Jana vede jednoosobovou účetní kancelář a do ChatGPT vloží přiznání klienta na osobním účtu. Petr dělá totéž z korporátní firmy, ale přes API účet spravovaný administrátorem centrálně. Oba nahrávají podobně citlivá data: jméno klienta, částky, smluvní podmínky. Podle podmínek poskytovatele ale jde o dva odlišné právní vztahy. Rozdíl je v tom, kdo se podpisem stává správcem dat a kdo jen zpracovatelem.
Co podmínky opravdu říkají
Poskytovatelé AI nástrojů oddělují dva světy: běžný spotřebitelský účet a firmy či vývojáře přistupující přes API nebo podnikový tarif. OpenAI to potvrzuje přímo, obecné zásady ochrany údajů se na firemní obsah nevztahují, platí pro něj samostatná zákaznická smlouva. U osobního účtu je poskytovatel správcem a rozhoduje sám, k čemu obsah použije. U firemního nebo API účtu se role mění, jak popisuje Mistral AI:
Customer is the Controller of the Personal Data. Mistral AI Processes the Personal Data on behalf of Customer as a Processor.
Zákazník je správcem osobních údajů, Mistral AI zpracovává osobní údaje jménem zákazníka jako zpracovatel. Poskytovatel tak sestupuje z pozice toho, kdo si sám určuje účel zpracování, do role dodavatele, který smí s daty dělat jen to, co mu zákazník výslovně dovolí ve smlouvě. Podle článku 28 obecného nařízení zpracovatel nesmí data použít pro vlastní účely mimo pokyny zákazníka.
Role zpracovatele ale automaticky neznamená vypnutý trénink. I ve zpracovatelské smlouvě Mistral AI zůstává trénink výchozí položkou, dokud ji zákazník sám nevyřadí. Rozdíl proti osobnímu účtu je v tom, kdo o vypnutí rozhoduje: u osobního účtu zaměstnanec sám za sebe a může na něj zapomenout, u firemního jedna smlouva pro všechny uživatele najednou. Přístup lidí se přesouvá, nemizí: uvnitř firmy vidí obsah administrátor účtu, role, která u osobního účtu neexistuje.
Jak je to závažné
Pro Janu to znamená, že klientovo přiznání leží v systému, kde je zároveň zákazníkem i osobou odpovědnou za data třetí strany, protože jméno klienta a částky jsou osobní údaje, za které jako správce odpovídá. Pokud poskytovatel naloží s obsahem podle spotřebitelských podmínek a použije ho k tréninku, dokud sama nevypne přepínač, odpovědnost vůči klientovi nese ona. Petr je v jiné pozici jen díky tomu, že za něj zpracovatelskou smlouvu sjednal někdo jiný: firma díky ní má nárok znát okruh subdodavatelů a uplatnit odpovědnost přímo vůči poskytovateli. Živnostník na osobním účtu tuhle páku nemá. Zaměstnanec, který si na firemní počítač nainstaluje osobní účet a nahraje interní dokument, navíc vystavuje firmu riziku dat pod podmínkami, které zaměstnavatel nikdy neschválil.
Jak požádat o vymazání dat
Cesta se liší podle toho, kdo je správcem. Pokud jste fyzická osoba na osobním účtu, žádáte přímo poskytovatele. U OpenAI vede cesta přes nástroje v účtu (sekce Ovládání dat), formulář na privacy.openai.com nebo e-mail na dsar@openai.com, pověřence pro ochranu osobních údajů na dpo@openai.com. Podle článku 12 odstavce 3 obecného nařízení má poskytovatel na vyřízení jeden měsíc. Pokud ale data leží pod firemním nebo API účtem, správcem je vaše firma: žádost patří firemnímu pověřenci, který ji předá poskytovateli podle mechanismu ve zpracovatelské smlouvě. Zaměstnanci, který žádost pošle rovnou poskytovateli, to nepomůže, smlouva svěřuje pokyny výhradně zákazníkovi jako celku. V obou případech ale platí totéž: jakmile obsah jednou posloužil k trénování modelu, smazání konverzace naučené parametry nevrací zpět, jde jen zamezit opakování.
Jak se chránit
- Než něco nahrajete pod osobním účtem, ověřte, jestli v tom je jméno nebo cokoli, za co odpovídáte vůči třetí osobě. Pokud ano, patří to pod firemní účet.
- Přejděte na firemní nebo API tarif a rovnou vyžádejte podepsání zpracovatelské smlouvy, samotná fakturace na firmu k tomu nestačí.
- Ověřte si u poskytovatele nulové uchovávání dat u API a aktivujte ho ručně, není to výchozí nastavení.
- Vyžádejte si seznam subdodavatelů, na které smí poskytovatel data dál předat.
- Zakažte zaměstnancům nahrávat firemní dokumenty do osobních účtů.
