18. augusta 2026

Čo nesmie zamestnanec vložiť do ChatGPT, kto zodpovedá za chybný výstup AI a čo má obsahovať interná AI smernica zamestnávateľa.

1. ABSTRAKT

Generatívna umelá inteligencia sa v mnohých spoločnostiach začala používať skôr, než pre ňu vznikli interné pravidlá. Zamestnanec môže v priebehu niekoľkých sekúnd vložiť do verejne dostupného nástroja návrh zmluvy, zoznam zákazníkov, životopis uchádzača alebo výsledky hospodárenia a požiadať o ich spracovanie. Úkon, ktorý pôsobí ako obyčajné kopírovanie textu, však môže predstavovať spracúvanie osobných údajov, sprístupnenie dôvernej informácie externému poskytovateľovi alebo ohrozenie obchodného tajomstva.

Akt o umelej inteligencii neznamená všeobecný zákaz používania nástrojov, akými sú ChatGPT, Microsoft Copilot, Google Gemini či Claude. Spoločnostiam však prináša nové povinnosti a spolu s už existujúcimi pravidlami ochrany osobných údajov, pracovného a autorského práva vytvára rámec, ktorý nemožno nahradiť jednoduchým pokynom „AI používajte opatrne“.

V príspevku sa venujeme najmä tomu, (A) kedy je spoločnosť subjektom nasadzujúcim systém AI, (B) aké informácie by zamestnanci nemali zadávať do neschválených nástrojov, (C) kto zodpovedá za chybný výstup AI, (D) za akých podmienok možno kontrolovať používanie AI zamestnancami a (E) čo má obsahovať interná smernica o používaní AI.

2. PRÁVNE PREDPISY

Používania generatívnej AI v pracovnom prostredí sa týkajú najmä:

(A) nariadenie Európskeho parlamentu a Rady (EÚ) 2024/1689 z 13. júna 2024, ktorým sa stanovujú harmonizované pravidlá v oblasti umelej inteligencie (ďalej len „Akt o AI“), v znení nariadenia Európskeho parlamentu a Rady (EÚ) 2026/1744 (ďalej len „Digitálny omnibus o AI“), ktorým sa zjednodušili a upravili niektoré pravidlá Aktu o AI a odložilo sa uplatňovanie časti povinností pre vysokorizikové systémy,

(B) nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (ďalej len „GDPR“),

(D) zákon č. 311/2001 Z. z. Zákonník práce (ďalej len „Zákonník práce“),

(E) zákon č. 513/1991 Zb. Obchodný zákonník (ďalej len „Obchodný zákonník“) a

(F) zákon č. 185/2015 Z. z. Autorský zákon (ďalej len „Autorský zákon“).

Konkrétny režim môže závisieť aj od odvetvovej regulácie, povinnosti mlčanlivosti alebo zmluvných záväzkov spoločnosti. Prísnejšie požiadavky sa môžu týkať napríklad bánk, poisťovní, poskytovateľov zdravotnej starostlivosti, advokátov, daňových poradcov alebo prevádzkovateľov základných služieb.

3. SPOLOČNOSŤ AKO SUBJEKT NASADZUJÚCI SYSTÉM AI

Akt o AI rozlišuje viaceré kategórie prevádzkovateľov. Pre bežnú spoločnosť je podstatný najmä pojem „subjekt nasadzujúci systém AI“. Ide o fyzickú alebo právnickú osobu, verejný orgán, agentúru alebo iný subjekt, ktorý v rámci svojej právomoci používa systém AI, s výnimkou osobnej neprofesionálnej činnosti.

Spoločnosť teda nemusí systém AI sama vyvinúť ani predávať, aby sa jej Akt o AI týkal. Postačuje, ak ho používa pri svojej podnikateľskej alebo zamestnávateľskej činnosti. Typickým príkladom je využitie AI na prípravu obchodnej korešpondencie, sumarizáciu dokumentov, zákaznícku podporu, predvýber uchádzačov alebo hodnotenie výkonu pracovníkov.

Nie každé použitie ChatGPT je však vysokorizikovým použitím v zmysle Aktu o AI. Rozhodujúci je zamýšľaný účel systému a konkrétny spôsob jeho nasadenia. Použitie AI na úpravu štylistiky všeobecného e-mailu má iný právny profil než systém, ktorý triedi životopisy, odporúča prepustenie zamestnanca alebo prideľuje pracovníkom úlohy podľa ich správania a osobných vlastností.

