních rizik: diskriminace, neoprávněné zveřejnění, nemožnost výkonu práv, psychologický dopad, reputační škoda.
5. Plán zmírnění rizik. Technická opatření (pseudonymizace, šifrování, audit log, DLP), organizační opatření (školení, policy, sanctioned tools list) a procesní opatření (lidské přezkoumání, opt-out flow).
6. Konzultace s DPO nebo subjekty údajů. U citlivých scénářů čl. 35 odst. 9 vyžaduje získat stanovisko subjektů nebo jejich zástupců.
7. Iterace a monitorování. DPIA není jednorázová. Stanovte, kdy se bude revidovat (typicky roční cyklus nebo při změně systému), kdo za to odpovídá a jak se bude ověřovat účinnost zmírnění.

Tři typické chyby v českých DPIA

První: Copy-paste šablony bez skutečného obsahu. DPIA ke každému AI nástroji musí reflektovat specifický systém, datové toky a rizika. Generický dokument "AI systém zpracovává osobní údaje dle čl. 6 odst. 1 písm. f)" není DPIA — je to formulář.

Druhá: Chybí balancing test u legitimate interest. Pokud je jako právní základ uveden oprávněný zájem, DPIA musí dokumentovat třístupňový test podle EDPB Opinion 28/2024. Bez testu právní základ formálně existuje, fakticky ne.

Třetí: Žádná technická opatření. Dobré DPIA není jen popis rizik, ale i plán řešení. Pokud "zmírnění rizika" stojí na větě "zaměstnanci budou proškoleni", úřad to hodnotí jako nedostatečné. Technická opatření — DLP pro AI domény, šifrování v tranzitu i v klidu, sanctioned tools list vynucovaný přes DNS resolver — mají být konkrétní a ověřitelné.

Shadow AI: největší slepá skvrna českých firem

Featured snippet: Shadow AI je využívání AI nástrojů zaměstnanci bez vědomí IT a compliance oddělení. Podle IBM 2025 Cost of a Data Breach má 76 % organizací v síti neschválené AI, a 43 % zaměstnanců přiznává, že sdíleli citlivá firemní data s AI bez vědomí zaměstnavatele. Z pohledu GDPR jde o neohlášený transfer dat třetí straně bez DPA (čl. 28), bez technicko-organizačních opatření (čl. 32) a často bez breach notifikace, pokud dojde k úniku (čl. 33).

Shadow AI je přesně ten typ problému, na který cílí Coordinated Enforcement Framework 2026. Dozorový úřad si při kontrole nevyžádá jen privacy notice a ROPA. Zkontroluje i, jaké nástroje firma skutečně používá — přes DNS logy, firewall záznamy, rozhovory se zaměstnanci. Každá nesrovnalost mezi tím, co firma deklaruje v notice, a tím, co reálně běží, je dokumentované porušení.

Z pohledu GDPR je shadow AI specifická tím, že spouští mnoho porušení najednou. Když zaměstnanec vloží zákaznická data do ChatGPT Free:

• Předává osobní údaje třetí straně (OpenAI) bez DPA → porušení čl. 28.
• Zpracovává data mimo deklarované účely → porušení čl. 5 odst. 1 písm. b) (účelové omezení).
• Nemá odpovídající technicko-organizační opatření → porušení čl. 32.
• Pokud se data dostanou na internet (historie ChatGPT zveřejněná chybou) → osobní data breach → čl. 33 povinnost oznámit do 72 hodin.
• Privacy notice tento typ zpracování nezahrnuje → porušení čl. 13-14.

Samsung v dubnu 2023 prožil přesně tento scénář. Tři inženýři polovodičové divize během 20 dnů vložili do ChatGPT zdrojový kód testovacího zařízení, zápisy z interní porady a optimalizaci testovací sekvence pro detekci vadných čipů. Samsung na to reagoval dočasným zákazem generativní AI na firemních zařízeních a vývojem interních alternativ — a JPMorgan, Apple, Amazon, Verizon a Deutsche Bank následovali. Šlo o vlnu probuzení, po které OpenAI v listopadu 2023 spustil ChatGPT Enterprise se SOC 2 compliance a explicitním slibem, že zákaznická data nejsou použita pro trénink.

Jak shadow AI regulovat bez zákazu

Paradoxně nejhorší odpovědí na shadow AI je plošný zákaz. Data Cyberhaven 2024 ukazují, že po zákazu nárůst neoprávněného použití vzrostl, protože zaměstnanci přešli na privátní zařízení a mobilní data. Naopak Enterprise AI Governance Survey 2025 zjistila, že firmy, které nabídly schválenou alternativu (ChatGPT Enterprise, Claude Team, lokální hosting Llama), zaznamenaly 89% pokles neoprávněného použití do šesti měsíců.

