Výber AI nástroja pre firmu: otázky na zmluvu a bezpečnosť

V skratke

• Výber AI nástroja pre firmu začnite zmluvou a spracúvaním údajov, pretože za osobné údaje vložené do nástroja ostávate zodpovední vy.
• Zmluvy OpenAI, Anthropicu a Googlu sa líšia v lehotách na nahlásenie incidentu, v práve namietať proti subdodávateľom aj v čase zmazania údajov.
• V článku nájdete dotazník pre dodávateľa, prompt na čítanie zmluvy a postup výberu v šiestich krokoch.
• Pilot vyhodnoťte po jednotlivých ľuďoch, lebo terénny experiment ukázal, že priemer môže skryť veľké rozdiely medzi používateľmi.

Výber AI nástroja pre firmu má štyri časti: určite úlohy a údaje, ktoré do nástroja pôjdu, overte zmluvu o spracúvaní údajov a subdodávateľov, vyskúšajte nástroj na vlastných úlohách a určite, kto výstupy kontroluje. Cenu a kvalitu odpovedí porovnávajte až medzi nástrojmi, ktoré zmluvnou kontrolou prešli.

Tento článok patrí do série AI v podnikaní a nerieši, ktorý nástroj píše lepšie, to rozoberá porovnanie ChatGPT vs Gemini. Pomôže vám položiť dodávateľovi správne otázky ešte pred zaplatením licencie. Všetky údaje o zmluvách sú zo stránok výrobcov v stave k 4. 11. 2026, takže si ich pred podpisom overte, lebo výrobcovia ich priebežne menia.

Prečo výber AI nástroja pre firmu začína zmluvou

Keď zamestnanec vloží do AI nástroja meno zákazníka alebo životopis uchádzača, vaša firma vystupuje ako prevádzkovateľ, teda ten, kto určuje účel spracúvania osobných údajov. Dodávateľ nástroja je spravidla sprostredkovateľ, ktorý údaje spracúva vo vašom mene. GDPR vám ukladá využívať len sprostredkovateľov, ktorí poskytujú dostatočné záruky primeraných technických a organizačných opatrení (GDPR, článok 28).

Vzťah so sprostredkovateľom musí upravovať zmluva, ktorej sa po anglicky hovorí Data Processing Addendum, skrátene DPA. Čo do nástroja vôbec smiete vložiť, rieši samostatný článok ChatGPT a GDPR. Tu ide o predchádzajúci krok, teda či dodávateľ prejde vašou kontrolou.

Čo musí obsahovať zmluva s dodávateľom AI podľa GDPR

Článok 28 ods. 3 GDPR vymenúva, čo zmluva so sprostredkovateľom najmä stanoví. Pre podnikateľa z toho vzniká krátky kontrolný zoznam, ktorý sa dá prejsť aj bez právnického vzdelania. Stĺpec s odporúčaním je náš výklad pre výber nástroja, nie text zákona.

Porovnanie zmlúv pri výbere AI nástroja: OpenAI, Anthropic, Google

Nasledujúca tabuľka zachytáva firemné podmienky troch výrobcov v stave k 4. 11. 2026. Platí pre firemné služby, nie pre osobné kontá, pri ktorých Anthropic výslovne odkazuje na samostatné spotrebiteľské podmienky (Anthropic, Commercial Terms).

Zdroje k tabuľke: OpenAI, firemné súkromie, OpenAI, DPA, OpenAI, Services Agreement, Anthropic, DPA, Google, Privacy Hub a Google, Cloud DPA.

Z tabuľky vidno, že rozdiel neleží v otázke tréningu, kde sa výrobcovia zaväzujú podobne. Pre malú firmu môže byť citlivejšia 15-dňová lehota na námietku, lebo ak oznámenie nikto nesleduje, súhlas pri Anthropicu nastane sám. Prichádzajúce oznámenia preto smerujte na schránku, ktorú niekto naozaj číta.