GRAMOTNOSŤ V OBLASTI AI

Digitálny omnibus o AI nahradil pôvodné znenie článku 4 Aktu o AI. Poskytovatelia a subjekty nasadzujúce systémy AI sú povinní prijať opatrenia na podporu rozvoja gramotnosti v oblasti AI svojich zamestnancov a ďalších osôb, ktoré v ich mene systémy AI prevádzkujú alebo používajú. Pri opatreniach sa prihliada na technické vedomosti, skúsenosti, vzdelanie a odbornú prípravu pracovníkov, kontext používania AI aj na osoby, voči ktorým sa AI používa.

Nové znenie výslovne uvádza, že spoločnosť nemusí zaručiť konkrétnu úroveň AI gramotnosti každého jednotlivca. Povinnosť však nemožno splniť iba formálnym rozoslaním všeobecného e-mailu. Rozsah školenia a pravidiel má zodpovedať riziku. Zamestnanec, ktorý AI používa na jazykovú korektúru, potrebuje iné poučenie než personalista využívajúci AI pri výbere kandidátov alebo pracovník, ktorý spracúva zdravotné či finančné údaje.

Za vhodné opatrenia možno považovať najmä (A) internú smernicu, (B) pravidelné školenie, (C) zoznam schválených nástrojov a účelov, (D) pravidlá kontroly výstupov a (E) jednoduchý postup hlásenia incidentu.

ZAKÁZANÉ PRAKTIKY

Akt o AI zakazuje určité praktiky bez ohľadu na veľkosť spoločnosti. V pracovnom prostredí je osobitne dôležitý zákaz používania AI na vyvodzovanie emócií fyzickej osoby na pracovisku, okrem prípadov, keď je použitie určené na medicínske alebo bezpečnostné účely. Rizikové môžu byť aj manipulatívne techniky alebo sociálne hodnotenie osôb, ak sú splnené zákonné podmienky zákazu.

Spoločnosť by preto mala preveriť aj funkcie nástrojov, ktoré sa navonok prezentujú iba ako nástroje produktivity. Analýza hlasu počas pracovného pohovoru, automatické vyhodnocovanie mimiky pri videohovore alebo odhad „angažovanosti“ zamestnanca môže mať podstatne prísnejší režim než bežná textová asistencia.

4. ČO ZAMESTNANEC NESMIE BEZ ĎALŠIEHO VLOŽIŤ DO AI

Neexistuje jeden všeobecný zoznam údajov, ktorý by platil pre každú spoločnosť a každý nástroj. Z praktického hľadiska by však zamestnanec nemal do neschváleného externého AI systému vkladať najmä:

(A) osobné údaje klientov, zákazníkov, zamestnancov alebo uchádzačov o zamestnanie,

(B) osobitné kategórie osobných údajov, napríklad údaje o zdraví, biometrické údaje, politické názory alebo údaje o členstve v odboroch,

(D) zmluvy, právne analýzy, internú korešpondenciu a dokumenty chránené povinnosťou mlčanlivosti,

(E) obchodné plány, cenotvorbu, zdrojový kód, technickú dokumentáciu, databázy zákazníkov a ďalšie obchodné tajomstvo,

(F) autorské diela alebo databázy, na ktorých použitie spoločnosť nemá potrebné oprávnenie, a

(G) informácie, ktorých sprístupnenie externému poskytovateľovi zakazuje zmluva s klientom alebo obchodným partnerom.

Zákaz nemusí platiť absolútne. Spracovanie môže byť prípustné v nástroji, ktorý spoločnosť riadne posúdila, zmluvne zabezpečila a technicky nastavila na daný účel. Zamestnanec však nemá sám rozhodovať, že spotrebiteľský účet alebo bezplatná verzia služby poskytuje dostatočnú úroveň ochrany.

OSOBNÉ ÚDAJE V PROMPTE

Vloženie osobných údajov do AI systému je spracúvaním osobných údajov. Prevádzkovateľ musí mať právny základ a konkrétny účel spracúvania, dodržať zásadu minimalizácie údajov, posúdiť postavenie dodávateľa, uzatvoriť potrebnú sprostredkovateľskú zmluvu, preveriť prípadné prenosy do tretích krajín a prijať primerané bezpečnostné opatrenia.

