Jak porovnat podmínky ochrany dat u různých AI služeb?

Proč jedna stránka nikdy nestačí

Dodavatel AI služby obvykle nemá o ochraně dat jednu stránku, má jich pět, a každá odpovídá na jinou otázku. Souhrnná stránka o bezpečnosti popisuje obecný přístup a bývá napsaná především k prodeji, ne jako závazný text. Obchodní podmínky upravují používání služby jako celku. Zpracovatelská smlouva (DPA) cílí konkrétně na zpracování osobních údajů. Bezpečnostní nebo certifikační dokumentace popisuje, co bylo skutečně prověřeno a v jakém rozsahu. Seznam subdodavatelů ukazuje, kdo se na zpracování reálně podílí. Nastavení administrace ukazuje, co lze skutečně nastavit vy sami, bez ohledu na to, co dokumentace slibuje.

Porovnávat dvě služby podle jediné z těchto stránek, například jen podle marketingového přehledu, vede k tomu, že srovnáváte věci, které nejsou srovnatelné. Tento text nehodnotí žádnou konkrétní AI službu ani neuvádí, co která aktuálně nabízí; podmínky se mění a jediný spolehlivý zdroj je aktuální dokumentace dodavatele, kterou si sami projdete a u níž si zapíšete datum kontroly. Otázka, co konkrétně smíte s cizími osobními údaji do takové služby vkládat, je samostatné téma, které řeší článek mohu zpracovávat osobní údaje pomocí AI.

Osm otázek a pět míst, kde hledat odpověď

Tabulka nehodnotí žádnou službu. Ukazuje, ve kterém dokumentu se na danou otázku obvykle odpovídá a čeho si v něm všímat. U vybrané služby vyplňte poslední sloupec vlastními zjištěními; prázdné nebo nejasné pole je samo o sobě výsledek, ne chyba tabulky.

Otázka	Obchodní podmínky	Zpracovatelská smlouva (DPA)	Bezpečnostní dokumentace	Seznam subdodavatelů	Nastavení administrace
Trénink modelu a možnost ho vypnout	klauzule o právech k obsahu nebo licenci; často širší, než realita produktu	trénink zpravidla neřeší, jde o jiný účel než zpracovatelský vztah	může uvést, zda je výchozí stav zapnutý, nebo vypnutý	obvykle irelevantní	hledejte přepínač na úrovni organizace, ne jen jednotlivce
Místo zpracování a možnost ho omezit	často jen obecné umístění nebo odkaz jinam	příloha s regiony zpracování a předáním mimo EU	certifikace bývá vázaná na konkrétní region, ne na celou službu	u každého subdodavatele bývá uvedena země	u větších tarifů lze někdy zvolit region ukládání
Doba uchování obsahu a logů	často jedna obecná lhůta bez rozlišení typu dat	měla by rozlišit obsah, metadata a logy zvlášť	popisuje spíš retenci bezpečnostních a auditních logů	obvykle irelevantní	hledejte nastavitelnou lhůtu mazání nebo ruční mazání historie
Kdo jsou subdodavatelé a jak se hlásí změny	často jen odkaz na samostatnou stránku	mechanismus předchozího souhlasu nebo možnost námitky	zřídka, bezpečnostní stránka řeší certifikace, ne řetězec dodavatelů	hlavní zdroj; ověřte datum poslední aktualizace	u některých služeb lze nastavit odběr oznámení o změnách
Osud obsahu po ukončení účtu	lhůta pro export a následné smazání	postup při ukončení zpracovatelské smlouvy	řeší jen zřídka a spíš technicky	obvykle irelevantní	funkce exportu a tlačítko trvalého smazání účtu
Rozsah bezpečnostní dokumentace	obvykle jen odkaz	příloha s technickými a organizačními opatřeními	hlavní zdroj; ověřte rozsah auditu (celá firma, nebo jen jedna služba či region)	obvykle irelevantní	obvykle irelevantní
Závazek k hlášení incidentu	zřídka, může být obecná věta bez lhůty	hlavní zdroj; hledejte konkrétní lhůtu a způsob oznámení	může popsat proces, ale bez lhůty nejde o smluvní slib	obvykle irelevantní	hledejte, zda lze nastavit kontaktní osobu pro bezpečnostní oznámení
Kdo je smluvní strana	přesný název a sídlo subjektu, ne jen značka	strana zpracovatelské smlouvy může být jiný subjekt, například místní pobočka	obvykle irelevantní	pomůže odlišit skupinu subdodavatelů od smluvní strany	fakturační údaje mohou ukázat skutečnou smluvní stranu

Ne každá otázka má odpověď v každém sloupci; pole označené jako obvykle irelevantní neznamená menší pozornost, jen jiné místo hledání. Pokud dokument, kde byste odpověď čekali, na otázku vůbec nereaguje, jde o mezeru k doptání, ne o mlčky předpokládanou odpověď. Podobný test na to, zda vkládaný obsah vůbec patří do veřejně dostupné AI služby, popisuje článek je bezpečné vkládat firemní data do AI nástrojů.