Praktický tří-vrstvý přístup funguje takto:

1. Vrstva 1 — politika. Vytvořte sanctioned tools list: schválené AI nástroje, které zaměstnanci mohou používat (s podepsaným DPA). Lístek jasně pojmenuje alternativy: "pro sumarizaci porady použijte X, pro kód Y, pro marketing Z". Přidejte červený seznam: co je zakázáno (typicky ChatGPT Free s firemními daty).
2. Vrstva 2 — technická opatření. DNS blokace free tier domén (chat.openai.com bez SSO), DLP pravidla pro přenos osobních údajů do AI, monitorování na úrovni endpoint (browser extension).
3. Vrstva 3 — AI literacy. Povinná od 2. února 2025 dle AI Act. Školení by mělo zahrnovat: co jsou osobní údaje, co se stane s daty v ChatGPT, jak poznat, že nástroj má DPA, co dělat při incidentu.

Náklady? Pro firmu s 50 zaměstnanci typicky 60 000 až 150 000 Kč na první rok (licence + školení + DLP tool). Oproti potenciální pokutě 300 000 až 5 000 000 Kč za scénáře popsané výše je návratnost zřejmá.

ÚOOÚ v roce 2026: na co se úřad dívá

Featured snippet: ÚOOÚ v kontrolním plánu 2026 označil za prioritu transparentnost zpracování (Coordinated Enforcement Framework) a nezávislost DPO ve veřejné sféře. V kontextu AI to znamená, že privacy notice musí přesně popsat, jaká data firma zpracovává AI nástroji, a DPO musí mít kapacity i skutečné postavení v organizační struktuře. Úřad je navíc podle čl. 77 AI Act designovaným dozorem také pro AI otázky, které se dotýkají osobních údajů.

Kontrolní plán ÚOOÚ pro rok 2026 byl zveřejněn 10. února 2026 na stránkách úřadu a ve sbírce informací pro veřejný sektor. Pětistránkový dokument má dvě hlavní témata a jeden metodický bod:

Praktická implikace pro firmu, která používá ChatGPT Team nebo Claude Team: otevřete právě teď privacy notice. Zkontrolujte, zda obsahuje informaci o tom, že (a) ke zpracování se používá AI nástroj, (b) jaký konkrétní poskytovatel, (c) zda data opouštějí EU, (d) jaký právní základ. Pokud chybí kterýkoli bod, notice je v režimu porušení čl. 13-14 — a to je přesně to, co CEF 2026 koordinovaně audituje.

Rámec MAPA — šest kroků k souladu před 2. 8. 2026

Featured snippet: Rámec MAPA je strukturovaný postup, jak dostat AI × GDPR compliance do stavu, který obstojí při kontrole ÚOOÚ. Čtyři fáze (Mapovat → Auditovat → Pokrýt DPA → Aktualizovat notice) obsahují šest kroků, které typická česká firma zvládne interně za 3 až 8 týdnů. Cílový milník: dokončit před 2. srpnem 2026, kdy vstoupí v účinnost transparentní vrstva AI Actu a zahájí se sankce.

Velká část literatury o AI compliance doporučuje najmout externí právní firmu za šestimístný honorář. Pro většinu českých SME to není potřeba. MAPA je rámec navržený tak, aby byl provedení interně za splnitelné nároky — DPO + IT + zástupce managementu — s dokumentací, která v případě kontroly obstojí.

Krok 1: Mapovat

Sestavte kompletní inventář AI nástrojů, které se ve firmě používají. Nejednou zjistíte, že vaši zaměstnanci používají dvojnásobek toho, co si IT myslelo. Zdroje: DNS logy, firewall záznamy, dotazník mezi zaměstnanci, vyúčtování výdajů (placené AI tarify) a rozšíření v prohlížečích. Pro každý nástroj zaznamenejte: kdo ho používá, k jakému účelu, jaká data zpracovává, zda má firma podepsanou smlouvu.

Krok 2: Auditovat

Pro každý nástroj zpracovávající osobní údaje proveďte DPIA podle sedmistupňové struktury popsané výše. Současně vytvořte záznam činnosti zpracování (ROPA) podle čl. 30 GDPR. Toto je největší časový blok v rámci rámce, protože bez skutečného obsahu DPIA úřad pokládá za formalitu.

Krok 3: Pokrýt DPA

Pro každý cloudový AI nástroj podepište Data Processing Agreement s poskytovatelem, nebo přejděte na enterprise tier, který DPA zahrnuje. Pokud poskytovatel DPA nenabízí, nástroj z firmy odstraňte — jde o nepřekročitelnou překážku. U free tier ChatGPT, Claude, Gemini, DeepSeek, Mistral to znamená přechod na placenou verzi (ChatGPT Team od 25 USD / uživatel / měsíc, Claude Team od 30 USD, Gemini for Workspace od 20 EUR).

Krok 4: Aktualizovat

Aktualizujte privacy notice: jmenujte AI zpracování, uveďte poskytovatele, právní základ, přenos mimo EU, doby uchování. Aktualizujte ROPA. Vydejte vnitřní AI policy (sanctioned tools list, zakázané vzorce použití, breach response flow). Požadavek ÚOOÚ CEF 2026: notice musí být aktuální, přesné a pro laika srozumitelné.

