AI agent pro GDPR: záznamy, žádosti a smlouvy se zpracovateli v pořádku
AI agent pro GDPR je pomocník pověřence pro ochranu osobních údajů a právního oddělení, který udržuje v pořádku každodenní agendu ochrany osobních údajů. Vede a aktualizuje záznamy o činnostech zpracování, hlídá žádosti lidí o přístup k jejich údajům nebo o výmaz a jejich termíny a kontroluje, zda máte smlouvy se všemi zpracovateli. Všechny výstupy schvaluje člověk.
Jaký problém řeší
Dokumentace GDPR ve většině firem vznikla jednorázově a od té doby se mění jen málo, přestože firma mezitím přidala nový e-shop, marketingový nástroj nebo docházkový systém. Žádost zákazníka o přístup k jeho údajům pak způsobí zmatek: nikdo přesně neví, ve kterých systémech všude jeho data jsou, a lhůta běží. Smlouvy se zpracovateli chybějí u dodavatelů, kteří přibyli později. A při bezpečnostním incidentu se podklady pro rozhodnutí o ohlášení dávají dohromady pod velkým tlakem.
Agent tuto agendu nedělá místo pověřence, ale drží ji v pohybu. Pamatuje si termíny, připomíná, kdo má co dodat, a upozorní na změny, které se do dokumentace ještě nepromítly. Pověřenec tak nemusí honit kolegy e-maily a může se soustředit na posouzení rizik a na to, aby firma zpracovávala jen ty údaje, které skutečně potřebuje.
Jak to vypadá v praxi
Bývalá zákaznice e-shopu pošle do datové schránky žádost o výmaz svých údajů. Agent žádost rozpozná, založí ji s termínem vyřízení a připraví úkoly: správce e-shopu zkontroluje objednávky, marketing odebere kontakt z newsletteru, účetní ověří, které doklady je nutné ze zákona dál uchovávat. Každý potvrdí splnění a agent sestaví koncept odpovědi. Pověřenec ji zkontroluje, doplní vysvětlení, proč faktury zůstávají, a odpověď schválí. Ve stejném týdnu agent upozorní, že s novým dodavatelem rozesílky e-mailů chybí smlouva o zpracování.
Co agent potřebuje
Vaši stávající dokumentaci GDPR, ať je v jakémkoli stavu, seznam systémů a dodavatelů a vzory odpovědí. Pro příjem žádostí přístup ke kanálům, kudy chodí – e-mail, formulář, datová schránka. K samotným osobním údajům agent přistupovat nemusí; úkoly dohledání plní správci systémů.
Užitečné je také určit, kdo ve firmě odpovídá za který systém. Agent pak ví, komu poslat úkol při žádosti o přístup nebo výmaz, a pověřenec vidí, kde se vyřizování zdržuje. Pokud firma používá systém požadavků nebo sdílený seznam úkolů, žádosti mohou běžet rovnou v něm.
Jak probíhá nasazení
Začínáme revizí záznamů o zpracování: agent projde dokumentaci a navrhne doplnění podle odpovědí jednotlivých oddělení. Pak nastavíme evidenci žádostí a vyzkoušíme ji na cvičné žádosti. Následuje kontrola smluv se zpracovateli. Po pilotu nastavíme pravidelné připomínky, aby se dokumentace aktualizovala při každé změně systémů.
Odpovědnost má pověřenec a vedení
Agent nikomu neodpovídá sám a nerozhoduje o ohlášení incidentu ani o tom, které údaje vymazat. Připravuje podklady, hlídá lhůty a upozorňuje na mezery. Dokumentace zůstává ve vašich systémech a agenta lze provozovat i na vlastním serveru, takže osobní údaje neopouštějí firmu.
Na co si dát pozor při nasazování AI nad osobními údaji, popisuje článek AI chatbot a GDPR. Další agenty najdete v přehledu AI agenti pro právní oddělení.
Scénář: jak pracuje AI agent pro GDPR
- Mapa zpracováníAgent s pomocí dotazníků a dokumentace sestaví a průběžně aktualizuje záznamy o činnostech zpracování: jaké údaje, proč, kde a jak dlouho.
- Příjem žádostíRozpozná žádost o přístup, opravu nebo výmaz, ať přijde e-mailem, formulářem, nebo do datové schránky, a založí ji s termínem vyřízení.
- Dohledání údajůPřipraví seznam systémů, kde mohou být údaje žadatele – CRM, e-shop, účetnictví, HR – a úkoly pro jejich správce.
- Návrh odpovědiSestaví koncept odpovědi žadateli podle vašich vzorů; pověřenec nebo právník ji zkontroluje a schválí.
- Kontrola smluv se zpracovateliProjde smlouvy s dodavateli, kteří zpracovávají osobní údaje, a upozorní na chybějící smlouvy nebo náležitosti.
- Podpora při incidentuPři úniku dat pomůže sepsat, co se stalo, koho se to týká a jaké jsou lhůty, a připraví podklady pro rozhodnutí o ohlášení.
Diagram a architektura: AI agent pro GDPR
RAG – agent vyhledává ve vašich dokumentech uložených ve vektorové databázi, místo aby odpovídal zpaměti.MCP – standardní konektor, přes který agent pracuje s vašimi systémy jen v povolených akcích.Dovednosti – naučené postupy pro opakované úkoly. Paměť – co si agent pamatuje mezi jednotlivými úkoly.
Co měřit: ukazatele přínosu
- Žádosti vyřízené v zákonné lhůtě
- Jak spolehlivě firma odpovídá na žádosti subjektů údajů včas.
- Aktuálnost záznamů o zpracování
- Kdy byly záznamy naposledy zkontrolovány a zda odpovídají skutečnosti.
- Pokrytí smlouvami se zpracovateli
- U kolika dodavatelů, kteří zpracovávají osobní údaje, má firma platnou smlouvu.
- Doba přípravy podkladů při incidentu
- Jak rychle má vedení k dispozici informace pro rozhodnutí o ohlášení.
Hodnoty změříme na začátku pilotu a po jeho skončení, abyste přínos viděli na vlastních číslech.