Umetna inteligenca in osebni podatki: zakaj šteje dokazljivo skrbno ravnanje

Pravila o umetni inteligenci in varstvu osebnih podatkov se ta čas premikajo v različne smeri: zakonodajni okvir se ponekod rahlo sprošča, nadzorni organi, sodišča in standardizacija pa pričakovanja do organizacij zaostrujejo. Skupni imenovalec teh premikov je vprašanje, ali zna družba pokazati, kako ravna s podatki, sistemi in dobavitelji. Za poslovanje to pomeni, da formalna pravna podlaga ne zadošča več sama po sebi ampak mora družba sama poskrbeti za interna pravila in smernice za uporabo umetne inteligence. Odločilno postaja dokumentirano in preverljivo ravnanje pri uporabi umetne inteligence, ki zdrži tudi spremembo pravil.

Sproščanje pravil ne odpravlja potrebe po skrbnosti

Organizacija noyb je 23. oktobra 2026 poročala, da so države članice EU potrdile spremembo Splošne uredbe o varstvu podatkov (GDPR). Po potrjenem besedilu naj bi bila obdelava osebnih podatkov »v kontekstu umetne inteligence« samodejno zakonita. noyb spremembo označuje kot »digitalno razlastitev« in opozarja, da bi lahko velike tehnološke družbe, med njimi OpenAI, Anthropic, Google, Meta in SpaceX, praktično brez omejitev uporabljale osebne podatke, zbrane v preteklih desetletjih.

Gre za oceno organizacije, ki se zavzema za varstvo podatkov. Nadaljnji potek postopka in datum morebitne uveljavitve iz gradiva nista razvidna [dopolniti]. Za gospodarske družbe je pomembnejše nekaj drugega. Tudi če bo pravna podlaga za obdelavo v okviru umetne inteligence lažje dosegljiva, ostajajo odprta vprašanja odgovornosti, varnosti in pravic posameznikov in nadaljevanje ureditve kaže, da se pozornost seli prav tja.

Vir: noyb

Odgovornost sega tudi v dobavno verigo v oblaku

Dokazljivost se ne konča pri lastnih sistemih. Prispevek IAPP z dne 22. oktobra 2026 ugotavlja, da se organizacije soočajo z vse večjimi izzivi pri izpolnjevanju zahtev direktive NIS2 in uredbe DORA glede tveganj v dobavni verigi, zlasti pri storitvah v oblaku.

Za poslovodstvo to pomeni, da mora biti obvladovanje dobaviteljev dokumentirano enako skrbno kot notranji procesi. Pogodbe, ocene tveganj in nadzor nad izvajalci so del istega dokaznega gradiva.

Vir: iapp

Nadzorni organi ukrepajo tudi po več letih

Da preverjanje lahko pride z zamikom, kaže odločitev berlinskega organa za varstvo podatkov. Organizacija noyb je pred več kot tremi leti vložila pritožbe zoper več nemških političnih strank zaradi političnega mikrotargetiranja v zveznih volitvah leta 2021. Po poročanju noyb z dne 21. oktobra 2026 je organ izdal odločbe glede strank SPD, Zeleni, Die LINKE in CDU in ugotovil, da so vse nezakonito uporabljale mikrotargetiranje.

Čeprav zadeva zadeva politične stranke, je nauk splošen. Odločitve o ciljanju in profiliranju se presojajo leta pozneje, zato mora biti dokumentacija o njih dosegljiva in razumljiva tudi takrat.

Vir: noyb

Sodišča presojajo, ali je bilo tveganje razumno obvladano

Analiza IAPP z dne 21. oktobra 2026 obravnava štiri zadeve iz Kitajske, Nemčije in ZDA. V njih so sodišča odločala o posledicah t. i. halucinacij, to je netočnih, a prepričljivo podanih odgovorov velikih umetno inteligenčnih jezikovnih modelov. Študija ugotavlja, da sodišča ponudnike umetne inteligence vse pogosteje štejejo za odgovorne za upravljanje in blaženje teh tveganj.

Primer iz Kitajske

Klepetalni robot je študentu posredoval netočne podatke o univerzitetnem kampusu. Ko ga je študent popravil, je vztrajal pri svojem in obljubil 100.000 juanov odškodnine, če se bo izkazalo, da nima prav. Internetno sodišče v Hangzhouju je zahtevek zavrnilo. Umetna inteligenca ni pravna oseba, zato njena obljuba ponudnika ne zavezuje. Klepetalni robot je storitev, za katero velja krivdna odgovornost, ne objektivna odgovornost za proizvod. Ponudnik robota ni ravnal krivdno, saj je imel vsa ustrezna opozorila o omejitvah in zaščitne ukrepe zoper halucinacije, študent pa ni izkazal dejanske škode.

Primer iz ZDA

V zadevi Walters proti OpenAI je ChatGPT ob povzemanju tožbe napačno navedel, da je radijski voditelj Mark Walters obtožen poneverbe.

Analiza izpostavlja ponavljajoče se vprašanje: ali je odgovornost odvisna od popolne odprave halucinacij ali od razumnega blaženja tveganja. Za družbe, ki umetno inteligenco ponujajo ali vgrajujejo v svoje storitve, je sporočilo jasno. Opozorila in zaščitni ukrepi niso formalnost, temveč dokaz skrbnosti.

