V auguste 2025 spustila americká spoločnosť Grammarly, ktorú vlastní firma Superhuman Platform, funkciu s názvom Expert Review. Za dvanásť dolárov mesačne dostával používateľ pri úprave textu odporúčania podpísané menami skutočných, verejne známych odborníkov, novinárky Julie Angwinovej, spisovateľa Stephena Kinga, vedca Carla Sagana, novinárky Kary Swisherovej či výskumníčky umelej inteligencie Timnit Gebruovej.
Rozhranie pri každej úprave hrdo hlásilo, že návrh je inšpirovaný konkrétnou osobnosťou. Znelo to ako luxus, mať vo vrecku stovky expertov naraz. Problém bol v jednej maličkosti, a to, nikoho z nich sa spoločnosť nepýtala, či može použiť ich meno.
Keď na to Angwinová prišla, nešlo len o zranenú ješitnosť. Rady, ktoré jej digitálny dvojník rozdával, boli podľa nej vecne zlé a hlavne, sama by ich nikdy nedala. V marci 2026 podala na federálnom súde v New Yorku hromadnú žalobu, do ktorej sa za pár dní prihlásilo vyše päťdesiat ďalších postihnutých autorov, medzi nimi aj šéfredaktor magazínu The Verge Nilay Patel. Spoločnosť funkciu narýchlo stiahla, ale medzi komentami ľudí si však stihla vyslúžiť neúctivú prezývku sloppelgangers, slovnú hračku spájajúcu anglické slová pre nekvalitný obsah a dvojníka. Prípad sa opiera o americké právo na publicitu (right of publicity), teda o právo rozhodovať, kto a ako komerčne používa vaše meno a podobu, nie priamo o právo na ochranu osobných údajov, pretože to v Spojených štátoch v takejto podobe neexistuje.
Presne o ten istý princíp sa ale opiera aj scenár, ktorý je predmetom tejto analýzy.
Niekto vezme verejne dostupné príspevky, formulácie a spôsob argumentácie človeka na sieti LinkedIn a natrénuje na nich firemného agenta umelej inteligencie, ktorý potom, štýlom danej osoby, radí vo veciach, ktoré táto osoba nikdy nevidela. Rozdiel je, že v Európskej únii by taký prípad neniesol 1 právny problém, ale rovno 3, a to súčasne a nezávisle od seba.
Prečo verejné neznamená, že je to voľne k dispozícii
Prvý a najzákladnejší omyl, na ktorom takéto projekty stoja, je úvaha, že ak je niečo verejne dostupné, dá sa to aj voľne použiť. GDPR tento omyl vyvracia už vo svojej základnej logike. Skutočnosť, že príspevok na sieti LinkedIn vidí ktokoľvek, neznamená, že autor súhlasil s čímkoľvek, čo s ním niekto urobí. Je to podobné, ako keď niekto prednesie prejav na verejnom námestí. Fakt, že ho počuje tisíc ľudí, neznamená, že si ho ktokoľvek smie nahrať, zostrihať a predávať ako vlastný firemný školiaci kurz. Verejnosť prejavu a súhlas s jeho ďalším použitím sú dve úplne odlišné veci, a práve tento rozdiel si veľká časť trhu s umelou inteligenciou dodnes pletie.
Právne toto potvrdil aj Európsky výbor pre ochranu údajov, teda EDPB, orgán združujúci národné úrady na ochranu osobných údajov všetkých členských štátov Európskej únie, vo svojom Stanovisku 28/2024 zo 17. decembra 2024. Výbor v ňom pripúšťa, že oprávnený záujem podľa článku 6 odsek 1 písmeno f) GDPR môže byť platným právnym základom aj pre vývoj a prevádzku modelov AI. Podmienkou je ale takzvaný trojkrokový test, a to existencia skutočného a konkrétneho záujmu, nevyhnutnosť spracúvania na jeho dosiahnutie a napokon vyváženie tohto záujmu voči právam, slobodám a rozumným očakávaniam dotknutej osoby. Inými slovami, ide o tkz. balančný test (alebo test proporcionality).
Odôvodnenie 47 GDPR pritom výslovne hovorí, že rozumné očakávania sa posudzujú aj s ohľadom na vzťah medzi dotknutou osobou a prevádzkovateľom. A tu nastáva problém. Človek, ktorý napíše odborný príspevok na LinkedIn, má rozumné očakávanie, že ho budú čítať kolegovia, potenciálni klienti, možno novinári. Rozhodne nemá rozumné očakávanie, že sa jeho myslenie stane tréningovými dátami pre softvér, ktorý bude pod jeho menom radiť cudzej firme.