Krok 5: AI literacy

Podle čl. 4 AI Actu je AI literacy pro všechny zaměstnance, kteří AI používají, povinná od 2. února 2025 — tedy už přes rok. Firmy, které školení zatím neproběhly, jsou formálně v porušení. Obsah: základy LLM, rozpoznání osobních údajů, vhodné a nevhodné použití AI, rozpoznání halucinace, bezpečné zadávání promptů.

Krok 6: Monitor a iterace

Compliance není stav, ale proces. Nastavte roční cyklus auditu (DPIA refresh, ROPA update, notice re-check). Při každé změně AI nástroje nebo rozsahu zpracování aktualizujte dokumentaci. Zaveďte indikátory: počet breach incidentů, počet DSAR (data subject access requests) dotčených AI, počet zaměstnanců s čerstvým AI literacy školením.

Oprávněný zájem pro AI — kdy funguje, kdy ne

Featured snippet: Oprávněný zájem (legitimate interest) podle čl. 6 odst. 1 písm. f) GDPR lze použít jako právní základ pro AI zpracování. EDPB Opinion 28/2024 potvrdil, že nikdy ne defaultně — kontrolor musí dokumentovat třístupňový balancing test: identifikace legitimního zájmu, analýza nutnosti zpracování, vyvážení zájmů se základními právy subjektů údajů. Typicky funguje u interní produktivity a fraud detection; typicky nefunguje u marketingové personalizace a scrapingu veřejných profilů.

Volba právního základu je jednou ze tří nejčastějších chyb při AI nasazení (vedle chybějící DPIA a chybějící DPA). Firmy, které si nevyberou právní základ promyšleně, typicky defaultují na oprávněný zájem — protože nevyžaduje souhlas. To by bylo v pořádku, kdyby neopomíjely druhou část: zatímco u souhlasu je právní základ jasný (je to podpis subjektu), u oprávněného zájmu je potřeba aktivní důkaz.

Kde legitimate interest funguje

Interní AI copilot s pseudonymizací. Firma používá Claude Team pro sumarizaci interních dokumentů. Jména zákazníků jsou před odesláním do modelu nahrazena pseudonymy (Z1, Z2…). Zájem: provozní efektivita. Nutnost: sumarizace není možná manuálně při objemu dat. Vyvážení: subjekty (zákazníci) by mohli očekávat, že firma používá AI pro interní provoz; citlivá data nejdou přímo do modelu; DPA s Anthropic podepsané. Test projde.

AI fraud detection v bankovnictví. Banka používá AI model pro detekci neobvyklých transakcí. Zájem: ochrana zákazníků před podvodem + compliance s AML povinnostmi. Nutnost: objem transakcí neumožňuje manuální kontrolu. Vyvážení: zákazník má oprávněné očekávání, že banka chrání jeho peníze; AI neprovádí automatizované rozhodnutí o blokaci (člověk potvrzuje). Test projde.

Kde legitimate interest nefunguje

AI personalizace marketingu. E-shop chce trénovat AI na historii nákupů a kliků pro "lepší doporučení". Zájem: obchodní (prodat víc). Nutnost: personalizace není nutná pro fungování služby — e-shop bez ní funguje. Vyvážení: subjekt by mohl očekávat obecné doporučení, ale ne hloubkové profilování. Test selhává — potřeba je souhlas.

Scraping LinkedIn profilů pro sales AI. Firma chce trénovat AI na veřejných LinkedIn profilech pro generování sales e-mailů. Zájem: sales. Nutnost: není. Vyvážení: subjekt zveřejnil profil na LinkedIn, ale neočekává, že bude použit pro trénink modelu třetí strany. Test selhává totálně — toto je přesně scénář, za který Italy Garante pokutoval OpenAI.

Co dělat v pondělí ráno — desetipoložkový akční plán

Featured snippet: Akční plán pro českou firmu, která chce začít s AI × GDPR compliance v pondělí ráno. Deset konkrétních kroků, které lze delegovat mezi DPO, IT a management. Prvních pět kroků vyžaduje jeden den interní práce; dalších pět týden až měsíc. Cíl: do konce května 2026 mít základní dokumentaci, do 2. srpna 2026 plný soulad s CEF 2026 a s transparentní vrstvou AI Actu.

Pro menší firmy (do 30 zaměstnanců) pravděpodobně nebude nutné najímat externího DPO — stávající compliance osoba nebo právní oddělení zvládne všech 10 kroků s podporou IT. Pro firmy s 50+ zaměstnanci nebo s vysokorizikovým AI zpracováním (HR, finance, zdravotnictví) je externí specialista smysluplný, ale rozsah práce je typicky 40–80 hodin, ne 200+. Rozsah činnosti pro SME v Česku se v dubnu 2026 pohybuje v hodinové sazbě 2 500 až 5 000 Kč.

Širší kontext zavádění AI governance, včetně change managementu a komunikace směrem k týmu, popisuje článek Jak zavést AI do firmy bez chaosu. České právní prostředí kolem AI shrnuje AI a české právo 2026.

Nejčastější otázky

Klíčová myšlenka

---