Prečo citlivé údaje nepatria do AI chatov

Spoločnosť OpenAI 8. septembra 2026 oznámila dôkaz súvisiaci s problémom Navierových-Stokesových rovníc. V ten istý deň svoju prácu oznámil aj matematik Tristan Buckmaster z Newyorskej univerzity. Pri riešení problému používal nástroj Codex od OpenAI, preto sa opýtal, či jeho interakcie nemohli prispieť k výsledku spoločnosti.

OpenAI uviedla, že jej výskumníci ani agenti jeho prácu pred zverejnením nevideli. Pripojila však dôležitú výhradu: „Hoci je to nepravdepodobné, nemôžeme vylúčiť, že deidentifikované údaje odvodené z ich používania našich produktov pomohli zlepšiť naše modely.“

Neexistuje dôkaz, že Buckmasterovu prácu niekto prevzal alebo reprodukoval. Pozornosť si prípad zaslúži najmä preto, že takúto možnosť nedokázal vylúčiť ani samotný poskytovateľ.

Namiesto nezverejneného dôkazu si predstavte zmluvu klienta, správu pacienta alebo interné firemné čísla. Praktická otázka zostáva rovnaká: čo sa s textom stane po odoslaní z vášho počítača a vyžadovala úloha, aby ho tieto citlivé údaje vôbec opustili?

Po odoslaní rozhodujú pravidlá poskytovateľa

Keď vložíte text do externej AI služby, jeho ďalšie spracovanie závisí od poskytovateľa, konkrétneho produktu a nastavení vášho účtu. Lehoty uchovávania, kontrola ľuďmi ani používanie údajov na zlepšovanie modelov nie sú všade rovnaké.

Google v Centre informácií o ochrane súkromia v aplikáciách Gemini uvádza, že niektoré konverzácie čítajú kontrolóri vrátane vyškolených ľudí od externých poskytovateľov služieb. Konverzácie, ktoré skontrolovali ľudia, sa uchovávajú najviac tri roky, a to aj vtedy, keď používateľ svoju aktivitu v aplikáciách Gemini odstráni. Google preto používateľov priamo upozorňuje: „Nezadávajte dôverné informácie, ktoré nemá kontrolór vidieť či pomocou ktorých nemá spoločnosť Google zlepšovať svoje služby.“

Stanfordská štúdia z roku 2025 porovnala zásady ochrany súkromia spotrebiteľských AI produktov spoločností Amazon, Anthropic, Google, Meta, Microsoft a OpenAI. Podľa výskumníkov všetkých šesť spoločností zrejme predvolene používa údaje zo spotrebiteľských chatov na trénovanie a časť údajov uchováva bez časového obmedzenia. Na firemných zákazníkov sa zvyčajne vzťahujú odlišné podmienky.

Podrobnosti sa medzi službami líšia. OpenAI uvádza, že obsah z individuálnych účtov ChatGPT môže používať na zlepšovanie modelov, ak to používateľ nevypne. Firemné produkty a API na trénovanie predvolene nepoužíva. Anthropic uvádza, že používatelia plánov Free, Pro a Max si môžu vybrať, či ich chaty pomôžu pri trénovaní modelov. Ak s tým súhlasia, chaty sa môžu uchovávať päť rokov, inak 30 dní. Táto zmena sa nevzťahuje na plány Claude for Work ani na API.

Ani odstránenie konverzácie nemusí vždy ukončiť jej uchovávanie. V máji 2025 americký súd nariadil OpenAI, aby počas sporu s denníkom The New York Times uchovávala určité záznamy výstupov ChatGPT vrátane odstránených konverzácií. Povinnosť uchovávať nové záznamy sa skončila 26. septembra 2025. Dovtedy sa konverzácie, ktoré používatelia odstránili, uchovávali kvôli sporu, v ktorom títo používatelia neboli účastníkmi.

Preto záleží na type účtu aj na jeho nastaveniach. Podľa aktivity v prehliadačoch, ktorú spoločnosť LayerX sledovala v roku 2025, 82 % vložení textu do generatívnych AI nástrojov pochádzalo z účtov, ktoré zamestnávatelia nespravovali. Firma teda môže mať pre schválenú službu vhodné podmienky, zatiaľ čo zamestnanci vkladajú pracovné údaje do súkromných účtov s inými pravidlami.

