Pitanje koje dobijem svaki put kad predstavim AI rješenje:
"A što s GDPR-om?"
Dobro pitanje. Loš odgovor je duga pravna lista.
Evo kratke — što zapravo morate znati, što ja radim, i gdje stvarno trebate odvjetnika.
U čemu je problem
AI sustav procesira podatke. GDPR regulira procesiranje osobnih podataka. Točka.
Što to u praksi znači?
1. Morate znati gdje podaci idu
OpenAI je u SAD-u. Anthropic je u SAD-u. Google AI je na više lokacija. (Koji od njih odabrati za tvrtku, usporedio sam zasebno.)
Ako vaš AI šalje mail klijenta na OpenAI — to je prijenos podataka u SAD. Mora biti opravdan i dokumentiran.
2. Morate imati privolu
Ako AI agent čita mail klijenta i procesira podatke, klijent mora biti upoznat. Politika privatnosti to mora pokrivati.
3. Morate omogućiti brisanje
GDPR daje svakome pravo na brisanje. Ako AI ima tu osobu u bazi ili u logovima — mora biti izbrisana.
To su tri stvari. Sve ostalo su nijanse.
Što ja konkretno radim
Svaki projekt koji gradim ima:
Podaci u EU
Koristim samo servise s EU data residency:
- Supabase s EU regijom
- Serveri u EU
- Backup u EU
Ako koristim OpenAI ili Anthropic API, dokumentiram to u politici privatnosti kao obradu izvan EU, uz odgovarajući SCC ugovor.
Enkripcija
- At rest: baza šifrirana
- In transit: HTTPS, uvijek
- Lozinke: nikad u čistom tekstu. Ni u jednom slučaju.
Brisanje na zahtjev
Svaki sustav ima funkciju "izbriši korisnika". Uključuje i logove — ne samo tablice.
Minimalna obrada
Ne šaljem AI-ju više podataka nego što treba. Ako agent treba odlučiti je li mail upit za kupovinu, dobije samo tekst maila — ne povijest cijelog klijenta. (Što takav agent radi korak po korak, opisao sam ovdje.)
Dokumentacija
Svaki projekt dobije kratak dokument:
- Koji podaci idu gdje
- Koji se pohranjuju
- Koliko dugo
Taj dokument možete priložiti svojoj politici privatnosti.
Gdje stvarno trebate odvjetnika
Ja sam inženjer, ne odvjetnik. Sljedeće neću sam rješavati:
- DPIA (Data Protection Impact Assessment). Velika količina osjetljivih podataka? Trebate formalni DPIA. Preporučit ću specijalista.
- DPA ugovori. Ako sam ja obrađivač, a vi kontrolor — trebamo potpisati DPA. Imam template, ali za specifične slučajeve trebate svog pravnika.
- Predstavnik za GDPR u EU. Prodajete izvan EU, kupci u EU? Trebate predstavnika. Nije moj posao.
Ako vam netko kaže "pokrit ću vam GDPR u potpunosti" a nije odvjetnik — oprez.
Većina tvrtki treba kombinaciju inženjera (tehnički dio) i pravnika (dokumentacija + strategija). Odvojeno.
Pet pitanja za svakog dobavljača AI-ja
Pet pitanja koja vam olakšavaju život:
1. Gdje su fizički pohranjeni podaci?
Ako odgovor traje više od 30 sekundi — loš znak.
2. Koristite li treće strane za AI (OpenAI, Anthropic, Google)?
Ako da — koje, i je li potpisan DPA s njima? Besplatne verzije tih alata ne prolaze ovaj test; zašto, pisao sam ovdje.
3. Koliko dugo čuvate moje podatke u logovima?
Treba biti dani ili tjedni, ne godine.
4. Kako brišete podatke ako zatražim?
Konkretan proces, ne "zovite nas i riješit ćemo".
5. Što ako podaci procure — tko odgovara?
Tražite ugovor koji ovo pokriva.
Ako dobavljač muca na ova pitanja — ne ulazite u projekt.
EU AI Act — kratko
Za većinu malih projekata (chatbot, interni agent) nema posebnih obveza osim postojeće GDPR regulative.
Za sustave koji donose automatske odluke s velikim utjecajem na ljude (kreditno bodovanje, filtriranje životopisa) — postoje dodatne obveze.
Ako ne radite u visokorizičnoj kategoriji, AI Act za vas znači:
- Budite transparentni o korištenju AI-ja
- Omogućite ljudsku reviziju gdje je važno
- Dokumentirajte kako AI donosi odluke
Ja ne radim u visokorizičnim kategorijama — pa u mojim projektima ovo doda samo par redaka u dokumentaciji.
Što ja ne znam
Specifični zakoni u vašoj industriji (bankarstvo, zdravstvo, telekom) imaju dodatne propise iznad GDPR-a. Ne znam ih detaljno.
Ako radite u takvoj industriji — trebate svoj tim za usklađenost ili odvjetnika.
Imate dilemu je li vaš slučaj visokorizičan? Pitajte pravnika. Ne mene.