Nástroje umelej inteligencie sa stali súčasťou bežnej práce podstatne rýchlejšie, než sa im stihli prispôsobiť vnútorné pravidlá. Zamestnanci vkladajú do jazykových modelov pracovné podklady, personálne útvary testujú nástroje na predvýber uchádzačov a jednotlivé tímy si obstarávajú aplikácie mimo schvaľovacích procesov. Nedávny odklad povinností pre vysokorizikové systémy na december 2027 vytvára iba klamlivý pocit, že na prípravu je ešte čas. Z pohľadu GDPR totiž nejde o novú kategóriu spracúvania, ale o bežné spracúvanie osobných údajov s nadpriemerným rizikom, pri ktorom musí zamestnávateľ podľa článku 5 ods. 2 a článku 24 GDPR súlad aj dosiahnuť, aj preukázať. Vnútorná AI politika je práve tým dokumentom, ktorým ho preukazuje – alebo ktorým dokladuje jeho absenciu.
Rozsah pôsobnosti a register nástrojov
Politika, ktorá nevymedzuje, na čo sa vzťahuje, je nevymáhateľná. Prvou minimálnou požiadavkou je preto vecné a osobné vymedzenie: čo sa na jej účely považuje za nástroj umelej inteligencie vrátane funkcií zabudovaných do bežného kancelárskeho a personálneho softvéru, na koho sa vzťahuje (zamestnanci, dočasne pridelení zamestnanci, dodávatelia) a v ktorých procesoch je použitie prípustné.
Nadväzovať musí register schválených nástrojov a proces schvaľovania nových. Bez neho zamestnávateľ nevie, aké spracúvanie u neho prebieha, a jeho záznamy o spracovateľských činnostiach podľa článku 30 GDPR sú nevyhnutne neúplné. Politika by mala zakázať používanie neschválených nástrojov na pracovné účely a súčasne ponúknuť dostupnú schválenú alternatívu. Samotný zákaz bez alternatívy spravidla vedie len k presunu používania mimo dosah kontroly.
Právny základ, účel a pravidlá pre vstupy
Každé použitie musí mať určený účel a právny základ podľa článku 6, prípadne článku 9 GDPR. Súhlas zamestnanca v dôsledku štrukturálnej nerovnováhy medzi stranami pracovnoprávneho vzťahu spravidla neobstojí. Politika musí zrozumiteľne určiť, čo do nástrojov vkladať možno a čo nie, teda typicky zákaz osobitných kategórií údajov, údajov klientov a tretích osôb a informácií chránených mlčanlivosťou. Zásada minimalizácie sa uplatňuje aj na obsah zadaní.
Osobitnú pozornosť si vyžaduje postavenie poskytovateľa. Ak koná ako sprostredkovateľ, je nevyhnutná zmluva podľa článku 28 GDPR vrátane úpravy ďalších sprostredkovateľov. Ak si vyhradzuje využitie vstupov na trénovanie modelov, ide o spracúvanie na jeho vlastný účel, ktoré treba posúdiť samostatne a spravidla zmluvne vylúčiť. Doplniť treba posúdenie prenosov do tretích krajín podľa článku 44 a nasl. GDPR, dobu uchovávania zadaní a výstupov a opatrenia podľa článku 32 GDPR vrátane riadenia prístupov a logovania.
Ľudský dohľad a rozhodovanie o zamestnancoch
Politika musí vymedziť, v ktorých procesoch smie byť výstup nástroja podkladom pre rozhodnutie o osobe. Ak má rozhodnutie právne alebo podobne významné účinky a je založené výlučne na automatizovanom spracúvaní, uplatní sa článok 22 GDPR. Formálne zaradenie človeka do procesu nepostačuje. Dohľad musí vykonávať osoba s odbornou spôsobilosťou a so skutočnou právomocou výstup zmeniť. Vzhľadom na sklon modelov generovať vecne nesprávne údaje treba zakotviť povinnosť overovania výstupov, keďže zásada správnosti podľa článku 5 ods. 1 písm. d) GDPR sa nevzťahuje len na vstupy.