Model môže zopakovať, čo sa naučil

Výskum ukázal, že jazykové modely si môžu zapamätať a zopakovať časti tréningových dát. Toto zistenie má dve dôležité obmedzenia. Išlo o cielené útoky, často proti starším modelom, a výsledky nedokazujú, že sa súkromný chat jedného používateľa objaví v odpovedi iného používateľa.

Nicholas Carlini a jeho kolegovia vo výskume publikovanom na konferencii USENIX Security v roku 2021 získali z modelu GPT-2 doslovné pasáže z tréningových dát. Jedna z nich obsahovala celé meno skutočnej osoby, jej poštovú adresu, e-mailovú adresu, telefónne a faxové číslo. Niektoré získané pasáže sa v tréningových dátach vyskytovali iba v jednom dokumente.

Neskoršia štúdia zistila podobný jav v ChatGPT. Výskumníci požiadali model, aby donekonečna opakoval jedno slovo, a po určitom čase začal vypisovať zapamätaný text. Za dopyty v hodnote približne 200 dolárov získali viac ako 10 000 jedinečných zapamätaných príkladov. Zo skontrolovaných výstupov obsahovalo 16,9 % zapamätané osobné údaje, napríklad telefónne čísla, e-mailové adresy, adresy alebo dátumy narodenia. Spoločnosť OpenAI o zistení vedela ešte pred zverejnením štúdie. Výskum nepreukazuje, že rovnaký postup funguje aj dnes.

Rovnaký problém môže vzniknúť pri dodatočnom trénovaní modelu. V štúdii z roku 2023 predstavenej na konferencii IEEE S&P výskumníci dotrénovali GPT-2 na rozsudkoch Európskeho súdu pre ľudské práva. Útok potom z modelu získal 23 % osobných údajov obsiahnutých v rozsudkoch. Odstránenie osobných údajov pred trénovaním únik znížilo, ale nezabránilo mu.

Aj odpoveď, ktorú si vyžiadate ako náhodnú, ovplyvňujú tréningové dáta. V štúdii z roku 2024 použil model Llama-2 v 284 z 1 000 vymyslených životopisov meno Evelyn. Keď mal vybrať náhodné meno pre dieťa, meno Aurora zvolil približne 100-krát častejšie, než sa vyskytuje v populácii Spojených štátov. Ide o dôkaz štatistického skreslenia z tréningových dát, nie o dôkaz, že model prezradil súkromnú konverzáciu.

Aj vymyslený údaj však môže patriť skutočnému človeku. V júni 2025 požiadal používateľ WhatsAppu asistenta Meta AI o číslo zákazníckej linky železničnej spoločnosti a dostal súkromné mobilné číslo cudzieho muža. Podľa spoločnosti Meta bolo číslo zverejnené na jeho firemnej webovej stránke a podobalo sa na skutočné číslo linky. Nešlo teda o únik cudzieho chatu.

Naučenú informáciu je navyše ťažké z modelu spoľahlivo odstrániť. Jedna štúdia z roku 2025 zistila, že modely si v priemere ponechali 21 % vedomostí, ktoré mali zabudnúť. Po bežnej kompresii modelu bolo možné opäť získať až 83 %. Ďalší porovnávací výskum zistil, že žiadna z testovaných základných metód nedosiahla účinné „odnaučenie“.

Žiadna z citovaných štúdií nepreukázala, že by sa chat jedného používateľa prostredníctvom trénovania objavil v odpovedi iného používateľa. Výskum ukazuje užší jav: modely si môžu zapamätať zdrojový materiál, cielené útoky z neho môžu časť získať a odstránenie naučenej informácie nie je to isté ako vymazanie uloženého dokumentu.

Slovenská advokátska komora túto možnosť považuje za profesijné riziko. Vo svojom metodickom usmernení k používaniu AI uvádza:

Použitie neauditovaného AI nástroja (režim (b)), ktorý sa učí z dát, môže viesť ku konfliktu, ak sa informácie z prípadu Klienta A (ktorý súhlasil so spracovaním) nechtiac použijú pri generovaní výstupu v prípade Klienta B (ktorý súhlas nedal).

Ani veľké služby nie sú bez rizika

Citlivé údaje sa môžu dostať k nepovolaným ľuďom aj pre bežnú chybu v produkte, zlé nastavenie databázy alebo funkciu na zdieľanie obsahu.