Keď algoritmus napodobňuje váš úsudok, je to profilovanie
Druhý právny problém sa skrýva v definícii, ktorú mnohé firmy prehliadajú. Článok 4 odsek 4 GDPR definuje profilovanie ako akékoľvek automatizované spracúvanie osobných údajov, ktoré vyhodnocuje alebo predvída osobné aspekty človeka, napríklad jeho spoľahlivosť, správanie alebo pracovný výkon.
Dovolím si povedať, že AI agent, ktorý má simulovať niečí spôsob rozhodovania a odporúčania, nerobí v podstate nič iné, len nepretržité profilovanie v reálnom čase. Každá odpoveď, ktorú vygeneruje, je v skutočnosti predikciou, ako by sa daný človek pravdepodobne rozhodol.
To automaticky aktivuje prísnejší režim GDPR, vrátane povinnosti informovať dotknutú osobu podľa článku 14, keďže údaje sa nezískavajú priamo od nej, ale z automatizovane vyzbieraného verejného profilu. Aktivuje to aj právo namietať podľa článku 21, ktoré je pri profilovaní na účely oprávneného záujmu nepodmienené žiadnym osobitným odôvodnením, dotknutá osoba jednoducho povie nie, a prevádzkovateľ musí spracúvanie zastaviť, ak nepreukáže naliehavé oprávnené dôvody, ktoré prevažujú nad jej záujmami.
K tomu sa pridáva takmer istá povinnosť vykonať posúdenie vplyvu na ochranu osobných údajov, skrátene DPIA, podľa článku 35 GDPR. Ak ide o systematické profilovanie fyzických osôb a to vo veľkom rozsahu, najmä ak sa jeho výsledky používajú na rozhodovanie alebo odporúčania s reálnym dosahom v podnikaní, patrí presne medzi typové prípady, ktoré si takéto posúdenie vyžadujú podľa usmernení bývalej Pracovnej skupiny zriadenej podľa článku 29, (skrátene WP29, predchodkyne dnešného EDPB), aj podľa praxe slovenského Úradu na ochranu osobných údajov. Firma, ktorá takýto projekt spustí bez DPIA, nepácha len teoretické previnenie, riskuje aj sankciu za samotné obídenie tejto povinnosti, úplne nezávisle od toho, ako napokon dopadne posúdenie zákonnosti spracúvania ako takého.
Druhá vrstva, ktorú slovenské právo pozná desaťročia pred GDPR
Kým GDPR rieši osobné údaje, slovenské občianske právo chráni niečo širšie, samotnú osobnosť človeka, a robí to už od roku 1964. Občiansky zákonník, zákon číslo 40 z roku 1964 Zbierky zákonov, v paragrafe 11 zaručuje každej fyzickej osobe právo na ochranu svojej osobnosti, vrátane cti, dôstojnosti, súkromia, mena a takzvaných prejavov osobnej povahy. Paragraf 12 odsek 1 potom výslovne stanovuje, že písomnosti osobnej povahy a prejavy osobnej povahy fyzickej osoby sa smú vyhotoviť alebo použiť len s jej privolením. Charakteristický spôsob argumentácie, typické formulácie, štýl uvažovania, presne to, čo by mal AI agent napodobňovať, do kategórie prejavov osobnej povahy patrí úplne prirodzene.
Dôsledok je praktický a nje aj nezávislý od GDPR. Podľa paragrafu 13 Občianskeho zákonníka sa dotknutý človek môže domáhať, aby sa upustilo od neoprávneného zásahu, aby sa odstránili jeho následky, a ak by primerané ospravedlnenie nestačilo, aj náhrady nemajetkovej ujmy v peniazoch. Ide teda o druhú, celkom samostatnú žalobnú cestu, ktorá funguje súbežne s konaním pred Úradom na ochranu osobných údajov, nie namiesto neho. Rovnaká logika, len s inými paragrafmi toho istého typu občianskeho kódexu, platí aj v Českej republike.
Nariadenie o AI pridáva pridáva 3., a to celkom čerstvú povinnosť
Treťou vrstvou je nariadenie o AI, všeobecne známe ako AI Act. Tu treba spomenúť detail, ktorý je v čase písania tejto analýzy len pár týždňov starý, a to povinnosť transparentnosti podľa článku 50 AI Act, ktoré sa uplatňujú od 2. augusta 2026.
Ak by teda opísaný AI agent fungoval dnes, nasadzujúca spoločnosť by musela splniť hneď niekoľko konkrétnych požiadaviek, a to výslovne informovať, že sa komunikuje s AI systémom a nie s reálnym človekom. A keďže výstup pripomína konkrétnu existujúcu osobu, primerane riešiť aj označovanie obsahu ako umelo generovaného. Sankcie tu nie sú symbolické, pokuty siahajú do 15 miliónov eur alebo 3 % celosvetového ročného obratu firmy, podľa toho, ktorá suma je vyššia.