Skutočnosť, že sa údaje používajú iba na vytvorenie súhrnu alebo návrhu odpovede, tieto povinnosti nevylučuje. Rovnako nepostačuje odstrániť meno, ak možno osobu určiť podľa ostatných údajov. Pseudonymizované údaje zostávajú osobnými údajmi, ak možno informáciu priradiť ku konkrétnej osobe pomocou dodatočných informácií.

Pri osobitných kategóriách osobných údajov musí byť okrem právneho základu podľa článku 6 GDPR splnená aj niektorá z podmienok článku 9 GDPR. Pri rozsiahlom, systematickom alebo inak vysokorizikovom spracúvaní môže byť potrebné posúdenie vplyvu na ochranu osobných údajov podľa článku 35 GDPR.

Zamestnávateľ by mal rozlišovať medzi osobným účtom zamestnanca, firemným používateľským účtom a podnikovým riešením alebo rozhraním API. Zmluvné podmienky, využívanie obsahu na zlepšovanie modelov, doby uchovávania, možnosti administrátorskej kontroly a miesto spracúvania sa môžu líšiť podľa služby a nastavenia. Samotné označenie produktu ako „business“ preto nenahrádza právne a bezpečnostné posúdenie konkrétnej konfigurácie.

OBCHODNÉ TAJOMSTVO A MLČANLIVOSŤ

Podľa ustanovenia § 17 ods. 1 Obchodného zákonníka tvoria obchodné tajomstvo skutočnosti obchodnej, výrobnej alebo technickej povahy súvisiace s podnikom, ktoré majú skutočnú alebo potenciálnu hodnotu, nie sú v príslušných obchodných kruhoch bežne dostupné, majú zostať utajené a ich majiteľ ich utajenie zodpovedajúcim spôsobom zabezpečuje.

Nekontrolované vkladanie citlivých informácií do externých AI nástrojov môže viesť nielen k porušeniu mlčanlivosti, ale aj k oslabeniu argumentu, že spoločnosť svoje obchodné tajomstvo zodpovedajúcim spôsobom chránila. Interná smernica, riadenie prístupov, klasifikácia informácií a preukázateľné školenie zamestnancov sú preto aj opatreniami na ochranu obchodného tajomstva.

Zamestnanec je podľa ustanovenia § 81 písm. e) a f) Zákonníka práce povinný chrániť majetok zamestnávateľa, nekonať v rozpore s jeho oprávnenými záujmami a zachovávať mlčanlivosť o skutočnostiach, ktoré v záujme zamestnávateľa nemožno oznamovať iným osobám. V závislosti od okolností môže neoprávnené vloženie dôverných údajov do externého systému predstavovať porušenie pracovnej disciplíny a založiť aj zodpovednosť za škodu. Následok však treba posudzovať individuálne, najmä podľa obsahu údajov, zavinenia, existencie jasných pravidiel a závažnosti rizika alebo škody.

5. KTO ZODPOVEDÁ ZA CHYBNÝ VÝSTUP AI

AI systém nie je osobou, na ktorú by bolo možné preniesť zodpovednosť za obchodné rozhodnutie. Ak zamestnanec odošle klientovi nepravdivú právnu informáciu, použije v ponuke neexistujúcu technickú normu alebo rozhodne podľa nesprávneho výpočtu vytvoreného AI, skutočnosť, že chybu „urobil ChatGPT“, spoločnosť spravidla nezbavuje zodpovednosti.

Generatívna AI vytvára výstupy na základe pravdepodobnostného spracovania. Aj presvedčivo formulovaná odpoveď môže obsahovať neexistujúce súdne rozhodnutie, nesprávny údaj, zastaranú informáciu alebo skreslený súhrn vstupného dokumentu. Riziko sa zvyšuje, ak používateľ žiada odpoveď mimo dostupných zdrojov alebo ak nemá odborné vedomosti potrebné na jej kontrolu.

Interné pravidlá by preto mali určiť prípady, v ktorých je povinná kontrola človekom. Bez kvalifikovaného overenia by AI výstup nemal byť použitý najmä ako konečné odborné stanovisko, zmluvná klauzula, výpočet ovplyvňujúci mzdu alebo cenu, rozhodnutie voči zamestnancovi ani informácia, na ktorú sa má klient spoľahnúť.