Lehota na incident má praktický dôsledok, keďže vy musíte závažné porušenie ochrany údajov oznámiť dozornému orgánu podľa možnosti do 72 hodín od chvíle, keď ste sa o ňom dozvedeli (GDPR, článok 33). Zmluva teda musí jasne určovať, kto a na aký kontakt vám incident nahlási.

Microsoft Copilot: prečo záleží aj na tom, ktorý model beží

Microsoft uvádza, že výzvy, odpovede a údaje sprístupnené cez Microsoft Graph sa nepoužívajú na tréning základných modelov a že Copilot zobrazí len údaje, ku ktorým má používateľ aspoň právo na čítanie (Microsoft, Data, Privacy, and Security). Z toho plynie domáca úloha pred nasadením: ak má zdieľaný priečinok s mzdami príliš široké oprávnenia, Copilot ich nenapraví a obsah môže zobraziť každému, kto k nemu má prístup.

Na Copilote dobre vidno aj to, prečo sa pri výbere nestačí pozrieť na názov produktu. Modely Anthropicu v Copilote sú podľa Microsoftu momentálne vyňaté z hranice údajov EÚ (EU Data Boundary) a zákazníci v tomto priestore ich majú štandardne vypnuté, takže zapnúť ich musí správca. Pri modeloch označených „Anthropic models with Data Retention“ údaje ukladá Anthropic mimo zmluvných záväzkov Microsoftu, väčšinu vstupov a výstupov až 30 dní (Microsoft, Anthropic models).

Správcovi Microsoft 365 preto položte jednu konkrétnu otázku: ktoré modely a ktorí poskytovatelia sú u nás zapnutí. Zmluvu o spracúvaní zverejňuje Microsoft ako dokument na stiahnutie, a to aj v slovenčine (Microsoft, Data Protection Addendum), takže body z tabuľky vyššie si v nej viete vyhľadať sami.

Subdodávatelia: kto ďalší môže údaje vidieť

Sprostredkovateľ nesmie zapojiť ďalšieho sprostredkovateľa bez vášho povolenia a pri všeobecnom povolení vás musí informovať o zmenách, aby ste mohli namietať. Ďalšiemu článku reťazca musí uložiť rovnaké povinnosti ochrany údajov (GDPR, článok 28).

Zoznam subdodávateľov stojí za prečítanie, lebo v ňom nájdete viac než poskytovateľov cloudu. OpenAI napríklad pri ChatGPT Business a API uvádza spoločnosť TaskUs na Filipínach pre zákaznícku podporu a moderovanie obsahu, pričom podľa vlastného opisu zdieľa vzorky len pri obsahu, ktorý modely označili za porušenie pravidiel (OpenAI, Sub-processor list). Nejde o chybu, skôr o informáciu, ktorá patrí do vášho záznamu o spracúvaní a do rozhodnutia, čo do nástroja smie.

Keď nástroj kupujete od menšej firmy, nie od výrobcu modelu

Mnohé AI nástroje stoja na cudzom modeli, ku ktorému sa pripájajú cez API, teda technické rozhranie na prepojenie softvéru. V takom prípade je zmluva s predajcom len prvým článkom a výrobca modelu býva ďalším. Príklad z podmienok OpenAI: mimo vybraných funkcií môže vstupy a výstupy API uchovávať až 30 dní, aby poskytol službu a odhaľoval zneužitie (OpenAI, firemné súkromie). Veta predajcu „nič neukladáme“ preto môže platiť len pre jeho vlastné servery, a tak sa pýtajte aj na vrstvu pod ním.

