ChatGPT vo firme a GDPR: pravidlá, plány a AI Act

Zamestnanec si otvorí ChatGPT, vloží e-mail od klienta a požiada o odpoveď. Pohodlné, rýchle a pre firmu možno problematické. Nie preto, že by AI bola zakázaná, ale preto, že záleží na troch veciach: aký účet používate, aké údaje do neho vkladáte a čo máte s dodávateľom podpísané.

Tento článok je praktický sprievodca pre slovenské firmy. Obsahuje porovnanie plánov štyroch najčastejších dodávateľov (OpenAI, Microsoft, Google, Anthropic), základy GDPR, povinnosti podľa AI Actu, postup nastavenia a vzor interných pravidiel. Všetky údaje o plánoch sme kontrolovali na stránkach dodávateľov 14. 10. 2026. Podmienky sa menia často, preto pri každej tabuľke uvádzame dátum kontroly a zdroje na konci.

Rýchla odpoveď

Smiete vkladať osobné údaje klientov do ChatGPT? Z osobného (bezplatného alebo Plus/Pro) účtu nie. Dodávateľ s vami nemá žiadnu zmluvu o spracúvaní údajov a obsah sa môže používať na trénovanie, pokiaľ to sami nevypnete. Z firemného plánu (ChatGPT Business, Enterprise) alebo cez API je to možné, ak máte podpísanú zmluvu o spracúvaní osobných údajov (DPA), právny základ, vkladáte len nevyhnutné údaje a máte interné pravidlá. Zdravotné údaje, údaje o deťoch a rodné čísla nevkladajte bez posúdenia vplyvu a porady s právnikom.

Tri pravidlá, ktoré pokryjú väčšinu situácií:

1. Firemné údaje len cez firemný účet so zmluvou. Osobné účty zamestnancov sú pre firemné dáta zakázané.
2. Minimum údajov. Do AI posielajte len to, čo potrebuje na úlohu. Na zhrnutie sťažnosti meno klienta nepotrebuje.
3. Človek kontroluje výstup. AI si vymýšľa. Odpoveď klientovi nikdy neodchádza bez ľudskej kontroly.

Prečo sa to týka aj malej firmy

Osobné údaje sú akákoľvek informácia o identifikovateľnej osobe: meno, e-mail, telefón, adresa, ale aj obsah komunikácie, z ktorého sa dá človek určiť. Keď ich vložíte do online nástroja, spracúvate ich a odovzdávate poskytovateľovi. Podľa GDPR na to potrebujete právny základ (čl. 6), musíte o tom informovať dotknuté osoby (čl. 13 a 14) a u dodávateľa, ktorý údaje spracúva vo vašom mene, potrebujete zmluvu (čl. 28).

Netýka sa to len osobných údajov. Zamestnanec, ktorý vloží do verejného nástroja interný cenník, zmluvu alebo zdrojový kód, môže prezradiť obchodné tajomstvo. Známy prípad je Samsung: v roku 2023 mu podľa agentúrnych správ inžinieri omylom odovzdali interný kód cez ChatGPT a firma následne používanie generatívnej AI na firemných zariadeniach zakázala.

Porovnanie plánov: trénovanie, DPA, rezidencia a uchovávanie

Tabuľka zhŕňa to, čo dodávatelia sami uvádzajú v dokumentácii. Stav k októbru 2026, skontrolované 14. 10. 2026. Ak ide o iný plán alebo región, než je v tabuľke, vždy si vyžiadajte potvrdenie od dodávateľa písomne.

Čo z tabuľky vyplýva:

• Rozdiel nerobí značka, ale typ účtu. Firemná verzia každého z nástrojov má iné záruky než osobný účet.
• „Netrénuje sa" nie je to isté ako „je to v súlade s GDPR". Je to jedna z podmienok. Potrebujete aj zmluvu, právny základ, minimalizáciu a bezpečnosť.
• Rezidencia v EÚ nie je automatická. Pri OpenAI sa týka plánov Enterprise a Edu a API, nie Business. Anthropic u vlastného API a Team/Enterprise EÚ región neponúka. Microsoft a Google ho ponúkajú pre firemné plány. U OpenAI Enterprise platí rezidencia pre nové pracovné priestory, nie spätne.
• Rezidencia nepokrýva všetko. OpenAI upozorňuje, že rezidencia výpočtov nepokrýva napríklad overenie používateľa, smerovanie alebo CPU úlohy. Microsoft vyníma webové dopyty zaslané do Bingu.

