Ochrana dat: co nabízejí komerční poskytovatelé?

U modelů, které běží na air-gapped hardware v trezoru přímo ve vaší budově, máte jistotu, že vaše data zůstávají soukromá.¹ Tedy dokud vás nehackne nějaký agent – ať už AI agent nebo James Bond – nebo váš zhrzený zaměstnanec nevynese data na flashce. Ale je to vždy nutné? Nejsou záruky ochrany dat, které nabízejí komerční poskytovatelé, v některých případech dostatečně dobré?

Odpovědí se zdá být slavné “to záleží”. Pokud využíváte AI model přes komerční API, neznamená to automaticky, že se nad vašimi prompty budou pousmívat lidští anotátoři, vaše osobní údaje budou prodávat za velké peníze na darknetu a nakonec si pro vás přijde americká FBI. Na druhou stranu… všechno tohle se s cloudovými poskytovateli stát může.

Je ale dobré si zachovat chladnou hlavu a zvážit rizika. Ta záleží na tom:

• jaký produkt / tarif používáte – tedy kolik si za to můžete zaplatit, případně co si zvládnete vyjednat,
• jaká data do modelu posíláte – tedy jaká pravidla se na ně vztahují a co si s nimi můžete legálně dovolit,
• před čím se chcete chránit – tedy jak velká je vaše tolerance rizik a jaký nejhorší scénář je pro vás přijatelný.

Před čím se vlastně chráníme?

V životě každého člověka přijde jednou ten propastný pocit, když si uvědomí, že všechna jeho vyhledávání na Googlu leží v nějaké databázi jako prostý text.

U konverzací s AI asistenty jsou tyto problémy obdobné, ale zatím je ještě většina lidí neřeší. Přitom tyto konverzace jsou často mnohem důvěrnější a víc vypovídající než klíčová slova ve vyhledávači.

Navíc i za krátkou dobu existence AI asistentů už máme řadu problematických příkladů toho, co se s vašimi daty může stát.

Data vidí model, někdy i interní anotátoři

Nejdřív ten očividnější scénář: na vašich datech se budou trénovat další generace modelů. Poskytovatelé to většinou nazývají eufemismem typu “pomáháte nám vylepšovat naše modely”. To není úplně od věci: konverzace od uživatelů jsou v tomhle ohledu opravdu cenným zdrojem informací.

Jsou ale data, která komerčním modelům do trénovacích dat přidat nechcete – buď všechna, a nebo minimálně ta citlivá. Svěřit citlivou informaci jazykovému modelu je totiž dost podobné, jako když ji svěříte člověku: většinu času se může chovat, jako že o informaci neví, občas se ale může “nevědomky podřeknout” a pravděpodobně ji z něj dostanete násilím.

V počátcích AI asistentů, kdy záruky soukromí dat v podstatě neexistovaly, musely například firmy řešit, že jejich zaměstnanci kopírují interní kódy do modelů. Bylo totiž reálné riziko, že modely kód zreprodukují jinde.

Kód je ale většinou příliš obsáhlý na to, aby ho modely zreprodukovaly přesně.² Firmy už dnes často mají tarify, které zajišťují, že se modely na jejich datech netrénují, viz další sekce. Větší riziko dnes přichází ve formě úniku osobních údajů. Anonymizace trénovacích dat pro jazykové modely rozhodně není vyřešená úloha, spíš otevřené výzkumné téma.

Navíc existují postupy, jak extrahovat (před)trénovací data z jazykových modelů, a to i z těch komerčních schovaných za API. Díky podobným metodám bylo například dokázáno, že některé modely byly natrénované na knihách pod copyrightem.

Hraje tu roli i faktor, že data k trénování musí také někdo profiltrovat a předzpracovat. Dá se očekávat, že kvůli škálovatelnosti se to děje do velké míry automaticky. Ale například Google u Gemini otevřeně přiznává, že některé z konverzací mohou číst lidští recenzenti:

Toto se týká i Microsoft Copilota nebo xAI Groka.

