Nulové uchovávání dat: kdo ho nabízí a za jakých podmínek

Potřebujete poslat kus klientského kódu do nástroje, který ho má jen zkontrolovat, ne se z něj učit. Nebo pracujete v advokátní kanceláři a nesmíte riskovat, že se úryvek smlouvy objeví jako trénovací data u cizího modelu. V takové chvíli hledáte konkrétní frázi v podmínkách: nulové uchovávání dat. Zjistili jsme, kteří poskytovatelé z korpusu série ji ve svých dokumentech skutečně mají, co za ní stojí a co i po zapnutí zůstává mimo dosah.

Co poskytovatelé nazývají nulovým uchováváním dat

Nejjasnější popis, jak nulové uchovávání funguje z pohledu uživatele, dává Together AI. Jde o přepínač přímo v nastavení účtu:

By choosing “No”, you are enabling Zero Data Retention (“ZDR”) for your use of the Services. Under ZDR, the content you submit, including texts, images, or prompts and any outputs provided to you by the Services are not stored, retained, or used for model training, product improvements, or any secondary purposes except as needed to provide the Services to you.

Volbou “Ne” zapnete nulové uchovávání dat (zkratka ZDR) pro své používání služeb. V režimu ZDR se obsah, který odešlete, včetně textů, obrázků nebo zadání, ani žádné výstupy, které vám služby vrátí, neukládají, neuchovávají ani nepoužívají k trénování modelu, zlepšování produktu nebo jinému účelu, kromě toho, co je nutné k samotnému poskytnutí služby.

To je nejsilnější slib v celém srovnání: obsah se nemá uložit vůbec, ne že by se rychle smazal. Podmínky ale rovnou dodávají mez, na kterou narazíte, pokud přepnete až po prvním nahrání citlivého souboru:

ZDR applies only from the moment you enable it and does not affect any data processed prior. This means we cannot later access, retrieve, correct, export, or delete your Personal Data on your behalf as it is removed from our systems as soon as processing concludes.

Nulové uchovávání dat platí jen od okamžiku, kdy ho zapnete, a netýká se dat zpracovaných předtím. To znamená, že vaše osobní údaje pro vás už nemůžeme později zpřístupnit, opravit, exportovat ani smazat, protože mizí z našich systémů, jakmile zpracování skončí.

Tahle druhá věta má dva důsledky. Pro obsah odeslaný předtím ZDR nepomůže o nic víc než standardní mazání. Pro obsah odeslaný po zapnutí je výsledek naopak přísnější: Together přiznává, že jakmile něco projde v režimu nulového uchovávání, nedokáže to zpětně dohledat, opravit ani exportovat, protože si to fyzicky neponechal.

Kdo ho nabízí a za jakou cenu

Windsurf definuje stejný pojem formálně, jako smluvní termín s vlastním číslem oddílu:

Zero Data Retention (ZDR): means Customer Data is (i) not saved to disk or otherwise persistently retained, and (ii) deleted upon generation of the relevant Output.

Nulové uchovávání dat (ZDR) znamená, že data zákazníka se neukládají na disk ani jinak trvale neuchovávají a smažou se ve chvíli, kdy vznikne příslušný výstup.

Přístup k němu má ale jasnou podmínku, kterou Together nemá:

Cognition may use Customer Data for model training purposes and to improve and enhance the Services. If you subscribe to a paid Service Tier, you may opt out of this use (“Opt-Out”). Following an Opt-Out election: (A) Customer Data will not be used for any other purpose, including training language models; and (B) Zero Data Retention will be enabled with our model providers. For the Teams Service Tier, only an administrator may exercise the Opt-Out.

Cognition, firma za Windsurfem, smí data zákazníka používat k trénování modelu a ke zlepšování služeb. Pokud máte předplacenou placenou úroveň služby, můžete se z tohoto použití odhlásit. Po odhlášení se data nepoužijí k žádnému jinému účelu, včetně trénování jazykových modelů, a u poskytovatelů modelů, přes které Windsurf běží, se zapne nulové uchovávání dat. U úrovně služby Teams smí odhlášení provést jen správce.

