Informativna poizvedba o glasovnih AI agentih v zobozdravstveni ordinaciji

Datum

05.10.2026

Številka

07121-1/2026/946

Kategorije

Informiranje posameznika, Moderne tehnologije, Pravne podlage, Umetna inteligenca, Zdravstveni osebni podatki, Ocene učinkov v zvezi z varstvom podatkov, Občutljivi OP / posebne vrste OP, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Profiliranje in avtomatizirano odločanje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis v zvezi z uvedbo glasovnega agenta na osnovi umetne inteligence, ki bi sprejemal telefonske klice v zobozdravstveni ordinaciji, posredoval splošne informacije in pomagal pri naročanju pacientov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z osmim odstavkom 70. člena Uredbe (EU) 2024/1689 Evropskega parlamenta in Sveta z dne 13. junija 2024 o določitvi harmoniziranih pravil o umetni inteligenci in spremembi uredb (ES) št. 300/2008, (EU) št. 167/2013, (EU) št. 168/2013, (EU) 2018/858, (EU) 2018/1139 in (EU) 2019/2144 ter direktiv 2014/90/EU, (EU) 2016/797 in (EU) 2020/1828 (Akt o umetni inteligenci) in prvim odstavkom 10. člena Zakona o izvajanju uredbe (EU) o določitvi harmoniziranih pravil o umetni inteligenci (Uradni list RS, št. 85/25, ZIUDHPUI) ter v skladu s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim dopisom.

1.Vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – mora izpolnjevati vsa pravila varstva osebnih podatkov. Večina komercialno dostopnih orodij UI je trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.

2.Za obdelavo posebnih vrst osebnih podatkov, kot npr. podatkov o zdravstvenem stanju posameznika, mora biti poleg pravne podlage iz 6. člena Splošne uredbe podana tudi ena izmed izjem iz 9. člena Splošne uredbe.

3.V skladu z načelom odgovornosti mora upravljavec izkazati ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov.

4.Upravljavec mora v skladu s 13. členom Splošne uredbe posameznike obvestiti o nekaterih pomembnih vidikih obdelave njihovih osebnih podatkov, kot na primer glede identitete upravljavca, namena obdelave, roka hrambe in pravic, ki pripadajo posamezniku.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti obdelave osebnih podatkov v konkretnem primeru in skladnosti z Aktom o umetni inteligenci (v nadaljevanju: Akt o UI). Dokončno presojo zakonitosti obdelave osebnih podatkov in skladnosti z Aktom o UI lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

Kot je IP poudaril v Mnenju št. 07121-1/2026/581 z dne 15. 6. 2026, lahko v življenjskem ciklu sistema UI poteka ena ali več obdelav osebnih podatkov (na primer v fazi učenja modela UI, testiranja in kasnejše uporabe sistema UI). IP opozarja, da mora vsaka obdelava osebnih podatkov – na primer vsak vnos podatkov v orodje UI, hramba, posredovanje – izpolnjevati vsa pravila varstva osebnih podatkov. Temeljiti mora na zakoniti pravni podlagi, zagotovljene morajo biti pravice posameznikov, spoštovana temeljna načela in zagotovljena ustrezna varnost podatkov. Če so izpolnjeni vsi pogoji, potem je lahko obdelava osebnih podatkov dopustna. Kljub temu pa IP izpostavlja, da je večina komercialno dostopnih orodij UI trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.

IP ob tem opozarja na spoštovanje načela najmanjšega obsega podatkov, ki od upravljavcev zahteva, da so podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Če podatki niso potrebni za namen, ki ga zasleduje obdelava osebnih podatkov, jih upravljavec za ta namen ne sme obdelovati. Zbiranje in hramba osebnih podatkov »na zalogo« brez jasno določenega namena obdelave, ni dopustna. Nenazadnje pa se pri uporabi tujih komercialnih orodij UI zastavlja tudi vprašanje, ali se osebni podatki prenašajo v tretje države (zunaj EU), za kar je potrebna ločena pravna podlaga.

