AI vo firme bezpečne: čo žiada GDPR a AI Act a ako na lokálny model

Zamestnanci už AI vo firme používajú na preklady, texty aj odpovede zákazníkom. Otázka je, ako to robiť bez porušenia GDPR, v súlade s AI Act a bez chýb, ktoré pôjdu von pod vaším menom. V článku nájdete, čo z pravidiel naozaj platí pre bežnú firmu. Potom praktický postup: návrhy odpovedí zákazníkom na lokálnom modeli, ktorý sme si prešli na testovacom počítači a každý krok odfotili.

Krátka odpoveď

• Ak vaši ľudia používajú AI v práci, ste podľa AI Act nasadzujúci subjekt. Výnimka platí len pre osobné neprofesionálne použitie (čl. 3, nariadenie (EÚ) 2024/1689).
• Už od 2. 2. 2025 platí povinnosť prijať opatrenia na AI gramotnosť zamestnancov (čl. 4). Certifikát netreba, stačí interný záznam o školeniach (Európska komisia, AI Literacy Q&A).
• Od 2. 8. 2026 platia pravidlá transparentnosti (čl. 50), napríklad pri chatbotoch a deepfake obsahu. Väčšina povinností pre vysokorizikové systémy prišla po zmene nariadením (EÚ) 2026/1744 až na roky 2027 a 2028.
• GDPR platí naďalej. Do AI nástroja vkladajte len údaje, ktoré na úlohu naozaj treba. SK-CERT odporúča nevkladať do online AI služieb osobné, zdravotné, finančné ani firemné citlivé údaje (SK-CERT).
• Lokálny model údaje nikam neposiela, no GDPR za vás nevyrieši. V našom teste písali všetky tri modely do odpovedí chyby. Každý návrh musí pred odoslaním skontrolovať človek.

Nechcete to skladať sami? DigitalMinds vám AI zapojí do konkrétneho procesu, napríklad návrhy odpovedí na dopyty, aj s hranicami, čo model smie povedať. Napíšte nám.

Čo z AI Act sa týka bežnej firmy

AI Act je európske nariadenie, platí priamo a netreba čakať na slovenský zákon. Rozlišuje hlavne poskytovateľa (kto AI systém vyvíja alebo si ho dá vyvinúť a uvádza ho do prevádzky pod svojím menom) a nasadzujúci subjekt (kto ho používa v rámci svojej činnosti). Firma, ktorej ľudia pracujú s ChatGPT, Copilotom či Gemini, je typicky nasadzujúci subjekt. Ak si dáte vyrobiť chatbot a prevádzkujete ho pod vlastným menom, môžete byť aj poskytovateľ.

Nie sme právnici. Nižšie je prehľad podľa nariadenia a výkladu Európskej komisie. Pri hraničných prípadoch sa poraďte s advokátom.

AI gramotnosť: platí už teraz

Článok 4 v znení po zmene z roku 2026 hovorí, že poskytovatelia a nasadzujúce subjekty „prijmú opatrenia na podporu rozvoja gramotnosti v oblasti AI svojich zamestnancov a ostatných osôb, ktoré sa v ich mene zaoberajú prevádzkou a používaním systémov AI“. Zároveň výslovne nevyžaduje, aby firma zaručila nejakú konkrétnu úroveň znalostí jednotlivca (nariadenie 2026/1744).

Európska komisia vo svojich otázkach a odpovediach k AI gramotnosti uvádza niekoľko praktických vecí:

• Firma, ktorej zamestnanci používajú ChatGPT na reklamné texty alebo preklady, povinnosť má. Ľudia majú vedieť o konkrétnych rizikách, napríklad o halucináciách.
• Certifikát netreba. Stačí interný záznam o školeniach alebo iných usmerneniach.
• Netreba „AI officera“ ani nový riadiaci orgán.
• Len poprosiť ľudí, aby si prečítali návod k nástroju, často nestačí.
• Dohľad a vymáhanie zo strany národných orgánov sa uplatňujú od 2. 8. 2026.

