Veřejně dostupná data nejsou automaticky volná pro AI. Nové pokyny zpřesňují odpovědnost firem
Veřejně dostupná data nejsou automaticky volná pro AI. Nové pokyny zpřesňují odpovědnost firem
Proč veřejná dostupnost dat na internetu automaticky neznamená, že je firmy mohou využívat pro trénování AI
Jak nové pokyny EDPB zpřesňují požadavky na anonymizaci, web scraping a dohledatelnost původu dat
Co musí firmy při práci s daty pro AI řešit z pohledu GDPR, AI Actu a autorského práva
Návrhy pokynů k anonymizaci a web scrapingu jsou nyní předmětem veřejné konzultace, která probíhá do 30. října 2026. Už nyní ale ukazují, jakým směrem se bude výklad pravidel ochrany osobních údajů ubírat. Hlavním poselstvím je, že technická dostupnost dat ještě neznamená, že je lze bez dalšího shromažďovat, využívat nebo ukládat.
Opatření dávají smysl
Přístup EDPB lze považovat za správný a potřebný krok. Sbor nevolí plošný zákaz automatizovaného sběru dat z internetu ani využívání anonymizace či blockchainu. Organizacím ponechává prostor pro využívání těchto technologií, současně ale zdůrazňuje jejich odpovědnost za dodržování pravidel ochrany osobních údajů.Firmy tak musí být schopny doložit zejména účel zpracování, odpovídající právní základ, původ dat a přijatá technická a organizační opatření.
U anonymizace nestačí pouze odstranit jméno nebo jiný přímý identifikátor. Návrh pokynů EDPB doporučuje posuzovat zejména to, zda lze konkrétní osobu vyčlenit z ostatních, propojit o ní informace z různých zdrojů nebo o ní z dostupných údajů vyvozovat závěry.
Důležité je také to, že anonymita dat závisí na konkrétním kontextu. Stejný soubor údajů může být pro jeden subjekt fakticky anonymní, zatímco jiný subjekt může mít k dispozici další informace nebo prostředky, které umožní osobu znovu identifikovat. Vzhledem k technologickému vývoji a rostoucímu množství dostupných dat proto nelze anonymizaci vnímat jako jednorázový technický úkon. Její účinnost je potřeba průběžně vyhodnocovat.
Veřejně dostupné neznamená volně použitelné
Významná část nových materiálů se týká web scrapingu, tedy automatizovaného získávání informací z internetových stránek. Právě tato technika se ve velkém používá také při získávání dat pro vývoj a trénování generativní umělé inteligence.Ani údaje veřejně dostupné na internetu však nelze automaticky považovat za volně použitelné pro trénování AI. Pokud scraping zahrnuje osobní údaje, musí organizace určit odpovídající právní základ jejich zpracování, dodržovat zásadu omezení účelu a minimalizace údajů a zajistit potřebnou transparentnost.
Zvláštní pozornost vyžadují zvláštní kategorie osobních údajů, například údaje o zdravotním stavu, biometrické údaje nebo informace vypovídající o politických názorech či náboženském přesvědčení. Jejich veřejná dostupnost sama o sobě neznamená, že je lze bez dalšího zpracovávat.
EDPB zároveň doporučuje využívat spolehlivé zdroje, evidovat původ a dobu získání dat a před jejich využitím například pro trénování AI ověřovat jejich kvalitu a relevanci.
Jedním z možných právních základů může být oprávněný zájem. Ani ten ale nepředstavuje univerzální oprávnění ke sběru veřejně dostupných dat. Organizace musí v konkrétním případě posoudit legitimitu sledovaného zájmu, nezbytnost zpracování a dopad na práva a svobody dotčených osob.
Blockchain musí s ochranou osobních údajů počítat už při návrhu
U blockchainu jsou pokyny EDPB již konečné. Důraz kladou především na ochranu osobních údajů již při návrhu řešení.Technická neměnnost blockchainového záznamu nemůže sloužit jako omluva pro nemožnost opravit nebo vymazat osobní údaje. EDPB proto jako obecné pravidlo doporučuje vyhnout se ukládání osobních údajů přímo do blockchainu, pokud by takové řešení bylo v rozporu se zásadami GDPR.
