Jak nastavit smlouvu s OpenAI a Copilotem, aby data zůstala v EU?

Jak zjistit, který plán vám umožní podepsat DPA a zaručit EU residency

První rozhodovací krok je ověřit, zda váš současný tarif umožňuje podepsání Data Processing Addendum (DPA) se standardními smluvními klauzulemi (SCC) a zárukou uložení dat v konkrétních evropských regionech. U OpenAI je DPA k dispozici pouze pro plány Enterprise a pro API uživatele s podepsanou Business Associate Agreement (BAA) nebo Enterprise smlouvou; Free, Plus a Team plány DPA nenabízejí a data mohou být zpracovávána v USA. U Microsoftu Copilotu (M365 Copilot) je DPA součástí Online Services Terms (OST) a Data Protection Addendum pro Microsoft Cloud, kde se residency řídí tenantem · pokud máte tenanta v EU (např. Francfurt, Paříž), data v klidu i při přenosu zůstanou v EU. Pro českou firmu s 50 zaměstnanci, která používá ChatGPT Plus, je jedinou cestou upgrade na Enterprise nebo přechod na API s Enterprise smlouvou; jinak nelze splnit povinnost účinné ochrany dat podle GDPR čl. 28. Modelový scénář: malá marketingová agentura (10 osob) na ChatGPT Plus musí buď zakázat vkládání osobních dat, nebo investovat do Enterprise plánu (od cca 600 USD/měsíc minimální commit), což pro ni může být ekonomicky neúčelné · v takovém případě je bezpečnější nasadit lokální open-source model nebo EU poskytovatele jako Mistral AI hostovaného v EU cloudu.

Jak správně vyplnit a podepsat DPA u OpenAI a Microsoftu tak, aby platil pro vaši českou firmu

Po potvrzení správného plánu následuje technické podepsání DPA. U OpenAI se DPA podepisuje elektronicky v konzoli (Settings → Organization → Data Processing Addendum) po ověření identity organizace a domény; je nutné vyplnit název povinného správce (controller), adresu sídla v ČR, IČO a kontaktní údaje DPO, pokud ho máte. U Microsoftu se DPA uplatňuje automaticky při přijetí OST, ale pro explicitní residency je třeba ověřit v Tenant Admin Center → Settings → Organization profile → Data location, že primární i sekundární datové centrum leží v EU (např. Germany West Central, France Central). Častá chyba: firma má tenanta v EU, ale povolí Cross-region data movement v Power Platform nebo Azure OpenAI Service, čímž data opouští EU hranice. Checklist pro právníka: 1) Ověřit, že DPA odkazuje na SCC 2021/914 (modul Controller-to-Processor). 2) Zkontrolovat, zda příloha DPA vyjmenovává konkrétní subprocesory a jejich lokalitu (OpenAI uvádí své subprocesory v příloze, Microsoft v Trust Center). 3) Ujistit se, že smlouva obsahuje povinnost upozornit na žádost orgánu veřejné moci (čl. 28 GDPR) a povinnost pomoci při útokích na data. 4) Podepsat DPA fyzickou osobou oprávněnou jednat jménem firmy (statutář, prokurař) a uložit PDF verzi do interního registra smluv. Pro střední výrobu (200 zaměstnanců, obrat 500 mil. Kč) s existujícím Microsoft 365 E3 je nejrychlejší cesta aktivace M365 Copilot s ověřením residency tenanta; u OpenAI Enterprise je nutné počítat s 4 až 6 týdny verifikace a minimálním ročním commitem.

Jak nastavit opt-out z tréninku a omezit používání dat pro vylepšování modelů

I se správným DPA a residency platí, že výchozí nastavení u OpenAI API a ChatGPT Enterprise umožňuje použití vašich promptů a výstupů pro trénink budoucích verzí modelů, pokud explicitně neodhlasíte. V OpenAI konzoli (Settings → Data controls) zapněte „Do not train on my content“ · toto nastavení se aplikuje na celou organizaci a zabraňuje uložení konverzací do tréninkových sad. U Microsoftu Copilotu v M365 data z vašeho tenanta nikdy nejsou použita pro trénink základních modelů (GPT-4, atd.), Microsoft to garantuje v OST a DPA; avšak data mohou být použita pro „grounding“ a personalizaci uvnitř vašeho tenanta (Semantic Index), což je zpracování v rámci vašeho řízení a ne trénink modelu. Praktický krok pro IT správce: nastavit Conditional Access a DLP politiky v Purview, které blokují vkládání citlivých klasifikací (rodné číslo, platební karty, zdravotní data) do Copilot chatu. Modelová situace: finanční oddělení banky (regulované sektor, FINMA/ČNB) nesmí vkládat data klientů do žádného cloudového LLM bezplicitního schválení Compliance oddělením; zde je nutné nasadit Azure OpenAI Service s privátním endpointem a vyloučením loggingu do Microsoftu (Data Logging Opt-out formulář), což vyžaduje Enterprise smlouvu s Microsoftem a technickou validaci architektury. Bez tohoto kroku rizikujete porušení bankovního tajemství i GDPR.