Nulové uchovávání dat tu tedy není samostatný přepínač, je to vedlejší účinek placeného odhlášení z tréninku. Kdo používá bezplatnou úroveň, tuhle cestu podle textu nemá vůbec. Kdo je členem týmového účtu, nemá ji sám za sebe, rozhoduje o ní správce za celou organizaci. Stejný vzorec, kdy o nastavení nerozhoduje jednotlivec, popisuje i OpenRouter:

Authorized Users may only use the Service as configured by the Admin User, with such configurations which may include, without limitation, enabling prompt logging, chat logging, zero data retention, model training, and other settings.

Oprávnění uživatelé smí službu používat jen v nastavení, které určí správce účtu, a toto nastavení může mimo jiné zahrnovat zapnutí protokolování zadání, protokolování konverzací, nulové uchovávání dat, trénování modelu a další volby.

Jediný poskytovatel v korpusu, u kterého je nulové uchovávání dat výchozí stav, ne volba, kterou musíte aktivovat, je Fireworks, a to jen pro jednu kategorii modelů:

Zero Data Retention: We do not log or store prompt or generation data for any open models without explicit user opt-in*.

Nulové uchovávání dat: u žádného z otevřených modelů nezaznamenáváme ani neukládáme data ze zadání nebo z generování, pokud k tomu uživatel výslovně nedá souhlas.

Fireworks tedy obrací obvyklý vzorec: místo žádosti o nulové uchovávání byste museli výslovně svolit k tomu, aby se u otevřených modelů něco logovalo. Dokument se ale omezuje jen na otevřené modely, ne na celou nabídku firmy.

Poskytovatel	Nulové uchovávání dat	Za jakou podmínku
Together AI	Ano, přepínač v nastavení účtu	Zdarma, zapíná si ho sám kdokoli s účtem
Windsurf	Ano, jako vedlejší efekt odhlášení z tréninku	Jen u placené úrovně služby, u týmu jen správce
OpenRouter	Ano, jako jedna z voleb konfigurace	U organizačního účtu ji nastavuje správce, ne člen
Mistral	Ano, u rozhraní API po aktivaci	Bez ní platí třicetidenní uchovávání kvůli kontrole zneužití
Fireworks	Ano, jako výchozí stav u otevřených modelů	Platí, dokud sami nedáte souhlas s protokolováním

Co i po zapnutí zůstává

Nulové uchovávání dat nezní jako pojem, který připouští výjimky, ale ve dvou dokumentech z korpusu výjimku výslovně má. Windsurf ji formuluje jako samostatný oddíl:

ZDR does not preclude retention or disclosure of Customer Data (i) flagged on automated safety and abuse-detection classifiers; (ii) to perform safety, security, and AUP compliance review; or (iii) as compelled by applicable law or legal process.

Nulové uchovávání dat nebrání uchování nebo zpřístupnění dat zákazníka, pokud jsou označena automatickými klasifikátory bezpečnosti a zneužití, potřebná ke kontrole bezpečnosti, zabezpečení a souladu s pravidly přijatelného použití, nebo vyžádaná platným právem či právním řízením.

Mistral má u svého rozhraní API podobnou konstrukci, ale s opačným výsledkem. Standardně platí, že vstupy a výstupy drží třicet plovoucích dní kvůli kontrole zneužití, a tahle kontrola je jedním z důvodů, proč jinde v sérii Mistral skóruje hůř na uchovávání. U nulového uchovávání ale dokument říká, že tahle konkrétní výjimka odpadá:

Automated moderation, including abuse monitoring on our APIs (except, in this last case, when zero data retention has been activated), to enforce the Agreement.

Automatizovaná moderace, včetně kontroly zneužití u našich rozhraní API (kromě tohoto posledního případu, kdy je aktivováno nulové uchovávání dat), za účelem vymáhání této smlouvy.