Vir: iapp

Hiter odziv na ranljivosti je del iste discipline

Kako konkretna so lahko pričakovanja, kaže skupna izjava z dne 21. oktobra 2026 o kritičnih ranljivostih v PHP. Izdali so jo Evropska komisija (DG CNECT), agencija ENISA, CERT-EU, Europol EC3 in mreža nacionalnih skupin za odzivanje na računalniške varnostne incidente (mreža CSIRT). Organizacijam svetujejo takojšnje ukrepanje.

Za družbe velja preprosto vodilo: imeti morajo pregled nad tem, kje uporabljajo prizadete tehnologije, in evidenco o tem, kdaj in kako so se na opozorilo odzvale.

Vir: enisa

Anonimizacija je ocena tveganja, ne oznaka nabora podatkov

Tudi Evropski odbor za varstvo podatkov (EDPB) se s smernicami o anonimizaciji osredotoča na dokazljivo oceno. Osnutek smernic je odprt za pripombe do 30. oktobra 2026. Analiza IAPP z dne 19. oktobra 2026 ga ponazarja z genomskimi podatki. Če so sorodniki izključeni kot prejemniki nabora podatkov, s tem še niso izključene njihove genetske informacije kot sredstvo za identifikacijo posameznika v naboru. Osnutek bi lahko pokazal, kako takšno možnost oceniti.

Povezava s prejšnjim razdelkom je očitna. Genetski podatki so, tako kot glas, trajni, zato oznaka »anonimizirano« brez utemeljene ocene ponovne identifikacije ne nudi zanesljive zaščite.

Vir: iapp

Sledljivost podatkov skozi ves življenjski cikel

Podobno logiko kaže analiza IAPP z dne 20. oktobra 2026 o sporih glede glasovnih odtisov. Maja 2026 so glasovni profesionalci v Illinoisu vložili devet povezanih predlaganih skupinskih tožb. V njih zatrjujejo, da so bili iz javno dostopnih posnetkov izpeljani glasovni odtisi in uporabljeni za razvoj sistemov umetne inteligence, in sicer brez obvestila, pisne privolitve, politik hrambe ali zaščitnih ukrepov, ki jih zahteva zakon Illinoisa o biometričnih podatkih (BIPA). Tožbe uveljavljajo tudi zahtevke iz naslova pravice do javne podobe, varstva potrošnikov in neupravičene obogatitve.

Analiza poudarja, da je glas trajna lastnost posameznika. Posameznik si po zlorabi posnetka ali iz njega izpeljanega modela ne more izbrati novega glasu. Ključno praktično vprašanje je, ali zna organizacija pokazati, kako je glas vstopil v njene sisteme, kako se je po njih gibal in kako jih je zapustil. Priporočilo analize je prehod od statične privolitve k dejavnemu upravljanju podatkov skozi njihov celoten življenjski cikel.

Vir: iapp

Harmonizirani standardi kot merilo za skladnost z Aktom o UI

Evropska komisija je 19. oktobra 2026 sporočila, da je bil v Uradnem listu objavljen sklic na prvi harmonizirani standard, ki podpira izvajanje Akta o umetni inteligenci. Za katero področje standarda gre, iz zajetega gradiva ni razvidno [dopolniti].

Za družbe, ki razvijajo ali uporabljajo sisteme umetne inteligence, je objava pomembna iz istega razloga kot zgornje zadeve. Pričakovanja do skrbnega ravnanja dobivajo vse bolj konkretno, preverljivo obliko. Spremljanje nadaljnjih standardov je zato smiselno vključiti v redno skladnostno delo.

Vir: eu-komisija

Ne glede na to, ali se pravila na posameznem področju rahljajo ali zaostrujejo, se presoja vse bolj osredotoča na vprašanje, ali zna organizacija pokazati, kaj je storila in kako podatke obvladuje.

Pomembno je zato, da se družbe ne zanašajo zgolj na morebitno sprostitev pravne podlage za obdelavo podatkov (osebnih in tajnih) v okviru umetne inteligence, ampak je pomembno, da podjetja že sama in neodvisno od zakonodaje vzpostavijo sledljivost podatkov skozi njihov življenjski cikel, utemeljijo trditve o anonimizaciji, dokumentirajo opozorila in zaščitne ukrepe pri sistemih umetne inteligence, uredijo obvladovanje dobaviteljev, ustrezno klasificirajo podatke in njihove uporabnike ter vodijo evidenco odzivov na varnostna opozorila.

Podjetja naj opustijo statične privolitve brez nadaljnjega upravljanja in dokumentacijo, ki je čez nekaj časa ni več mogoče uporabiti ali rekonstruirati.

Naša odvetniška družba lahko pomaga pri pregledu obstoječih procesov obdelave podatkov in uporabe umetne inteligence v podjetju, pri pripravi notranjih ustreznih politik in pogodb z dobavitelji ter pri presoji, katere zahteve se nanašajo na vašo dejavnost.

Članek je splošna informacija in ne nadomešča pravnega nasveta v konkretnem primeru.