IP dodatno izpostavlja, da mora biti za obdelavo posebnih vrst osebnih podatkov, kot npr. podatkov o zdravstvenem stanju posameznika, poleg pravne podlage iz 6. člena Splošne uredbe podana tudi ena izmed izjem iz 9. člena Splošne uredbe.

V zvezi z zapisanim IP pojasnjuje, da je v skladom z načelom odgovornosti naloga upravljavca, da izkaže ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov.

Glede preglednosti obdelav osebnih podatkov IP pojasnjuje, da mora upravljavec, kadar pridobi osebne podatke od posameznika, ki se nanj nanašajo, v skladu s 13. členom Splošne uredbe posameznika obvestiti o nekaterih pomembnih vidikih obdelave njegovih osebnih podatkov, na primer glede identitete upravljavca, namena obdelave, roka hrambe in pravic, ki posamezniku pripadajo. Obseg informacij, ki jih mora upravljavec zagotoviti, je naveden v 13. členu Splošne uredbe.

Posameznik, na katerega se nanašajo osebni podatki ima poleg tega pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva.

V konkretnem primeru mora torej upravljavec utemeljiti tri elemente: (1) ali gre za odločitev; (2) ali ta odločitev temelji zgolj na avtomatizirani obdelavi; (3) ali znatno vpliva na posameznika, oziroma, zanj ustvarja pravne učinke.

Nadalje so določene izjeme in sicer se prvi odstavek ne uporablja, če je:

odločitev nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki in upravljavcem;

če je posameznik, na katerega se nanašajo osebni podatki podal izrecno privolitev;

če je odločitev dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca in določa tudi ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika.

Zgoraj navedene izjeme ne smejo temeljiti na posebnih vrstah osebnih podatkov (t. i. občutljivi osebni podatki), razen če je posameznik podal izrecno privolitev (po točki (a) drugega odstavka 9. člena Splošne uredbe) ali pa je obdelava potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice (glej točko (g) drugega odstavka 9. člena Splošne uredbe) in se izvajajo ustrezni ukrepi za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

22. člen Splošne uredbe sicer ne razlikuje med tem, ali se obdelava nanaša na odrasle ali otroke, vendar pa iz uvodne opombe 71 Splošne uredbe izhaja, da se avtomatizirano sprejemanje odločitev ne bi smelo uporabljati za otroke. Po mnenju Evropskega odbora z varstvo podatkov (EOVP) sicer ne gre za absolutno prepoved, se pa upravljavci praviloma ne bi smeli posluževati izjem iz drugega odstavka 22. člena Splošne uredbe za utemeljitev obdelave osebnih podatkov otrok.

Načelo preglednosti zahteva, da upravljavci posameznikom zagotovijo nekatere ključne informacije o okoliščinah obdelave osebnih podatkov, ki so določene v 13. in 14. členu Splošne uredbe.

Upravljavci morajo posamezniku pri informiranju o obdelavi njegovih osebnih podatkov med drugim zagotavljati lahko dostopne informacije o obstoju avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov ter smiselne informacije o razlogih zanj, kot tudi pomenu in predvidenih posledicah take obdelave za posameznika, na katerega se nanašajo osebni podatki. Pri tem bi moral upravljavec poiskati preproste načine za seznanitev posameznika, z utemeljitvijo sprejete odločitve ali merili, uporabljenimi pri njenem sprejemanju, na način, da bi podal zgolj smiselne informacije o razlogih, da bi posameznik lahko razumel razloge za odločitev, ter navedel resnične in konkretne primere vrst možnih učinkov (dobra praksa bi bila npr. primerna grafična ponazoritev).

V primeru sistematičnega in obsežnega vrednotenja osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo, je v skladu s točko (a) tretjega odstavka 35. člena Splošne uredbe potrebno izvesti tudi oceno učinka v zvezi z varstvom podatkov, s katero lahko upravljavec tudi učinkovito opredeli ukrepe, ki jih bo uvedel za obvladovanje tveganj v zvezi z varstvom osebnih podatkov, povezanih z obdelavo.

