Osobní údaje pro AI bez souhlasu? Země EU podpořily sporný návrh

Za zprávou ze sítě X stojí skutečný dokument Rady EU

Zpráva, kterou 26. října šířil účet International Cyber Digest na síti X, má reálný základ. Výbor stálých zástupců členských států se 21. října 2026 dohodl na mandátu pro jednání o balíku Digital Omnibus. Rada dokument zveřejnila následující den. Potvrzuje to přímo dokument Rady EU číslo 14756/26, který popisuje dohodu jako mandát pro vyjednávání s Evropským parlamentem.

O dohodě nezávisle informovaly odborný server IAPP a německý netzpolitik.org. Oba články vyšly 22. října. Pondělní příspěvek na X tedy upozornil na několik dní starý legislativní krok, nikoli na nové pravidlo, které by právě začalo platit.

Digital Omnibus má zjednodušovat evropskou digitální legislativu. Vedle ochrany osobních údajů zasahuje do pravidel pro cookies, sdílení dat nebo hlášení incidentů. Nejostřejší spor kolem AI se soustředí na nový článek GDPR označený v pozici Rady jako 88bis.

Osobní údaje pro AI bez samostatného souhlasu

Navržený článek říká, že zpracování osobních údajů při vývoji a provozu systému či modelu AI může probíhat na základě oprávněného zájmu správce nebo třetí strany podle článku 6 odst. 1 písm. f) GDPR. Rozsah textu je širší než samotné trénování modelů: zahrnuje také jejich provoz.

Oprávněný zájem je právní základ, který GDPR zná už dnes. Firma při jeho použití nepotřebuje získat souhlas každého člověka, jehož údaje zpracovává. Musí ovšem doložit oprávněný účel, nezbytnost zpracování a posoudit, zda nad jejím zájmem nepřevažují práva dotčených lidí. Právě na tento existující článek návrh Rady nadále odkazuje. Bod 33a odůvodnění navíc výslovně uvádí, že samotný vývoj či provoz AI oprávněný zájem nevytváří. Použitelnost tohoto právního základu se má posuzovat případ od případu podle účelu zpracování.

Politicky důležitá změna spočívá v tom, že by GDPR výslovně jmenovalo celou oblast vývoje a provozu AI. Firmy by tak získaly přímo v nařízení oporu pro argument, že zpracování osobních údajů kvůli AI může stát na jejich oprávněném zájmu. Spor se vede o to, jak silně takové ustanovení v praxi vychýlí rovnováhu ve prospěch zájmů provozovatele.

Text současně obsahuje odstavec požadující odpovídající technická a organizační opatření a ochranu práv lidí v souladu s GDPR. Výslovně zmiňuje i právo vznést námitku podle článku 21. Označení návrhu za neomezené povolení používat jakákoli data proto vystihuje stanovisko jeho kritiků, nikoli úplný obsah dokumentu.

Schrems mluví o „digitálním vyvlastnění“

Organizace noyb, kterou založil rakouský právník a aktivista Max Schrems, zveřejnila 23. října ostrou kritiku dohodnutého textu. Podle ní by nová úprava dovolila technologickým společnostem mnohem šířeji využívat údaje, které o lidech nashromáždily během předchozích let.

„Podle dohodnutého textu by zisky AI společností zpravidla převážily nad základním právem Evropanů na soukromí. Není to nic jiného než digitální vyvlastnění Evropanů,“ uvedl Schrems. Citaci překládáme z anglického vyjádření noyb.

Jádrem jeho námitky je rozdíl mezi povolením zpracovávat údaje pro konkrétní účel a širokou formulací „v souvislosti s AI“. Technologie sama podle noyb nemá být důvodem, proč se mohou osobní údaje začít používat jinak. Organizace také tvrdí, že obecný odkaz na existující ochranná pravidla nevytváří dostatečné dodatečné záruky.

IAPP popisuje vyjednávací pozici střízlivěji: členské státy podle něj upřesnily právní základ pro zpracování údajů při trénování AI a zdůraznily potřebu zachovat odpovídající záruky. Rozdíl mezi tímto popisem a hodnocením noyb ukazuje, jak odlišně účastníci debaty čtou praktické důsledky stejného mandátu.

Proč se návrh týká i lidí, kteří AI nepoužívají

Pro české uživatele je podstatné, že diskuse přesahuje obsah zadaný přímo do chatbotu. Pokud má firma osobní údaje například z jiné služby a chce je využít pro vývoj AI, řeší se právní základ pro toto další zpracování. Právě na dříve shromážděné údaje a lidi, kteří zákazníky AI společností vůbec nejsou, upozorňuje noyb.

U českých firem se stejná otázka může týkat použití zákaznických údajů ve vlastních AI projektech. Zda lze konkrétní údaje použít, závisí na účelu a okolnostech zpracování. Dohodnutý mandát Rady nynější povinnosti nemění; ukazuje však, jakou výslovnou oporu pro AI chtějí členské státy do GDPR doplnit.

Debata tak není jen o tom, zda budou další modely dostávat více trénovacích dat. Jde také o to, kdo ponese odpovědnost za zdůvodnění jejich použití a jak účinně se člověk bude moci bránit. Rada v textu ponechává odkaz na právo námitky, zatímco noyb zpochybňuje, zda bude tato ochrana při tak široce formulovaném oprávnění dostatečná.

Rozhodující jednání teprve přijdou

Rada reprezentuje členské státy. Aby se její pozice proměnila v nařízení EU, musí se shodnout s Evropským parlamentem; jednání se účastní také Komise. IAPP i noyb výslovně uvádějí, že Parlament si vlastní pozici ještě musí vytvořit. Výsledek tak zůstává otevřený i u nejspornějšího článku o AI.

Ověřený závěr zprávy je tedy konkrétní: členské státy podpořily vyjednávací text, který má usnadnit opírání vývoje a provozu AI o oprávněný zájem. Zda tato úprava projde a jaké bude mít konečné záruky, se rozhodne až v dalších fázích legislativního procesu. Právě rozdíl mezi pozicí Rady a hotovým zákonem je pro pochopení nynějšího sporu nejdůležitější.