Rozdíl je věcný, ne jen formulační. U Windsurfu zůstává bezpečnostní a právní výjimka aktivní bez ohledu na to, jestli si nulové uchovávání zapnete. U Mistralu podle stejné věty aktivace vyřadí i kontrolu zneužití, která jinak běží automaticky. Který z obou přístupů převažuje u zbylých poskytovatelů z tabulky výše, korpus neuvádí, takže to nedomýšlíme.

Jak je to závažné

Nejvíc na tomhle rozdílu záleží tomu, kdo pracuje s daty, která nejsou jeho vlastní. Advokátní koncipient, který ověřuje formulaci smlouvy přes rozhraní API napojené na Mistral, spoléhá na to, že s aktivním nulovým uchováváním obsah nikdo ani krátkodobě neprohlédne, protože se u něj vypíná i automatická kontrola zneužití. Vývojář, který pro klienta testuje kód ve Windsurfu, i po zaplacené úrovni s odhlášením z tréninku počítá s tím, že bezpečnostní klasifikátor a právní požadavek mají podle podmínek přednost před slibem nulového uchovávání.

Druhá skupina jsou firmy s organizačním účtem u OpenRouteru nebo Windsurfu. Jednotlivý zaměstnanec si nulové uchovávání sám nezapne, ať chce jakkoli. Pokud správce nastavení nezvolí, celý tým pracuje v běžném režimu, i kdyby si jednotlivec myslel, že je chráněný stejně jako ten, kdo si přepínač u Together AI zvolí sám za sebe.

Jak nulové uchovávání zapnout, pokud ho poskytovatel má

Cesta se liší podle toho, kdo o nastavení rozhoduje:

• Together AI: v části Privacy & Security ve vlastním účtu zvolte “Ne” u otázky, jestli chcete ukládat zadání nebo dovolit trénink na vašich datech. Aktivace platí okamžitě a jen dopředu.
• Windsurf: vyžaduje placenou úroveň služby a samostatnou volbu odhlášení z použití dat k tréninku. U týmového účtu ji musí provést správce za celou organizaci, jednotlivý člen ji nemá k dispozici.
• OpenRouter: u organizačního účtu nastavení volí správce v konfiguraci účtu, kde je nulové uchovávání jednou z položek vedle protokolování zadání a trénování modelu.
• Fireworks: u otevřených modelů žádný krok dělat nemusíte, nulové uchovávání je výchozí stav, dokud sami nedáte souhlas s protokolováním.
• Mistral: dokument v korpusu jen konstatuje, že nulové uchovávání “lze aktivovat” u rozhraní API, samotný postup ani to, kdo aktivaci provádí, nerozvádí. Pro konkrétní krok je nutné obrátit se přímo na Mistral.

Co nulové uchovávání nevyřeší

Ani u nejsilnějšího slibu z celého srovnání neplatí, že s ním zmizí úplně všechno. Together výslovně přiznává, že vlastní ochranu nedokáže uplatnit zpětně na obsah odeslaný před zapnutím. Windsurf a Mistral si nechávají prostor pro bezpečnostní a právní zásah, i když se v rozsahu téhle výjimky mezi sebou liší. A žádný z dokumentů v korpusu nerozšiřuje nulové uchovávání na to, co model případně pochytil ještě předtím, než jste ho vy sami začali používat, protože to už je součástí základního tréninku, ne vašeho konkrétního vstupu.

Jak požádat o výmaz

Právo na výmaz podle článku 17 obecného nařízení o ochraně osobních údajů platí bez ohledu na to, jestli má poskytovatel nulové uchovávání dat, nebo ne. Podle článku 12 odstavce 3 GDPR musí poskytovatel na žádost odpovědět do jednoho měsíce, s možností prodloužení o další dva měsíce u složitých případů.

U poskytovatelů s aktivním nulovým uchováváním je žádost o výmaz paradoxně bezpředmětná: obsah odeslaný v tomto režimu se podle dokumentů vůbec neuloží, takže záznam, na který by žádost mířila, neexistuje. Together k tomu navíc dodává, že jakmile jednou zpracování skončí, nedokáže vám ten konkrétní obsah zpětně ani dohledat, natož ho upravit nebo exportovat.