Transparentnosť: chatboty, deepfake a texty pre verejnosť

Od 2. 8. 2026 platí článok 50 (AI Act Service Desk). Pre firmu sú dôležité tri situácie. Ak na webe beží chatbot, ľudia musia vedieť, že komunikujú s AI. To je povinnosť poskytovateľa a informácia má zaznieť najneskôr pri prvej interakcii. Ak zverejníte deepfake, teda obrázok, zvuk alebo video, ktoré vyzerá ako skutočné, musíte uviesť, že je umelo vytvorené. Ak AI generuje text, ktorý zverejňujete na informovanie verejnosti o veciach verejného záujmu, treba to uviesť. Výnimkou je text, ktorý prešiel ľudskou kontrolou a niekto zaň nesie redakčnú zodpovednosť.

Bežný e-mail zákazníkovi, ktorý vám pomohla napísať AI a vy ste ho skontrolovali a odoslali, do týchto troch situácií nepatrí. Zodpovednosť za jeho obsah však nesiete vy.

Zákazy a vysoké riziko

Zakázané praktiky (čl. 5), napríklad manipulácia, ktorá ľuďom škodí, alebo rozpoznávanie emócií na pracovisku, platia od 2. 2. 2025. Vysokorizikové systémy podľa prílohy III, kam patrí napríklad AI pri nábore zamestnancov alebo posudzovaní úverovej bonity, majú povinnosti od 2. 12. 2027 (čl. 113). Ak AI rozhoduje o ľuďoch, riešte to individuálne.

Povinnosť	Od kedy	Týka sa vás, ak…
AI gramotnosť (čl. 4)	2. 2. 2025, dohľad od 2. 8. 2026	ktokoľvek vo firme používa AI pri práci
Zakázané praktiky (čl. 5)	2. 2. 2025	by ste AI použili napr. na manipuláciu alebo rozpoznávanie emócií zamestnancov
Informovanie pri chatbote (čl. 50 ods. 1)	2. 8. 2026	máte na webe AI chatbot (povinnosť poskytovateľa)
Označenie deepfake (čl. 50 ods. 4)	2. 8. 2026	zverejňujete AI obrázky, zvuk či video, ktoré pôsobia ako skutočné
Strojovo čitateľné označenie výstupov (čl. 50 ods. 2)	2. 8. 2026; pre systémy uvedené na trh pred týmto dátumom do 2. 12. 2026	vyvíjate alebo predávate generatívny AI systém
Vysoké riziko, príloha III	2. 12. 2027	AI rozhoduje o nábore, úveroch, vzdelávaní a pod.

Tabuľku môžete posunúť do strany.

Kto bude dohliadať na Slovensku

Vláda poslala do parlamentu návrh zákona o štátnej správe v oblasti umelej inteligencie a európskej dátovej regulácie (tlač 1447, doručený 28. 8. 2026). Podľa HN/TASR ho parlament 17. 9. 2026 posunul do druhého čítania. Všeobecným orgánom dohľadu nad trhom má byť MIRRI, vybrané oblasti majú dozerať aj NBÚ, ÚOOÚ, Úrad inšpekčnej služby a ministerstvo spravodlivosti. Navrhovaná účinnosť je 1. 1. 2027. Zákon zatiaľ nie je schválený, preto sa môže ešte zmeniť.

GDPR: čo platí, keď do AI vkladáte údaje

AI Act GDPR nenahrádza. Keď do AI nástroja vložíte e-mail zákazníka s menom a telefónom, spracúvate osobné údaje a platia rovnaké pravidlá ako inde (nariadenie (EÚ) 2016/679):

• Minimalizácia (čl. 5 ods. 1 písm. c): do nástroja patrí len to, čo na úlohu treba. Na návrh odpovede na otázku „kedy mi príde balík“ model nepotrebuje meno ani telefón.
• Zmluva so sprostredkovateľom (čl. 28): ak online AI služba spracúva osobné údaje vo vašom mene, potrebujete s ňou zmluvu. Overte, či ju poskytovateľ pri vašom type účtu vôbec ponúka.
• Prenos mimo EÚ (čl. 44 a nasl.): overte, kde poskytovateľ údaje spracúva.
• Automatizované rozhodovanie (čl. 22): AI nemá sama rozhodnúť o reklamácii alebo zamietnutí zákazníka. Posledné slovo má mať človek.
• Posúdenie vplyvu (čl. 35): pri rizikovejšom spracúvaní, napríklad pri veľkom množstve údajov alebo citlivých údajoch, môže byť povinné.