GDPR v praxi: čo musíte riešiť

1. Právny základ

Na každé spracúvanie osobných údajov potrebujete právny základ podľa čl. 6 GDPR. Pri bežnej práci ide zvyčajne o plnenie zmluvy s klientom alebo oprávnený záujem. Použitie AI nástroja nevyžaduje nový právny základ automaticky, ale musí zodpovedať účelu, na ktorý ste údaje získali. Údaje o zdraví a iné osobitné kategórie (čl. 9) majú prísnejšie podmienky.

2. Zmluva so sprostredkovateľom (čl. 28)

Ak AI nástroj spracúva osobné údaje vo vašom mene, ste prevádzkovateľ a dodávateľ je sprostredkovateľ. Zmluva musí okrem iného určiť, že sprostredkovateľ spracúva údaje len na základe vašich zdokumentovaných pokynov, zaväzuje ľudí k mlčanlivosti, rieši bezpečnosť, podsprostredkovateľov, pomoc pri právach dotknutých osôb a vymazanie alebo vrátenie údajov po skončení.

U OpenAI platí DPA z 1. januára 2026. Ak je zákazníkom firma z EHP alebo Švajčiarska, zmluvnou stranou je OpenAI Ireland Ltd. DPA u Anthropic (účinné od 24. 2. 2025) obsahuje štandardné zmluvné doložky. Microsoft ho má v Product Terms a Data Protection Addendum, Google v Cloud Data Processing Addendum. Nezabudnite, že DPA treba v praxi aktivovať alebo prijať, nestačí vedieť, že existuje.

3. Prenosy mimo EÚ (čl. 44 a nasl.)

Väčšina dodávateľov spracúva dáta aj v USA. Údaje môžu legálne odísť na základe rozhodnutia o primeranosti (EU-US Data Privacy Framework z 10. júla 2023) alebo štandardných zmluvných doložiek (SCC). Stav DPF v októbri 2026: Všeobecný súd 3. septembra 2025 zamietol žalobu Philippa Latombeho proti rozhodnutiu, ale ten podal odvolanie (vec C-703/25 P) a Súdny dvor o ňom ešte nerozhodol. Rámec teda platí, ale jeho budúcnosť nie je definitívne istá. Preto je dobré mať zmluvu postavenú aj na SCC, ako to robí DPA od OpenAI a Anthropic. Či je konkrétny dodávateľ certifikovaný v DPF, si overte na zozname dataprivacyframework.gov. Pri OpenAI sme to nevedeli potvrdiť, takže sa neopierajte len o tento mechanizmus.

4. Informovanie a záznamy

Ak AI spracúva osobné údaje, patrí to do záznamov o spracovateľských činnostiach (čl. 30) a do informácií pre dotknuté osoby (čl. 13 a 14), napríklad do zásad ochrany osobných údajov. Ako dodávateľa uveďte kategóriu príjemcov.

5. Posúdenie vplyvu (DPIA)

Posúdenie vplyvu podľa čl. 35 je povinné, keď spracúvanie, najmä s novými technológiami, pravdepodobne vedie k vysokému riziku. Výslovne ho GDPR vyžaduje napríklad pri rozsiahlom spracúvaní osobitných kategórií údajov. Bežné písanie e-mailov s AI väčšinou DPIA nevyžaduje. Ak ale AI vyhodnocuje zdravotné údaje, ľudí vo veľkom alebo sa podieľa na rozhodnutiach o ľuďoch, nechajte posúdenie urobiť.

6. Bezpečnosť a incidenty

Čl. 32 vyžaduje primerané bezpečnostné opatrenia (prístupy, dvojfaktorové prihlásenie, školenie). Porušenie ochrany údajov treba oznámiť úradu bez zbytočného odkladu a ak je to možné do 72 hodín (čl. 33). Vloženie cudzích osobných údajov do nepovoleného nástroja môže byť takýto incident.

