Dáta, súkromie a osobné informácie

Zhrnutie

Pred vložením dokumentu do AI treba vedieť, čo obsahuje, prečo ho nástroj potrebuje a kto k nemu môže získať prístup. Vymazanie mena ešte nemusí znamenať anonymitu. Ukážeme si, ako obmedziť vstupy, rozlíšiť osobné údaje od iných dôverných informácií a pripraviť bezpečnejšiu pracovnú úlohu.

Čo sa skrýva v obyčajnom dokumente

Administratívna pracovníčka chce zhrnúť zápisnicu. V dokumente sú mená, telefónne čísla, informácia o dlhodobej práceneschopnosti a plánovaná zmena pracovného miesta. Zo svojho pohľadu zadáva iba úlohu „urob stručné zhrnutie“. Z pohľadu ochrany údajov však odovzdáva viacero informácií o konkrétnych ľuďoch ďalšej službe.

Ide o modelový príklad. Dôležitá otázka znie: potrebuje AI všetky tieto informácie na splnenie úlohy? Ak má pripraviť zoznam organizačných úloh, zdravotný údaj pravdepodobne nepotrebuje. Ani mená nemusia byť nevyhnutné - úlohy možno označiť pracovnými rolami a mená doplniť až v internom systéme.

Osobný údaj nie je len meno

GDPR sa týka údajov o identifikovanej alebo identifikovateľnej fyzickej osobe. Človeka môže identifikovať aj kombinácia okolností. Informácia „jediná účtovníčka našej pobočky v malom meste“ môže byť výrečnejšia než samotné krstné meno.

GDPR upravuje okrem iného minimalizáciu údajov, účelové obmedzenie a bezpečnosť spracúvania. Konkrétne použitie potrebuje primeraný právny základ. Zdravotné údaje patria medzi osobitné kategórie, pri ktorých sa posudzujú ďalšie podmienky. GDPR, najmä články 4, 5, 6 a 9.

Nie každý dôverný údaj je osobným údajom. Rozpočet firmy, neverejná cenová ponuka alebo prístupové heslo môžu vyžadovať ochranu z iných dôvodov. Bezpečné používanie AI preto nemožno zúžiť na odstránenie mien.

Anonymizácia a pseudonymizácia

Ak meno nahradíte kódom a niekde zostane tabuľka, ktorá kód spája s človekom, spravidla ide o pseudonymizáciu, nie anonymizáciu. Údaje môžu zostať osobnými údajmi. Pri anonymizácii treba posúdiť aj reálnu možnosť opätovnej identifikácie.

EDPB v stanovisku 28/2024 zdôrazňuje, že anonymita AI modelov sa posudzuje podľa konkrétnych okolností. Nemožno ju automaticky vyvodiť z toho, že údaje prešli tréningom modelu. EDPB: Opinion 28/2024.

💡 Jednoducho: skryté meno neznamená skrytého človeka. Pozrite sa aj na adresu, pracovnú rolu, dátumy, opis udalosti a ďalšie údaje, ktoré ho môžu prezradiť.

Čo overiť pri službe

Neodvodzujte ochranu údajov iba z toho, či je nástroj platený. Pozrite si podmienky konkrétneho produktu a účtu. Overte účely používania vstupov, dobu uchovávania, prístup poskytovateľa, zapojených dodávateľov a možnosti vymazania. Pri pracovnom používaní posúďte aj zmluvné postavenie strán a potrebné zmluvné zabezpečenie.

Umiestnenie servera v EÚ je relevantná informácia, nie úplné posúdenie. Treba vedieť aj to, kto má k údajom prístup a či sa prenášajú do tretích krajín. Rovnako vypnutie používania konverzácií na tréning nemusí znamenať, že služba údaje vôbec neuchováva.

Tieto otázky patria správcovi systému a osobe zodpovednej za ochranu údajov. Bežný pracovník má dostať zrozumiteľný zoznam schválených nástrojov a povolených vstupov, nie povinnosť sám skúmať každú zmluvu.

Bezpečnejší postup na konkrétnej úlohe

Chcete z reklamácií zistiť najčastejšie problémy s doručením. Najprv určite potrebné údaje: typ problému, približný čas doručenia, spôsob dopravy a výsledok riešenia. Mená, celé adresy, čísla účtov a obsah nesúvisiacich príloh nemusia byť na túto analýzu potrebné.

Potom pripravte pracovnú tabuľku. Odstráňte nepotrebné stĺpce a skontrolujte voľný text: práve tam často zostávajú mená alebo zdravotné okolnosti. Pri testovaní začnite umelo vytvorenými záznamami. Ak potrebujete reálne údaje, používajte schválené prostredie a postup.

Tieto úpravy samy osebe nezaručujú anonymitu ani súlad s právom. Znižujú však zbytočné odovzdávanie informácií.

Keď ste už vložili nevhodný údaj

Nezakrývajte udalosť. Informujte zodpovednú osobu podľa interného postupu, zaznamenajte, čo bolo vložené a do akej služby. Pri odhalenom hesle alebo API kľúči nestačí zmazať správu: treba zmeniť alebo zneplatniť prístupový údaj.

Pri osobných údajoch musí organizácia posúdiť riziko a prípadné povinnosti. Nie každá udalosť automaticky znamená povinnosť oznámenia úradu či jednotlivcovi. Toto rozhodnutie však nemá zostať na odhade človeka, ktorý omyl urobil.

Cvičenie a zhrnutie

Na cvičenie použite vymyslený dokument. Označte osobné údaje, ďalšie dôverné informácie a položky potrebné na zvolenú úlohu. Potom pripravte kratšiu verziu vstupu. Ak neviete vysvetliť, prečo nástroj určitý údaj potrebuje, nevkladajte ho automaticky.

Zdroje a redakčná poznámka

• GDPR.
• EDPB: Opinion 28/2024.

Príklady sú modelové a nenahrádzajú posúdenie ochrany údajov. Stav spracovania: 4. októbra 2026. Návrh na odborné overenie: Marek Rodák; osobné overenie zatiaľ nepotvrdené.

Pojem v slovníku

Odborný pojem: anonymizacia dat