ÚOOÚ v aktualite k stanovisku EDPB 28/2024 zhŕňa, ako sa GDPR pozerá na samotné AI modely. Pre firmu, ktorá model len používa, je praktickejšia správa expertov EDPB o rizikách LLM z apríla 2025. Rozoberá aj chatbot zákazníckej podpory (nie je to oficiálne stanovisko EDPB).

SK-CERT k tomu dodáva dve praktické rady: výstupy overujte nezávisle, nie ďalším jazykovým modelom, a počítajte s tým, že halucinácie sú vlastnosťou týchto modelov, nie občasnou chybou (SK-CERT).

Typ údajov	Online AI bez firemnej zmluvy	Firemná AI služba so zmluvou (DPA)	Lokálny model na vašom počítači
Verejné texty, preklad webu	áno	áno	áno
E-maily zákazníkov	nie	po pseudonymizácii	áno, po pseudonymizácii
Zmluvy, ceny, interné dokumenty	nie	podľa zmluvy a nastavení	áno
Zdravotné údaje, rodné čísla, údaje zamestnancov	nie	len po posúdení vplyvu	len po posúdení vplyvu

Tabuľku môžete posunúť do strany.

Testovacie prostredie

Postup sme robili na testovacom serveri, nie na zariadení zákazníka: Debian 13, 8 vCPU Intel Xeon, 16 GB RAM, bez grafickej karty. Použili sme Ollama 0.40.13 a tri modely: qwen3.5:4b, qwen3.5:9b a llama3.2:3b. Firma „Čajovňa Test s.r.o.“, jej príručka podpory, ceny aj e-maily zákazníkov sú vymyslené testovacie údaje. Ako vybrať model podľa výkonu počítača, sme opísali v návode ako spustiť lokálny AI model.

Návod: návrhy odpovedí zákazníkom na lokálnom modeli

Cieľ: zákaznícka podpora dostane ku každému e-mailu návrh odpovede, ktorý vychádza len z internej príručky. Údaje neopustia firemný počítač a nič neodíde bez kontroly človekom.

Krok 1: Nainštalujte Ollama

Na Linuxe stačí jeden príkaz z oficiálnej stránky. U nás trvala inštalácia 11 sekúnd. Prvý pokus zlyhal, lebo v systéme chýbal program zstd na rozbalenie archívu. Po jeho doinštalovaní prešla inštalácia bez problémov. Skript upozornil, že nenašiel grafickú kartu, a model teda beží na procesore.

Krok 2: Vypnite cloud a overte, že API počúva len lokálne

Ollama vie používať aj cloudové modely. Podľa dokumentácie Ollama pri lokálnom behu výrobca prompty nevidí. Ak chcete mať istotu, že sa cloud nepoužije ani omylom, spustite server s premennou OLLAMA_NO_CLOUD=1 alebo nastavte "disable_ollama_cloud": true v súbore ~/.ollama/server.json. V logu sa potom objaví „Ollama cloud disabled: true“.

Potom príkazom ss -ltnp overte, že server počúva len na 127.0.0.1, teda iba pre tento počítač. API nemá prihlasovanie. Kto by sa dostal na port 11434, videl by modely a mohol sa ich pýtať. Ak nastavíte OLLAMA_HOST=0.0.0.0, aby sa ku modelu dostali kolegovia, dajte pred neho prihlasovanie a firewall.

Krok 3: Pripravte internú príručku

Model vaše pravidlá nepozná, dáte mu ich do zadania. Napísali sme krátku príručku: doprava, odosielanie, vrátenie, reklamácie a čo podpora nesmie sľúbiť (zľavy, presný dátum doručenia). K tomu tri e-maily zákazníkov: otázka na doručenie, poškodený balík so žiadosťou o zľavu a vrátenie otvoreného tovaru s otázkou na dopravu do Slovinska.

Krok 4: Pseudonymizujte e-maily pred odoslaním do modelu

Krátky skript v Pythone nahradí e-mail, telefón, adresu a meno v podpise značkami ako [MENO_1]. Mapa skutočných hodnôt ostáva len u vás. Do hotového návrhu ich skript vráti až na konci.

Test ukázal aj limit: vetu „volám sa Eva Malá“ v texte e-mailu skript nezachytil, lebo hľadá meno len v podpise. Berte to ako poistku, nie záruku anonymizácie.

