Svetovanje pri uporabi UI

Datum

16.07.2026

Številka

07121-1/2026/690

Kategorije

Moderne tehnologije, Pravne podlage, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Umetna inteligenca

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis glede pomislekov v zvezi z zagotavljanjem skladnosti s Splošno uredbo o varstvu osebnih podatkov pri vključevanju različnih modelov UI v vaše delovne procese.

1.Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

2.Vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – mora izpolnjevati vsa pravila varstva osebnih podatkov.

3.Večina komercialno dostopnih orodij UI je trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.

V primeru, da se osebni podatki prenašajo v tretje države (zunaj EU ali EGP), je za to potrebna ločena pravna podlaga.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

V življenjskem ciklu sistema UI lahko poteka ena ali več obdelav osebnih podatkov (na primer v fazi učenja modela UI, testiranja in kasnejše uporabe sistema UI). IP opozarja, da mora vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – izpolnjevati vsa pravila varstva osebnih podatkov. Temeljiti mora na zakoniti pravni podlagi, zagotovljene morajo biti pravice posameznikov, spoštovana temeljna načela in zagotovljena ustrezna varnost podatkov. Če so izpolnjeni vsi pogoji, potem je lahko vnos dopusten. Kljub temu pa pri tem IP izpostavlja, da je večina komercialno dostopnih orodij UI trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo. V zvezi s tem IP vnovič poudarja, da ne more podati ocene o zakonitosti in primernosti obdelave osebnih podatkov pri izbranem sistemu UI oziroma posameznem paketu ponudnikov sistemov UI izven konkretnega nadzornega ali drugega upravnega postopka.

IP dalje opozarja tudi na specifi
0dna tveganja pri uporabi orodij UI, na primer na mo
7Enost, da se bo izbrani sistem UI nadalje u
0Dil na podatkih, ki jih je zajel pri vnosu. Pri tem sta lahko vpra
61ljiva predvsem pravna podlaga ter obseg spo
61tovanja na
0Dela omejitve namena.
0Ce se bo sistem UI lahko u
0Dil na zbranih podatkih, se zastavlja tudi vpra
61anje hrambe osebnih podatkov ter mo
7Enosti dostopa nepoobla
61
0Denih oseb do le-teh. Nenazadnje se pri uporabi tujih komercialnih orodij UI zastavlja tudi vpra
61anje, ali se osebni podatki prena
61ajo v tretje dr
7Eave (zunaj EU ali EGP), za kar je potrebna lo
0Dena pravna podlaga.

Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji dr
7Eavi ali mednarodni organizaciji morata biti izpolnjena dva pogoja, in sicer:

1.Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji dr
7Eavi mora obstajati katera izmed pravnih podlag, ki so dolo
0Dene v 6. ter 9.
0Dlenu Splo
61ne uredbe. Obdelovalcu (pravni ali fizi
0Dni osebi, ki obdeluje osebne podatke v imenu in na ra
0Dun upravljavca osebnih podatkov) se lahko osebni podatki posredujejo pod pogoji, dolo
0Denimi v 28.
0Dlenu Splo
61ne uredbe.

2.Ob izpolnjenem prvem pogoju je posredovanje osebnih podatkov upravljavcu ali pogodbenemu obdelovalcu v tretji dr
7Eavi ali mednarodni organizaciji dopustno pod pogoji, ki jih ureja V. poglavje Splo
61ne uredbe. Prenos osebnih podatkov v tretjo dr
7Eavo se med drugim lahko izvede,
0De Evropska komisija izda odlo
0Dbo, da dr
7Eava, ozemlje, dolo
0Den sektor v dr
7Eavi ali mednarodna organizacija, v katero se prena
61ajo, zagotavlja ustrezno raven varstva osebnih podatkov.

Trenutno ima ve
0Dina podjetij, ki na trgu ponujajo komercialno dostopna orodja UI, sede
7E v ZDA. Prenosi osebnih podatkov v ZDA potekajo na podlagi izvedbenega sklepa Komisije (EU) 2023/1795 z dne 10. julija 2023 v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta o ustreznem varstvu osebnih podatkov na podlagi okvira za varstvo zasebnosti podatkov med EU in ZDA. Iz sklepa izhaja, da ZDA zagotavljajo ustrezno raven varstva za tiste osebne podatke, ki se iz EU prena
61ajo v ameri1ka podjetja v skladu z novim okvirjem za varstvo zasebnosti podatkov.

Okvir za varstvo zasebnosti podatkov med EU in ZDA je mehanizem samocertificiranja podjetij iz ZDA. Podjetja, ki so se samocertificirala v sklopu okvira za varstvo zasebnosti podatkov, morajo upo1tevati njegova na
0Dela, pravila in obveznosti v zvezi z obdelavo podatkov posameznikov iz EGP.

Ve
0D o tem, kako je urejen prenos osebnih podatkov v tretje dr
7Eave, si lahko preberete v smernicah IP, ki so dostopne na spodnji povezavi:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice%20glede%20prenosa%20OP_v1.6.pdf

V zvezi z zapisanim IP pojasnjuje, da je v skladom z na
0Delom odgovornosti naloga upravljavca, da izka
7Ee ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov.

IP je na svoji spletni strani objavil seznam pogostih vpra1anj in odgovorov glede prepleta varstva osebnih podatkov in uporabe sistemov umetne inteligence. Besedilo je dostopno na spodnji povezavi:

https://www.ip-rs.si/varstvo-osebnih-podatkov/klju
0Dna-podro
0Dja-uredbe/umetna-inteligenca-in-varstvo-osebnih-podatkov

Ob tem 1e dodajamo, da se lahko za vsa nadaljnja vpra1anja v zvezi z varstvom osebnih podatkov na podro
0Dju umetne inteligence obrnete neposredno na Informacijskega poobla1
0Denca.

V upanju, da ste prejeli odgovore na va1a vpra1anja vas lepo pozdravljamo,

dr. Jelena Virant Burnik

Informacijska pooblaščenka