Organizace musí předem řešit například minimalizaci údajů, dobu jejich uchovávání, přístupová oprávnění nebo možnost uplatnění práv jednotlivců. U rizikovějších způsobů zpracování bude významnou roli hrát také posouzení vlivu na ochranu osobních údajů (DPIA).
Do hry vstupuje také AI Act a autorské právo
Ochrana osobních údajů přitom představuje pouze jednu část pravidel, která je při získávání dat pro AI potřeba zohlednit. Vedle GDPR je dnes nutné počítat také s evropským AI Actem a pravidly autorského práva.Poskytovatelé modelů obecného určení (GPAI) mají podle AI Actu mimo jiné povinnost zavést politiku pro dodržování unijního autorského práva a zveřejňovat dostatečně podrobný souhrn obsahu použitého k trénování modelu.
Ani z pohledu autorského práva proto nelze veřejnou dostupnost obsahu zaměňovat za automatické oprávnění k jeho neomezenému využívání. Při získávání trénovacích dat je potřeba posuzovat několik právních režimů současně.
Jaká rizika lze očekávat?
Největším rizikem zůstává pouze formální splnění požadavků. Organizace může mít připravenou dokumentaci, ale současně nemusí znát skutečný původ trénovacích dat nebo dat získaných od externího dodavatele. To může být problematické zejména u rozsáhlých datových souborů sestavených z mnoha veřejných i neveřejných zdrojů.Další komplikací může být finanční a technická náročnost kontrol, zejména pro menší společnosti. S rostoucími požadavky na dohledatelnost původu dat totiž nestačí pouze vědět, jaká data organizace používá. Stále důležitější bude také vědět, odkud pocházejí, kdy byla získána, za jakým účelem jsou zpracovávána a za jakých podmínek je lze dále využít.
Lze proto očekávat rostoucí důraz na dokumentaci, dohledatelnost dat a průběžné vyhodnocování rizik. To bude vyžadovat užší spolupráci právních, technologických, bezpečnostních a datových týmů.
Dopad na jednotlivé týmy
Nové pokyny se dotknou především týmů, které se podílejí na vývoji AI řešení, správě dat a ochraně osobních údajů.Právní týmy budou muset přesněji nastavovat právní základy zpracování, posuzovat oprávněný zájem, smluvní odpovědnost dodavatelů a podmínky používání dat získaných z internetu nebo od externích partnerů. U AI projektů bude zároveň nutné posuzovat souběh GDPR, AI Actu a autorského práva.
Pověřenci pro ochranu osobních údajů (DPO) a specialisté na ochranu soukromí by měli být součástí projektů využívajících umělou inteligenci nebo blockchain již od jejich návrhu. Budou posuzovat rizika zpracování osobních údajů, transparentnost, možnost uplatnění práv jednotlivců i případnou potřebu DPIA.
IT a bezpečnostní týmy budou zajišťovat evidenci zdrojů dat, nastavovat technická opatření pro jejich sběr a správu, řízení přístupů a bezpečné ukládání dat.
AI a datové týmy budou muset lépe dokumentovat původ trénovacích dat, evidovat jejich zdroje a dobu získání, omezovat sběr nepotřebných údajů a průběžně vyhodnocovat riziko opětovné identifikace nebo zapamatování osobních údajů modelem.
„Nové pokyny nepředstavují zákaz automatizovaného sběru dat z internetu, anonymizace ani blockchainu. Připomínají ale, že technická možnost sama o sobě nestačí. Organizace musí být schopna prokázat, proč data používá, odkud pocházejí a jak chrání práva jednotlivců. U AI navíc musí počítat s tím, že vedle GDPR vstupuje do hry také AI Act a autorské právo. Největší změnou proto nebude vznik dalšího dokumentu, ale nutnost užší spolupráce právních, datových, bezpečnostních a vývojových týmů.“