UI je 2026. najveći GDPR rizik

Veći dio proteklog desetljeća usklađenost s GDPR-om značila je dovesti u red temelje: dokumentiranu pravnu osnovu, uredan popis aktivnosti obrade, banner za kolačiće koji stvarno radi, postupak prijave povrede podataka koji nitko nije morao improvizirati pod pritiskom. Tvrtke koje su uložile u te temelje mogle su se opravdano smatrati usklađenima. U 2026. to više nije dovoljno. Umjetna inteligencija postala je najveći pojedinačni izvor GDPR rizika, a europski regulatori pokazuju — kroz smjernice, istrage i mjere provedbe — da UI sustavi ne dobivaju izuzeće od načela koja uređuju zaštitu podataka od 2018. Ako išta, UI podiže ulog, jer ti sustavi mogu iz osobnih podataka generirati nove, štetne rezultate na načine koje izvorni tvorci propisa nisu morali zamišljati.

GDPR je napisan da bude tehnološki neutralan, i u načelu se njegove temeljne obveze primjenjuju jednako na model strojnog učenja kao i na tablicu s podacima o korisnicima. U praksi UI komplicira gotovo svaku od tih obveza. Podaci za treniranje često se prikupljaju u velikim razmjerima, ponekad scrapingom iz javnih izvora, i rijetko se prikupljaju s konkretnom, dokumentiranom svrhom na umu — što se teško uklapa u ograničenje svrhe i minimizaciju podataka. Modeli mogu zapamtiti i kasnije reproducirati osobne podatke na načine koje nitko ne može u potpunosti predvidjeti ili kontrolirati. A jednom kad je model u uporabi, njegovi rezultati — preporuke, klasifikacije, generirane slike ili tekst — sami mogu predstavljati novu obradu osobnih podataka, s novim rizicima. Regulatori ne tretiraju UI kao zasebno pitanje; tretiraju ga kao proširenje postojećih GDPR obveza, primijenjenih s posebnom strogošću. Tri zahtjeva posebno su se našla u središtu aktivnosti provedbe: procjene legitimnog interesa za podatke za treniranje, obvezne procjene učinka za biometrijsku obradu, i dokaz da su podaci za treniranje uopće zakonito pribavljeni.

Legitimni interes nije propusnica

Mnoge organizacije koje grade ili fino podešavaju UI modele oslanjale su se na „legitimni interes" kao pravnu osnovu za korištenje osobnih podataka u treniranju, posebno tamo gdje bi prikupljanje individualne privole svake ispitane osobe bilo nepraktično. Regulatori nisu u potpunosti odbacili taj pristup — no jasno su dali do znanja da to nije paušalno opravdanje. Zahtijeva dokumentiranu, obranjivu procjenu.

Ispravna procjena legitimnog interesa za podatke za treniranje UI-ja mora utvrditi tri stvari: da je interes koji se ostvaruje istinski i zakonit, da je obrada nužna za njegovo ostvarenje (bez manje intruzivne alternative), i da taj interes ne nadjačavaju prava i slobode osoba čiji se podaci koriste. Za UI to konkretno znači moći pokazati zašto je određeni skup podataka bio potreban, zašto anonimizacija ili sintetički podaci nisu bili održiva alternativa, te koje zaštitne mjere ograničavaju utjecaj na pojedince. Organizacije koje ne mogu predočiti tu dokumentaciju kad se to od njih zatraži sve se češće nalaze na pogrešnoj strani istrage. Koliko je taj test postao strog detaljno smo opisali u našem tekstu o novim EDPB smjernicama o web scrapingu — stari skupovi podataka nemaju propusnicu samo zato što pravila nisu postojala u trenutku njihova prikupljanja.

Biometrijska obrada i obveza DPIA

Biometrijski podaci — prepoznavanje lica, glasovni otisci, analiza hoda i slični identifikatori — pripadaju posebnoj kategoriji osobnih podataka prema GDPR-u, a UI je biometrijsku obradu učinila znatno raširenijom i moćnijom. Sustavi za prepoznavanje lica, alati za prepoznavanje emocija i tehnologija kloniranja glasa svi ovise o obradi ove kategorije podataka u velikom opsegu.