Čo hovoria regulátori

• Pracovná skupina EDPB pre ChatGPT (správa z 23. 5. 2024). Je to predbežný výstup, nie rozhodnutie. Dozorné orgány v nej uvádzajú, že pri obsahu zadávanom do ChatGPT treba ľudí jasne informovať, že sa môže použiť na trénovanie. Zodpovednosť za súlad s GDPR sa nemá prenášať na používateľov len preto, že v podmienkach stojí „sami zodpovedáte za svoje vstupy". K presnosti uvádzajú, že výstupy môžu byť vymyslené a upozornenie na to nenahrádza povinnosť dodržiavať zásadu správnosti údajov.
• Stanovisko EDPB 28/2024 k AI modelom (december 2024). Ak firma nasadí model, ktorý bol vytvorený z nezákonne spracovaných údajov, má podľa EDPB urobiť primerané posúdenie, aby preukázala dodržiavanie zásady zodpovednosti. V praxi: vyberajte dodávateľov, ktorí zverejňujú, ako s dátami zaobchádzajú.
• Taliansky úrad Garante a OpenAI. Garante v novembri 2024 uložil OpenAI pokutu 15 miliónov eur (oznámenú 20. decembra 2024). Rímsky súd ju ale 18. marca 2026 zrušil, pretože podľa neho už mal právomoc írsky úrad ako vedúci dozorný orgán. Súd sa vecne nezaoberal tým, či OpenAI porušilo GDPR. Z prípadu si teda neodnášajte „pokutu", ale to, že otázky trénovania, informovania a overovania veku riešia dozorné orgány a týkajú sa najmä dodávateľa, nie bežného používateľa.
• Slovensko. Konkrétne stanovisko Úradu na ochranu osobných údajov SR k ChatGPT sme nenašli. Národný bezpečnostný úrad (CSIRT.SK) vydal už v máji 2023 odporúčania: nevkladať osobné ani interné a dôverné údaje, kontrolovať odpovede a manažmentu odporúča namiesto úplného zákazu školenie a interné usmernenie. Slovenský zákon o AI je podľa správ zo septembra 2026 v parlamente (druhé čítanie), navrhovaná účinnosť je 1. januára 2027; všeobecným dozorom by mal byť MIRRI.

Čo môžete a čo nemôžete vložiť

Platí pre osobný účet a pre firemný plán so zmluvou. Rozdiel je v tom, čo sa pri firemnom pláne tolerovať dá.

Zelená: môžete (aj z firemného účtu bez veľkých obáv)

• Verejné texty: vaše vlastné články, popisy produktov, ceny, ktoré sú na webe.
• Šablóny e-mailov a odpovedí bez mien a kontaktov.
• Anonymizované zadanie: „Klient sa sťažuje na oneskorenú dodávku, navrhni odpoveď."
• Všeobecné otázky, nápady na kampane, preklady verejných textov.

Oranžová: len z firemného plánu alebo API so zmluvou, a len nevyhnutné

• E-mail od klienta s menom a adresou, ak ho potrebujete zhrnúť alebo odpovedať.
• Faktúry a objednávky s menami, adresami a sumami.
• Interné dokumenty, ktoré nie sú tajné (zápisy, postupy).
• Životopisy a hodnotenia zamestnancov. Tu pozor: ak AI ovplyvňuje rozhodnutia o ľuďoch, ide o citlivejšiu oblasť (pozri AI Act).

Pri oranžovej platí: vynechajte všetko, čo úloha nepotrebuje (rodné čísla, čísla účtov, telefóny) a údaje, kde to ide, nahraďte zástupnými označeniami („Klient A").

Červená: nevkladajte bez posúdenia a výslovného schválenia

• Zdravotné údaje pacientov, údaje o deťoch, rodné čísla, biometrické údaje.
• Hesla, prístupové kľúče, API tokeny, čísla platobných kariet.
• Zdrojový kód a technická dokumentácia, ktoré sú obchodným tajomstvom, zmluvy s doložkou o dôvernosti, nepublikované finančné výsledky.
• Údaje, ktoré vám klient zveril s výslovnou dôvernosťou alebo mlčanlivosťou.

Obchodné tajomstvo podľa § 17 Obchodného zákonníka chráni zákon len vtedy, keď ho podnikateľ aj reálne zabezpečuje. Interné pravidlá pre AI sú preto dobrý dôkaz, že ste na ochranu niečo urobili.