Glede obveznosti priprave ocene učinkov IP pojasnjuje, da je v skladu s 35. členom Splošne uredbe ocena učinkov obvezna, če bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. Upravljavci jo pripravijo zlasti v primeru:

a)sistematičnega in obsežnega vrednotenja osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo;

b)obsežne obdelave občutljivih podatkov ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški, ali

c)obsežnega sistematičnega spremljanja javno dostopnega območja.

IP je že pripravil seznam obdelav, za katere je ocena učinkov obvezna. Glede na kriterije, ki sprožijo obveznost priprave ocene učinka, na primer masovno zbiranje podatkov, kombiniranje podatkov iz različnih podatkovnih zbirk, analitika na podlagi masovnih podatkov, inovativna raba novih tehnologij, obstaja velika verjetnost, da bo vsaj obdelava osebnih podatkov pri razvoju sistemov UI zahtevala pripravo ocene učinka. Več o varstvu osebnih podatkov na področju umetne inteligence si lahko preberete na spletni strani.

Kar zadeva vprašanje glede zvočnega snemanja telefonskih klicev, IP opozarja na 214. člen Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22, 18/23 – ZDU-1O in 40/25 – ZInfV-1, v nadaljevanju: ZEKom-2), ki med drugim ureja pogoje za zakonito snemanje telefonskih pogovorov. IP pojasnjuje, da ni pristojen za nadzor nad izvrševanjem 214. člena ZEKom-2, zato tudi ni pristojen za dajanje mnenj glede uporabe tega člena. Za nadzor je v tem primeru pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS). Zato vam predlagamo, da se za mnenje obrnete na AKOS.

Dodatno IP opozarja tudi na obveznosti na podlagi novega Akta o umetni inteligenci (Uredba (EU) 2024/1689 Evropskega parlamenta in Sveta z dne 13. junija 2024 o določitvi harmoniziranih pravil o umetni inteligenci in spremembi uredb (ES) št. 300/2008, (EU) št. 167/2013, (EU) št. 168/2013, (EU) 2018/858, (EU) 2018/1139 in (EU) 2019/2144 ter direktiv 2014/90/EU, (EU) 2016/797 in (EU) 2020/1828, v nadaljevanju: Akt o UI).

Skladno s točko 5(d) Priloge III v povezavi z drugim odstavkom 6. člena Akta o UI so kot visoko tvegani sistemi UI razvrščeni sistemi UI za ocenjevanje in razvrščanje nujnih klicev fizičnih oseb ali za napotitev služb za ukrepanje ob nesrečah, vključno s policijo, gasilci in medicinsko pomočjo, ali določanje prednosti pri njihovi napotitvi, ter sistemi za nujno zdravstveno triažo pacientov. V primeru, da bi bilo sistem UI mogoče razvrstiti kot visoko tvegan v skladu z navedeno točko, je treba zagotoviti, da je njegovo delovanje skladno z določbami Oddelkov II in III v Poglavju III Akta o UI, ki urejata obveznosti, ki veljajo za visoko tvegane sisteme, kot npr. vodenje tehnične dokumentacije, zagotavljanje transparentnosti in vpeljava človeškega nadzora. Za nadzor nad izvajanjem obveznosti po tč. 5(d) Priloge III je pristojna AKOS.

Ponudniki sistemov UI morajo skladno s prvim odstavkom 50. člena Akta o umetni inteligenci poleg tega tudi zagotoviti, da so sistemi UI, ki so namenjeni neposredni interakciji s fizičnimi osebami, zasnovani in razviti tako, da so zadevne fizične osebe obveščene, da so v interakciji s sistemom UI, razen če je to očitno z vidika razmeroma dobro obveščene, pozorne in preudarne fizične osebe ob upoštevanju okoliščin in konteksta uporabe. Za nadzor nad izvajanjem obveznosti iz te določbe je prav tako pristojna AKOS.

V upanju, da ste prejeli odgovore na vaša vprašanja vas lepo pozdravljamo,

dr. Jelena Virant Burnik

Informacijska pooblaščenka