Jak řešit přenos dat do USA a podprocesory při používání Azure OpenAI a Copilot Studio

I při EU residency tenanta mohou data opustit EU v rámci podprocesorů (např. podpora Microsoftu z USA, telemetrie, diagnostika). Microsoft nabízí EU Data Boundary (EUDB) program, který zaručuje, že veškerá zákaznická data i pseudonymizované diagnostické data zůstanou v EU; aktivace se žádá přes podporu a trvá 2 až 3 měsíce, dostupná pro komerční a veřejný sektor. U OpenAI Enterprise neexistuje ekvivalent EUDB; subprocesory pro hosting (Azure v USA) a podporu mohou přistupovat k metadatům. Řešení: nasadit Azure OpenAI Service (model GPT-4o hostovaný v Azure) v regionu France Central nebo Germany West Central s privátním endpointem a zakázaným diagnostickým logováním. Tím dosáhnete úrovně, kdy Microsoft k obsahu promptů nemá mít přístup. Pro českou e-shopovou firmu (obrat 50 mil. Kč, 30 zaměstnanců) stačí M365 Copilot s ověřeným tenantom v EU a zapnutým DLP; pro zdravotnickou nemocnici (kategorií speciálních dat dle čl. 9 GDPR) je nutné Azure OpenAI s privátním linkem, EUDB a smlouvou o zpracování dat s Microsoftem upravenou o specifické záruky pro zdravotnictví. Cena Azure OpenAI je spotřebová (tokeny), měsíční náklady pro 10 tisíc dotazů denně se pohybují v řádu desítek tisíc Kč, zatímco M365 Copilot je fixní 30 USD/uživatel/měsíc nad E3/E5 licenci.

Jak připravit interní procesy a dokumentaci pro audit smluv a dozorový orgán

Smlouvy a technická nastavení nejsou stačí · při auditu (ÚOOU, interní audit, certifikace ISO 27001) musíte prokázat, že řízení probíhá průběžně. Vytvořte registr AI systémů (AI Asset Register) s poli: název systému (ChatGPT Enterprise, M365 Copilot), dodavatel, typ dat (osobní, speciální kategorie), právní základ (čl. 6 odst. 1 písm. f GDPR · oprávněný zájem, nebo souhlas), DPA podepsáno (datum), residency potvrzeno (region), opt-out tréninku (ano/ne), DLP pravidla, odpovědná osoba. Aktualizujte Record of Processing Activities (ROPA) o kategorii „Zpracování pomocí generativní AI“. Proveďte DPIA (Data Protection Impact Assessment) před nasazením pro rizikové scénáře (HR screening, compliance monitoring, pacientská data). Plánujte pravidelnou revizi subprocesorů (čtvrtletně) a testování incident response scénáře (útok na model, únik promptů). Pro firmu nad 250 zaměstnanců je povinný DPO, který musí schválit DPIA; menší firmy bez DPO musí mít alespoň písemnou analýzu rizik podepsanou statutářem. CIAD v auditech často zjišťuje, že firmy mají DPA podepsané, ale chybí DPIA a registr AI assetů · to je nejčastější námitka dozorového orgánu.

Jak zvolit mezi OpenAI Enterprise, Azure OpenAI a M365 Copilot podle velikosti a sektoru firmy

Rozhodnutí závisí na kombinaci objemu dat, regulačních požadavků a interních zdrojů. Varianta A: Malá firma do 50 zaměstnanců, bez speciálních kategorií dat, cíl produktivita · stačí M365 Copilot (30 USD/u/m) s ověřeným EU tenantem, DLP v Purview a zapnutým opt-out tréninku (což je default). Varianta B: Střední firma 100 až 500 zaměstnanců, fintech/zdravotnictví, potřeba integrace do vlastních aplikací · Azure OpenAI Service v EU regionu s privátním endpointem, EUDB, Enterprise smlouva s Microsoftem, náklady na infrastrukturu a tokeny orientačně 200 až 500 tis. Kč/měsíc. Varianta C: Velká korporace 1000+ zaměstnanců, smíšené úlohy (kódování, podpora, analýzy) · hybridní: M365 Copilot pro kancelář, Azure OpenAI pro produkční aplikace, OpenAI Enterprise pouze pro specifické use-case vyžadující nejnovější modely dřív než Azure. Vše pod jedním AI Governance frameworkem. Klíčové kritérium výběru dodavatele: schopnost poskytnout DPA se SCC, záruku residency v konkrétním EU regionu, možnost opt-out tréninku, transparentní seznam subprocesorů a podporu EUDB nebo ekvivalentu. Termín: pro nový projekt s AI začněte smluvními pracemi minimálně 8 týdnů před go-live (OpenAI Enterprise verifikace 4 až 6 týdnů, Azure EUDB aktivace 2 až 3 měsíce, DPIA 2 až 4 týdny).

Co to znamená: Pro většinu českých firem je nejrychlejší a nejlevnější cesta k GDPR-kompatibilnímu AI M365 Copilot s ověřeným EU tenantem a zapnutými DLP politikami. Pokud zpracováváte speciální kategorie dat (zdraví, finance) nebo budujete vlastní AI aplikace, je nutné jít do Azure OpenAI Service s privátním endpointem, EU Data Boundary a vlastním DPIA. OpenAI Enterprise dává smysl pouze při specifické potřebě modelů, které Azure ještě nenabízí, a vyžaduje delší přípravu a vyšší fixní náklady. Bez podepsaného DPA a technického vynucení residency (tenant region, privátní link, opt-out) rizikujete pokuty a námitky ÚOOU už při prvním auditu.