Postup: ako nastaviť bezpečné používanie AI vo firme

1. Zmapujte, kto čo používa. Opýtajte sa tímu, ktoré AI nástroje a s akými účtami reálne používa. Skryté osobné účty sú najčastejší problém.
2. Vyberte jeden alebo dva schválené nástroje. Ak už platíte Microsoft 365 alebo Google Workspace, začnite tam, pretože zmluva a správa používateľov už existujú.
3. Uzavrite DPA a skontrolujte podsprostredkovateľov. Uložte podpísanú verziu a dátum.
4. Nastavte účty, ochrany a prepojenia. Jednotné prihlásenie (SSO) alebo aspoň dvojfaktorové overenie, účty pre každého používateľa, vypnuté zdieľanie konverzácií verejným odkazom, vypnuté trénovanie tam, kde je voliteľné, zapnuté len potrebné pluginy a prepojenia a skrátené uchovávanie, kde to plán umožňuje.
5. Doplňte dokumentáciu. Záznamy o spracovateľských činnostiach (čl. 30), zásady ochrany osobných údajov a DPIA tam, kde je riziko vysoké.
6. Napíšte jednostranové pravidlá, zaškoľte ľudí (vzor nižšie) a raz za polrok skontrolujte podmienky dodávateľov, lebo sa menia.

Vzor osnovy internej smernice o používaní AI

Stačí jedna až dve strany. Navrhovaná štruktúra:

1. Účel a rozsah. Pre koho smernica platí (zamestnanci, dodávatelia) a ktorých nástrojov sa týka.
2. Schválené nástroje. Zoznam nástrojov a typov účtov. Osobné účty na firemnú prácu sa nepoužívajú.
3. Kategórie údajov. Zelená, oranžová a červená (podľa vyššie) s príkladmi z vašej firmy.
4. Anonymizácia a minimalizácia. Ako nahrádzať mená a čo nikdy nevkladať.
5. Kontrola výstupu. Čo sa musí skontrolovať pred odoslaním klientovi alebo publikovaním. Ľudské schválenie pri komunikácii s klientmi.
6. Označovanie. Kedy a ako sa uvedie, že obsah vytvorila AI (pozri AI Act).
7. Autorské práva a licencie. Nekopírovať cudzí chránený obsah, overovať výstupy.
8. Zodpovedné osoby. Kto schvaľuje nové nástroje, kto je kontakt pri incidente.
9. Incidenty. Čo spraviť, ak niekto vloží zakázané údaje: nahlásiť ihneď, nemazať stopy, vyhodnotiť povinnosť oznámenia podľa čl. 33.
10. Školenie a evidencia. Kedy sa ľudia zaškoľujú a kde sa to eviduje.
11. Sankcie a revízia. Dôsledky porušenia a termín ďalšej kontroly.

AI Act: čo sa týka firiem, ktoré AI len používajú

Nariadenie o umelej inteligencii (EÚ 2024/1689) sa týka aj tých, ktorí AI len používajú. Voláme ich „nasadzujúci subjekt" (angl. deployer). Na jeho zmenu nadväzuje nariadenie EÚ 2026/1744, takzvaný digitálny omnibus pre AI, ktoré vyšlo v Úradnom vestníku 24. júla 2026 a účinné je od 27. júla 2026. Skôr uvádzané informácie z roku 2025 sú preto čiastočne zastarané.

Gramotnosť v oblasti AI (čl. 4)

Povinnosť platí od 2. februára 2025. Od júla 2026 je formulovaná mäkšie: firmy nemusia zaručiť určitú úroveň gramotnosti každého človeka, ale musia prijať opatrenia na jej rozvoj u zamestnancov a ľudí, ktorí AI obsluhujú v ich mene. Podľa Európskej komisie:

• Neexistuje povinný formát školenia ani certifikát, záleží na kontexte.
• Interné záznamy o školeniach a iných opatreniach sú vhodné.
• Používanie ChatGPT na písanie textov alebo preklady povinnosť zahŕňa. Ľudia majú poznať riziká, napríklad vymýšľanie si informácií (halucinácie).

Praktické minimum: krátke školenie podľa smernice, zoznam zaškolených a kontrola raz ročne.

