--- title: "Trénování AI na osobních datech" description: "Rada EU schválila mandát k Digital Omnibus. Zjistěte, co článek 88bis GDPR mění u trénování AI na osobních datech a co mají dělat české firmy." author: "Jan Černošek" author_role: "Spoluzakladatel · Business & Consulting" author_url: https://nobig.deals/cs/blog/autor/jan-cernosek url: https://nobig.deals/cs/blog/trenovani-ai-osobnich-datech-digital-omnibus content_type: text/markdown --- Autor: Jan Černošek (Spoluzakladatel · Business & Consulting) [Blog](https://nobig.deals/cs/blog)/[Regulace a právo](https://nobig.deals/cs/blog/kategorie/regulace-a-pravo)/Trénování AI na osobních datech: co schv… # Trénování AI na osobních datech: co schválila Rada EU Zatím ne. Rada EU 21\. října 2026 schválila jen vyjednávací mandát, ne platný zákon. Článek 88bis GDPR by výslovně potvrdil oprávněný zájem pro AI, ale balanční test, námitka i ochranná opatření zůstávají. [Jan Černošek](https://nobig.deals/cs/blog/autor/jan-cernosek)·Publikováno 28\. října 2026·9 min čtení ![Postava zezadu hledí na budovu s řadou vlajek a jedním oranžovým praporem na fasádě.](https://nobig.deals/_next/image?url=https%3A%2F%2Fassets.nobig.deals%2Fblog%2Fcmvqn6jv4000m0xla2gi04kpk%2Ftrenovani-ai-osobnich-datech-digital-omnibus-hero-327704d20e.webp&w=3840&q=75) Rada EU zatím schválila jen vyjednávací mandát, ne platný zákon. Obsah článku · 7 1. [Smí firmy trénovat AI bez souhlasu? Krátká odpověď](#smi-firmy-trenovat-ai-bez-souhlasu-kratka-odpoved) 2. [Co by změnil článek 88bis GDPR](#co-by-zmenil-clanek-88bis-gdpr) 3. [Jak má vypadat balanční test u AI](#jak-ma-vypadat-balancni-test-u-ai) 4. [Které pojistky Rada oslabila](#ktere-pojistky-rada-oslabila) 5. [Jak vznést námitku proti použití svých dat](#jak-vznest-namitku-proti-pouziti-svych-dat) 6. [Co mají do konce trilogu dělat české firmy](#co-maji-do-konce-trilogu-delat-ceske-firmy) 7. [Časté otázky](#caste-otazky) Smí, pokud firma obhájí oprávněný zájem. **Trénování AI na osobních datech** bez souhlasu je možné už podle dnešního GDPR. Mandát Rady EU tuto možnost jen výslovně potvrzuje a právem se stane až po dohodě v trilogu. Ve zkratce * Rada EU schválila 21\. října 2026 pouze vyjednávací mandát k Digital Omnibus, nejde o platné právo. * Článek 88bis GDPR nevytváří nový právní titul, výslovně potvrzuje oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR pro vývoj a provoz AI. * Oprávněný zájem je podmíněn balančním testem, právo na námitku podle čl. 21 GDPR zůstává. * Oproti návrhu Komise je text Rady stručnější a některé pojistky, například silná minimalizace dat, jsou oslabeny. * Pro české firmy se nic nemění: platí stávající GDPR, finální znění vzejde z trilogu. ## Smí firmy trénovat AI bez souhlasu? Krátká odpověď Smí, pokud obhájí oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Platí to už teď, bez ohledu na Digital Omnibus. Souhlas je jen jeden ze šesti právních titulů podle GDPR. Firmy, které AI trénují nebo dotrénovávají, se často opírají o **oprávněný zájem GDPR**. Musí ale umět doložit, že jejich zájem nepřevažuje nad právy lidí, jejichž data používají. Digital Omnibus na tomto principu nic nemění, mění jen to, jak výslovně je zapsaný v zákoně. ### Co je a co není schváleno Rada EU 21\. října 2026 [schválila vyjednávací mandát](https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai) k Digital Omnibus. Je to pozice členských států pro jednání s Evropským parlamentem, ne účinné nařízení. Parlament svou pozici [přijal už 26\. března 2026](https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-package). Teď přichází **trilog**, tedy jednání Rady, Parlamentu a Evropské komise, a výsledek musí obě instituce ještě formálně schválit. Časová osa 1. **2025** Evropská komise předkládá [návrh Digital Omnibus](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52025DC0835) s výslovným potvrzením oprávněného zájmu pro trénink AI. 2. **26\. března 2026** Evropský parlament přijímá svou vyjednávací pozici. 