Co, čehož Zákon o umělých inteligencích EU neříká zakladatelům o trénovacích datech

Článek 50 Zákona o umělých inteligencích EU vyžaduje, aby systém umělé inteligence oznamoval, že osoba komunikuje se strojem. Nicméně neříká nic o tom, co se stane s touto konverzací poté, co je oznámení učiněno.

Zakladatelé, kteří vytvářejí produkty na základě modelu, se soustředí na přesnost a cenu. Otázka, co se stane s daty jejich uživatelů poté, co opustí jejich produkt a jsou zpracovávána třetí stranou, se během výběru dodavatele zřídka objevuje.

Tento předpis se stal vynutitelným od 2. srpna 2026, a pokuty za neplnění mohou dosáhnout 15 milionů eur nebo 3 % z celosvětového ročního obratu, podle toho, co je vyšší. Ukládání a trénování se nacházejí zcela mimo jeho rozsah. Pokud vaše aplikace posílá konverzace uživatelů třetí straně, pak se datové postupy tohoto poskytovatele stávají součástí vašeho produktu, ať už jste to zamýšleli nebo ne.

Implicitní nastavení v celém odvětví je trénování, ne ptání

Výzkumníci ze Stanfordova institutu pro umělou inteligenci přezkoumali zásady ochrany osobních údajů šesti velkých amerických vývojářů umělé inteligence, včetně Amazonu, Anthropic, Google, Meta, Microsoftu a OpenAI, a zjistili, že každý z nich používal data z konverzací zákazníků ve výchozím nastavení pro trénování svých modelů, přičemž někteří uchovávali tato data neomezeně. Vedoucí výzkumnice Jennifer King byla přímá, když se jí zeptali, zda uživatelé systémů umělé inteligence by se měli bát o svou soukromí, a odpověděla: “Absolutně ano.” Trénování by proto mělo být považováno za implicitní předpoklad, pokud není uvedeno jinak v dokumentaci poskytovatele. Detaily se však liší od jednoho poskytovatele k druhému a zaslouží si blízkou pozornost před tím, než se zavážete k platformě.

Jednou chválená pro svůj přístup k ochraně soukromí, Anthropic změnila své podmínky pro spotřebitele, aby konverzace s Claude byly nyní ve výchozím nastavení používány pro trénování, přičemž uživatelé mohou opt-out. To ilustruje, jak rychle může změnit poskytovatel svou politiku trénování, i když soukromí bylo součástí jeho původního návrhu.

U jiných modelů nefunguje opt-out úplně. Google uchovává konverzace Gemini přezkoumané lidskými anotátory až tři roky, a vypnutí nastavení Gemini Apps Activity nezruší to. Jakmile je konverzace označena pro lidskou kontrolu, zůstává v systémech Google na samostatné stopě uchovávání, bez ohledu na to, co uživatel dělá dále.

(AMZN ) (MSFT )

Character.AI trénoval na konverzacích uživatelů ve výchozím nastavení a nabídl opt-out pouze uživatelům v EEA a UK, což jej staví na permissivní straně datových postupů, které jsou zde popsány. Zvlášť tato společnost čelila právním a reputačním výzvám. V lednu 2026 Character.AI a Google se dohodly na principu urovnání skupiny žalob, které tvrdily újmu z interakcí chatbota s nezletilými, nesouvisející s jeho politikou trénování dat. Google byl uveden jako spolubydlící kvůli svým vazbám na zakladatele Character.AI, a přestože nebyla uznána žádná vina a podmínky nebyly zveřejněny, případ ukazuje, že právní expozice spojená s dodavatelem umělé inteligence může dosáhnout i společností, které ho podporují.

Okna uchovávání, spouštěče lidské kontroly a přístup subdodavatelů se zřídka objevují mimo jemný tisk zásad ochrany osobních údajů. Společnosti, které integrují tyto API, se často musí důkladně vyptávat, aby zjistily, jak dlouho uživatelská data zůstanou v kontrole nebo kdo jiný je může vidět. Téměř žádný z těchto detailů se nikdy nedostane k konečným uživatelům, což znamená, že společnost může zdědit datové postupy dodavatele a předat stejnou expozici bez toho, aby si to obě strany uvědomily.

