Zaměstnanec vložil osobní údaje do ChatGPT. Co teď?
Krátká odpověď
Zachovejte klid a jednejte rychle. Zjistěte, jaké údaje odešly, do které služby a v jakém tarifu. Smažte konverzaci a vypněte trénování. Posuďte, zda jde o porušení zabezpečení osobních údajů: pokud pravděpodobně znamená riziko pro dotčené osoby, musíte ho do 72 hodin ohlásit ÚOOÚ. Při vysokém riziku to musíte oznámit i dotčeným osobám. Událost vždy zdokumentujte – i když ji hlásit nemusíte – a poučte se z ní.
Co se bere v úvahu při posouzení?
| Riziko zvyšuje | Riziko snižuje |
|---|---|
| Citlivé údaje, rodná čísla, čísla účtů | Jen jména a pracovní e-maily |
| Mnoho osob | Několik osob |
| Bezplatný tarif s trénováním | Firemní tarif bez trénování a se smlouvou |
| Údaje nelze smazat | Konverzace je smazána |
Raději předcházejte
S GoalCube mohou zaměstnanci používat AI na skutečných datech, protože AI vidí jen kódy. A pokud se jméno přesto dostane do odpovědi AI, odhalí to kontrola úniků v GoalCube.
Jak na to
- Zastavte další sdílení.Požádejte zaměstnance, aby přestal a uložil si snímek obrazovky.
- Zjistěte rozsah.Jaké údaje, kolik osob, která služba a jaký tarif.
- Omezte škody.Smažte konverzaci, vypněte trénování a pokud to jde, kontaktujte dodavatele.
- Posuďte riziko.Citlivé údaje, rodná čísla nebo velký počet osob riziko zvyšují.
- Ohlaste, pokud je riziko.ÚOOÚ do 72 hodin od chvíle, kdy jste se o porušení dozvěděli.
- Zdokumentujte a poučte se.Každé porušení je třeba zdokumentovat interně. Aktualizujte směrnici a školení.
Co říká zákon
- GDPR, čl. 33 – ohlášení porušení dozorovému úřadu
- Do 72 hodin, ledaže porušení pravděpodobně nepředstavuje riziko.
- GDPR, čl. 34 – oznámení porušení subjektu údajů
- Při vysokém riziku pro práva osob.
Otázky a odpovědi
Je to vždy porušení?
Ne vždy. Pokud údaje odešly do firemního tarifu se smlouvou o zpracování osobních údajů, jde spíš o chybu v účelu než o porušení. Posuďte konkrétní případ.
Jak tomu příště předejít?
Dobrou alternativou je schválený nástroj, ve kterém AI vidí jen pseudonymy – pak nevadí, že zaměstnanec použije skutečné údaje.
Zdroje
Autor Redakce GoalCube. Naposledy aktualizováno 11. října 2026. GoalCube vám pomáhá dodržovat AI Act a GDPR. Nejde o právní poradenství.
Buďte mezi prvními.
Spuštění očekáváme v listopadu 2026. Zapište se a ozveme se vám, až budete moci začít.