Zbog povećanog rizika, procjena učinka na zaštitu podataka (DPIA) nije neobavezna za takve sustave — obvezna je prije početka obrade. DPIA mora opisati aktivnosti obrade i njihove svrhe, procijeniti je li obrada nužna i proporcionalna, identificirati rizike za pojedince, te odrediti mjere poduzete za njihovo rješavanje. Kod biometrijske UI ta procjena mora iskreno odgovoriti na pitanja koja je lako preskočiti u žurbi prije lansiranja: Koliko je sustav točan u različitim demografskim skupinama? Što se događa ako pogrešno identificira nekoga? Mogu li se ljudi isključiti, i kakva im se alternativa nudi ako to učine? Regulatori sve češće traže te procjene kao prvi korak u bilo kojoj istrazi biometrijskog UI rješenja — a njihovo odsustvo tretira se kao značajan propust u usklađenosti sam po sebi, neovisno o tome što sustav u pozadini stvarno radi.

Zakonito podrijetlo podataka za treniranje

Treći stup GDPR rizika specifičnog za UI temeljniji je, ali vjerojatno teže popravljiv naknadno: jesu li podaci za treniranje uopće zakonito pribavljeni? Veliki jezični modeli i generatori slika često se treniraju na podacima prikupljenim scrapingom otvorenog weba, licenciranim skupovima podataka ili povijesnim evidencijama tvrtki prikupljenima u sasvim druge svrhe. Svaki izvor nosi vlastita pitanja usklađenosti. Scrapani podaci mogli su biti prikupljeni bez ikakve pravne osnove za sam scraping, a kamoli za njegovu preraspodjelu u treniranje UI-ja. Licencirani skupovi podataka možda nisu prikupljeni uz privolu dovoljno informiranu da bi podržala naknadnu upotrebu u UI-ju. A interni zapisi prikupljeni prije godina za jednu poslovnu svrhu danas možda nemaju valjanu osnovu za preraspodjelu u skup za treniranje.

Ovo je problem koji je teško retroaktivno popraviti — modelu koji je već treniran na nezakonito pribavljenim podacima ti se podaci ne mogu jednostavno „ukloniti" kao što se briše zapis iz baze podataka. Upravo zato regulatori potiču organizacije da dokumentiraju podrijetlo podataka prije nego što treniranje počne, a ne nakon što stigne pritužba: jasan revizijski trag koji pokazuje odakle svaki skup podataka dolazi, koja se pravna osnova primjenjivala na njegovo prikupljanje, i proteže li se ta osnova i na uporabu u treniranju UI-ja.

Kad sami rezultati UI-ja postanu kršenje

Možda najznačajniji pomak u provedbi GDPR-a 2026. jest spoznaja da kršenja mogu nastati ne samo iz načina na koji se osobni podaci prikupljaju ili koriste za treniranje modela, već i iz onoga što proizvede model koji je već u uporabi. Ovo nije hipoteza. 17. veljače 2026. irsko Povjerenstvo za zaštitu podataka — koje predvodi provedbu GDPR-a protiv X-a s obzirom na europsko sjedište tvrtke u Dublinu — pokrenulo je formalnu statutarnu istragu Grok chatbota te platforme, nakon izvještaja da su korisnici od njega tražili generiranje neprivoljenih, seksualiziranih deepfake slika stvarnih osoba, uključujući, prema nekim izvještajima, i djece.

Istraga ispituje je li X zakonito obrađivao podatke korisnika iz EU-a i EGP-a pri uvođenju Grokovih alata za generiranje slika, jesu li postojale odgovarajuće zaštitne mjere, i jesu li rizici zlouporabe pravilno procijenjeni prije lansiranja. Pravna teorija u pozadini značajna je: korištenje fotografije stvarne osobe kao temelja za generiranje seksualizirane ili na drugi način štetne sintetičke slike samo po sebi može predstavljati nezakonitu obradu osobnih podataka te osobe — neovisno o bilo kojim odvojenim kaznenopravnim prekršajima ili kršenjima pravila platforme koji uz to mogu postojati. Drugim riječima, šteta ne nastaje samo uzvodno, u načinu na koji su podaci za treniranje prikupljeni. Može nastati i nizvodno, u trenutku generiranja, u onome što uvedeni sustav radi s nečijim likom. X je ograničio Grokovo generiranje slika na pretplatnike koji plaćaju nakon što su izvještaji izašli na vidjelo, no istraga — koja nosi potencijalne kazne do 4% globalnog godišnjeg prihoda X-a — nastavlja se bez obzira na to.

