AI znalostní báze a důvěrnost: 7 otázek, které by si měl položit každý poskytovatel služeb, než začne nahrávat rozhovory s klienty

Proč tento článek

AI znalostní báze, která nahrává, přepisuje a umožňuje prohledávat rozhovory s klienty, představuje pro poskytovatele služeb výrazný přínos pro produktivitu. Už dříve jsme psali o tom, jak se AI znalostní báze pro jednotlivé projekty konečně stávají chytrými díky vaší firmě — jakmile ale začnete zachycovat hlas, video nebo chat, debata se posouvá od „užitečného nástroje“ k „právnímu posouzení“.

Tento článek je kontrolní seznam sedmi otázek, na které musíte umět odpovědět, než nasadíte nástroj jako Symphoria (partner Wux Webtools a platforma, kterou sami používáme) nebo jeho alternativu. Otázky vycházejí z GDPR, Aktu EU o umělé inteligenci, pokynů EDPB a každodenní praxe nizozemských poskytovatelů služeb, kteří chtějí zůstat v souladu s pravidly, aniž by compliance zastavila práci.

Kontext: jste poskytovatel služeb — konzultantská firma, vývojář, marketingová agentura, účetní — a pomáháte klientům s projekty, které trvají měsíce a generují desítky rozhovorů. Chcete, aby AI tyto rozhovory shrnovala, vytahovala akční body a odpovídala na otázky typu „co klient minulý týden řekl o rozpočtu?“. To možné je. Ale ne bez těchto sedmi odpovědí.

1. Kdo dává souhlas s nahráváním — a jak tento souhlas zaznamenáváte?

GDPR vyžaduje právní základ pro každé zpracování osobních údajů (čl. 6). U nahrávek rozhovorů obvykle potřebujete souhlas (čl. 6 odst. 1 písm. a) nebo oprávněný zájem (čl. 6 odst. 1 písm. f). Souhlas musí být předchozí, konkrétní, informovaný a svobodně udělený (čl. 7). To znamená: žádná předem zaškrtnutá políčka, žádné skryté klauzule v obchodních podmínkách a už vůbec ne „nahráváme, pokud nevznesete námitku“.

Co chcete vidět: Jasný okamžik opt-in předtím, než je nahrán první rozhovor. Může to být zaškrtávací políčko při onboardingu projektu („Souhlasím s nahráváním schůzek pro účely projektové dokumentace a podpory AI“), ústní potvrzení na začátku hovoru („Tento hovor je nahráván pro naši interní znalostní bázi — souhlasíte?“) nebo samostatný e-mail se souhlasem. Souhlas musí být zaznamenán: kdo, kdy, za jakým účelem a s jakým zněním.

Jak to řeší Symphoria: Symphoria nabízí vrstvu souhlasu pro každý projekt. Než nahrávání začne, systém výslovně požádá všechny účastníky o souhlas. Tento souhlas je uložen s časovým razítkem a IP adresou a lze jej odvolat pro každý projekt zvlášť. Díky tomu je snazší splnit čl. 7 odst. 3 GDPR („odvolat souhlas musí být stejně snadné jako jej udělit“).

2. Kde jsou data fyzicky uložena a jaké právo se použije?

GDPR v zásadě zakazuje předávání osobních údajů do zemí mimo EHP bez odpovídajících záruk (čl. 44–50). Po rozsudku Schrems II (2020) už standardní smluvní doložky (SCC) samy o sobě nestačí, pokud příjemce podléhá právním předpisům o dohledu, jako je FISA 702 v USA. Akt EU o umělé inteligenci (2024) přidává další vrstvu: vysoce rizikové systémy AI musí splňovat požadavky na transparentnost a auditovatelnost, které se obtížně vymáhají, pokud jsou data uložena mimo EU.

Co chcete vidět: Jasné prohlášení o tom, kde jsou data fyzicky uložena (které datové centrum, která země), kteří dílčí zpracovatelé k nim mají přístup a zda tyto strany podléhají mimoevropským právním předpisům o dohledu. Ideálně: úložiště v rámci EU u poskytovatele, který nemá americkou mateřskou společnost nebo výslovně nabízí režim „EU-only“.

Jak to řeší Symphoria: Symphoria běží výhradně na evropské infrastruktuře (AWS eu-west-1, Frankfurt) a pro ukládání ani zpracování přepisů nepoužívá americké dílčí zpracovatele. Díky tomu je snazší splnit požadavky Schrems II bez složitých posouzení dopadů.