Pro obsah odeslaný mimo tenhle režim, tedy před jeho zapnutím nebo u poskytovatele, který ho vůbec nenabízí, vede žádost přes kontaktní adresu z příslušné zásady ochrany údajů (odkazy jsou v sekci Zdroje pod tímto článkem). U organizačního účtu s administrátorem, jako je Windsurf Teams nebo OpenRouter pro firmy, žádost obvykle musí podat nebo aspoň potvrdit správce účtu, protože jednotlivý uživatel nemá nad daty organizace plnou kontrolu. Do žádosti uveďte, že jde o žádost podle článku 17 GDPR, e-mail nebo účet, pod kterým jste službu používali, a požádejte o písemné potvrzení provedení.

Co žádost nevyřeší u žádného z porovnaných poskytovatelů: obsah, který posloužil k trénování ještě předtím, než jste nulové uchovávání zapnuli nebo než jste o výmaz požádali. Tenhle princip platí napříč celou sérií, ne jen u téhle skupiny.

Jak se chránit, i když nic nevypnete

• Než nahrajete cokoli citlivého, ověřte si v nastavení účtu, jestli je nulové uchovávání skutečně zapnuté, ne jen dostupné jako možnost v dokumentu. U placených a organizačních účtů si od správce vyžádejte potvrzení.
• Aktivujte nulové uchovávání dřív, než odešlete první citlivý soubor. Podle Together AI ochrana nepůsobí zpětně, takže nahrání před aktivací nedohoní.
• Počítejte s tím, že bezpečnostní a právní výjimka zůstává v platnosti i s aktivním nulovým uchováváním. Neposílejte nikam nic, u čeho by vám vadilo, aby to při podezření na porušení pravidel prošlo lidskou kontrolou.
• Pokud pracujete s cizími citlivými daty pravidelně a poskytovatel nulové uchovávání nenabízí, řešte to zpracovatelskou smlouvou nebo modelem na vlastním počítači, kde citlivý obsah server poskytovatele vůbec neuvidí.
• U organizačního účtu nespoléhejte na to, že vás chrání stejné nastavení, jaké má kolega u svého osobního účtu jinde. Rozhoduje o něm správce, ne vy.

Co vám garantuje evropské právo

Nulové uchovávání dat je smluvní slib poskytovatele, ne kategorie z GDPR. Evropské právo samo žádný takový pojem nezná, jeho zásada je obecnější: podle článku 5 obecného nařízení smí správce data zpracovávat jen po dobu nezbytnou k účelu, bez ohledu na to, jestli firma nabízí pojmenovaný režim, nebo ne. Právo na přístup, opravu, výmaz a námitku platí stejně, ať dokument o nulovém uchovávání mluví, nebo mlčí úplně. Výjimky pro bezpečnostní kontrolu a plnění právní povinnosti, které Windsurf a Mistral do podmínek zapsaly, odpovídají tomu, co GDPR samo připouští jako legitimní důvod zpracování nad rámec původního účelu, takže nejde o obcházení práva, jen o rozsah, který si poskytovatel v jeho mezích zvolil. AI Act k retenci dat žádnou vlastní lhůtu nepřidává.

Verdikt

Patnáct bodů z třiceti, ne za jednu firmu, ale za skupinu poskytovatelů, kteří pojem nulové uchovávání dat ve svých podmínkách skutečně mají. Nejsilnější zjištění z celého srovnání je, jak málokdy je tenhle režim opravdu nulový bez výjimky: Windsurf i Mistral si nechávají prostor pro bezpečnostní a právní zásah, jen v jiném rozsahu. Nejvstřícnější je Together AI, protože přepínač dá zdarma každému, ne jen placenému tarifu nebo správci organizace. Nejpřísnější mez patří jemu samému: přiznává, že jakmile nulové uchovávání jednou zpracuje váš obsah, nedokáže vám ho zpětně ani dohledat. Ochrana, kterou nejde vzít zpátky ani ve váš prospěch, je pořád ochrana, ale funguje jen jedním směrem.