AI chat po nových pravidlech EU: 9 kontrol transparentnosti a soukromí

AI chat na webu už není jen otázkou správné odpovědi. Návštěvník musí rozumět, že komunikuje s AI, vědět, co se děje s jeho údaji, a mít bezpečnou cestu k člověku. Od 2. srpna 2026 se uplatňují požadavky transparentnosti podle článku 50 evropského AI Actu. Zásady GDPR — zákonnost, transparentnost, omezení účelu, minimalizace, omezení uchovávání a bezpečnost — platí nezávisle na nové regulaci.

Tento článek je praktický provozní kontrolní seznam, nikoli právní stanovisko. Přesné role a povinnosti závisí na konkrétním řešení, účelu a údajích; citlivé nasazení konzultujte s DPO nebo právníkem.

Dobrý AI chat nic nepředstírá, nevyžaduje údaje „pro jistotu“ a nenechá návštěvníka bez lidské pomoci.

Co se změnilo od srpna 2026

Evropská komise vysvětluje, že systémy pro přímou obousměrnou komunikaci s lidmi — například chatboty a AI agenti — mají uživatele informovat, že komunikuje s AI, pokud to není zjevné. Povinnost je formulována hlavně pro poskytovatele systému, ale firma či obec musí ověřit, že informace zůstane viditelná i po vložení widgetu na vlastní web.

AI Act nenahrazuje GDPR. Pokud chat přijímá jméno, e-mail, číslo objednávky, obsah podání nebo jiný osobní údaj, je nutné samostatně řešit účel, právní základ, informace, přístupy, retenci a bezpečnost. Ani externí AI model automaticky neznamená anonymní data; EDPB požaduje posouzení podle konkrétního případu.

Devět kontrol před spuštěním AI chatu

1. Jasně sdělte, že odpovídá AI

Označení ukažte před první zprávou nebo nejpozději na začátku interakce, ne pouze v podmínkách. Jednoduchá věta „Komunikujete s AI asistentem“ stačí. Automatickou odpověď odlište od zprávy operátora.

2. Pojmenujte účel chatu

Navigace po webu, produktové poradenství a stav objednávky jsou různé účely. Popište je konkrétně a nepoužívejte konverzace pro neslučitelný nový účel bez dalšího posouzení. U každého pole musíte umět vysvětlit jeho potřebu.

3. Sbírejte minimum údajů

Pro otevírací dobu nepotřebujete jméno ani e-mail. Kontakt žádejte až tehdy, když má odpovědět člověk. U objednávky používejte jen údaje nutné pro bezpečné spárování a nikdy v běžném chatu nežádejte hesla, celé údaje karty ani kopie dokladů.

4. Varujte před citlivými údaji

Krátká věta u vstupu může zabránit odeslání rodného čísla, zdravotní dokumentace nebo přihlašovacích údajů. Pokud jsou citlivé údaje nezbytné, obecný webový chat obvykle není správný kanál; vytvořte oddělený zabezpečený proces.

5. Zpřístupněte stručné informace o soukromí

Uveďte odkaz na srozumitelné informace o správci, účelech, právním základu, kategoriích údajů, příjemcích, přenosech mimo EU, době uchování a právech. Text má popisovat skutečný tok dat, ne obecné „používání AI“.

6. Nastavte retenci a přístupy

Konverzace neuchovávejte navždy jen proto, že úložiště je levné. Určete lhůtu pro běžné chaty, otevřené požadavky i auditní záznamy a po jejím uplynutí data vymažte nebo anonymizujte. Přístup mají mít pouze lidé, kteří ho potřebují.

7. Zmapujte dodavatele a přenosy

Sepište, kde běží widget, aplikace, databáze, analytika a AI model. Ověřte smluvní role, subdodavatele, regiony a pravidla přenosu. Tvrzení „data nepoužíváme k trénování“ nenahrazuje celý přehled zpracování.

8. Nabídněte člověka a bezpečný konec

Při stížnosti, nejasné identitě, citlivém případu nebo opakovaném selhání nabídněte živého operátora či jiný kontakt. Po převzetí jasně ukažte, že odpovídá člověk, a zachovejte jen potřebný kontext.

9. Testujte i špatné scénáře

Zkuste vložit osobní údaje, požádat o výmaz, poslat škodlivý pokyn, použít cizí číslo objednávky a vyvolat předání operátorovi. Ověřte logy, oprávnění, limity i výpadek modelu. Test opakujte po významné změně zdrojů, modelu nebo integrace.

Praktický příklad: dotaz na objednávku

Zákazník napíše: „Kde je moje objednávka 1248?“ Špatný tok zobrazí stav jen podle čísla. Lepší tok vysvětlí, že odpovídá AI, vyžádá pouze údaj nutný k bezpečnému ověření, nesdělí více detailů, než je nutné, a při neshodě neprozradí existenci objednávky. Pokud ověření selže, nabídne operátora bez žádosti o heslo či platební údaje.

Stejný princip platí pro obec. K nalezení formuláře nebo termínu svozu není potřeba identita občana. Konkrétní řízení má chat přesunout do autorizovaného kanálu, nikoli shromažďovat celý spis v anonymním okně.

Kontrola za 15 minut

• Je před první zprávou zřejmé, že jde o AI?
• Ví návštěvník, k čemu chat slouží a co do něj nemá psát?
• Jsou povinná pole skutečně nezbytná?
• Vede od chatu krátká cesta k informacím o soukromí?
• Má každý typ konverzace dobu uchování?
• Znáte všechny zpracovatele a regiony?
• Funguje předání člověku i při výpadku AI?
• Umíte vyřídit přístup, opravu nebo výmaz?
• Máte záznam o posledním bezpečnostním testu?

Informio staví AI asistenta nad kontrolovanými zdroji, umožňuje nastavit povolené domény, omezit zneužití a předat rozhovor operátorovi ve stejném widgetu. Technické funkce však vždy doplňte vlastním účelem, retenčními pravidly a informacemi o zpracování.

Chcete prověřit návrh AI chatu pro svou firmu nebo obec? Ozvěte se Informio.

Zdroje

• Evropská komise – pokyny k článku 50 AI Actu
• Evropská komise – otázky a odpovědi k článku 50
• Evropská komise – zásady GDPR
• EDPB – stanovisko k modelům AI a GDPR