Musíme před použitím AI udělat posouzení vlivu (DPIA)?
Krátká odpověď
DPIA je povinné, když zpracování pravděpodobně znamená vysoké riziko pro osoby. U AI to typicky platí, když AI systematicky hodnotí nebo profiluje osoby (např. uchazeče či zaměstnance), ve velkém rozsahu zpracovává citlivé údaje, sleduje zaměstnance nebo využívá novou technologii způsobem, který se dotýká lidí. DPIA popisuje zpracování, jeho nezbytnost, rizika a opatření. U vysoce rizikové AI do něj musíte zahrnout informace od poskytovatele (čl. 26 odst. 9 aktu o umělé inteligenci).
Typické použití AI, které vyžaduje DPIA
| Použití AI | DPIA? |
|---|---|
| Třídění uchazečů | Typicky ano |
| Hodnocení nebo sledování zaměstnanců | Typicky ano |
| AI na zdravotních údajích v ordinaci | Typicky ano |
| Hodnocení úvěruschopnosti zákazníků | Typicky ano |
| Shrnutí zákaznických dotazů s pseudonymy | Obvykle ne |
| Návrhy newsletterů bez osobních údajů | Ne |
Vzor v GoalCube
GoalCube má návrh DPIA, který se vyplní údaji o použití z vašeho registru systémů AI: účel, údaje, riziko, rozhodnutí člověka a pseudonymizace. Doplníte vlastní posouzení a uložíte ho spolu s registrem.
Jak na to
- Popište použití.Účel, údaje, nástroj AI, koho se to týká a kdo co vidí.
- Posuďte nezbytnost a přiměřenost.Je AI nutná? Vystačíte si s méně údaji?
- Najděte rizika pro osoby.Chyby, diskriminace, únik, předání mimo EU, chybějící přístup k údajům.
- Popište opatření.Pseudonymizace, rozhodnutí člověka, řízení přístupu, logy, mazání.
- Poraďte se s pověřencem, pokud ho máte.A obraťte se na ÚOOÚ, pokud je riziko stále vysoké.
Co říká zákon
- GDPR, čl. 35 – posouzení vlivu na ochranu osobních údajů
- Povinné při pravděpodobném vysokém riziku; odst. 7 popisuje obsah.
- GDPR, čl. 36 – předchozí konzultace
- Pokud je riziko stále vysoké, je třeba konzultovat dozorový úřad.
- Akt o umělé inteligenci, čl. 26 odst. 9
- Do DPIA použijte informace poskytovatele o vysoce rizikové AI.
Otázky a odpovědi
Musíme dělat DPIA pro ChatGPT na e-maily?
Obvykle ne, pokud nejde o významné osobní údaje a nikdo se nehodnotí.
Musíme dělat DPIA pro AI při náboru?
Typicky ano. Systematické hodnocení uchazečů novou technologií je klasický příklad.
Existuje seznam zpracování, u kterých je DPIA povinné?
Dozorové úřady, včetně ÚOOÚ, zveřejňují seznamy zpracování, u nichž je DPIA povinné (čl. 35 odst. 4 GDPR). Zkontrolujte, zda se vás to týká.
Zdroje
Autor Redakce GoalCube. Naposledy aktualizováno 11. října 2026. GoalCube vám pomáhá dodržovat AI Act a GDPR. Nejde o právní poradenství.
Buďte mezi prvními.
Spuštění očekáváme v listopadu 2026. Zapište se a ozveme se vám, až budete moci začít.