3. Který model zpracovává přepisy a používají se k trénování?

Většina AI znalostních bází používá ke zpracování přepisů externí LLM (OpenAI, Anthropic, Google). To vyvolává dvě otázky: (1) používají se přepisy k trénování modelu? a (2) kdo má přístup k promptům a odpovědím? Podmínky API OpenAI od března 2023 uvádějí, že data odeslaná přes API se k trénování nepoužívají — pokud se výslovně nepřihlásíte do samostatného programu. Tato záruka ale neplatí pro všechny poskytovatele a už vůbec ne pro bezplatný nebo „výzkumný“ přístup.

Co chcete vidět: Výslovné prohlášení, že přepisy se nepoužívají k trénování modelu a že po zpracování už nejsou poskytovateli LLM dostupné. Musí to být uvedeno ve smlouvě o zpracování osobních údajů, nikoli jen ve FAQ. Bonus: platforma používá model, který můžete hostovat sami (např. Llama, Mistral), nebo evropského poskytovatele s přísnou doložkou o nepoužívání dat k trénování.

Jak to řeší Symphoria: Symphoria používá API OpenAI s Business Associate Agreement (BAA) a doložkou o nepoužívání dat k trénování. Přepisy se zpracovávají přes API, ale OpenAI je neukládá a nejsou zahrnuty do budoucích verzí modelu. To je výslovně uvedeno v seznamu dílčích zpracovatelů.

4. Jak dlouho uchováváte nahrávky a embeddingy a kdo je může smazat?

GDPR vyžaduje, aby osobní údaje nebyly uchovávány déle, než je nezbytné pro účel, pro který byly shromážděny (čl. 5 odst. 1 písm. e: omezení uložení). U AI znalostní báze to znamená, že musíte umět vysvětlit, proč je nahrávka stará šest měsíců stále relevantní, a musíte mít proces pro mazání starých dat. To platí i pro odvozená data: embeddingy (vektorové reprezentace textu) jsou osobními údaji, pokud je lze vysledovat zpět ke konkrétní osobě.

Co chcete vidět: Konfigurovatelnou dobu uchovávání pro každý projekt (např. „automaticky mazat nahrávky po 12 měsících“), tlačítko, které projektovému manažerovi umožní nahrávku ručně smazat, a záruku, že smazání se týká také embeddingů a indexů — nejen zvukového souboru. Ideálně: auditní log, který ukazuje, kdy bylo něco smazáno a kým.

Jak to řeší Symphoria: Symphoria nabízí „retention policy“ pro každý projekt. Můžete nastavit, aby se nahrávky po X měsících automaticky mazaly, včetně přepisů a embeddingů. Ruční smazání je možné přes projektové rozhraní a každé smazání se zaznamená do auditní stopy.

5. Jaké auditní logy jsou k dispozici — může klient později vidět, co se stalo s „jeho“ rozhovorem?

Transparentnost je jedním ze základních principů GDPR (čl. 5 odst. 1 písm. a). To znamená, že musíte umět vysvětlit, co jste s něčími údaji udělali — i zpětně. U AI znalostní báze to znamená, že musíte umět ukázat, které nahrávky vznikly, kdo je zobrazil, jaké dotazy byly spuštěny a zda byla data exportována nebo smazána. Bez auditních logů na tyto otázky nedokážete odpovědět a v případě úniku dat nebo stížnosti riskujete pokuty.

Co chcete vidět: Auditní log pro každý projekt, který sleduje alespoň: (1) kdo zahájil nahrávání, (2) kdo zobrazil přepis, (3) jaké dotazy byly spuštěny nad znalostní bází, (4) zda byla data exportována a (5) zda byla data smazána. Tento log musí být prohledávatelný a uchovávaný alespoň 12 měsíců (déle, pokud působíte v regulovaném odvětví).

Jak to řeší Symphoria: Symphoria zaznamenává všechny akce na úrovni projektu: nahrávky, zobrazení, dotazy, exporty a mazání. Tyto logy jsou dostupné vlastníkovi projektu a lze je exportovat jako CSV. Díky tomu je snazší vyhovět žádosti o přístup (čl. 15 GDPR) nebo vyšetřit incident.