Ľudská kontrola pritom nemá byť iba formálna. Osoba poverená kontrolou musí mať dostatočné vedomosti, prístup k podkladom a reálnu právomoc výstup odmietnuť alebo zmeniť.

6. AUTORSKÉ PRÁVO K VSTUPOM A VÝSTUPOM

Používateľ môže do AI vložiť text, fotografiu, zdrojový kód alebo inú tvorbu, ku ktorej spoločnosť nemá právo na takéto použitie. V konkrétnom prípade môže ísť o vyhotovenie rozmnoženiny alebo iný spôsob použitia diela, ktorý si vyžaduje súhlas nositeľa práv, ak sa neuplatní zákonná výnimka.

Rovnako nemožno automaticky predpokladať, že každý výstup AI je bez práv tretích osôb alebo že spoločnosť k nemu nadobudla výlučné autorské práva. Podľa ustanovenia § 3 ods. 1 Autorského zákona je dielom jedinečný výsledok tvorivej duševnej činnosti autora. Čisto automaticky vytvorený výstup bez dostatočného tvorivého vkladu fyzickej osoby preto nemusí spĺňať podmienky autorskoprávnej ochrany. Naopak, pri AI podporovanej tvorbe môže byť chránený výsledok ľudských tvorivých rozhodnutí.

Pred komerčným použitím významného výstupu je vhodné preveriť (A) licenčné podmienky nástroja, (B) pôvod podkladov, (C) podobnosť s existujúcimi dielami, ochrannými známkami alebo dizajnmi a (D) mieru a dokumentáciu ľudského tvorivého vkladu.

7. MÔŽE ZAMESTNÁVATEĽ KONTROLOVAŤ POUŽÍVANIE AI?

Zamestnávateľ môže určiť, ktoré pracovné nástroje sa smú používať, blokovať neschválené služby v pracovnej sieti a vyžadovať dodržiavanie bezpečnostných pravidiel. Kontrola konkrétnej činnosti zamestnanca však musí rešpektovať jeho súkromie, ochranu osobných údajov a ustanovenie § 13 ods. 4 Zákonníka práce.

Zamestnávateľ nesmie bez vážnych dôvodov spočívajúcich v osobitnej povahe jeho činnosti narúšať súkromie zamestnanca monitorovaním alebo kontrolou pracovnej elektronickej pošty bez predchádzajúceho upozornenia. Ak zavádza kontrolný mechanizmus, musí so zástupcami zamestnancov prerokovať rozsah, spôsob a dobu kontroly a zamestnancov o týchto skutočnostiach informovať.

Z toho vyplýva, že ani legitímny cieľ zabrániť úniku údajov neoprávňuje zamestnávateľa automaticky čítať všetky prompty a konverzácie zamestnancov. Kontrola musí byť nevyhnutná, primeraná a transparentná. Pred obsahovým monitoringom treba preveriť menej invazívne opatrenia, napríklad obmedzenie prístupu k neschváleným doménam, technické varovanie pred vložením citlivých údajov, detekciu kategórií údajov bez čítania celého obsahu alebo kontrolu anonymizovaných prevádzkových záznamov.

8. AI PRI NÁBORE A RIADENÍ ZAMESTNANCOV

Osobitnú pozornosť si vyžadujú systémy AI používané pri nábore, výbere uchádzačov, rozhodovaní o pracovných podmienkach, kariérnom postupe alebo skončení pracovného vzťahu, prideľovaní úloh podľa individuálneho správania alebo osobných vlastností a pri monitorovaní či hodnotení pracovníkov. Akt o AI takéto systémy za zákonných podmienok zaraďuje medzi vysokorizikové.

Digitálny omnibus o AI odložil uplatňovanie príslušných požiadaviek a povinností pre vysokorizikové systémy podľa prílohy III Aktu o AI na 2. december 2027. Odklad však neznamená právne vákuum. Už dnes sa uplatňuje GDPR, antidiskriminačné právo, Zákonník práce a zákaz vybraných praktík podľa Aktu o AI.

Ak systém spracúva osobné údaje a prijíma výlučne automatizované rozhodnutie, ktoré má voči osobe právne účinky alebo ju podobne významne ovplyvňuje, treba rešpektovať aj článok 22 GDPR. Formálne potvrdenie odporúčania AI človekom nemusí predstavovať skutočný ľudský zásah, ak pracovník nemá možnosť alebo odbornú spôsobilosť rozhodnutie zmeniť.