Časté pasti při čtení

Při srovnávání dokumentů napříč službami se opakují čtyři chyby.

Dokumentace jiného tarifu. Bezpečnostní stránka nebo zpracovatelská smlouva někdy popisuje podnikovou nebo API úroveň produktu, zatímco tým reálně používá základní webovou verzi. Ověřte, na který tarif nebo produkt se dokument vztahuje, a zda odpovídá tomu, co je skutečně objednané.

Souhrn, který odporuje závaznému textu. Stránka s odpověďmi na časté dotazy nebo blogový příspěvek dodavatele může podmínky shrnovat zjednodušeně nebo zastarale. Pokud souhrn a závazný dokument nesedí, rozhoduje závazný text, ne přívětivější shrnutí.

Tvrzení platné jen pro konkrétní nastavení. Věta typu „obsah se nepoužívá k trénování“ může platit jen při zapnuté konkrétní volbě nebo jen pro určitý typ účtu. V administraci ověřte, zda je dané nastavení skutečně aktivní pro vaši organizaci, ne jen dostupné jako možnost.

Marketingové ujištění místo smluvního závazku. Věta na hlavní stránce dodavatele není totéž co ustanovení v podmínkách nebo ve zpracovatelské smlouvě. Marketingové ujištění nemá stejnou váhu jako smluvní text; pokud na něm chcete stavět, hledejte odpovídající formulaci přímo ve smlouvě, ne jen na přehledové stránce.

Jak si odpověď zaznamenat

Pro srovnání víc služeb nestačí mít odpověď v hlavě. Pro každou z osmi otázek a pro každou porovnávanou službu si zapište čtyři údaje:

Otázka	Dokument a jeho verze či datum	Co dokument říká (stručně, vlastními slovy)	Datum, kdy jste to ověřili
např. doba uchování obsahu

Vlastní shrnutí místo doslovné citace má výhodu: donutí vás rozhodnout, zda dokumentu skutečně rozumíte, a odhalí mezery dřív, než na ně narazíte při reálném použití. Zápis má datum platnosti; podmínky, zpracovatelské smlouvy i bezpečnostní dokumentace se mění a starší zápis může popisovat stav, který už neplatí. Širší kritéria pro výběr AI nástroje, mimo samotnou ochranu dat, shrnuje článek jak vybrat AI nástroj pro firmu.

Právní minimum a doporučení CIAD

Nařízení (EU) 2016/679 (GDPR) stojí v pozadí víc otázek z tabulky výše. Zásada omezení uložení souvisí s otázkou doby uchování. Článek 28 souvisí s otázkou subdodavatelů a jejich schvalování. Článek 32 souvisí s otázkou rozsahu bezpečnostní dokumentace a s hlášením incidentů. Ustanovení o předávání osobních údajů mimo Evropský hospodářský prostor, mimo jiné článek 44, souvisí s otázkou místa zpracování. Toto shrnutí pojmenovává, kterých otázek se dané články týkají; nehodnotí, zda konkrétní služba tyto povinnosti plní.

Evropský sbor pro ochranu osobních údajů ve stanovisku 28/2024 uvádí, že vztah konkrétního AI modelu k osobním údajům je nutné posuzovat případ od případu, ne předpokládat jen podle popisu produktu. To platí i pro tuto tabulku: dvě služby se stejným marketingovým popisem mohou mít odlišné skutečné zpracování, a stejný popis produktu nemusí znamenat stejný výsledek posouzení. Základní pojmy, se kterými taková analýza pracuje, vysvětluje článek GDPR a umělá inteligence.

Toto je redakční návod, jak dokumentaci číst, ne právní posouzení jakékoli konkrétní AI služby. Zda zjištěné odpovědi u konkrétní služby a konkrétního použití vašim potřebám vyhovují, posuďte se svým právníkem nebo pověřencem pro ochranu osobních údajů; u zpracování osobních údajů je jejich zapojení vhodné už při výběru dodavatele, ne až po podpisu smlouvy.

Stav zdrojů a omezení

Tento text je čtecí návod, ne srovnání ani hodnocení konkrétních AI služeb. Nepopisuje aktuální podmínky žádného konkrétního dodavatele, protože se běžně mění a redakce nemá uzavřený zdroj, ze kterého by k nim mohla bezpečně citovat. GDPR a stanovisko Evropského sboru pro ochranu osobních údajů podkládají jen obecné pojmy, ze kterých osm otázek v tabulce vychází, ne závěr o souladu kterékoli konkrétní služby. Odpovědi, které si do posledního sloupce nebo do vlastního zápisu doplníte, mají datum platnosti: dokumentaci je vhodné znovu projít při každé podstatné změně tarifu, nastavení nebo při obnovení smlouvy. Právní posouzení, zda zjištěné odpovědi danému použití vyhovují, patří vašemu právníkovi nebo pověřenci pro ochranu osobních údajů, ne této stránce.