Splošna uredba o varstvu podatkov (GDPR)
Evropski zakon o varstvu osebnih podatkov. Velja vedno, ko AI obdeluje osebne podatke — v pozivih, naloženih dokumentih, učnih podatkih ali rezultatih.
Kaj pomeni za AI
Za večino podjetij je GDPR pomembnejši od AI Act: odloča, ali sploh smete podatke strank ali zaposlenih vnesti v AI orodje. V Sloveniji ga dopolnjuje ZVOP-2, nadzira ga Informacijski pooblaščenec.
Kaj morate storiti
- Pravna podlaga za vsako obdelavo z AI (pogodba, zakoniti interes, privolitev, zakonska obveznost).
- Pogodba o obdelavi osebnih podatkov (DPA) s ponudnikom AI; preverite, kje so podatki shranjeni in ali se uporabljajo za učenje.
- Ocena učinka (DPIA) pred tvegano obdelavo — npr. AI, ki ocenjuje zaposlene ali stranke.
- Člen 22: nobene odločitve s pravnim ali podobno pomembnim učinkom samo na podlagi avtomatizirane obdelave, razen po izjemah — takrat pravica do človeškega posega.
- Preglednost: v obvestilu o zasebnosti povejte, da in kako uporabljate AI.
- Najmanjši obseg podatkov: osebne podatke pred uporabo AI odstranite ali psevdonimizirajte, kjer je mogoče.
- Prenosi izven EU (npr. ameriški ponudniki): okvir EU–ZDA o zasebnosti podatkov ali standardne pogodbene klavzule.
Primeri
Tvegano: ni pogodbe o obdelavi, podatki se lahko uporabijo za učenje. Uporabite poslovni paket z DPA ali najprej odstranite osebne podatke (npr. s Clean before AI).
Velja člen 22: stranka ima pravico do človeškega pregleda in smiselne razlage. Sodišče EU je to potrdilo za bonitetno točkovanje (SCHUFA, C-634/21) in za pojasnilo logike (C-203/22).
Udeležence obvestite, preverite, kje se posnetki hranijo, in jih izbrišite, ko niso več potrebni.
Ključni datumi
GDPR se začne uporabljati.
Mnenje EDPB 28/2024 o modelih AI in osebnih podatkih.
Informacijski pooblaščenec RS (IP).
Do 20 milijonov € ali 4 % svetovnega letnega prometa.
Splošne informacije, ne pravni nasvet — pri mejnih primerih se posvetujte s pravnikom. Stanje predpisov preverjeno 29. 9. 2026.