6. Jaká je strategie odchodu? (Můžete svou znalostní bázi exportovat v otevřeném formátu?)

Vendor lock-in je rizikem u každého SaaS nástroje, ale u AI znalostní báze je obzvlášť bolestivý: nasbírali jste měsíce rozhovorů, přepisů a metadat, a pokud je nemůžete exportovat, o tyto znalosti přijdete. GDPR vám dává právo na přenositelnost údajů (čl. 20), ale to se vztahuje pouze na údaje, které jste sami poskytli — nikoli na odvozená data, jako jsou embeddingy nebo shrnutí. Přesto je rozumné požadovat, abyste mohli exportovat všechno, ve formátu, který dokážete importovat k jinému poskytovateli.

Co chcete vidět: Tlačítko exportu, které vám poskytne alespoň: (1) všechny zvukové nebo video soubory, (2) všechny přepisy v prostém textu nebo JSON, (3) všechna metadata (časová razítka, účastníky, štítky) a (4) ideálně také embeddingy v otevřeném formátu, jako je Parquet nebo JSONL. Bonus: export je automatizovaný a lze jej plánovat (např. týdenní záloha do vašeho vlastního S3 bucketu).

7. Kdo je zpracovatel, kdo je správce a je to zdokumentováno ve smlouvě o zpracování osobních údajů?

GDPR rozlišuje mezi správcem (stranou, která určuje, proč a jak se osobní údaje zpracovávají) a zpracovatelem (stranou, která zpracovává údaje jménem správce). Jako poskytovatel služeb jste obvykle správcem a AI znalostní báze je zpracovatelem. To znamená, že potřebujete smlouvu o zpracování osobních údajů (čl. 28 GDPR), která přesně stanoví, co smí zpracovatel dělat, jak dlouho, s jakými dílčími zpracovateli a co se stane v případě porušení zabezpečení osobních údajů.

Co chcete vidět: Smlouvu o zpracování osobních údajů (DPA), která splňuje čl. 28 odst. 3 GDPR. Musí obsahovat alespoň: (1) předmět a dobu trvání zpracování, (2) povahu a účel zpracování, (3) typ osobních údajů a kategorie subjektů údajů, (4) práva a povinnosti správce, (5) seznam dílčích zpracovatelů a (6) postup při porušení zabezpečení osobních údajů. Tato smlouva musí být podepsána předtím, než začnete nahrávat.

Jak to řeší Symphoria: Symphoria nabízí standardní DPA, která splňuje čl. 28 GDPR. Můžete ji podepsat přes rozhraní platformy a automaticky se aktualizuje, když je přidán nový dílčí zpracovatel. Díky tomu je snazší zůstat v souladu s pravidly, aniž byste pokaždé zapojovali právní tým.

TL;DR checklist

• Souhlas: Zaznamenejte předchozí, konkrétní souhlas — s časovým razítkem a možností opt-out.
• Uložení: Ověřte, zda jsou data uložena v rámci EU a nepodléhají mimoevropským právním předpisům o dohledu.
• Trénování: Požadujte výslovnou záruku, že přepisy nejsou používány k trénování modelu.
• Uchovávání: Nastavte dobu uchovávání a zajistěte, aby se smazání týkalo i embeddingů.
• Audit: Požadujte logy o tom, kdo co zobrazil, dotazoval a smazal.
• Export: Ověřte, zda můžete všechna data exportovat v otevřeném formátu.
• DPA: Než začnete nahrávat, podepište smlouvu o zpracování osobních údajů.

Co to znamená pro vaši organizaci

Pokud dokážete odpovědět na těchto sedm otázek, jste na dobré cestě. Ale pozor: compliance není jednorázový checklist. GDPR vyžaduje, abyste pravidelně ověřovali, že požadavky stále splňujete (čl. 24: „vhodná technická a organizační opatření“), a Akt EU o umělé inteligenci přidává další vrstvu pro vysoce rizikové systémy. To znamená: pravidelné audity, DPIA pro nové způsoby použití a proces pro vyřizování žádostí o přístup a porušení zabezpečení osobních údajů.

Chcete vidět, jak to funguje v praxi? Přečtěte si týden s AI znalostní bází: jak mění práci projektového manažera u poskytovatele služeb — narativní případovou studii, ve které přesně ukazujeme, jak tyto otázky vznikají v každodenní praxi.

Klíčové poučení: AI znalostní báze se stane přínosem pro produktivitu jen tehdy, pokud si udržíte důvěru svých klientů. A tuto důvěru si získáte tím, že si tyto otázky položíte — a dokážete na ně odpovědět — ještě předtím, než stisknete „record“.