Otvorenejšia je však otázka, či by takýto nástroj napĺňal aj zakázané manipulatívne praktiky podľa článku 5 AI Act, ktorý zakazuje systémy využívajúce podprahové alebo zámerne manipulatívne techniky. Je totiž možné predpokladať, že v niektorých situáciách by sa uplatniť dal. Poctivá odpoveď však znie, že výklad tohto konkrétneho scenára sa v regulačnej praxi ešte len formuje, a preto sa oplatí ho sledovať, a nie sa naň spoliehať ako na hotovú vec.
A čo súkromné osoby s vlastným LinkedIn účtom
Prvá otázka znie, či sa to vôbec dá schovať za výnimku pre osobnú alebo domácu činnosť podľa článku 2 odsek 2 písmeno c) GDPR. Tá hovorí, že nariadenie sa nevzťahuje na spracúvanie, ktoré fyzická osoba robí výlučne v rámci osobnej alebo domácej činnosti, a odôvodnenie 18 GDPR ako príklady uvádza korešpondenciu, vedenie adresára alebo sociálne siete používané rýdzo súkromne.
Súdny dvor Európskej únie ale túto výnimku vykladá veľmi úzko. V staršom, no stále platnom rozsudku vo veci Bodil Lindqvist, C-101/01 z roku 2003, súd povedal, že výnimka platí len pre činnosti v rámci súkromného či rodinného života, a že to jednoznačne neplatí pre zverejnenie osobných údajov na internete, kde sú prístupné neurčitému počtu ľudí. Neskoršia vec Ryneš, C-212/13 z roku 2014, tento úzky výklad len potvrdila. Preložené do praxe, ak si niekto doma pre zábavu postaví AI klon kolegu a nikdy ho nikomu neukáže, výnimka sa naň možno vzťahuje. V momente, keď ten istý klon niečo poradí, niekomu ho ukáže, zdieľa jeho výstup alebo ho použije čo i len na vlastné podnikanie, opúšťa čisto súkromnú sféru a GDPR sa naplno vracia do hry, s tým rozdielom, že prevádzkovateľom je teraz priamo tá fyzická osoba, nie firma, za ktorú by sa mohla schovať.
A tu je bod, ktorý stojí za zdôraznenie, aj keby sa niekomu podarilo výnimku preukázať a GDPR by sa naň skutočne nevzťahovalo, ochrana osobnosti podľa Občianskeho zákonníka, paragraf 11 a paragraf 12 odsek 1, žiadnu takú výnimku nepozná. Platí úplne rovnako medzi dvomi súkromnými osobami ako medzi firmou a jej klientom. Inými slovami, súkromná osoba je na tom v skutočnosti horšie ako firma, firma má aspoň compliance oddelenie, ktoré ju občas zachráni pred vlastnou hlúposťou, súkromná osoba nemá nikoho.
A čo ak to robí zamestnanec cez svoj súkromný LinkedIn účet, ale v profile mu sviet aktuálny zamestnávateľ?
Táto situácia je bežnejšia a v praxi oveľa nebezpečnejšia, práve preto, že vyzerá nevinne. GDPR určuje, kto je prevádzkovateľ, podľa článku 4 odsek 7, teda podľa toho, kto určuje účel a prostriedky spracúvania, nie podľa toho, z akého zariadenia alebo účtu sa spracúvanie fyzicky vykonalo. Ak zamestnanec postaví AI agenta preto, aby pomohol firme, aj keby na to použil vlastný notebook a súkromný LinkedIn účet vo voľnom čase, účel spracúvania patrí firme, a firma je s vysokou pravdepodobnosťou prevádzkovateľom, prípadne spoluprevádzkovateľom, od momentu, keď o tom vie alebo z toho ťaží. Súkromný účet je tu právne irelevantná technická okolnosť, podobne ako keď si účtovníčka vedie firemné faktúry vo vlastnom exceli na súkromnom počítači, faktúry sú aj tak firemné.
Ak je to naopak, teda zamestnanec si to robí čisto pre seba, z vlastnej zvedavosti, a firma o tom nevie a nemá z toho žiadny úžitok, vraciame sa zase k 1. scenáru, teda zodpovedá zamestnanec osobne, nie firma.
Realita je ale najčastejšie niekde v strede. Zamestnanec si niečo postaví z vlastnej iniciatívy, s jasným úmyslom to priniesť do firmy, aj keď to formálne nikto nenariadil. Tu treba siahnuť po druhej, a to úplne nezávislej vrstve zodpovednosti, ktorá s GDPR vôbec nesúvisí. Je ním paragraf 420 odsek 2 Občianskeho zákonníka.