Za svaku organizaciju koja gradi ili uvodi generativnu UI to je ključna razlika. Zaštitne mjere ne mogu stati na pipelineu treniranja; moraju se proširiti i na ono što model može proizvesti u trenutku zaključivanja, te na ono što se događa kad korisnik namjerno pokuša zloupotrijebiti sustav.

Šest dobrih praksi za korak ispred rizika

Kroz regulatorne smjernice, mjere provedbe i analize industrije, šest praksi dosljedno razdvaja organizacije koje dobro upravljaju UI GDPR rizikom od onih koje ostaju izložene.

1. Ugraditi privatnost od samog početka, a ne naknadno. Zaštita privatnosti već u dizajnu GDPR je obveza, a ne prijedlog — za UI to znači preglede privatnosti već u fazi odabira skupa podataka i arhitekture modela, ne tek prije lansiranja.
2. Stvarno mapirati kako osobni podaci teku kroz sustav. Od prikupljanja, preko treniranja ili finog podešavanja, do zaključivanja i rezultata. Bez te mape većina organizacija ne može odgovoriti na osnovno pitanje regulatora: gdje su bili podaci ove osobe i što je s njima učinjeno?
3. Dokumentirati konkretnu svrhu za svaku aktivnost obrade. „Poboljšanje naših UI modela" nije dovoljno konkretno. Regulatori očekuju navedenu svrhu za određeni skup podataka, s uporabom ograničenom na tu svrhu.
4. Tretirati DPIA-e kao prepreku, a ne formalnost. Posebno za biometrijske sustave, profiliranje velikih razmjera i automatizirane odluke s pravnim ili sličnim značajnim učinkom — dovršiti procjenu prije nego što se odluke o uvođenju zaključe, a ne nakon toga.
5. Moći objasniti odluku, ne samo da je donesena. GDPR daje ljudima stvarna prava u pogledu automatiziranog donošenja odluka. Organizacije sve više moraju moći jasnim jezikom objasniti kako je sustav došao do odluke koja utječe na nekoga.
6. Nadzirati kontinuirano, a ne jednom godišnje. UI sustavi odstupaju, zloupotrebljavaju se na načine koje njihovi kreatori nisu predvidjeli, ili proizvode štetne rezultate koji postaju vidljivi tek nakon uvođenja u velikim razmjerima — kao što ilustrira istraga o Groku. Godišnji pregled usklađenosti prerijedak je da bi to uhvatio prije nego što postane regulatorni incident.

UI neće postati manje središnji za način na koji organizacije obrađuju osobne podatke, a regulatori neće postati manje pažljivi prema njegovoj uporabi. Organizacije koje se dobro snalaze u ovome tretiraju usklađenost s GDPR-om kao kontinuiranu inženjersku i upravljačku disciplinu ugrađenu u UI sustave od samog početka — a ne kao pravnu kontrolnu listu primijenjenu naknadno. Regulatori su sada pokazali da će djelovati ne samo protiv načina na koji se podaci prikupljaju za treniranje, već i protiv onoga što uvedeni sustavi stvarno generiraju. Ta promjena razmišljanja više nije opcionalna.

Rezervirajte besplatne konzultacije s GDPRGardom →

Izvori

• The Irish Times — DPC istražuje X zbog mogućih povreda povezanih s „razgaljivanjem" slika putem Groka
• JURIST — Irska pokreće istragu o Grokovim slikama na X-u

Pročitajte i:

• Izgovor „bilo je javno" je gotov: GDPR sada formalno pokriva podatke za treniranje UI-ja
• Zaboravite Akt o UI — GDPR već kažnjava tvrtke za pogreške umjetne inteligencije
• Zašto svaka SaaS tvrtka treba DPIA prije uvođenja AI značajki