Krok 5: Nechajte model napísať návrh odpovede

Druhý skript pošle na lokálne API (http://127.0.0.1:11434/api/chat) systémový pokyn „odpovedaj iba podľa príručky, nič nesľubuj, inak odovzdaj vedúcej“, celú príručku a pseudonymizovaný e-mail. Použili sme nízku teplotu (0,2), aby model menej „vymýšľal“, a vypnuté premýšľanie modelu ("think": false), aby odpovede neboli zbytočne dlhé.

Model qwen3.5:4b zabral v pamäti 3,7 GB a písal rýchlosťou 12,6 až 14,1 tokenu za sekundu. Jeden návrh mu trval 10 až 31 sekúnd. Prvý návrh trval dlhšie, lebo sa model načítaval do pamäte (14 s). Väčší qwen3.5:9b potreboval 6,3 GB a na návrh 56 až 84 sekúnd.

Krok 6: Každý návrh skontroluje človek

Všetkých deväť návrhov sme ručne porovnali s príručkou podľa 11 kontrolných bodov (napríklad „odoslanie nasledujúci pracovný deň“ alebo „nesľúbi zľavu“). Žiadny model nebol bez chyby:

• qwen3.5:4b splnil 7 z 11 bodov. Pri poškodenom balíku nenapísal, kam poslať fotku, iba otázku odovzdal vedúcej. Pri otázke na Slovinsko odpovedal „do Švajčiarska neposielame“.
• qwen3.5:9b splnil 9 z 11 bodov, no pridal 6 nesprávnych alebo vymyslených tvrdení. Napísal napríklad, že objednávka z pondelka po 12:00 odíde „najskôr v stredu“, hoci podľa príručky odchádza v utorok.
• llama3.2:3b splnil 2 z 11 bodov. Tvrdil, že objednávka bola odoslaná aj doručená v pondelok a že do Slovinska posielame za 7,90 €. Pri druhom e-maile sa zacyklil a 687 sekúnd opakoval ten istý odsek.

Väčší model teda neznamená bezpečnejší. Písal úplnejšie, ale aj viac domýšľal. Ide o jeden beh na e-mail, takže výsledok berte ako ilustráciu, nie ako porovnanie modelov. Praktické poučenie: nastavte limit dĺžky odpovede (parameter num_predict), aby sa model nemohol zacykliť donekonečna. A návrh nikdy neodosielajte automaticky.

Krok 7: Upracte po sebe históriu a pamäť

Lokálne neznamená bez stôp. Keď niekto píše modelu priamo v termináli (ollama run), Ollama ukladá zadania ako obyčajný text do súboru ~/.ollama/history. V teste tam ostala celá veta, ktorú sme napísali. Zadania cez API sa do logu servera pri predvolenom nastavení nezapísali. Overili sme to vyhľadaním textu z e-mailov v logu. Model po poslednej požiadavke ostáva v pamäti 5 minút. Hneď ho uvoľníte príkazom ollama stop alebo parametrom keep_alive (Ollama FAQ).

Firemná AI smernica na jednu stranu

Nepotrebujete hrubý manuál. Stačí krátky dokument, školenie a záznam, kto ho absolvoval. V prezentáciách z konferencie NBÚ KYBER 2025 zazneli podobné odporúčania: AI politika, školenia, zmluvy s poskytovateľmi AI, logovanie a filtrovanie vstupov a výstupov. Náš návrh obsahu:

• Ktoré AI nástroje sú povolené a s akým účtom (firemný, nie súkromný).
• Čo sa do nich nesmie vkladať. Tabuľku vyššie môžete použiť ako východisko.
• Že výstupy AI kontroluje človek, a to hlavne čísla, termíny, ceny a právne tvrdenia.
• Kto je kontaktná osoba, keď si niekto nie je istý.
• Kedy treba ľuďom povedať, že komunikujú s AI (chatbot, deepfake).
• Záznam o školení: dátum, kto, čo sa preberalo. Európska komisia uvádza, že taký interný záznam stačí.

Časté otázky

Musím mať certifikát z AI gramotnosti?

Nie. Podľa Európskej komisie certifikát netreba a stačí interný záznam o školeniach alebo usmerneniach. Povinnosť nevyžaduje ani konkrétnu úroveň znalostí jednotlivca.