V marci 2023 chyba v knižnici s otvoreným zdrojovým kódom spôsobila, že ChatGPT niektorým používateľom zobrazil názvy konverzácií iných používateľov. OpenAI tiež uviedla, že pri 1,2 % predplatiteľov ChatGPT Plus aktívnych počas deväťhodinového okna mohli iní používatelia vidieť ich meno, e-mailovú adresu, fakturačnú adresu, dátum platnosti karty a jej posledné štyri číslice.

Iným spôsobom sa údaje dostávajú von pri verejnom zdieľaní. V lete 2025 našiel magazín Fast Company približne 4 500 konverzácií z ChatGPT indexovaných Googlom. Používatelia ich zdieľali so zapnutou možnosťou vyhľadateľnosti a OpenAI túto možnosť neskôr odstránila. Forbes potom vo výsledkoch vyhľadávania našiel viac ako 370 000 zdieľaných konverzácií zo služby Grok.

Koncom júla 2026 sa vo výsledkoch Googlu objavili aj zdieľané konverzácie a Artifacts zo služby Claude. Medzi indexovaným obsahom boli zdravotné záznamy s menami pacientov, interné firemné dokumenty a mená a telefónne čísla detí zo základných škôl. Anthropic uviedol, že odkazy sa stali verejnými iba vtedy, keď sa ich používatelia rozhodli zdieľať.

Nešlo o úniky z trénovania modelov. Tieto prípady ukazujú, že užitočná funkcia zdieľania môže obsah zverejniť širšiemu okruhu ľudí, než autor očakával.

Zlyhať môže aj infraštruktúra. V januári 2025 výskumníci spoločnosti Wiz našli nezabezpečenú databázu služby DeepSeek s viac ako miliónom riadkov záznamov vrátane histórie chatov a tajných kľúčov API. DeepSeek databázu po upozornení zabezpečil. Národný bezpečnostný úrad krátko nato upozornil na údaje, ktoré DeepSeek zbiera, medzi nimi zadania, heslá a dokumenty ukladané na serveroch v Číne. NBÚ zároveň uviedol, že prácou s lokálnym modelom sa dá tomuto zberu údajov vyhnúť.

To neznamená, že každý poskytovateľ vaše údaje sprístupní. Text odoslaný externej službe však podlieha jej softvéru, konfigurácii, riadeniu prístupu a spôsobu zdieľania.

Neoficiálny prístup pridáva ďalších sprostredkovateľov

Destilačné útoky sa často spomínajú spolu s ochranou údajov používateľov, ich cieľom sú však poskytovatelia modelov. Útočník posiela modelu veľké množstvo zadaní a získané odpovede používa na trénovanie vlastného modelu.

Anthropic vo februári 2026 uviedol, že DeepSeek, Moonshot a MiniMax vytvorili viac ako 16 miliónov výmen s modelom Claude prostredníctvom približne 24 000 podvodných účtov. Google opísal kampaň s viac ako 100 000 zadaniami poslanými modelu Gemini a výslovne upozornil, že extrakcia modelu zvyčajne nepredstavuje riziko pre bežných používateľov. Americké úrady NSA, CISA a FBI vydali 8. septembra 2026 spoločné upozornenie na šedý trh s API proxy službami, ktoré predávajú prístup k najvýkonnejším modelom za zlomok oficiálnej ceny.

Destilácia neznamená, že útočník získal históriu chatov používateľov. Riziko pre používateľa vzniká vtedy, keď medzi neho a model vstúpi neoficiálny predajca, smerovač alebo proxy služba.

Anthropic vo svojej správe o hrozbách zo septembra 2026 tvrdí, že spoločnosti Moonshot a DeepSeek preposielali požiadavky vlastných zákazníkov do služby Claude a odpovede prezentovali ako vlastné. Moonshot podľa správy počas desiatich dní preposlal takmer 300 000 požiadaviek a niektoré preposlané relácie obsahovali mená, e-mailové adresy a firemné údaje stoviek koncových používateľov. Anthropic tiež uvádza, že niektoré proxy siete výmeny ukladajú, aby ich mohli predať ďalším AI laboratóriám.

Ide o tvrdenia konkurenta v širšom spore medzi Spojenými štátmi a Čínou a čínske ministerstvo obchodu odmietlo súvisiace americké obvinenia ako nepodložené. Kto však používa lacnú sprostredkovateľskú službu, nemusí vedieť, kto ďalší jeho zadanie po ceste číta.