Transparentnosť (čl. 50)

Čl. 50 sa uplatňuje od 2. augusta 2026. Pre bežnú firmu sú dôležité hlavne tieto prípady:

• Hlboké falzifikáty. Kto vytvorí alebo upraví obraz, zvuk alebo video, ktoré pripomína skutočné osoby alebo udalosti a môže sa javiť ako pravé, musí uviesť, že ide o obsah vytvorený alebo upravený AI.
• Texty o veciach verejného záujmu. Kto zverejňuje text vytvorený AI na informovanie verejnosti o veciach verejného záujmu, musí to uviesť. Výnimka platí, ak text prešiel ľudskou kontrolou alebo redakčným dohľadom a niekto za publikovanie nesie redakčnú zodpovednosť. Bežný marketingový text alebo e-mail tým zvyčajne nie je dotknutý, no pravidlá si nechajte potvrdiť podľa vášho použitia.
• Chatbot na webe. Ľudia majú vedieť, že komunikujú s AI. Túto povinnosť nesie primárne poskytovateľ systému, ale ak chatbot prevádzkujete pod vlastnou značkou, uveďte to jasne.
• Označovanie výstupov (čl. 50 ods. 2). Týka sa poskytovateľov generatívnych systémov. Pre systémy uvedené na trh pred 2. augustom 2026 platí lehota do 2. decembra 2026.

Vysoké riziko

Systémy vysokého rizika (napríklad AI na výber a hodnotenie zamestnancov) sa podľa omnibusu posúvajú na 2. decembra 2027 (samostatné systémy z prílohy III) a 2. augusta 2028 (systémy zabudované do produktov). Ak AI používate na rozhodovanie o ľuďoch, neignorujte to a pripravte sa vopred.

Najčastejšie chyby

1. Osobné účty na firemné dáta. Zamestnanec používa svoj bezplatný účet, firma o tom nevie a nemá s dodávateľom žiadnu zmluvu.
2. Presvedčenie, že vypnutie trénovania vyrieši GDPR. Nerieši zmluvu, právny základ ani informovanie klientov.
3. Zmluva existuje, ale nikto ju neuzavrel. DPA treba aktívne prijať a archivovať.
4. Nikto nevie, čo je zapnuté. Pluginy, prepojenia na disk a e-mail, režim pamäte a zdieľanie konverzácií zostávajú v predvolenom stave.
5. Zákaz bez alternatívy. Zákaz AI bez schváleného nástroja posunie používanie do tieňa. NBÚ odporúča skôr školenie a usmernenie než úplný zákaz.
6. Kopírovanie výstupu bez kontroly. AI si vymýšľa fakty, mená aj zdroje. Chyba v odpovedi klientovi je vaša chyba.
7. Spoliehanie sa na „je to v EÚ". Rezidencia dát pokrýva len určité plány a typy spracúvania.

Najčastejšie otázky

Môžem do ChatGPT vložiť e-mail od klienta? Z osobného účtu to neodporúčame: nemáte zmluvu s dodávateľom a obsah sa môže používať na trénovanie, ak to nevypnete. Z plánu Business alebo Enterprise, prípadne cez API, je to možné, ak máte podpísané DPA, právny základ a vkladáte len potrebné údaje.

Je ChatGPT v súlade s GDPR? Nástroj ako taký nemá „certifikát GDPR". Súlad závisí od vášho použitia: typ účtu, zmluva, právny základ, minimalizácia, informovanie ľudí a bezpečnosť. Dozorné orgány vyšetrujú aj samotného dodávateľa, to ale nezbavuje zodpovednosti vás ako používateľa.

Stačí vypnúť „Improve the model for everyone"? Obmedzí to používanie obsahu na trénovanie (OpenAI pri tom upozorňuje, že spätná väzba cez palec hore alebo dole môže konverzáciu stále zdieľať). Zmluvu so sprostredkovateľom a ostatné povinnosti podľa GDPR to nenahradí.

Musím mať podpísané DPA, ak do AI vkladám len mená a e-maily? Áno, ak AI nástroj spracúva osobné údaje vo vašom mene, čl. 28 GDPR vyžaduje zmluvu. Mená a e-maily sú osobné údaje.

Musím povedať klientom, že používam AI? Podľa GDPR musíte informovať o tom, kto vaše údaje spracúva a komu ich odovzdávate. Podľa AI Actu platia ďalšie povinnosti pri hlbokých falzifikátoch, texte pre verejnosť a chatbotoch. Pre bežný interný text bez osobných údajov špeciálne označenie nevyžaduje nič.