Proč je to problém zakladatelů a ne jen debata o politice

Pokud vaše produkt směruje konverzace uživatelů do modelu s implicitním trénováním, jste přijali datovou politiku jménem svých uživatelů bez toho, aby jim to řekli, i když jste to nemýšleli. Článek 50 vás nezbavuje oznamovat tuto rozhodnutí, protože se týká pouze faktu, že mluví s umělou inteligencí.

Přístup třetí strany rozšiřuje tuto expozici dále. Poskytovatelé modelů pravidelně outsourcují anotaci dat a bezpečnostní kontrolu subdodavatelům. V květnu 2026 texaský generální prokurátor Ken Paxton spustil vyšetřování Meta AI brýlí po tom, co anotátoři dat ve společnosti Sama v Keni údajně uvedli, že mohou přistupovat k záznamům soukromých okamžiků uživatelů, včetně návštěv koupelny. Meta popřela, že tato informace odráží úplný obraz jejích postupů, a vyšetřování pokračuje. Přestože se tento příklad týká nositelných kamer, stejný problém se může vztahovat i na konverzační umělou inteligenci. Slib, že společnost vaše data neprodává, nic neříká o tom, kdo jiný je může číst interně, než se dostanou do trénovacího procesu.

Co zkontrolovat před výběrem dodavatele

Před tím, než budete připojovat model k reálným uživatelským datům, existují otázky, které by si měl každý zakladatel položit.

Dohoda o zpracování dat je místem, kde začít. Tato dohoda je dokument, který řídí, jak jsou zpracovávána data vašich uživatelů, a stojí za to ji přečíst celou.

Smlouva sama si zaslouží stejně velkou pozornost. Dodavatelé často nabízejí přísnější podmínky bez trénování na podnikových nebo API smlouvách než na spotřebitelských produktech chatu, takže potvrďte písemně, které podmínky se vztahují na vaši konkrétní integraci. Mnoho společností často dělá chybu, že předpokládá, že jazyk ochrany osobních údajů na úrovni podniku je automaticky platný.

Provisions pro opt-out jsou také stojí za prozkoumání. Nastavení Gemini ilustruje proč, protože v tomto modelu vypnutí sledování aktivit nezastaví lidskou kontrolu. Dodavatel by měl být schopen říci jasně, zda opt-out zastaví trénování, lidskou kontrolu nebo obojí.

Nakonec, zmapujte, kam jdou data po dodavateli. Anotace a bezpečnostní kontrola jsou často outsourcovány, a datové postupy dodavatele se automaticky nevztahují na každého subdodavatele v této řetězci.

Žádná z těchto otázek by neměla být považována za jednorázový úkol. Podmínky dodavatelů se mění, někdy rychle, a dodavatel, se kterým jste podepsali smlouvu loni, nemusí fungovat podle stejných pravidel dnes.

Trh může stanovit standard, kterého regulace dosud nedosáhla

Článek 50 je nepravděpodobně posledním slovem EU o správě dat umělé inteligence, a zakladatelé by neměli čekat na další kolo regulace, aby dohnali mezeru, kterou zanechala. Společnosti mohou být před touto mezerou nyní tím, že vytvoří explicitní a viditelný opt-in pro trénování na datech svých uživatelů. Existuje skutečná hranice mezi zlepšením modelu a tichým využíváním důvěry uživatelů. Mnohé služby umělé inteligence stále přecházejí tuto hranici tím, že používají konverzace k trénování bez vyžádání explicitního, informovaného souhlasu. Zakladatelé, kteří tuto hranici stanoví sami nyní, nebudou muset později zpětně přizpůsobovat compliance.

Je to krok s precedenty. Šifrované aplikace pro zasílání zpráv a správci hesel nečekali, až regulátoři stanoví silné implicitní nastavení standardem. Učinili tyto rozhodnutí sami a proměnili je ve svou tržní pozici. Produkty umělé inteligence mají stejnou příležitost. Zakladatelé, kteří tuto hranici stanoví předtím, než bude povinná, budou těmi, kterým bude svěřena další citlivá konverzace jejich uživatelů.

s nimiž se regulátoři nemuseli čekat. Učinili tyto rozhodnutí sami a proměnili je ve svou tržní pozici. Produkty umělé inteligence mají stejnou příležitost. Zakladatelé, kteří tuto hranici stanoví předtím, než bude povinná, budou těmi, kterým bude svěřena další citlivá konverzace jejich uživatelů.