Bezpečnosť dodávateľa: čo znamenajú SOC 2 a ISO 27001

SOC 2 je správa nezávislého audítora o bezpečnostných kontrolách firmy a ISO/IEC 27001 je medzinárodná norma pre riadenie informačnej bezpečnosti. Výrobcovia ich uvádzajú takto:

• OpenAI spomína absolvovaný audit SOC 2 a šifrovanie údajov (OpenAI, firemné súkromie), správu z auditu poskytne na písomnú žiadosť najviac raz ročne (OpenAI, Services Agreement).
• Anthropic v DPA uvádza, že na žiadosť poskytne existujúce správy tretích strán, napríklad SOC 2 (Anthropic, DPA).
• Google uvádza pri Gemini okrem iného SOC 1/2/3, ISO/IEC 27001 a normu pre riadenie umelej inteligencie ISO/IEC 42001 (Google, Privacy Hub).
• Microsoft pri Copilote uvádza okrem iného ISO 27001 a ISO 42001 (Microsoft, Data, Privacy, and Security).

Pri menšom predajcovi sa pýtajte, či certifikát patrí jemu a pokrýva práve službu, ktorú kupujete, lebo certifikát výrobcu modelu za neho nehovorí. Žiadne z týchto osvedčení navyše netvrdí nič o správnosti odpovedí.

Zvlášť si všímajte funkcie v testovacej fáze. OpenAI o takzvaných beta službách vo svojej zmluve píše, že nemuseli prejsť rovnakými bezpečnostnými opatreniami a auditmi ako bežné služby, a odškodnenie sa na ne nevzťahuje (OpenAI, Services Agreement, OpenAI, Service Terms). Ak má byť práve takáto funkcia dôvodom kúpy, dajte si to do poznámky k rozhodnutiu.

Zodpovednosť, autorské práva a zmeny podmienok

Tri vety v zmluve majú pre majiteľa firmy väčšiu váhu než zoznam funkcií. Prvá hovorí o strope náhrady škody: OpenAI aj Anthropic ho v základných podmienkach viažu na sumu, ktorú ste zaplatili za predchádzajúcich 12 mesiacov, s výnimkami uvedenými v zmluve (OpenAI, Services Agreement, Anthropic, Commercial Terms). Pri lacnej licencii ide o malú sumu, preto do nástroja nedávajte úlohu, ktorej chyba by vás mohla stáť rádovo viac.

Druhá sa týka nárokov tretích strán pre autorské práva. Anthropic sa zaväzuje brániť zákazníka pri platenom používaní služieb (Anthropic, Commercial Terms). OpenAI má ochranu výstupov opísanú pre zákazníkov Enterprise, kam radí ChatGPT Enterprise, Edu a Healthcare, zatiaľ čo ChatGPT Business uvádza v tom istom článku osobitne, takže sa pri ňom spýtajte priamo (OpenAI, Service Terms). Microsoft sľubuje obranu komerčných zákazníkov, ak používali zabudované ochranné prvky a filtre (Microsoft, Data, Privacy, and Security). Všetky tieto záväzky majú výnimky, napríklad OpenAI nekryje prípad, keď ste vedeli alebo mali vedieť, že výstup porušuje práva.

Tretia hovorí o zmenách. Anthropic môže podmienky upraviť s účinnosťou 30 dní po zverejnení alebo oznámení a OpenAI pri podstatnej zmene dáva aspoň 30 dní vopred, v oboch prípadoch s výnimkou zmien kvôli zákonu. Zmena ceny v cenníku OpenAI platí 14 dní po zverejnení (OpenAI, Services Agreement, Anthropic, Commercial Terms). Odložte si preto kópiu podmienok s dátumom, inak po roku nebudete vedieť, s čím ste súhlasili.

AI akt: kedy sa pýtať na návod na použitie

Pri AI akte treba sledovať účel použitia, nie názov nástroja. Medzi vysokorizikové patria podľa prílohy III napríklad systémy na analýzu a filtrovanie žiadostí o zamestnanie a na hodnotenie uchádzačov. Firma, ktorá taký systém nasadí, ho musí používať v súlade s návodom a prideliť ľudský dohľad kompetentným osobám (nariadenie (EÚ) 2024/1689, články 13 a 26).

Ak teda plánujete nástroj použiť pri nábore alebo hodnotení ľudí, vyžiadajte si návod na použitie ešte pred kúpou a spýtajte sa, či dodávateľ takýto účel vôbec povoľuje. Odkedy ktoré povinnosti platia, rozoberá článok AI akt povinnosti.