Ten hovorí, že škodu, ktorú spôsobila právnická osoba pri svojej činnosti tými, ktorých na túto činnosť použila, znáša práve táto právnická osoba, a nie fyzická osoba, ktorá škodu reálne spôsobila, tá prípadne zodpovedá firme interne podľa pracovného práva. Kľúčová otázka teda znie, či zamestnanec konal činnosti, na ktorú ho firma použila. Ak áno, firma nesie zodpovednosť voči poškodenému, aj keby o konkrétnom projekte formálne nevedela.
Práve preto sa oplatí mať jasnú internú smernicu o používaní AI nástrojov. Firma, ktorá takú smernicu má, jasne zakazuje trénovanie modelov na cudzej identite bez súhlasu. Ak aj dokáže preukázať, že o tomto konkrétnom projekte skutočne nevedela, má oveľa silnejší argument, že zamestnanec konal mimo rámca toho, na čo ho firma použila. A naopak, firma bez takej smernice sa bude len ťažko vyhovárať, že išlo o súkromnú iniciatívu, keď zamestnanec robil presne to, čo by si od šikovného človeka aj tak priala.
Regulátory už dokázali, že to myslia vážne
Kto by si myslel, že argument, veď je to "verejne dostupné", pred úradmi obstojí. Mal by sa pozrieť na osud spoločnosti Clearview AI. Tá zbierala verejne dostupné fotografie tvárí z internetu a menila ich na biometrické kódy. Taliansky úrad na ochranu osobných údajov, volaný Garante, ju za to pokutoval sumou 20 miliónov eur. Holandský Úrad pre ochranu osobných údajov o niečo neskôr pridal pokutu 30,5 milióna eur a otvorene zvažoval aj osobnú zodpovednosť štatutárov firmy. Argument oboch úradov bol identický ako ten, ktorý platí aj pre klonovanie LinkedIn profilov. Verejná dostupnosť dát nikdy nebola, nie je náhradou a zjavcne ani nebude právnym základ spracúvania. Aspoň v EÚ nie.
A aby sa nezabudlo ani na samotnú platformu, na ktorej tento konkrétny profil žije, írska Komisia pre ochranu údajov v roku 2024 uložila spoločnosti LinkedIn pokutu 310 miliónov eur za nezákonné spracúvanie údajov vlastných používateľov na behaviorálnu analýzu a cielenú reklamu. Nešlo síce o rovnaký skutkový stav aký v tomto texte popisujem, ale odkaz je jasný. Ani firma, ktorá dáta priamo vlastní a spravuje, si nemôže dovoliť s nimi zaobchádzať voľnejšie, než dovoľuje zákon. O to menej si to môže dovoliť tretia strana, ktorá tie isté dáta len vyzbierala z verejného profilu.
Ako by to vyzeralo, keby to niekto urobil poriadne
Nič z uvedeného neznamená, že firemný AI poradca inšpirovaný konkrétnym expertom je nemožný! Znamená to len, že cesta k nemu vedie cez papierovanie, ktoré sa dnes väčšinou preskakuje.
informovaný súhlas konkrétnej osoby, a to špecifický, slobodný a odvolateľný, čiže nie odvodený z toho, že raz niečo zverejnila na internete.
ak sa firma napriek tomu rozhodne opierať o oprávnený záujem, tak poctivo vypracované posúdenie oprávneného záujmu, teda LIA, ktoré prejde všetkými 3 krokmi testu a úprimne si prizná, že rozumné očakávanie autora príspevku bolo iné.
transparentnosť voči každému, kto sa s agentom stretne, presne v duchu článku 50 AI Act.
posúdenie vplyvu na ochranu osobných údajov (DPIA), ktoré identifikuje riziká skôr, než sa premenia na žalobu. Toto nie je byrokracia navyše, je to presne ten rozdiel medzi firmou, ktorá o niekoľko mesiacov číta o sebe v žalobe podobnej tej Angwinovej, a firmou, ktorá tú istú technológiu používa legálne, verejne a bez strachu.
Nie všetko technicky možné je aj dovolené
Grammarly a aj text, ktorý stál na začiatku tejto analýzy, hovoria napokon o tom istom. Technológia dnes vie napodobniť čokoľvek, hlas, tvár, štýl písania, spôsob uvažovania. Právo na to ale nereaguje nadšením a reaguje na to otázkou, kto dal súhlas?
A ak odpoveď znie nikto, potom už nezáleží na tom, aké sofistikované je rozhranie a ani koľko dát sa naň vynaložilo, pretože výsledkom je porušenie a nie inovácia.
