Článek 88c a data pro AI: nejde o volnou ruku bez souhlasu

Debata o digitálním omnibusu EU bývá zjednodušována na tvrzení, že firmy budou smět trénovat umělou inteligenci na osobních údajích bez souhlasu. To je příliš široký výklad.

Jádrem diskuse je navrhovaný článek 88c GDPR. Ten by výslovně uznal oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR jako možný právní titul pro zpracování osobních údajů, je-li funkčně nezbytné pro zákonný návrh, vývoj nebo používání systému či modelu AI. Neznamenalo by to zrušení GDPR, automatické schválení webového scrapingu ani ztrátu významu souhlasu tam, kde jej vyžaduje jiné pravidlo.13

Podstatné je také rozlišit dva různé legislativní spisy. Článek 88c patří do datového návrhu Digitálního omnibusu, který stále prochází legislativním procesem. Jeho konečné znění ani výsledek proto nejsou rozhodnuté.

Co by článek 88c skutečně změnil

Navržené znění by správci nebo třetí straně potenciálně umožnilo opřít se o oprávněný zájem při zpracování osobních údajů v celém životním cyklu AI, pokud by takové zpracování bylo funkčně nezbytné pro její zákonný návrh, vývoj nebo používání.3

Šlo by hlavně o výslovnější zakotvení cesty, která už za určitých okolností může existovat i dnes. Evropský sbor pro ochranu osobních údajů (EDPB) dříve uvedl, že oprávněný zájem může být v některých případech vhodným právním titulem pro vývoj a nasazení modelů či systémů AI.45

Slovo „může“ je zde ale zásadní. Firma by nemohla jen prohlásit, že její zájem na vývoji modelu převáží. Nadále by musela splnit běžný test oprávněného zájmu:

• určit skutečný a legitimní zájem;
• prokázat, že zpracování je pro tento zájem nezbytné;
• zvážit tento zájem proti právům a svobodám lidí, jejichž údaje jsou zpracovávány.15

Dál by platila i pravidla EU a členských států, která vyžadují souhlas. Článek 88c by tedy nebyl všeobecným povolením shromažďovat libovolné veřejné či neveřejné osobní údaje pro trénink modelu.1

Pojistky v návrhu: proč na nich záleží

Spor kolem článku 88c se netýká jen otázky, zda lze oprávněný zájem někdy použít. Stejně důležité je, jaké záruky by jej měly doprovázet.

V debatě se objevují zejména minimalizace dat při výběru zdrojů a tréninku, technická a organizační opatření, smysluplná transparentnost a mechanismy respektující strojově čitelné námitky či opt-out. Navrhovaný přístup zároveň počítá s bezpodmínečným právem vznést námitku proti příslušnému zpracování pro AI.13

Právě tyto pojistky by v praxi rozhodovaly o tom, zda je posouzení oprávněného zájmu skutečné, nebo jen formální. Minimalizace dat omezuje argument, že vývojář může sebrat vše jen proto, že by se to mohlo někdy hodit. Transparentnost dává lidem šanci zjistit, co se s jejich údaji děje. A účinné právo vznést námitku nemůže znamenat jen obtížně dohledatelné nastavení předvoleb.

Citlivé údaje nemají být volně k dispozici

Jednání Rady EU o související výjimce pro citlivé údaje zdůrazňovala užší situaci: nahodilé a zbytkové zpracování zvláštních kategorií osobních údajů. Tedy případ, kdy správce citlivé údaje nezamýšlel zpracovávat, ale v hlavní operaci se jim nelze zcela vyhnout. To je něco jiného než cílený sběr citlivých údajů jako tréninkového materiálu.2

Proč mají EDPB a EDPS výhrady

EDPB a evropský inspektor ochrany údajů (EDPS) nezpochybnili, že oprávněný zájem může někdy AI zpracování podpořit. Jejich hlavní námitka zní, že zvláštní článek 88c není nutný: stávající výklad GDPR už takový závěr ve vhodných případech připouští.45

Obava je právní i praktická. Nové ustanovení určené výhradně pro AI by mohlo být chápáno jako něco víc než pouhé vyjasnění a přinést nejistotu ohledně zavedených ochran GDPR. Stanovisko regulátorů je poradní, nikoli závazné, v legislativní debatě má ale značnou váhu.5

Je článek 88c znovu ve hře? Stav zůstává otevřený

Dostupné legislativní podklady ukazují, že jednání v Radě EU byla sporná. Plánované hlasování COREPERu o vyjednávacím mandátu Rady bylo zrušeno, protože se nenašla shoda v otevřených otázkách; práce následně pokračovala za irského předsednictví Rady EU.

Program irského předsednictví uvádí cíl dosáhnout do konce roku 2026 dohody s Evropským parlamentem o balíčku Digitální omnibus. Poskytnuté oficiální materiály však samostatně nedokládají, že by článek 88c byl definitivně vrácen do konečné pozice Rady.

Nejpřesnější popis proto zní: článek 88c je politicky sporný a stále předmětem vyjednávání. Nelze s ním zatím zacházet jako se závazným právním titulem, na který by firmy mohly spoléhat místo stávajících požadavků GDPR.

Neplést si dva Digitální omnibussy

Část zmatku vzniká tím, že jiný předpis — Digitální omnibus pro AI — už byl přijat jako nařízení (EU) 2026/1744.

Tento předpis mění harmonogram zavádění části AI Actu. Povinnosti pro samostatné vysoce rizikové systémy uvedené v příloze III se použijí od 2. prosince 2027; pro vysoce rizikové systémy zabudované do regulovaných produktů platí pozdější termín.1920

Jakmile se pravidla pro systémy z přílohy III začnou uplatňovat, zahrnují posuzování a zmírňování rizik, kvalitní datové soubory navržené ke snižování diskriminačních dopadů, záznamy a dohledatelnost, dokumentaci, informace pro subjekty nasazující systém, lidský dohled, odolnost a kybernetickou bezpečnost.20

Tyto povinnosti podle AI Actu jsou oddělené od otázky GDPR, zda lze osobní údaje zpracovávat pro trénování AI. Odklad povinností pro vysoce rizikovou AI sám o sobě článek 88c nezavádí.

Co to znamená pro vývojáře i jednotlivce

Pro vývojáře by článek 88c mohl znamenat větší textovou jistotu, nikoli však zkratku k souladu s pravidly. Obhajitelný postup by dál vyžadoval zdokumentované posouzení nezbytnosti a vyvážení zájmů, minimalizaci dat, transparentní informování a funkční postupy pro vyřizování námitek.

Pro lidi, jejichž data by mohla být použita, je klíčové, zda výsledný zákon zachová účinné hranice: zda je použití dat opravdu nezbytné, zda citlivé údaje zůstanou přísně omezené a zda budou námitky technicky účinné, nikoli jen symbolické.

Celkový směr není takový, že by Evropa opustila preventivní regulaci AI. Přijatý AI omnibus odkládá některé povinnosti pro vysoce rizikové systémy, zatímco samostatný datový návrh hledá jasnější cestu pro určité zpracování údajů související s AI. Konečná rovnováha bude záviset na jednáních Rady a Evropského parlamentu i na tom, jak bude případné přijaté znění vykládáno a vymáháno.19