Prečo firemné dáta nepatria do ChatGPT: riziká verejných LLM modelov

ChatGPT, Claude.ai a Gemini patria medzi najpoužívanejšie nástroje kancelárskych pracovníkov. Účtovník do nich vloží faktúru, HR konzultantka životopis, manažér obchodnú stratégiu. Každý takýto moment môže byť bezpečnostný a právny problém pre firmu, klienta aj samotného zamestnanca.

Cieľom nie je zakázať AI. Cieľom je používať ju bezpečne. Verejné LLM nástroje majú miesto pri nízkorizikových úlohách, ale citlivé firemné dáta potrebujú riadenú architektúru, zmluvy, oprávnenia a auditnú stopu.

1. Rozdiel medzi ChatGPT a GPT od OpenAI

ChatGPT ako spotrebiteľská aplikácia

Bežný účet na chat.openai.com alebo v mobilnej aplikácii je spotrebiteľský produkt. Nastavenia ochrany dát sa môžu líšiť podľa plánu a používateľ ich často nerieši. Pre firemné dáta je to riziková voľba.

ChatGPT Team alebo Enterprise

Platené firemné plány majú lepšie nastavenia, vyššiu kontrolu a typicky možnosť DPA. Môžu byť použiteľné pre nízkorizikové dáta, ale stále treba riešiť lokalitu dát, interné pravidlá a prístupové oprávnenia.

Azure OpenAI Service

Modely OpenAI bežiace cez Microsoft Azure umožňujú EU regióny, podnikové zmluvy a kontrolovanejšie spracovanie. Pre mnoho B2B nasadení je to bezpečnejšia cesta než osobný ChatGPT účet.

Keď hovoríme, že firemné dáta nepatria do ChatGPT, myslíme najmä situáciu, keď zamestnanec cez súkromný alebo bežný Plus účet kopíruje interný obsah bez schválenia firmy.

2. Reálne typy rizík

Únik cez tréning alebo uloženie konverzácie

Ak sa konverzácia použije na zlepšovanie služby alebo sa uloží mimo vášho riadeného prostredia, strácate kontrolu nad tým, kde firemné dáta skončili.

Incident na strane poskytovateľa

Žiadny cloudový poskytovateľ nie je bez rizika. Aj krátky incident môže odhaliť názvy konverzácií, metadáta alebo API kľúče. Pri citlivých dátach musí firma vedieť, čo sa stane pri incidente a kto nesie zodpovednosť.

Vládny alebo právny prístup k dátam

Ak sú dáta v USA alebo mimo kontrolovaného EU režimu, môžu sa uplatniť právne mechanizmy, ktoré firma nechce riskovať pri zdravotníctve, financiách, advokátskom tajomstve alebo verejnej správe.

Konkurenčné zneužitie

Obchodná stratégia, cenotvorba, zoznam klientov alebo plán akvizície nie sú materiál na verejný AI nástroj. Aj keď sa nič nestane, firma nevie preukázať primeranú kontrolu.

Regulačné sankcie

Pri osobných údajoch zodpovedá firma ako správca. Ak zamestnanec vloží osobné údaje klienta do nevhodného nástroja, problém nerieši OpenAI namiesto vás. Rieši ho vaša firma.

3. GDPR pohľad

Zákonnosť spracovania

Na vloženie osobných údajov do LLM potrebujete právny základ. Pri zákazníckych e-mailoch, životopisoch alebo zdravotných údajoch ho často nemáte pre takýto účel.

Účelové obmedzenie

Dáta sa môžu spracúvať len na účel, pre ktorý boli získané. „Analýza cez osobný ChatGPT účet“ zvyčajne nie je uvedený účel spracovania.

Minimalizácia dát

Do AI sa má posielať iba nevyhnutné minimum. Celý e-mail so menom, telefónom, adresou a históriou komunikácie je nadbytočný vstup.

Bezpečnosť

Firma musí preukázať primeranú úroveň bezpečnosti. Bez DPA, riadených prístupov, logovania a pravidiel je to ťažké obhájiť.

Medzinárodné prenosy

Prenos mimo EU musí mať právny rámec. Pri verejných účtoch a nejasnom nastavení je riziko vyššie.

4. České kontexty s vyšším rizikom

Dátové schránky

Obsah dátovej schránky môže obsahovať úradné dokumenty, osobné údaje alebo právne citlivé informácie. Kopírovanie do verejného nástroja je zbytočné riziko.

Zdravotnícke dáta

Zdravotné údaje patria medzi osobitné kategórie osobných údajov. Potrebujú vysokú ochranu, jasný právny základ a prísne obmedzený prístup.

