Můžou zaměstnanci používat osobní účet ChatGPT k pracovním úkolům?

Rozdíl v podmínkách zpracování dat mezi tarify

Osobní tarify Free, Plus a Pro ve výchozím stavu umožňují OpenAI využívat obsah konverzací k trénování budoucích modelů. I když uživatel v nastavení vypne volbu „Improve the model for everyone“, data stále procházejí systémy OpenAI a mohou být uchována až třicet dnů pro monitoring zneužití. U firemních tarifů Team a Enterprise je trénování na vašich datech standardně zakázáno, data neopouštějí vaši instanci a máte smluvní záruky (DPA, SCC) pro přenos do USA. Pro české firmy to znamená, že vložení smlouvy, kódu nebo interního reportu do soukromého Chatu je de facto únik dat.

Co je shadow AI a proč ho řešit

Shadow AI označuje používání nástrojů umělé inteligence bez vědomí nebo schválení IT a bezpečnostního týmu. Zaměstnanec často neví, že osobní účet nemá smlouvu o zpracování dat (DPA) a že firemní data tak putují k třetím stranám bez právního titulu. V auditech se ukazuje, že většina úniků není záměrná, ale plyne z pohodlí · lidé používají to, co znají z domova. Firma tím ztrácí kontrolu nad tím, kde končí její know-how, a porušuje povinnosti z GDPR i NIS2.

Praktické kroky k zakázání osobních účtů a nasazení firemních

1. V interní směrnici uveďte, že pro pracovní úkoly je povolen pouze firemní tenant (ChatGPT Team/Enterprise, Copilot, Gemini for Workspace atd.).
2. Na firemní síti i zařízeních zablokujte přístup k chat.openai.com a dalším veřejným LLM rozhraním.
3. Zřiďte firemní účty s vypnutým trénováním, nastavte retenční politiky a přidejte DLP pravidla, která zabrání vkládání citlivých identifikátorů (IČO, rodná čísla, API klíče).
4. Proveďte krátké školení: ukážete rozhraní firemního tenanta, kde najít historii a jak exportovat data při odchodu zaměstnance.
5. Pravidelně auditujte logy přístupů a upozorňujte na pokusy o obejití politiky.

Co když už data v osobním účtu jsou

Pokud zaměstnanec už vložil citlivé informace do soukromého Chatu, okamžite požádejte o smazání konverzace v historii a následně otevřete u OpenAI žádost o vymazání dat (Data Deletion Request) podle čl. 17 GDPR. OpenAI data smaže ze svých systémů do třiceti dnů, ale modely, které se na nich již naučily, nelze zpětně „odtrénovat“. Proto je prevence klíčová · po úniku nelze know-how z modelu vymazat.

Alternativy pro menší firmy bez IT oddělení

Malé podniky, které si nechtějí platit Team tarif (minimálně dvě licence), mohou využít Microsoft Copilot v Microsoft 365 Business Premium · ten už má DPA, data netrénují a je součástí stávající licence. Další možnost je lokální model přes Ollama nebo LM Studio na firemním serveru, kde data neopouští síť. Obě varianty vyhovují požadavkům na důvěrnost lépe než jakýkoli osobní účet.

Co to znamená: Osobní účet ChatGPT pro práci není jen špatná praxe, je to pravděpodobné porušení smluv i zákona. Firma musí nastavit jasnou politiku, poskytnout schválený nástroj a technicky zablokovat shadow AI, jinak rizikuje pokuty, únik know-how a ztrátu důvěry partnerů.