3. **21\. října 2026** Rada EU schvaluje vyjednávací mandát s článkem 88bis GDPR. 4. **28\. října 2026** Začíná fáze trilogu, platí beze změny stávající GDPR. Pozice Parlamentu se podle [briefingu EPRS](https://www.europarl.europa.eu/thinktank/en/document/EPRS%5FBRI%282026%29782651) soustředila hlavně na jiné části balíku, například na lhůty pro vysoce rizikovou AI a na označování obsahu vytvořeného AI. Jak přesně bude Parlament vyjednávat o článku 88bis, zatím nikdo s jistotou neví. Pozor Interní směrnice ani smlouvy s dodavateli zatím nestavte na článku 88bis. Dokud trilog neskončí a nařízení nevyjde v Úředním věstníku, řídí se zpracování dat pro AI výhradně stávajícím GDPR. ## Co by změnil článek 88bis GDPR **Článek 88bis GDPR** by do zákona zapsal, že zpracování osobních údajů v souvislosti s vývojem a provozem AI systému nebo modelu může být založeno na oprávněném zájmu správce nebo třetí osoby podle čl. 6 odst. 1 písm. f). Znění Rady shrnuje [CDT Europe](https://cdt.org/insights/cdt-europes-ai-bulletin-october-2026/). Definice Oprávněný zájem je právní titul podle čl. 6 odst. 1 písm. f) GDPR. Umožňuje zpracovat osobní údaje bez souhlasu, pokud je zpracování pro konkrétní zájem nezbytné a nepřevažují nad ním práva a svobody dotčených osob. Podstatný je rozdíl mezi novou možností a **právní jistotou**. Oprávněný zájem pro trénink AI existoval i dřív. Komise ve svém [návrhu](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52025DC0835) uvádí, že jejím cílem je snížit právní nejistotu evropských vývojářů AI, ne vytvořit nové „AI právo na data“. Rada navíc do textu vložila pojistku, že článek 88bis **nemění povinnost zvolit vhodný právní titul** podle čl. 6. Kromě oprávněného zájmu firmy dál mohou použít souhlas, plnění smlouvy nebo výzkumné a statistické výjimky podle čl. 89\. Plnění smlouvy přitom není obecnou licencí k zpětnému použití obsahu uživatelů pro nový model a výjimky podle čl. 89 neřeší běžný komerční vývoj generativního modelu. ### Dnešní praxe versus článek 88bis | Kritérium | Stávající GDPR | Mandát Rady s čl. 88bis | | ----------------------------------- | --------------------------------- | ------------------------------- | | Oprávněný zájem pro AI | Možný, firma ho musí sama obhájit | Výslovně zmíněn v zákoně | | Volba právního titulu | Povinná | Povinná, text to výslovně uvádí | | Balanční test | Povinný | Povinný | | Zásady čl. 5 a informační povinnost | Platí | Platí | | Námitka podle čl. 21 | Platí | Platí, článek na ni odkazuje | Srovnání vychází z textu Rady, jak ho popisuje [CDT Europe](https://cdt.org/insights/cdt-europes-ai-bulletin-october-2026/), a z [návrhu Komise](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52025DC0835). ## Jak má vypadat balanční test u AI Balanční test má tři kroky: pojmenovat konkrétní zájem, doložit nezbytnost zpracování a posoudit, zda nepřevažují práva lidí. Celý postup je nutné písemně zdokumentovat. Postup 1. **Pojmenujte konkrétní zájem.** Obecné „vyvíjíme AI“ nestačí. Popište účel, například detekci podvodů nebo zlepšení konkrétní funkce produktu. 2. **Doložte nezbytnost zpracování.** Ověřte, zda by stejného výsledku nešlo dosáhnout s anonymizovanými nebo méně invazivními daty. 3. **Zvažte práva jednotlivců.** Posuďte, co lidé rozumně očekávají, jak citlivá data jsou, jak rozsáhlý je trénink a jaký může mít dopad. 4. **Sepište a archivujte výsledek.** Dokument musí obstát při kontrole dozorového úřadu, nejen v interní diskusi. Ve třetím kroku rozhoduje vztah mezi firmou a člověkem. Zákazník, který produkt aktivně používá, očekává jiné zpracování než autor veřejného příspěvku, který s firmou nikdy nebyl v kontaktu. Vyšší ochranu vyžadují zranitelné skupiny, zejména děti, a zvláštní kategorie údajů, například zdravotní. Rada podle dostupného textu nepředepsala jednotný formulář ani povinné samostatné posouzení dopadu AI (_AI impact assessment_) pro každý model. Firmy tak mají volnost ve formě, ne však v obsahu. Dobře to ukazuje **AI personalizace marketingu**, například náš [AI personalizátor marketingových