Shadow AI: riziko úniku dat a skutečný právní rozsah

Shadow AI označuje používání AI nástrojů zaměstnanci mimo schválená pravidla organizace. Riziko je konkrétní: člověk může vložit osobní údaje, obchodní tajemství nebo interní dokument do služby, jejíž smluvní podmínky, uchování dat a přístupová práva firma neprověřila. Takový postup může vést k nechtěnému zpřístupnění dat. Neznamená však automaticky prokázané porušení dvou nařízení současně.

Co původní zpráva zaměnila

Původní text uváděl 2. srpen 2024 jako počátek uplatňování nových povinností AI Actu. Nařízení vstoupilo v platnost 1. srpna 2024 a jednotlivé povinnosti se používají postupně podle článku 113. Transparentnost podle článku 50 má datum 2. srpna 2026; vysoké riziko má podle současného znění jiné termíny. Použití veřejného chatbotu proto nelze právně vyhodnotit pouze podle názvu nástroje nebo roku přijetí nařízení.

Osobní údaje je nutné posoudit samostatně

Evropský sbor pro ochranu osobních údajů ve stanovisku 28/2024 vysvětluje, že anonymita AI modelu a použití oprávněného zájmu jako právního základu vyžadují konkrétní posouzení. Oprávněný zájem zahrnuje zjištění legitimního zájmu, nezbytnosti zpracování a vyvážení práv dotčených osob. Samotná veřejná dostupnost údajů ani označení služby jako AI tedy posouzení nenahrazují.

Zda konkrétní zaměstnanecké použití porušilo GDPR nebo AI Act, závisí na datech, účelu, roli organizace, nastavení služby a skutečně použitelných povinnostech. Tento článek neprokazuje porušení u žádné konkrétní firmy.

První provozní opatření

Náš doporučený kontrolní postup je vytvořit krátký seznam schválených nástrojů, povolených typů dat a odpovědných osob. Při zjištění neschváleného použití nejprve zaznamenejte službu, účet, vložená data, čas a dostupné informace o dalším zpracování. Podle skutečností potom řešte přístup, uchování či odstranění dat a případnou eskalaci odpovědné osobě.

Jde o navržený způsob triáže, nikoli o tvrzení, že každá událost vyžaduje stejné hlášení nebo automaticky zakládá pokutu. Smyslem je zjistit, co se stalo, a rozhodovat podle doloženého případu.

Oprava a aktualizace, 12. října 2026: Původní zpráva zaměňovala některé termíny a zobecňovala právní povinnosti. Toto znění vychází z aktuálního konsolidovaného nařízení a níže uvedených primárních podkladů. Datum prvního vydání zůstává zachováno.

Zdroje

1. AI Act: konsolidované znění a použitelnosteur-lex.europa.eu
2. EDPB Opinion 28/2024: personal data and AI modelsedpb.europa.eu
3. Původní zpráva SystemOnLinesystemonline.cz