Musím zákazníkovi napísať, že odpoveď pripravila AI?

Pri e-maile, ktorý napísal človek s pomocou AI a človek ho aj skontroloval, článok 50 takú povinnosť neukladá. Pri chatbote na webe musí byť jasné, že ide o AI. Pri deepfake obsahu treba uviesť, že je umelo vytvorený.

Môžem vložiť e-mail zákazníka do ChatGPT?

Bez zmluvy o spracúvaní údajov (čl. 28 GDPR) radšej nie a SK-CERT odporúča osobné údaje do online AI služieb nevkladať. Ak online nástroj používate, použite firemnú verziu so zmluvou a údaje pred vložením pseudonymizujte.

Je lokálny model automaticky v súlade s GDPR?

Nie. Vyrieši prenos údajov tretej strane, ale stále platí minimalizácia, zabezpečenie počítača, mazanie histórie a ľudská kontrola výstupov. Ak API sprístupníte v sieti bez prihlasovania, vytvoríte si novú bezpečnostnú dieru.

Koľko stojí, keď to urobíte za nás?

Podľa nášho cenníka integrácie AI stojí zapojenie AI do existujúceho procesu, napríklad návrh odpovede na dopyt z formulára, od 1 490 €. AI chatbot na web stojí 890 € plus 59 € mesačne. Licencie modelov pomenujeme vopred, v týchto cenách nie sú vždy. Na jednoduchšie automatizácie bez AI sa pozrite na automatizáciu procesov.

Zhrnutie

Pre bežnú firmu z AI Act dnes vyplýva hlavne AI gramotnosť: krátke pravidlá, školenie a záznam o ňom. Od augusta 2026 k tomu pribudla transparentnosť pri chatbotoch a deepfake obsahu. GDPR platí ako doteraz: minimum údajov, zmluva s poskytovateľom a človek, ktorý má posledné slovo. Lokálny model rieši, kam údaje odchádzajú. Náš test však ukázal, že návrhy treba kontrolovať aj tak, a to bez ohľadu na veľkosť modelu.

Chcete AI vo firme zaviesť bez rizika a zbytočnej práce? Na bezplatnej 30-minútovej konzultácii prejdeme, kde vám AI ušetrí čas, aké údaje do nej môžu ísť a či dáva zmysel lokálny model alebo cloud. Potom to za vás zapojíme a nastavíme hranice, čo model smie povedať a kedy odovzdá slovo človeku.

Zdroje

1. EUR-Lex: Nariadenie (EÚ) 2024/1689 (AI Act), čl. 3, 4, 5, 50
2. EUR-Lex: Nariadenie (EÚ) 2026/1744 (Digital Omnibus on AI), Ú. v. EÚ L, 24. 7. 2026
3. Európska komisia: AI Act – Regulatory framework for AI (časová os)
4. Európska komisia: AI Literacy – Questions & Answers
5. AI Act Service Desk: čl. 4, čl. 50, čl. 111, čl. 113
6. EUR-Lex: Nariadenie (EÚ) 2016/679 (GDPR), čl. 5, 22, 28, 35, 44
7. ÚOOÚ SR: Stanovisko EDPB k modelom umelej inteligencie
8. EDPB, Support Pool of Experts: AI Privacy Risks & Mitigations – Large Language Models (apríl 2025)
9. SK-CERT (NBÚ): Hrozby spojené s technológiami umelej inteligencie
10. NBÚ: prezentácie z konferencie KYBER 2025: AI a budúcnosť kybernetickej bezpečnosti (november 2025)
11. NR SR: Parlamentná tlač 1447, vládny návrh zákona o štátnej správe v oblasti umelej inteligencie
12. HN24 / TASR: MIRRI získa dohľad nad umelou inteligenciou, parlament posunul zákon do druhého čítania (17. 9. 2026)
13. Ollama: FAQ (súkromie, vypnutie cloudu, OLLAMA_HOST, keep_alive)
14. Vlastný test DigitalMinds, 30. 10. 2026: Debian 13, 8 vCPU Intel Xeon, 16 GB RAM, bez GPU, Ollama 0.40.13, modely qwen3.5:4b, qwen3.5:9b, llama3.2:3b, testovacie údaje.