Jiným typem problému je pak kontaminace trénovacích dat – tedy fakt, že je model trénovaný i na testovacích datech benchmarků včetně správných odpovědí. Model díky tomu možná nevyhraje benchmark na 100 %, ale bude v něm mít nenápadně o něco lepší skóre.

Tato praxe je šedá zóna, pokud jde o PR modelů a jejich proklamované schopnosti, ale velmi problematická z pohledu vědy. Přitom se ukazuje, že tomu přispívají i sami výzkumníci, kteří benchmarky do modelů posílají bez záruk na netrénování.

K datům mohou získat přístup i další aktéři

Dalším problémem je to, že žádná data, která někde leží,³ Nebo běží, třeba po síti. nejsou v bezpečí – a to ani ve chvíli, kdy nejsou oficiálně součástí žádného trénovacího procesu.

V principu se dá k dokonalému zabezpečení dostat velmi blízko, v praxi je ale tato možnost dostupná jen velmi omezeně. Jsou k tomu totiž potřeba dvě “speciální ingredience”: end-to-end (E2E) šifrování dat a Trusted Execution Environments (TEEs). E2E šifrování zaručí, že data proudí od vašeho zařízení až k jazykovému modelu a zpět zašifrovaná. Nikdo je proto nemůže číst ani v případě, že má přístup k hardware, na kterém jsou data uložená. Jazykové modely ale šifrovaná data zpracovat neumí – před samotným zpracováním je tedy potřeba data dešifrovat. TEE proto slouží k tomu, že ověřitelně zaručuje, že model běží na hardware, ke kterému samotný provozovatel nemá přístup.

Takovou míru zabezpečení nabízí jen hrstka poskytovatelů, a to navíc jen v několika specifických případech. Nabízí ho Meta na WhatsAppu v rámci Incognito Chat with Meta AI, Google v rámci Google Cloud Confidential Computing, a několik dalších specializovaných poskytovatelů jako je Confer nebo Privatemode.ai. V ostatních případech musíme počítat s tím, že k našim datům mají provozovatelé modelů přístup.

Co se s našimi daty může stát? Data běžně unikají, nejen kvůli chybám uživatelů, ale i kvůli chybám samotných poskytovatelů. Například v případě ChatGPT od OpenAI, kde kvůli softwarovému bugu mohli v jednu chvíli uživatelé vidět názvy konverzací ostatních uživatelů, nebo v případě DeepSeeku, kterému dokonce unikla celá databáze s konverzacemi uživatelů, protože ji měli vystavenou veřejně.

Tyto problémy se objevují znovu a znovu, a i když je poskytovatelé někdy opraví včas, s přibývajícím časem se pravděpodobnost úniku dat od libovolného poskytovatele blíží jedné.

V neposlední řadě pak data často procházejí přes řadu dalších nástrojů, například agregátory jako OpenRouter, různé analytické nástroje nebo další wrappery. To jsou další slabá místa, která přidávají díry do již tak nepříliš silně zabezpečeného systému. I úniky skrz podobný middleware už jsou zdokumentované.

A pak tu máme vlády, soudy a soudní příkazy. Ani AI korporáty před nimi nejsou v bezpečí,⁴ Což je v principu dobře. a tak může občas nastat situace, kdy si mohou data soudy pravomocně vyžádat. Došlo k tomu například v případě OpenAI, kteří kvůli sporu s New York Times budou možná muset vydat více než 20 milionů logů uživatelských konverzací mezi dubnem a zářím 2025.⁵ Cílem požadavku na data je potvrdit/vyloučit, zda model reprodukoval novinové články pod copyrightem, soudní proces stále probíhá.

Jsme na tom v EU lépe? O moc ne. V rámci EU-US Data Privacy Framework musejí americké firmy evropským občanům poskytovat “odpovídající” ochranu osobních údajů. Tato dohoda ale platí pouze pro firmy, které se k ní připojily. Navíc je průběžně napadána skrz soudy a v současné době jsou orgány zodpovědné za dodržování dohody oslabované americkou vládou.