Platí AI Act pre malú firmu, ktorá len používa ChatGPT? Áno, aspoň povinnosť gramotnosti (čl. 4) a pravidlá transparentnosti (čl. 50) pre konkrétne použitia. Komisia však zdôrazňuje, že rozsah opatrení závisí od kontextu a nevyžaduje sa certifikát.

Čo ďalej

Najčistejšie riešenie nie je AI zakázať, ale prepojiť ju so systémami tak, aby údaje neprechádzali cez osobné účty: dáta idú cez firemný účet alebo API s dohodnutými podmienkami, AI pripraví návrh a človek ho schváli. Ako takéto napojenie vyzerá, popisuje stránka ako napojiť ChatGPT do vašich systémov. Prehľad toho, kde AI vo firme dáva zmysel, nájdete na stránke umelá inteligencia pre firmy. Pre prácu so schránkou je užitočná automatizácia e-mailov, pre faktúry a doklady AI na faktúry a dokumenty. Pravidlá o údajoch tam treba riešiť od začiatku.

Ak chcete prejsť, čo vo vašej firme reálne funguje a čo nastaviť, ozvite sa na bezplatný krátky hovor. Bez záväzku a bez žargónu.

Tento článok je všeobecná informácia, nie právne poradenstvo. Pri citlivých údajoch a konkrétnych zmluvách sa poraďte s právnikom alebo zodpovednou osobou pre ochranu osobných údajov.

Zdroje

Všetky stránky skontrolované 14. 10. 2026.

OpenAI

• Ako sa používajú dáta na zlepšovanie modelov (Free/Plus/Pro vs. Business/Enterprise/API, opt-out, dočasné chaty): https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance
• Enterprise privacy at OpenAI (trénovanie, DPA, uchovávanie; aktualizované 8. 1. 2026): https://openai.com/enterprise-privacy/
• Business data privacy, security, and compliance: https://openai.com/business-data/
• Data processing addendum (účinné od 1. 1. 2026, OpenAI Ireland Ltd., SCC): https://openai.com/policies/data-processing-addendum/
• Data controls in the OpenAI platform (API: 30 dní, ZDR, región EÚ): https://developers.openai.com/api/docs/guides/your-data
• Introducing data residency in Europe: https://openai.com/index/introducing-data-residency-in-europe/
• Expanding data residency access to business customers worldwide: https://openai.com/index/expanding-data-residency-access-to-business-customers-worldwide/
• Data residency and regional data processing for ChatGPT (Enterprise/Edu, inferencia): https://help.openai.com/en/articles/9903489-data-residency-and-regional-data-processing-for-chatgpt
• ChatGPT Team is now ChatGPT Business: https://help.openai.com/en/articles/12111915-chatgpt-team-is-now-chatgpt-business

Microsoft, Google, Anthropic

• Microsoft Learn, Data, Privacy, and Security for Microsoft Copilot (EU Data Boundary, netrénuje sa): https://learn.microsoft.com/en-us/copilot/microsoft-365/microsoft-365-copilot-privacy
• Microsoft Learn, Microsoft Copilot Chat Privacy and Protections (Entra, DPA, procesor): https://learn.microsoft.com/en-us/copilot/privacy-and-protections
• Google, Generative AI in Google Workspace Privacy Hub (aktualizované 6. 10. 2026): https://knowledge.workspace.google.com/admin/gemini/generative-ai-in-google-workspace-privacy-hub
• Google Workspace, Data covered by data regions (Gemini, USA/Európa): https://knowledge.workspace.google.com/admin/compliance/data-covered-by-data-regions
• Google, Gemini Apps Activity (osobné účty, ľudské kontroly, 18 mesiacov): https://support.google.com/gemini/answer/13594961
• Anthropic, Is my data used for model training (komerčné produkty): https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training
• Anthropic, Is my data used for model training (osobné plány, 16. 3. 2026): https://privacy.claude.com/en/articles/10023580-is-my-data-used-for-model-training
• Anthropic, How long do you store my organization's data (30 dní): https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data
• Anthropic, How long do you store my data (osobné plány, až 5 rokov): https://privacy.claude.com/en/articles/10023548-how-long-do-you-store-my-data
• Anthropic, Data Processing Addendum (24. 2. 2025, SCC): https://www.anthropic.com/legal/data-processing-addendum
• Anthropic, Data residency (inferencia us/global, workspace len USA): https://platform.claude.com/docs/en/build-with-claude/data-residency
• Anthropic, API and data retention (ZDR): https://platform.claude.com/docs/en/build-with-claude/api-and-data-retention