strategií](https://nobig.deals/cs/ai-reseni/marketing/ai-personalizator-marketingovych-strategii): zákaznická data, segmentace a profilování vyžadují pečlivě zvolený právní titul ještě předtím, než se data dostanou k modelu. Tip Dělejte balanční test pro každý účel zvlášť, ne jeden pro celou firmu. Dotrénování chatbota pro zákaznickou podporu vypadá jinak než model pro scoring leadů. ## Které pojistky Rada oslabila Text Rady je **stručnější než návrh Komise**. Zachovává obecná ochranná opatření a námitku, vypouští ale některé konkrétnější požadavky. Shrnuje to [CDT Europe](https://cdt.org/insights/cdt-europes-ai-bulletin-october-2026/). Výhody a nevýhody Co zůstalo * Obecný požadavek na technická a organizační opatření a záruky * Výslovný odkaz na právo vznést námitku podle čl. 21 GDPR * Povinnost zvolit vhodný právní titul podle čl. 6 Co ubylo * Některé požadavky na zesílenou transparentnost * Silná minimalizace dat z návrhu Komise * Formulace, že ochranu lze prolomit jen při „zjevné“ převaze práv jednotlivce ### Co zůstalo Rada nestanoví uzavřený seznam technologií. Do „vhodných opatření“ podle zásad GDPR obvykle patří oddělení identifikátorů, filtrování citlivých údajů před tréninkem, omezení přístupu k datovým sadám, šifrování a testování, zda model trénovací data nememoruje. **Pseudonymizace** ale podle textu Rady není povinná ve všech případech. ### Co ubylo Vypuštění slova „zjevně“ má praktický dopad. Bez této formulace se uplatní běžný balanční test GDPR. Spolu s oslabením transparentnosti a minimalizace dat ale text Rady dává firmám obecnější rámec s méně konkrétními povinnostmi. Max Schrems a organizace noyb návrh kritizují právě kvůli oslabení pojistek. Podle nich by výslovné spojení AI a oprávněného zájmu mohlo v praxi legitimizovat rozsáhlé zpracování, pokud firmy budou dělat balanční test jen formálně. Jde o názor třetí strany, ne o závěr legislativního procesu. ## Jak vznést námitku proti použití svých dat Člověk podá námitku podle čl. 21 GDPR přímo u správce. U velkých služeb k tomu slouží formuláře a nastavení účtu, ale námitka působí hlavně do budoucna. Námitka, vypnutí historie a žádost o výmaz jsou **tři různé mechanismy**. Námitka zpochybňuje zpracování na základě oprávněného zájmu, vypnutí historie omezuje ukládání nových dat a výmaz se týká už uložených údajů. Kdo chce mít jistotu, uplatní je odděleně. ### Meta * Přihlaste se k účtu Facebook nebo Instagram a otevřete Privacy Center. * V části o generativní AI najděte formulář pro právo vznést námitku. * Vyplňte kontaktní e-mail, případně stručně popište důvod, a námitku odešlete. ### Google * V Google Account otevřete Data & privacy a omezte ukládání aktivity. * V nastavení Gemini zkontrolujte, zda se konverzace používají ke zlepšování služeb. * Formální námitku podle GDPR podejte přes Privacy Help Center s uvedením služby, účtu a období. ### OpenAI * Využijte portál privacy.openai.com a výslovně uveďte, že jde o námitku podle čl. 21 GDPR. * Popište konkrétní zpracování, například využití konverzací pro trénink modelu. * Vyžádejte si potvrzení, zda byla námitka přijata a v jakém rozsahu platí. Pozor Námitka zpravidla neodstraní znalost, kterou si model z dat už odvodil, a neovlivní zpracování na jiném právním základě. Názvy formulářů a nastavení se mění, proto si postup vždy ověřte v aktuálním rozhraní služby. ## Co mají do konce trilogu dělat české firmy Pro české firmy, které AI trénují nebo nasazují, platí dál stávající GDPR. Co firma udělá podle platných pravidel, obstojí i po případném přijetí článku 88bis, protože mandát Rady povinnosti nepřidává, jen je výslovněji pojmenovává. ![Pohled shora na pracovní stůl s pořadači, papíry, diskem, šálkem a rukama držícími červenou složku.](https://assets.nobig.deals/blog/cmvqn6jv4000m0xla2gi04kpk/trenovani-ai-osobnich-datech-digital-omnibus-img-1-ca32c0c483.webp) Mapování zdrojů trénovacích dat začíná u toho, co firma skutečně má. Než začnete * Zmapujte zdroje trénovacích dat: zákaznická data, veřejný web, data od dodavatelů * Ke každému zdroji přiřaďte právní titul podle čl. 6 GDPR * Zdokumentujte balanční test pro každý účel zvlášť * Před tréninkem odfiltrujte zvláštní kategorie údajů a data dětí * Nastavte proces, kdo a v jaké lhůtě vyřizuje námitky podle čl. 21 * Ověřte ve smlouvách s dodavateli AI, zda smějí vaše data použít k tréninku ### Časté chyby * **Záměna pseudonymizace za anonymizaci.