Posúdenie vplyvu ako podmienka nasadenia
Posúdenie vplyvu podľa článku 35 GDPR nie je voliteľnou súčasťou projektu. Pri nasadení novej technológie spojenej so systematickým hodnotením osôb alebo s rozsiahlym spracúvaním bude spravidla povinné, pričom zohľadniť treba aj zoznam spracovateľských operácií zverejnený dozorným orgánom. Politika by mala určiť, kto posúdenie iniciuje, v akej fáze (pred nasadením, nie po ňom) a kedy sa opakuje, teda typicky pri zmene účelu, dodávateľa alebo funkcionality nástroja. Zodpovedná osoba sa k nemu vyjadruje podľa článku 35 ods. 2 GDPR a pri vysokom zvyškovom riziku prichádza do úvahy predchádzajúca konzultácia podľa článku 36 GDPR. Posúdenie vplyvu na základné práva podľa nariadenia o umelej inteligencii posúdenie podľa GDPR nenahrádza a ani ho časovo neodkladá.
Školenie zamestnancov a pracovnoprávny rozmer
Politika je voči zamestnancom vymáhateľná len vtedy, ak s ňou boli riadne oboznámení. Podľa § 81 písm. c) Zákonníka práce je zamestnanec povinný dodržiavať predpisy vzťahujúce sa na ním vykonávanú prácu práve za tejto podmienky. Ak sa pravidlá začlenia do pracovného poriadku, vyžaduje sa predchádzajúci súhlas zástupcov zamestnancov podľa § 84 Zákonníka práce. Ak nástroj zároveň umožňuje kontrolu zamestnancov, uplatní sa § 13 ods. 4 Zákonníka práce, teda povinnosť prerokovať rozsah kontroly, spôsob jej uskutočnenia a dobu jej trvania a informovať o nich zamestnancov.
Školenie nie je formalitou. GDPR ho predpokladá v článku 39 ods. 1 písm. b) a nariadenie o umelej inteligencii ukladá povinnosť prijať opatrenia na podporu rozvoja gramotnosti v oblasti umelej inteligencie, pričom dohľad nad jej dodržiavaním sa začína v auguste 2026. Školenie by malo byť diferencované podľa rolí, viazané na konkrétne nástroje a zdokumentované.
Najčastejšie chyby
V praxi sa opakuje niekoľko zlyhaní: prevzatie vzorovej politiky, ktorá nezodpovedá reálne používaným nástrojom; absencia registra a schvaľovacieho procesu; vykonanie posúdenia vplyvu až po nasadení alebo jeho nahradenie vyhlásením dodávateľa; spoliehanie sa na súhlas zamestnanca; neriešená otázka trénovania modelu na vstupoch a plošný zákaz bez alternatívy. Rovnako časté je opomenutie, že politika bez určeného vlastníka, kontroly dodržiavania a postupu pri incidentoch zostáva nevykonateľná.
Záver
Vnútorná AI politika nie je dokumentom pre potreby auditu, ale prevádzkovým nástrojom, ktorý prekladá požiadavky GDPR do pravidiel pre konkrétne procesy. Musí byť previazaná so záznamami o spracovateľských činnostiach, s posúdeniami vplyvu, so zmluvami s poskytovateľmi a s pracovnoprávnou dokumentáciou. Politika, ktorá sa reálne neuplatňuje, je pritom horšia než žiadna. Dozornému orgánu totiž preukazuje, že zamestnávateľ riziko poznal, pomenoval ho a napriek tomu ho neriadil.
Kinstellar, s. r. o.
Kinstellar je popredná európska advokátska kancelária s viac ako 480 odborníkmi v Nemecku, Európe a USA. Našou hlavnou činnosťou je poskytovanie vynikajúceho, integrovaného právneho a daňového poradenstva, ktoré je odborne podložené, inovatívne a orientované na výsledok. Spolu so spoločnosťami v skupine Kinstellar vyvíjame taktiež udržateľné riešenia pre financovanie a management. Nami poskytované poradenstvo využívajú skupiny a stredné podniky, ako aj finančné inštitúcie a investori.
V dialógu s našimi mandantmi nachádzame odpovede na všetky právne aspekty ekonomického života. Náš odborný profil tak zahŕňa právo obchodných spoločností vrátane fúzii a akvizícií, súťažné, kartelové ako aj bankové právo vrátane práva kapitálového trhu a podnikového financovania. Špecializujeme sa na právo duševného vlastníctva, právo informačných technológii a telekomunikácií, právne otázky spojené s distribúciou tovaru, právne vzťahy k nehnuteľnostiam, pracovné právo, konkurzné právo, právo životného prostredia. Klientov zastupujeme pred riadnymi aj rozhodcovskými súdmi. Okrem toho ponúkame rozsiahle poradenstvo pri štruktúrovaní a financovaní investičných zámerov.