GDPR, regulátori a súdy

• GDPR čl. 28 (sprostredkovateľ, zmluva): https://gdpr-info.eu/art-28-gdpr/
• GDPR čl. 35 (posúdenie vplyvu): https://gdpr-info.eu/art-35-gdpr/
• EDPB, Report of the work undertaken by the ChatGPT Taskforce (23. 5. 2024): https://www.edpb.europa.eu/system/files/2024-05/edpb_20240523_report_chatgpt_taskforce_en.pdf
• EDPB, Opinion 28/2024 on AI models (december 2024): https://www.edpb.europa.eu/system/files/documents/2024-12/edpb_opinion_202428_ai-models_en.pdf
• Garante, rozhodnutie voči OpenAI (2. 11. 2024, oznámené 20. 12. 2024): https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432
• PPC Land, rímsky súd zrušil pokutu (18. 3. 2026, právomoc): https://ppc.land/italian-court-kills-openais-eur15m-fine-and-it-wasnt-even-close/
• TASR, Taliansko pokutovalo OpenAI sumou 15 miliónov eur (20. 12. 2024): https://www.teraz.sk/zahranicie/taliansko-pokutovalo-platformu-chatgpt-z/844854-clanok.html
• Európska komisia, rozhodnutie o primeranosti EU-US DPF (10. 7. 2023): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en
• Sledovanie vývoja DPF (rozsudok Všeobecného súdu z 3. 9. 2025, odvolanie C-703/25 P): https://streamlex.eu/resources/dpf-developments-tracker/
• WilmerHale, Court of Justice to review the DPF challenge: https://www.wilmerhale.com/en/insights/blogs/wilmerhale-privacy-and-cybersecurity-law/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework
• NBÚ / CSIRT.SK, Bezpečnostné zásady pri používaní systémov s umelou inteligenciou (máj 2023): https://www.csirt.gov.sk/wp-content/uploads/2023/05/ChatGPT_odporucania.pdf
• Slovenský zákon o AI, správa o postupe v NR SR (17. 9. 2026): https://openiazoch.zoznam.sk/technologie/dohlad-nad-umelou-inteligenciou-preberie-mirri-poslanci-posunuli-zakon-dalej/
• Epravo.sk, Informácie tvoriace obchodné tajomstvo zamestnávateľa (§ 17 Obchodného zákonníka): https://www.epravo.sk/top/clanky/informacie-tvoriace-obchodne-tajomstvo-zamestnavatela-4747.html
• Samsung a únik kódu cez ChatGPT (správa z mája 2023): https://www.forbes.com.au/news/innovation/samsung-bans-chatgpt-among-employees-after-sensitive-code-leak/

AI Act

• Nariadenie (EÚ) 2026/1744 (digitálny omnibus pre AI), EUR-Lex: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ%3AL_202601744
• AI Act Explorer, Digital Omnibus on AI (dátumy a znenia): https://artificialintelligenceact.eu/ai-act-explorer/digital-omnibus/
• AI Act, čl. 50 (povinnosti nasadzujúcich subjektov): https://artificialintelligenceact.eu/article/50/
• AI Act, čl. 113 (dátumy uplatňovania): https://artificialintelligenceact.eu/article/113/
• Európska komisia, AI literacy: Questions and Answers: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
• Law and Technology, Article 4 po omnibuse: https://lawandtechnology.eu/en/ai-literacy-digital-omnibus-article-4-ai-act/
• Future of Privacy Forum, AI Act implementation timeline po omnibuse: https://fpf.org/blog/the-ai-act-implementation-timeline-what-changes-under-the-ai-omnibus/
• Lewis Silkin, The Digital Omnibus on AI enters into force today (27. 7. 2026): https://www.lewissilkin.com/insights/2026/07/27/the-digital-omnibus-on-ai-enters-into-force-today-102nedo