GDPR a AI ve firmě: praktický checklist pro poptávky, nabídky a obchodní e-maily

Tým BOTrento3. 10. 2026 · Aktualizováno 11. 10. 20267 min čtení

Jaká osobní data v obchodní komunikaci skutečně máte

Než začnete řešit nástroje, sepište, co v poptávkách, e-mailech a nabídkách reálně koluje. Ve většině B2B firem jde o tyto kategorie:

• Kontaktní údaje: jméno, pracovní e-mail, telefon, pozice, podpis v e-mailu.
• Obsah komunikace: text poptávky, požadavky, termíny, místo akce, historie domluv.
• Obchodní údaje: ceny, slevy, fakturační údaje. U podnikatelů fyzických osob jsou to zároveň osobní údaje.
• Nečekaná data: u eventů třeba seznam hostů, u realitek údaje o rodinné situaci, u autoservisu SPZ a historie vozu. Právě tady se nejčastěji posílá do AI víc, než je potřeba.

Údaje o firmě (název, IČO, sídlo) samy o sobě osobními údaji nejsou. Jakmile je ale v e-mailu jméno konkrétního člověka, GDPR se na něj vztahuje, i když jde o B2B obchod.

Právní základ: co obvykle připadá v úvahu

Každé zpracování osobních údajů potřebuje právní základ. U obchodní komunikace se v praxi nejčastěji zvažují tři:

Jednání o smlouvě na žádost zákazníka

Když vám někdo pošle poptávku a vy na ni odpovídáte nabídkou, zpracováváte jeho údaje kvůli krokům před uzavřením smlouvy, o které sám požádal. Příprava odpovědi pomocí AI je pak jen jiný způsob, jak tutéž činnost provést. Nový účel to obvykle nevytváří.

Oprávněný zájem

Follow-up k nabídce, evidence obchodních případů v CRM nebo interní vyhodnocení poptávek se často opírají o oprávněný zájem. Ten je potřeba umět zdůvodnit a zvážit proti zájmům dotčené osoby. Stačí krátký písemný test, který si uložíte.

Souhlas

Pro marketingová sdělení lidem, kteří nic nepoptávali, nebo pro využití dat k jinému účelu, než kvůli kterému je máte, bývá potřeba souhlas nebo jiný samostatně posouzený základ. Pokud byste chtěli AI používat například k profilování kontaktů pro kampaně, nechte si to posoudit zvlášť.

Platí jednoduché pravidlo: AI by měla dělat totéž, co dosud dělal obchodník, jen rychleji. Jakmile začne dělat něco nového, třeba vyhodnocovat lidi nebo obohacovat kontakty, otevírá se nová otázka právního základu.

Správce, zpracovatel a poskytovatel AI: kdo je kdo

Vaše firma je u dat zákazníků správcem. Každá služba, která pro vás s daty pracuje (e-mail, CRM, AI nástroj, dodavatel procesu), je obvykle zpracovatelem. Se zpracovatelem potřebujete smlouvu o zpracování osobních údajů, nebo podmínky, které ji obsahují.

U AI si ověřte hlavně tyto body:

• Typ přístupu. Osobní účet v chatu a firemní přístup přes API mají často jiné podmínky. U komerčních API poskytovatelé data k tréninku modelů nepoužívají. U spotřebitelských verzí si podmínky čtěte zvlášť. Rozdílem mezi samoobslužným chatem a řízeným procesem se zabývá článek ChatGPT nebo Claude pro firmu, nebo řízený AI proces.
• Kde se data ukládají a kde se zpracovávají. To jsou dvě různé otázky. Úložiště může být v EU a model přesto může běžet u poskytovatele mimo ni. Pak řešíte předání do třetí země a jeho zajištění.
• Další zpracovatelé. Kdo všechno se k datům dostane a jak se o změnách dozvíte.
• Ukončení. Jak dostanete data zpět a kdy budou smazána.

Každého zpracovatele si zapište do záznamů o činnostech zpracování, pokud je vedete, nebo alespoň do interního přehledu nástrojů.

Minimalizace: co do AI posílat a co ne

Minimalizace je v praxi nejúčinnější ochrana. Model potřebuje k přípravě odpovědi obsah poptávky, ne celý e-mailový řetězec se všemi podpisy.