Postup výberu AI nástroja pre firmu v šiestich krokoch

1. Spíšte úlohy. Vyberte tri až päť úloh, ktoré chcete zveriť AI, a ku každej zapíšte, kto ju robí a aké údaje pri nej používa.
2. Roztrieďte údaje. Rozdeľte ich na verejné, interné a osobné alebo dôverné, pretože posledná skupina určí, aký plán a akú zmluvu potrebujete.
3. Zúžte výber podľa prostredia. Ak firma pracuje v Google Workspace alebo Microsoft 365, začnite tým, čo už v ňom máte, a pridajte jedného až dvoch kandidátov.
4. Pošlite dotazník a prečítajte zmluvu. Použite otázky nižšie, odpovede porovnajte so zverejnenými podmienkami a nástroj bez DPA vyraďte, ak má pracovať s osobnými údajmi.
5. Spustite pilot na neškodných údajoch. Ľudia z rovnakého tímu robia tie isté úlohy a vy zapisujete chyby aj čas potrebný na opravu výstupu.
6. Zapíšte rozhodnutie. Do jednej strany uveďte nástroj, plán, povolené údaje, správcu nástroja a dátum ďalšej kontroly podmienok.

Prečo pilot hodnotiť po ľuďoch, nie priemerom

V terénnom experimente s podnikateľmi v Keni dostala náhodne vybraná skupina AI asistenta na báze GPT-4. Priemerný vplyv na tržby a zisk sa nepodarilo preukázať, no podnikatelia so slabšími výsledkami dopadli podľa autorov takmer o 10 % horšie, kým tí so silnejšími mohli získať viac než 15 %. Rozdiel nevznikol v otázkach ani v radách, ale v tom, ktoré rady sa ľudia rozhodli uplatniť (Otis a kol., 2026, Management Science).

Ide o malé firmy v inom prostredí a so staršou verziou modelu, takže výsledok neprenášajte na vašu firmu doslova. Pre pilot však plynie z tejto štúdie užitočná poučka: nepýtajte sa len na priemernú spokojnosť, ale pozrite sa, komu nástroj pomáha a kto preberá chybné odporúčania.

Dotazník pre dodávateľa a prompt na čítanie zmluvy

Otázky môžete poslať e-mailom predajcovi. Výrobcovia veľkých nástrojov majú väčšinu odpovedí zverejnenú, preto ich využijete hlavne pri menších dodávateľoch.

Dobrý deň, pred nákupom vášho nástroja prosíme o tieto informácie:

1. Kto je náš zmluvný partner a v ktorej krajine sídli?
2. Pošlete nám zmluvu o spracúvaní osobných údajov (DPA)?
3. Na akom modeli nástroj beží a kto je jeho výrobca?
4. Používajú sa naše vstupy a výstupy na tréning? Dá sa to vypnúť?
5. Ako dlho uchovávate vstupy a výstupy vy a ako dlho výrobca modelu?
6. Kde sa údaje spracúvajú a aký je právny základ prenosu mimo EÚ?
7. Kde nájdeme zoznam subdodávateľov a ako oznamujete jeho zmenu?
8. Môžu naše údaje čítať vaši zamestnanci alebo subdodávatelia? Kedy?
9. V akej lehote nám nahlásite bezpečnostný incident a na aký kontakt?
10. Aké audity alebo certifikáty pokrývajú presne túto službu?
11. Ako si pri odchode vyexportujeme údaje a kedy ich zmažete?
12. Ktoré funkcie sú v testovacej fáze a platia pre ne iné podmienky?

Na prvé prečítanie dlhej zmluvy môžete použiť samotnú AI, ak vložíte iba verejne dostupný text podmienok a výsledok si skontrolujete podľa citácií.