Verdikt
Firemní nebo API účet mění především to, kdo rozhoduje a kdo za rozhodnutí odpovídá, automatickou bezpečnost dat negarantuje. Zpracovatelská role poskytovatele je reálná právní páka, funguje ale jen tehdy, když ji firma skutečně využije: podepíše smlouvu, aktivuje nulové uchovávání a vypne trénink za celý tým. Bez tohoto kroku zůstává firemní tarif jen dražší verzí spotřebitelského účtu se stejným zacházením s daty. Firemní e-mail sám o sobě nechrání nikoho, chrání jen podepsaná smlouva, kterou za uživatele musí někdo skutečně uzavřít.
ZDROJE A CITACE
Citace 8
Customer is the Controller of the Personal Data. Mistral AI Processes the Personal Data on behalf of Customer as a Processor.
Zákazník je správcem osobních údajů. Mistral AI zpracovává osobní údaje jménem zákazníka jako zpracovatel.
Training its artificial intelligence models in accordance with its Privacy Policy , unless Customer is or has opted-out of training.
Trénink svých modelů umělé inteligence v souladu se svými zásadami ochrany údajů, pokud zákazník trénink nevypnul nebo ho již vypnutý nemá.
Automated moderation, including abuse monitoring on our APIs (except, in this last case, when zero data retention has been activated), to enforce the Agreement.
Automatizovaná moderace, včetně sledování zneužití na našich API (s výjimkou tohoto posledního případu, pokud bylo aktivováno nulové uchovávání dat), za účelem vymáhání této smlouvy.
This Privacy Policy does not apply to content that we process on behalf of customers of our business offerings, such as our API. Our use of that data is governed by our customer agreements covering access to and use of those offerings.
Tyto zásady ochrany údajů se nevztahují na obsah, který zpracováváme jménem zákazníků našich firemních nabídek, jako je naše API. Naše použití těchto dat se řídí zákaznickými smlouvami upravujícími přístup k těmto nabídkám a jejich používání.
Our Business Terms govern use of ChatGPT Enterprise, our APIs, and our other services for businesses and developers.
Naše obchodní podmínky upravují používání ChatGPT Enterprise, našich API a dalších služeb pro firmy a vývojáře.
You can exercise some of these rights through your OpenAI account using the tools described in the Data controls section , or you can submit your request through privacy.openai.com (opens in a new window) or to dsar@openai.com . You can contact our data protection officer at dpo@openai.com .
Některá z těchto práv můžete uplatnit přes svůj účet OpenAI pomocí nástrojů popsaných v části Ovládání dat, nebo můžete žádost podat přes privacy.openai.com, nebo na adresu dsar@openai.com. Pověřence pro ochranu osobních údajů můžete kontaktovat na adrese dpo@openai.com.
If you’re a member of an organization that uses Google Workspace or Google Cloud Platform, learn how these services collect and use your personal information in the Google Cloud Privacy Notice .
Pokud jste členem organizace, která používá Google Workspace nebo Google Cloud Platform, zjistěte, jak tyto služby shromažďují a používají vaše osobní údaje, v dokumentu Google Cloud Privacy Notice.
Your use of Copilot AI Experiences (except Copilot with commercial data protection) is governed by the supplemental terms and conditions under which you obtained those services as detailed at Copilot - Terms of Use (bing.com) (https://www.bing.com/new/termsofuse#content-policy) together with these Terms.
Vaše používání Copilot AI Experiences (kromě Copilotu s ochranou obchodních dat) se řídí doplňkovými podmínkami, za kterých jste tyto služby získali, podrobně popsanými na stránce Copilot, podmínky použití (bing.com), společně s těmito podmínkami.
Časté dotazy
Stačí si u nástroje AI zaškrtnout firemní tarif, aby data byla v bezpečí?
Ne automaticky. Firemní nebo API tarif otevírá jinou smlouvu a jiný právní režim, ale výhody, jako je vypnutý trénink nebo nulové uchovávání, si firma musí u řady poskytovatelů sama aktivovat nebo sjednat, nejsou samozřejmostí jen proto, že platíte víc.
Znamená zpracovatelská role poskytovatele, že se k datům nikdo z firmy nedostane?
Ne. Zpracovatel se řídí pokyny zákazníka, ale zákazník, tedy vaše firma, má nad daty plnou kontrolu včetně přístupu administrátora účtu. Přístup se tím nezavírá, jen se přesouvá od poskytovatele k vašemu zaměstnavateli.
Můžu si sám jako zaměstnanec vyžádat firemní ochranu, i když firma zpracovatelskou smlouvu nemá?
Ne. Zpracovatelskou smlouvu uzavírá firma jako zákazník, ne jednotlivý zaměstnanec. Dokud ji vaše firma nemá podepsanou, vy jako uživatel firemního e-mailu v osobním účtu žádnou z těchto výhod nezískáváte.
Platí zpracovatelská ochrana i zpětně na to, co jsem do nástroje nahrál dřív jako soukromá osoba?
Ne. Obsah nahraný před uzavřením firemní smlouvy se řídil podmínkami platnými v době nahrání. Přechod na firemní účet mění pravidla dopředu, ne zpětně.