Spoločnosť by pred nasadením takéhoto systému mala preveriť najmä jeho účel, kvalitu a pôvod vstupných údajov, možné diskriminačné účinky, vysvetliteľnosť výsledkov, ľudský dohľad, informačné povinnosti a potrebu posúdenia vplyvu na ochranu osobných údajov.

9. SEDEM KROKOV PRE ZAMESTNÁVATEĽA

INVENTARIZÁCIA

Spoločnosť by mala zistiť, ktoré AI nástroje zamestnanci reálne používajú, na aké účely, s akými vstupmi a podľa akého používateľského alebo podnikového účtu. Zákaz bez inventarizácie často iba presunie používanie AI do nekontrolovaného režimu.

KLASIFIKÁCIA RIZIKA

Jednotlivé prípady použitia treba rozdeliť podľa rizika. Bežná jazyková korektúra anonymného textu nemá rovnaký režim ako spracovanie zdravotných údajov, výber uchádzačov alebo generovanie odborného stanoviska pre klienta.

SCHVÁLENÉ NÁSTROJE A ZMLUVY

Spoločnosť má určiť povolené nástroje a preveriť ich zmluvné podmienky, ochranu údajov, uchovávanie vstupov a výstupov, subdodávateľov, bezpečnostné opatrenia a prípadné prenosy údajov. Pri spracúvaní osobných údajov treba určiť postavenie strán a uzatvoriť potrebné zmluvy.

INTERNÁ AI SMERNICA

Smernica má zrozumiteľne stanoviť povolené a zakázané prípady použitia, kategórie údajov, ktoré sa nesmú vkladať, pravidlá anonymizácie, povinnosť ľudskej kontroly, spôsob označovania AI obsahu, schvaľovanie nových nástrojov a následky porušenia pravidiel.

ŠKOLENIE PODĽA RIZIKA

Zamestnanci potrebujú praktické príklady zo svojej práce. Školenie by malo vysvetliť nielen ovládanie nástroja, ale aj limity výstupov, ochranu osobných údajov a obchodného tajomstva, autorské práva a postup pri incidente.

ĽUDSKÁ KONTROLA A DOKUMENTÁCIA

Pri významných výstupoch treba určiť zodpovednú osobu, rozsah overenia a spôsob dokumentovania. Pri rozhodnutiach o ľuďoch musí byť ľudský zásah reálny, kvalifikovaný a účinný.

HLÁSENIE INCIDENTOV

Zamestnanec musí vedieť, komu a ako oznámiť, že do AI omylom vložil osobné údaje, obchodné tajomstvo alebo nesprávny dokument. Včasné hlásenie umožní preveriť vymazanie údajov, zmeniť prístupové údaje, splniť prípadné oznamovacie povinnosti a obmedziť škodu.

10. ÚČINNOSŤ A ZÁVER

Akt o AI sa uplatňuje postupne. Jeho prvé ustanovenia vrátane pravidiel o gramotnosti v oblasti AI a zákazov vybraných praktík sa začali uplatňovať 2. februára 2025. Väčšina ďalších ustanovení sa začala uplatňovať 2. augusta 2026. Digitálny omnibus o AI však zmenil niektoré povinnosti a odložil uplatňovanie režimu vysokorizikových systémov podľa prílohy III na 2. december 2027 a vybraných vysokorizikových systémov spojených s regulovanými výrobkami na 2. august 2028.

Najväčšie právne riziko bežného používania ChatGPT vo firme preto dnes nemusí spočívať v samotnom Akte o AI. Často vznikne už skôr: vložením osobných údajov bez právneho základu, odovzdaním obchodného tajomstva neschválenému dodávateľovi, použitím neovereného výstupu alebo neprimeraným monitorovaním zamestnanca.

Spoločnosť, ktorá AI používa, nepotrebuje iba zákaz alebo jednorazové školenie. Potrebuje poznať reálne prípady použitia, schváliť vhodné nástroje, určiť hranice práce s údajmi a zabezpečiť, aby za dôležitým rozhodnutím zostal identifikovateľný a kvalifikovaný človek.

ChatGPT vo firme: čo doň zamestnanec nesmie vložiť a za čo zodpovedá zamestnávateľ