AI agenta možno naviesť, aby údaje odoslal

Agenti vytvárajú ďalšiu cestu k úniku údajov, pretože pracujú so súkromnými informáciami a zároveň čítajú obsah, ktorý napísali cudzí ľudia. V roku 2025 výskumníci ukázali, že podvrhnutý e-mail dokázal prinútiť Microsoft 365 Copilot sprístupniť údaje z Outlooku, SharePointu, OneDrivu a Teams cez zraniteľnosť EchoLeak. Iní výskumníci pri útoku ShadowLeak ukázali, že skryté pokyny v e-maile dokážu prinútiť agenta ChatGPT Deep Research odoslať útočníkovi údaje zo schránky. Ďalšia ukážka použila skryté pokyny v pozvánke z Kalendára Google, aby Gemini prezradil informácie a ovládal pripojené zariadenia.

Išlo o ukážky výskumníkov. Poskytovatelia opísané chyby opravili alebo zmiernili a citované správy neuvádzajú dôkazy o ich zneužití.

Širší technický problém však zostáva otvorený. OpenAI uviedla, že prompt injection, teda podstrčenie škodlivých pokynov, pravdepodobne nikdy nebude úplne vyriešený. Vo vlastných testoch spoločnosti Anthropic uspeli útoky na rozšírenie Claude for Chrome aj po zavedení ochranných opatrení v 11,2 % prípadov. Čím viac systémov môže agent čítať a ovládať, tým opatrnejšie treba jeho prístup obmedziť.

Zodpovednosť zostáva na vás

Profesijné povinnosti nezanikajú tým, že do práce pribudne užitočný nástroj.

Pre slovenských advokátov stanovuje konkrétne pravidlá Slovenská advokátska komora v uznesení z 31. marca 2025 a v uznesení zo 6. novembra 2025, ktoré ho mení a dopĺňa. K novembrovému uzneseniu vydala aj metodické usmernenie. Podľa uznesenia advokát nesmie zadávať do AI nástrojov informácie chránené mlčanlivosťou ani osobné údaje. Výnimky sú tri:

1. ide o lokálny nástroj a dáta preukázateľne neopúšťajú infraštruktúru pod výlučnou kontrolou advokáta,
2. advokát má výslovný a informovaný súhlas klienta,
3. ochrana údajov je zaručená a poskytovateľ AI alebo cloudovej infraštruktúry koná ako spracovateľ na základe spracovateľskej zmluvy podľa čl. 28 GDPR vrátane zmluvnej mlčanlivosti.

Tretiu výnimku metodické usmernenie spresňuje. Advokát musí poskytovateľa primerane overiť a zabezpečiť, aby boli splnené všetky minimálne požiadavky naraz:

• Zmluvné: spracovateľská zmluva (DPA), záväzok mlčanlivosti poskytovateľa, jeho zamestnancov aj všetkých ďalších spracovateľov, zákaz použiť dáta na trénovanie alebo iné vlastné obchodné účely poskytovateľa a zoznam ďalších spracovateľov vrátane oznamovania zmien.
• Bezpečnostné: šifrovanie dát pri prenose aj v pokoji, viacfaktorové overenie (MFA) na strane advokáta, umiestnenie dát prednostne v EHP, inak platný mechanizmus prenosu do tretích krajín (napríklad DPF alebo štandardné zmluvné doložky), jasné pravidlá uchovávania a mazania promptov a výstupov a primerané uistenia poskytovateľa o bezpečnosti.

Komora preto dôrazne odporúča používať výlučne platené firemné (enterprise) verzie nástrojov, ktoré tieto záruky poskytujú štandardne. Experimentálne verzie „Beta“ alebo „Alfa“ advokát na chránené dáta použiť nesmie, ak mu zmluva výslovne nezaručuje rovnaké podmienky ako pri štandardnom produkte, najmä zákaz trénovania.

Usmernenie zároveň odporúča údaje anonymizovať alebo pseudonymizovať ešte pred vložením, aj keď súhlas alebo zmluva so spracovateľom existuje:

Aj pri existencii súhlasu alebo zmluvy o spracúvaní osobných údajov sa odporúča údaje pred vložením anonymizovať alebo pseudonymizovať.

SAK teda používanie AI v advokácii nezakazuje. Od advokáta očakáva, že posúdi, ktoré informácie úloha skutočne potrebuje a na akom právnom a technickom základe môže spracúvať údaje, ktoré v texte zostanú.