** Pseudonymizovaná data jsou pořád osobní údaje a GDPR se na ně vztahuje. Mimo působnost GDPR jsou jen data, u nichž nelze osobu identifikovat přímo ani nepřímo. * **Předpoklad automatického oprávněného zájmu.** Ani článek 88bis neříká, že každý AI projekt oprávněný zájem má, jen že ho mít může. * **Jeden balanční test na všechno.** Test pro interní analytiku neobhájí trénink na datech zákazníků. * **Spoléhání na podmínky dodavatele.** Za volbu právního titulu odpovídá správce, ne poskytovatel modelu. ### Kdy zvážit vlastní modely V oblasti **AI a GDPR** nese velkou část rizika samotný přenos dat k třetí straně. Firmy, které pracují s výrobní dokumentací, personálními daty nebo daty z korporátních systémů, neřeší jen právní titul, ale i to, kam data fyzicky odcházejí. Pro ně dává smysl zvážit [AI modely pod vlastní kontrolou](https://nobig.deals/cs/sluzby/ai-on-premise), kde data zůstávají ve firmě. Tip Rozhodujte podle dat, ne podle trendu. Pokud model pracuje převážně s neosobními nebo anonymizovanými daty, obvykle stačí cloudová služba s podmínkami, které trénink vylučují. Vlastní model se vyplatí u citlivých a osobních dat, která byste jinak museli složitě obhajovat. Na trilog nečekejte. Firma, která má zmapovaná data, právní tituly a sepsaný balanční test, bude připravená na kterékoli výsledné znění. ## Časté otázky ### Platí článek 88bis GDPR už dnes? Neplatí. Rada EU 21\. října 2026 schválila jen vyjednávací mandát a výsledné znění teprve vznikne v trilogu s Evropským parlamentem a Komisí. Dokud nařízení nebude přijato a nevyjde v Úředním věstníku EU, řídí se zpracování osobních údajů pro AI výhradně stávajícím GDPR. Oprávněný zájem ale firmy mohou použít už teď, pokud ho obhájí balančním testem. ### Je pseudonymizace dostatečná pro trénování AI na osobních datech? Sama o sobě ne. Pseudonymizovaná data zůstávají osobními údaji a firma pro ně dál potřebuje právní titul, balanční test a ochranná opatření. Pseudonymizace snižuje riziko a v balančním testu pomáhá, ale data z GDPR nevyjímá. To platí jen pro skutečnou anonymizaci, kdy už nelze osobu identifikovat ani kombinací s dalšími údaji. ### Zpětně odstraní námitka moje data z už natrénovaného modelu? Zpravidla ne. Námitka podle čl. 21 GDPR obvykle zastaví budoucí zpracování, například zařazení vašich dat do dalších tréninkových sad. To, co se model z dat už naučil, v jeho vahách většinou zůstane. Ve formální žádosti se proto vyplatí výslovně se zeptat, zda správce má technickou možnost vliv dat z modelu odstranit. ### Kdy může být Digital Omnibus finálně přijat? Přesný termín známý není. Po mandátu Rady z 21\. října 2026 a pozici Parlamentu z 26\. března 2026 následuje trilog a jeho délka závisí na tom, jak daleko od sebe instituce jsou. U článku 88bis se dá čekat spor o transparentnost, pseudonymizaci a ochranu dětí. Aktuální stav ukazuje Legislative Train Evropského parlamentu. Zdroje a odkazy (5) Externí stránky, na které článek odkazuje. 1. [europarl.europa.eu](https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai) /legislative-train/package-digital-package/file-digital-o… 2. [europarl.europa.eu](https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-package) /legislative-train/package-digital-package/file-digital-p… 3. [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52025DC0835) /legal-content/EN/TXT/HTML/?uri=CELEX:52025DC0835 4. [europarl.europa.eu](https://www.europarl.europa.eu/thinktank/en/document/EPRS%5FBRI%282026%29782651) /thinktank/en/document/EPRS\_BRI(2026)782651 5. [cdt.org](https://cdt.org/insights/cdt-europes-ai-bulletin-october-2026/) /insights/cdt-europes-ai-bulletin-october-2026