Vodič

Smije li firma koristiti AI agenta s osobnim podacima?

Pripremio tim HelpAi. Objavljeno 6. studenoga 2026.

Smije, ali GDPR vrijedi i za AI. Kad firma kroz AI agenta ili ChatGPT obrađuje podatke o kupcima, zaposlenicima ili pacijentima, ona je u pravilu voditelj obrade i odgovara za tu obradu, iako sam sustav nije razvila. Tako to tumači hrvatska Agencija za zaštitu osobnih podataka (AZOP).

U praksi to znači pet stvari: znati svrhu i pravni temelj obrade, davati AI-ju samo nužne podatke, imati ugovor s dobavljačem, znati gdje podaci završavaju i ne prepustiti AI-ju odluke koje značajno utječu na ljude. Ispod je što propisi kažu, s izvorima.

Vrijedi li GDPR i kad AI sustav nije naš?

Vrijedi. AZOP u svom FAQ-u o umjetnoj inteligenciji piše da se Opća uredba o zaštiti podataka primjenjuje na obradu osobnih podataka u AI sustavima tijekom cijelog njihova životnog ciklusa, neovisno o tome koliki je rizik sustava.

Isti dokument kaže da je voditelj obrade svatko tko određuje svrhu i sredstva obrade, bez obzira na to je li sustav razvio sam ili koristi tuđi. Dobavljač može određivati tehničke postavke, ali korisnik AI sustava je najčešće taj koji odgovara prema GDPR-u.

Dvije zablude koje AZOP izričito odbacuje: pseudonimizirani podaci (ime zamijenjeno šifrom) i dalje su osobni podaci, a GDPR vrijedi i za podatke koji su javno dostupni, na primjer u registrima ili na društvenim mrežama.

Ovo pitanje koči mnoge firme. Prema Eurostatu (skup podataka isoc_eb_ai, istraživanje firmi s 10 i više zaposlenih), među EU firmama koje su razmatrale uvođenje AI-ja, a ne koriste ga, 52,52 % kao razlog za 2025. navodi nejasne pravne posljedice, a 48,83 % zabrinutost zbog kršenja zaštite podataka i privatnosti.

Koje podatke smijete dati AI agentu

GDPR traži da se osobni podaci obrađuju samo u mjeri u kojoj su nužni za svrhu (načelo smanjenja količine podataka, članak 5.). AZOP firmama koje koriste tuđe AI sustave preporučuje interne smjernice koje jasno kažu koje se vrste podataka smiju obrađivati tim sustavima.

Primjeri iz svakodnevnog posla, od manje do više osjetljivog:

Račun dobavljača d.o.o.: podaci o firmi uglavnom nisu osobni podaci, ali ime i e-mail kontakt osobe na računu jesu. Obrtnik ili paušalist na računu je fizička osoba.
Upit kupca s imenom, e-mailom i opisom što treba: osobni podaci. AI agent ih smije čitati ako je to dio posla za koji ste ih dobili, na primjer izrada ponude.
Evidencija godišnjih odmora i bolovanja: osobni podaci zaposlenika, a podaci o zdravlju spadaju u posebnu kategoriju (članak 9. GDPR-a). Agentu dajte samo ono što mu treba, na primjer broj preostalih dana, a ne dijagnoze.
Termini u ordinaciji, salonu ili fizikalnoj terapiji: sama činjenica da je netko pacijent može otkriti podatak o zdravlju. Ovdje agenta ograničite na termin i kontakt.

Što mora pisati u ugovoru s dobavljačem

Kad dobavljač AI-ja obrađuje osobne podatke za vas, on je izvršitelj obrade, a članak 28. GDPR-a traži pisani ugovor (često se zove DPA, ugovor o obradi podataka). Prema tom članku ugovor mora, među ostalim, propisati:

da dobavljač obrađuje podatke samo po vašim dokumentiranim uputama
da su osobe koje imaju pristup obvezane na povjerljivost
sigurnosne mjere iz članka 32.
da podizvršitelje (na primjer pružatelja modela ili poslužitelja) angažira samo uz vaše odobrenje
da vam pomaže kad netko traži uvid, ispravak ili brisanje svojih podataka
da po završetku suradnje podatke briše ili vraća
da vam stavi na raspolaganje informacije potrebne za dokazivanje usklađenosti i revizije

Gdje podaci završavaju

Velik dio AI modela radi na poslužiteljima izvan EU. Prijenos osobnih podataka u treće zemlje GDPR dopušta samo uz uvjete iz poglavlja V. (članci 44. do 49.), na primjer kad za tu zemlju postoji odluka Europske komisije o primjerenosti ili uz standardne ugovorne klauzule. Za SAD postoji odluka o primjerenosti za tvrtke koje su se certificirale u okviru EU-US Data Privacy Frameworka.

AZOP upozorava da kod tuđih AI sustava treba razumjeti kako teku podaci i postoji li rizik da odu proizvođaču sustava ili trećima. Spominje i rješenja koja rade na poslužiteljima same firme (on-premise) kao način da se taj rizik smanji.

Posebno pitanje je koriste li se vaši podaci za treniranje modela. To ovisi o dobavljaču i vrsti računa. Primjer: Anthropic za svoje poslovne proizvode (Claude for Work i API) navodi da prema zadanim postavkama ne koristi unose ni odgovore za treniranje. Uvjete svakog dobavljača provjerite posebno, jer se potrošački i poslovni računi često razlikuju.