Úrady v iných krajinách už riešia oznámenia o neopatrnom používaní AI služieb. Holandský úrad na ochranu osobných údajov v auguste 2024 uviedol, že prijal oznámenia o porušení ochrany údajov, pri ktorých zamestnanci vložili osobné údaje do AI chatbotov. V jednom prípade zamestnanec ambulancie všeobecného lekára vložil do chatbota zdravotné údaje pacientov a úrad to označil za vážne porušenie ich súkromia.

Dôvernosť môžu ovplyvniť aj podmienky poskytovateľa. Vo februári 2026 americký federálny sudca rozhodol, že na dokumenty, ktoré obžalovaný pripravil pomocou spotrebiteľskej verzie Claude, sa nevzťahuje ochrana dôvernej komunikácie medzi advokátom a klientom ani ochrana podkladov pripravených na spor. Sudca dospel k záveru, že obžalovaný nemohol odôvodnene očakávať dôvernosť, pretože zásady ochrany súkromia poskytovateľa umožňujú sprístupnenie údajov tretím stranám vrátane štátnych orgánov. Rozhodnutie slovenské súdy nezaväzuje, ukazuje však, prečo pri dôvernej práci záleží na podmienkach účtu.

Poskytovateľ môže sľubovať ochranu a vaša organizácia môže mať pravidlá, no o tom, čo do AI nástroja vložíte, ktorý účet použijete a či externá služba dostane pôvodné údaje, rozhodujete vy.

Nepotrebné údaje môžu zostať vo vašom zariadení

Množstvo citlivých údajov, ktoré poskytujete AI službám, môžete znížiť bez toho, aby ste AI nástroje prestali používať.

Začnite samotnou úlohou. Na zhrnutie zmluvy nemusí AI služba poznať meno klienta, rodné číslo, adresu ani číslo spisu. Takéto údaje odstráňte skôr, ako text opustí váš počítač. Ak túto úpravu urobí iná cloudová služba, pôvodný text ste aj tak poskytli ďalšiemu poskytovateľovi. V samostatnom článku vysvetľujeme, prečo má táto úprava prebiehať priamo v zariadení.

Ak sú pôvodné údaje klienta pre úlohu nevyhnutné, použite schválenú firemnú službu so zmluvou o spracúvaní osobných údajov. Pri súkromných účtoch skontrolujte, či sa vaše chaty používajú na trénovanie. Nezverejňujte odkazy na konverzácie a nekupujte prístup cez neoficiálnych predajcov ani smerovače modelov. Agentom dajte prístup k e-mailu, kalendáru a dokumentom až potom, čo zvážite, čo by im mohol prikázať obsah od cudzích ľudí.

Nahradenie mien a identifikátorov ešte nerobí z každého textu anonymný dokument. Vo výskume predstavenom na konferencii ICLR v roku 2024 dokázali veľké jazykové modely z bežných internetových komentárov odhadnúť miesto bydliska, príjem alebo pohlavie autora s presnosťou až 85 % a veľkú časť tejto schopnosti si zachovali aj po anonymizácii textu. Osobu tak môže prezradiť aj kontext, napríklad zriedkavá udalosť, neobvyklá pracovná pozícia alebo kombinácia viacerých detailov.

Blackpen pomáha s úpravou textu pred odoslaním. Na rozpoznávanie používa malý lokálny model typu NER, nie veľký jazykový model ani cloudovú službu. Priamo vo vašom zariadení vyhľadá až 56 typov citlivých údajov a označené hodnoty nahradí zástupnými značkami, napríklad {osoba_1}. Značky zachovajú typ aj rolu údaja vo vete a ak sa rovnaký údaj v texte opakuje, dostane vždy rovnakú značku.

Keď AI služba odpovie, Blackpen vráti pôvodné hodnoty na správne miesta priamo vo vašom zariadení. Pôvodné hodnoty na svoje servery neposiela.

Automatické rozpoznávanie nie je stopercentné. Označenie môžete pred odoslaním opraviť alebo odstrániť a prehliadnutý údaj označiť ručne. Blackpen nenahrádza právne posúdenie, zmluvu o spracúvaní osobných údajov ani interné pravidlá vašej organizácie. Pomáha vám však odoslať menej informácií, ktoré AI služba na danú úlohu nepotrebuje.

Ak si chcete vyskúšať, ako lokálne nahrádzanie funguje, stiahnite si Blackpen.