Advokáti a daňoví poradcovia

Advokátske tajomstvo, daňové stratégie a klientská dokumentácia nepatria do neriadeného verejného LLM.

Finančný sektor

Banky, poisťovne a fintechy riešia AML, KYC, obchodné tajomstvo a regulované dáta. Potrebujú auditovateľnú architektúru.

Verejná správa

Pri verejných inštitúciách je problémom nielen GDPR, ale aj dôvera občanov, bezpečnosť a verejná kontrola.

5. Čo sa už firmám stáva

Najčastejšie nejde o filmový únik. Ide o bežné situácie: zamestnanec vloží do chatu tabuľku klientov, právnik nechá zhrnúť zmluvu, HR nahrá životopisy alebo obchodník pošle cenovú ponuku na „vylepšenie“. Všetko pôsobí nevinne, kým sa nerieši audit, incident alebo klientská otázka.

6. Bezpečnejšie alternatívy

Azure OpenAI Service

Vhodná voľba pre firmy, ktoré chcú proprietárne modely, ale potrebujú podnikové zmluvy, EU regióny a lepšiu kontrolu.

AWS Bedrock

Alternatíva pre firmy už postavené na AWS, s možnosťou výberu viacerých modelov a integrácie do existujúcej bezpečnostnej architektúry.

Self-hosted open-source modely

Llama, Mistral alebo iné modely môžu bežať v privátnom prostredí. Dáva to zmysel pri citlivých dátach a vyššom objeme, ale vyžaduje infraštruktúru a MLOps.

AI agent na mieru

Najbezpečnejší praktický variant pri firemných procesoch. Agent má role-based access, logovanie, RAG nad vašimi dokumentmi, anonymizáciu a pravidlá pre citlivé vstupy. Pozrite si AI na mieru.

7. Časté mýty

• „Stačí vypnúť learning.“ Pomôže, ale nerieši DPA, prístupy, logovanie ani interné pravidlá.
• „Máme platený účet, takže je to bezpečné.“ Platený účet nie je automaticky compliance architektúra.
• „Nikto to nekontroluje.“ Kontrola príde pri incidente, audite, zákazníckej otázke alebo due diligence.
• „Stačí zákaz v smernici.“ Zákaz bez bezpečnej alternatívy ľudia obídu.

8. Praktický plán pre firmu

Krok 1: audit súčasného stavu

Zistite, kto používa aké AI nástroje a aké dáta do nich vkladá.

Krok 2: akútne opatrenia

Zakážte vkladanie citlivých dát do verejných účtov, pripravte krátke pravidlá a vysvetlite dôvody.

Krok 3: výber bezpečnej platformy

Vyberte Azure OpenAI, AWS Bedrock, private cloud alebo self-hosted riešenie podľa rizika dát.

Krok 4: custom agenti pre kľúčové procesy

Najrizikovejšie a najhodnotnejšie procesy riešte riadeným agentom, nie ad hoc promptovaním.

Krok 5: compliance proces

Nastavte DPIA, zmluvy, logovanie, prístupové práva, školenie a pravidelné kontroly.

9. EU AI Act

EU AI Act pridáva dôraz na transparentnosť, ľudský dohľad, dokumentáciu a riadenie rizika. Verejné LLM používané bez kontroly firme nepomáhajú preukázať, že AI používa zodpovedne.

Záver: AI áno, verejné LLM s firemnými dátami nie

AI má vo firme miesto. Citlivé dáta však patria do riadeného prostredia, nie do osobného chatu. Bezpečná cesta znamená správnu platformu, jasné pravidlá a agentov navrhnutých pre konkrétne procesy.

Ak chcete nastaviť bezpečné AI používanie vo firme, napíšte nám. Pomôžeme s auditom, pravidlami aj návrhom bezpečnej architektúry.

Často kladené otázky (FAQ)

Môžem používať ChatGPT pre firmu s plateným Plus účtom?

Na všeobecné úlohy bez citlivých dát áno. Na osobné údaje, obchodné tajomstvá, zmluvy alebo klientsku dokumentáciu nie bez riadenej firemnej architektúry.

Čo sa stane, ak vložím osobné údaje klienta do ChatGPT?

Môže ísť o neoprávnené spracovanie alebo prenos dát. Firma musí vedieť preukázať právny základ, bezpečnosť a zmluvný vzťah so spracovateľom.

Aká je najjednoduchšia cesta k bezpečnej AI?

Začnite auditom používania, zakážte citlivé dáta vo verejných účtoch a vyberte podnikovú platformu alebo custom agenta pre najdôležitejšie procesy.