Pomáhá, když proces nestojí na tom, že si každý obchodník kopíruje texty po svém. Pokud máte poptávky v jedné evidenci a jasný tok (viz postup, jak zpracovat poptávky rychle a nic neztratit), dá se určit, které pole se do modelu posílá a které ne.

Checklist: GDPR a AI v obchodní komunikaci krok za krokem

1. Sepište data. Jaké osobní údaje jsou v poptávkách, e-mailech a nabídkách, včetně nečekaných.
2. Určete účel a právní základ pro odpověď na poptávku, follow-up a evidenci. Oprávněný zájem krátce zdůvodněte písemně.
3. Vyberte typ přístupu k AI. Firemní přístup nebo API s jasnými podmínkami, ne soukromé účty zaměstnanců.
4. Uzavřete smlouvy se zpracovateli a ověřte místo uložení, zpracování a předání mimo EU.
5. Nastavte minimalizaci. Určete, co se do modelu posílá a co se vynechává.
6. Zaveďte schválení člověkem. Žádný e-mail ani nabídka neodchází bez kontroly odpovědné osoby.
7. Aktualizujte informace o zpracování na webu a v zásadách ochrany osobních údajů.
8. Napište interní pravidlo na jednu stranu: které nástroje smí kdo používat a co do nich nepatří.
9. Myslete na práva lidí. Kde data najdete, když někdo požádá o přístup nebo výmaz, včetně výstupů AI.
10. Jednou za čas proces zkontrolujte. Nástroje a jejich podmínky se mění.

Šablona: doplněk informací o zpracování

Text upravte podle skutečnosti a nechte ho zkontrolovat:

Při odpovídání na poptávky a přípravě nabídek využíváme nástroje umělé inteligence, které nám pomáhají připravit návrh odpovědi. Zpracováváme jen údaje nutné k vyřízení vaší poptávky. Každý návrh před odesláním kontroluje a schvaluje náš pracovník. Poskytovatelé těchto nástrojů vystupují jako naši zpracovatelé a data nepoužívají k trénování svých modelů. Podrobnosti o předání údajů, době uložení a vašich právech najdete níže, případně nám napište.

Pokud AI komunikuje se zákazníkem přímo, bez kontroly člověkem, zvažte také transparentnost podle pravidel pro AI. V režimu, kdy návrh schvaluje a odesílá člověk, je situace jednodušší, ale i tak je dobré o použití AI informovat.

Jak to řeší BOTrento

BOTrento Chief of Staff je řízený proces pro poptávky, nabídky a další obchodní kroky. Několik bodů z checklistu má zabudovaných přímo v procesu:

• Schválení člověkem. Nic se neodešle bez schválení. Návrhy e-mailů a nabídek kontroluje a odesílá váš pracovník.
• Vlastní API klíče. Poskytovatele modelu si volíte sami vlastním klíčem (Anthropic Claude, OpenAI, Google Gemini a další) a AI platíte přímo u něj. Klíče jsou šifrované, vidět jsou jen poslední čtyři znaky a můžete je kdykoli odebrat. Postup popisuje nápověda k vlastním API klíčům.
• Kde jsou data. Data ukládáme na serverech v Německu (EU). Jazykový model zpracovává jen texty nutné pro úkol, a to přes API poskytovatele, kterého si zvolíte. Komerční API poskytovatelé data nepoužívají k tréninku. Upřímně: vlastní server v EU s voláním externího AI API není uzavřený výpočet, proto patří poskytovatel modelu do vašeho přehledu zpracovatelů.
• Jedna evidence. Proces pracuje nad vaším CRM nebo tabulkou, nevzniká další paralelní databáze. Jak rozdělit role mezi CRM a AI, popisuje článek o Raynetu a přípravě odpovědí se schválením člověkem.
• Ukončení. Dostanete export dat a výstupů a popis procesů. Termín odstranění přístupů a kopií se dohodne předem.

Zavádí se přes zkušební dobu 14 dní zdarma, která začíná prvním úspěšným nahráním dat zákazníka; na přípravu je 7 dní. Díky tomu se minimalizace i schvalování dají nastavit a ověřit na malém, přehledném rozsahu. Jak vypadá průchod poptávky procesem, ukazuje ukázka procesu, podmínky zkušební doby a tarifů jsou v ceníku.