Nižšie je text zmluvy o spracúvaní údajov dodávateľa AI nástroja.
Pre každý bod vypíš doslovnú citáciu a číslo článku:

a) účely, na ktoré smie dodávateľ údaje použiť, a pravidlo o tréningu
b) lehota na nahlásenie incidentu
c) subdodávatelia: kde je zoznam, oznámenie zmeny, lehota na námietku
d) audit: čo smiem žiadať a kto platí náklady
e) výmaz alebo vrátenie údajov po skončení zmluvy: lehota a výnimky
f) prenos údajov mimo EÚ: aký mechanizmus zmluva používa

Ak bod v texte nie je, napíš „v texte sa nenachádza“ a nič nedomýšľaj.
Zmluvu nehodnoť ani neodporúčaj, len vypíš citácie do tabuľky.

TEXT ZMLUVY:
[vložte verejný text]

Čo zmluva nevyrieši a kde rozhoduje človek

Ani dobrá zmluva nerobí z výstupu overený fakt. Anthropic vo svojich podmienkach píše, že faktickým tvrdeniam vo výstupoch sa nemá veriť bez samostatného overenia. OpenAI necháva vyhodnotenie presnosti výhradne na zákazníkovi a Microsoft pripomína, že odpovede nie sú zaručene stopercentne vecne správne (Anthropic, Commercial Terms, OpenAI, Services Agreement, Microsoft, Data, Privacy, and Security). Kontrolu teda zmluvne nesiete vy, a preto musí mať vo firme konkrétne meno.

Človek musí rozhodnúť o troch veciach: ktoré údaje do nástroja nepôjdu vôbec, ktoré výstupy smú ísť von bez kontroly a komu sa zverí správa účtov a oprávnení. Pri nejasnom článku zmluvy alebo pri citlivých údajoch, napríklad zdravotných, sa obráťte na právnika alebo zodpovednú osobu, lebo tento postup ich nenahrádza.

Časté otázky

Ako vybrať AI nástroj pre malú firmu bez právnika?

Začnite kontrolným zoznamom z tohto článku a porovnajte zverejnené podmienky so svojimi úlohami. Pri bežných textoch bez osobných údajov vám často stačí overiť firemný plán a nastavenia správcu. Keď má nástroj pracovať s údajmi zákazníkov alebo zamestnancov, DPA si prečítajte a pri nejasnostiach si nechajte poradiť.

Stačí firme osobné predplatné AI nástroja?

Ak do nástroja idú osobné údaje, potrebujete zmluvu so sprostredkovateľom podľa článku 28 GDPR. OpenAI ponúka DPA pre ChatGPT Business, Enterprise a API a Anthropic oddeľuje spotrebiteľské podmienky od komerčných. Osobné konto preto pri takejto práci nepovažujte za náhradu firemného plánu.

Znamená hranica údajov EÚ, že údaje nikdy neopustia Európu?

Nie automaticky, lebo vždy záleží na konkrétnej službe a funkcii. Microsoft napríklad z hranice údajov EÚ vyníma modely Anthropicu v Copilote a Google uvádza, že nastavenia dátového regiónu sa nevzťahujú na údaje v Gemini Notebook. Overte si preto každú funkciu, ktorú chcete používať, nie iba hlavný produkt.

Môže výrobca po kúpe zmeniť podmienky?

Áno, podmienky OpenAI aj Anthropicu s úpravami počítajú, pričom pri Anthropicu sa zmena spravidla prejaví 30 dní po zverejnení alebo oznámení. Pri podstatnej zmene OpenAI sľubuje aspoň 30 dní vopred. Určite preto osobu, ktorá podmienky sleduje, a pri každej ročnej obnove licencie porovnajte aktuálne znenie so svojou kópiou.

Koľko ľudí zapojiť do pilotu AI nástroja?

Presné číslo žiadny predpis neurčuje, dôležitejšie je zloženie skupiny. Zapojte ľudí, ktorí dané úlohy naozaj robia, skúsených aj menej skúsených, a výsledky si zapisujte po jednotlivcoch, aby ste videli rozdiely medzi nimi. Do pilotu nedávajte osobné údaje, kým nemáte uzavretú zmluvu.