Smije li AI sam odlučivati o ljudima?

Članak 22. GDPR-a daje svakome pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, a ima pravne učinke ili ga na sličan način značajno pogađa. Uvodna izjava 71. kao primjere navodi automatsko odbijanje zahtjeva za kredit i zapošljavanje bez ikakvog ljudskog sudjelovanja.

Takva odluka dopuštena je samo u tri iznimke iz stavka 2.: ako je nužna za sklapanje ili izvršenje ugovora (točka (a)), ako je dopušta pravo EU ili države članice koje propisuje odgovarajuće zaštitne mjere (točka (b)) ili ako se temelji na izričitoj privoli osobe (točka (c)).

Za iznimke iz točaka (a) i (c) stavak 3. traži da voditelj obrade provede odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika, a barem pravo na ljudsku intervenciju voditelja obrade, pravo da osoba izrazi svoje stajalište i pravo da ospori odluku. Za malu firmu je jednostavnije pravilo: AI agent priprema, razvrstava i predlaže, a odluku o čovjeku donosi čovjek.

Treba li procjena učinka na zaštitu podataka?

Članak 35. GDPR-a traži procjenu učinka (DPIA) kad je vjerojatno da će obrada, osobito novim tehnologijama, prouzročiti visok rizik za prava ljudi. AI se smatra novom tehnologijom, ali to samo po sebi ne znači da je procjena uvijek obvezna.

Što je obrada osjetljivija, to je vjerojatnije da procjena treba: podaci o zdravlju, praćenje zaposlenika ili ocjenjivanje ljudi rizičniji su od razvrstavanja računa dobavljača. Za svoju obradu to provjerite s pravnikom ili službenikom za zaštitu podataka.

A u Bosni i Hercegovini i Srbiji?

Srbija ima Zakon o zaštiti podataka o ličnosti (Službeni glasnik RS 87/2018), koji se primjenjuje od 21. kolovoza 2019. Rađen je po uzoru na GDPR, ali nije identičan, a nadzor provodi Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti.

Bosna i Hercegovina ima novi Zakon o zaštiti ličnih podataka (Službeni glasnik BiH 12/2025), kojim se prema članku 1. vrši usklađivanje s GDPR-om. Prema članku 120. stupa na snagu osmog dana od objave, a primjenjuje se nakon isteka 210 dana od stupanja na snagu. Nadzor provodi Agencija za zaštitu ličnih podataka.

Firma iz Srbije ili BiH koja nudi robu ili usluge ljudima u EU može prema članku 3. stavku 2. GDPR-a potpasti i pod GDPR. To vrijedi provjeriti ako imate kupce ili goste iz EU.

Pitanja za svakog dobavljača AI-ja, pa i za nas

Prije nego što ijedan AI sustav dobije pristup podacima vaše firme, tražite pisane odgovore na ova pitanja:

Koji model koristite i tko ga pruža?
Gdje se podaci obrađuju i pohranjuju, i prelaze li granicu EU?
Koriste li se naši podaci za treniranje modela?
Koliko dugo se čuvaju unosi, odgovori i zapisi rada?
Potpisujete li ugovor o obradi podataka prema članku 28. GDPR-a i tko su podizvršitelji?
Kako se podaci brišu kad suradnja prestane?
Tko kod vas i kod nas vidi zapise onoga što je agent radio?

Najčešća pitanja

Smijem li u ChatGPT upisati podatke kupca?

Prije toga trebate znati koju vrstu računa koristite, imate li s dobavljačem ugovor o obradi podataka i koriste li se uneseni podaci za treniranje. Ako to ne znate, ne upisujte osobne podatke, nego ih uklonite ili zamijenite prije unosa.

Jesu li pseudonimizirani podaci izvan GDPR-a?

Nisu. AZOP navodi da su pseudonimizirani podaci i dalje osobni podaci, jer se uz dodatne informacije mogu povezati s osobom. GDPR se ne primjenjuje samo na podatke koji su potpuno anonimizirani.

Vrijedi li GDPR i za javno dostupne podatke?

Vrijedi. Prema AZOP-u, i za podatke iz javnih registara, s društvenih mreža ili internetskih stranica treba postojati pravni temelj i poštivati se načela GDPR-a.

Treba li kupcima reći da njihove upite obrađuje AI?

Prema člancima 13. i 14. GDPR-a ljudi moraju dobiti informacije o obradi, uključujući primatelje podataka, pa dobavljač AI-ja ulazi u vašu obavijest o privatnosti. Kad AI izravno razgovara s ljudima, vrijedi i obveza obavještavanja iz članka 50. Uredbe o umjetnoj inteligenciji.

Kolike su kazne za kršenje GDPR-a?

Članak 83. GDPR-a propisuje upravne novčane kazne do 20 milijuna eura ili do 4 % ukupnog godišnjeg prometa, ovisno o tome što je veće, za najteža kršenja. Iznos u konkretnom slučaju određuje nadzorno tijelo prema okolnostima.

Izvori

Izvore smo pročitali na dan ažuriranja. Propisi se mijenjaju, pa za svoju situaciju provjerite važeći tekst.