GDPR a ChatGPT: Anonymizace zákaznické podpory v reálném čase
Aktualizováno pro rok 2026
Konflikt přeshraničního předávání dat
Týmy zákaznické podpory používají ChatGPT k sestavování odpovědí. To vytváří problém s GDPR. Jména zákazníků, čísla objednávek a adresy jsou osobní údaje. Jejich odesílání do ChatGPT znamená odesílání na servery OpenAI v USA.
Článek 46 GDPR upravuje předávání dat do třetích zemí mimo EU. Vyžaduje záruky — standardní smluvní doložky (SCC), rozhodnutí o přiměřenosti a závazná podniková pravidla.
OpenAI nabízí SCC pro podnikové zákazníky. Mnoho týmů zákaznické podpory však používá standardní spotřebitelské účty. Ty nemají stejnou úroveň ochrany. Audit EU z roku 2024 zjistil, že 63 % záznamů uživatelů ChatGPT pocházelo z účtů bez podnikových nastavení ochrany.
Itálie ukazuje, kam vymáhání práva směřuje. V prosinci 2024 uložil Garante OpenAI pokutu 15 milionů eur. Důvody byly tři: chybějící platný právní základ, nedostatečná transparentnost ohledně trénování a absence kontroly věku nezletilých. V té době 63 % italských společností postrádalo politiky využívání umělé inteligence v souladu s GDPR.
JIT anonymizace řeší problém
Anonymizace v reálném čase (just-in-time, JIT) zabraňuje tomu, aby se osobní údaje dostaly do ChatGPT. Probíhá v okamžiku odeslání — ještě před voláním OpenAI.
Funguje to takto: agent zákaznické podpory vloží stížnost zákazníka do ChatGPT. Rozšíření prohlížeče zachytí vložený text, detekuje jméno, číslo objednávky a adresu. Agent vidí náhled a klikne na „Pokračovat“. ChatGPT obdrží čistou verzi s tokeny místo identifikátorů.
ChatGPT sestaví odpověď s použitím těchto tokenů. Rozšíření tokeny zpětně nahradí skutečnými hodnotami. Agent vidí v odpovědi skutečné jméno zákazníka. ChatGPT toto jméno nikdy nezpracoval.
Při takovém uspořádání se článek 46 GDPR neuplatní. To, co se dostane k OpenAI, nejsou osobní údaje ve smyslu GDPR. Jméno a adresa zákazníka putují pouze do API anonym.legal hostovaného v EU (Hetzner, Falkenstein) k detekci, takže zůstávají na území EU. Soulad s předpisy je zajištěn strukturálně, nikoli pouze smlouvami. Viz náš průvodce shodou pro požadavky na dokumentaci.
Proč smluvní záruky nestačí
SCC a smlouvy o zpracování dat (DPA) jsou platnými zárukami. Nesou však průběžná rizika. Závisejí na tom, zda zaměstnanci používají správnou úroveň účtu. Vyžadují obnovování a pravidelné audity. Jediná chyba zaměstnance může celý řetězec přetrhnout.
Technická opatření jsou trvalejší. Pokud osobní data nikdy nedosáhnou poskytovatele AI, narušení u něj je nemůže odhalit. Pokuta Garante ve výši 15 milionů eur tento pohled potvrzuje — klíčovým selháním byla absence technických opatření, ne jen chybějící dokumentace. Náš přehled zabezpečení popisuje celostní vrstvený přístup.
Nastavení JIT anonymizace
Nastavení se skládá ze tří kroků.
Instalace rozšíření prohlížeče. Rozšíření Chrome se vkládá mezi agenta a nástroj umělé inteligence. Samotný nástroj umělé inteligence není potřeba měnit. Agenti mohou dál pracovat jako dosud.
Konfigurace detekce entit. Aktivujte typy entit odpovídající vaší zákaznické základně. Pro týmy zákaznické podpory v EU to zahrnuje jména, adresy, e-mailové adresy, telefonní čísla, čísla objednávek a formáty místních národních identifikačních dokladů.
Zapnutí protokolu auditu. Regulátoři požadují doklad o fungování kontrol. Záznam na každou událost — časové razítko, typy entit, počet — poskytuje inspektorům důkaz. Žádný osobní obsah se neukládá. Viz naše FAQ pro konfigurační dotazy.