Tato dohoda navíc nijak nechrání uživatelská data před příkazy amerických soudů, protože velcí komerční AI poskytovatelé stále spadají do americké jurisdikce. Možná vás to překvapí, ale kvůli tzv. CLOUD Actu / FISA 702 se takto americké vládní agentury mohou dostat i k datům ležícím na evropských serverech.

Ochrana dat u proprietárních modelů

Pojďme si tedy systematicky probrat úrovně ochrany, které můžete dostat skrz komerční poskytovatele – nejprve u těch proprietárních modelů. Rozdělíme si to podle typu přístupu, protože ten do značné míry určuje vaše možnosti.

Spotřebitelské tarify

Se spotřebitelským tarifem “pro jednotlivce” většinou platí opt-out: tedy na vašich konverzacích se trénuje, pokud to nevypnete. Zároveň jsou všechna vaše data, včetně smazaných konverzací, uschována většinou minimálně 30 dnů kvůli abuse monitoringu.

Obě tato tvrzení platí pro všechny tiery předplatných včetně těch nejvyšších (OpenAI Pro, Claude Max, …):

Anthropic například dříve na datech netrénoval, ale od října 2025 začal (v režimu opt-out). Pokud tímto způsobem s trénováním nevyjádříte explicitně nesouhlas, vaše data budou navíc uschována celých 5 let.

Poskytovatelé většinou nabízejí tzv. temporary chats (viz např. OpenAI, Anthropic), které se k trénování explicitně nevyužívají. I tyto konverzace jsou ale uschovávány alespoň po dobu 30 dní.

Pokud tedy nemáte zásadní důvod pomáhat komerčním poskytovatelům vylepšovat jejich modely z vašich osobních konverzací, to nejjednodušší, co můžete v tomto směru udělat, je jít do nastavení a trénování vypnout:

S retencí konverzací po 30 dní se ale u spotřebitelských tarifů často nezbývá než smířit.

Firemní tarify

Situace je o něco lepší u firemních tarifů, kde v základu data pro trénování modelů využívána nejsou. Retenci dat pak určuje administrátor aplikace, i když i zde často platí určité minimální hranice:

I přes silnější záruky je potřeba mít na paměti, že data stále leží u poskytovatele nezašifrovaná.⁶ Nebo v lepším případě zašifrovaná, ale stále se šifrovacím klíčem dostupným u poskytovatele. Kromě toho, že mohou být tedy například na základě CLOUD Actu poskytnuta americké vládě, firmy samotné si navíc vyhrazují možnost přístupu k vašim datům v případě nahlášených incidentů nebo podezření na zneužití.

API

Obě předchozí sekce mířily na tarify s předplatným, tedy zaměřené na webové aplikace, případně kódovací asistenty. Zvlášť v tomto ohledu stojí využití modelů skrz API, kde platba probíhá za tokeny.⁷ I tímto způsobem jde případně využívat kódovací asistenty, i když to v dnešní době díky dotovaným předplatným není příliš oblíbený způsob.

Podmínky jsou tu podobné jako u firemních tarifů: placené API se k trénování v základu nevyužívá. Data se navíc drží občas kratší dobu než u předplatných. U některých poskytovatelů je to tedy zajímavá možnost, jak se k lepším podmínkám můžete dostat i jako jednotlivec. Pozor pouze na bezplatné tarify, kde se data mohou využít k trénování:

Specifickou kategorií v případě využití modelů přes API jsou tzv. Zero Data Retention (ZDR) smlouvy. Jde o speciální typ smlouvy, který některé firmy (např. OpenAI, Anthropic) nabízejí vybraným zákazníkům. Pokud se k takovéto smlouvě dostanete, získáte od poskytovatele podstatně vyšší záruky na soukromí dat než s běžnými firemními tarify. Konkrétně máte záruku, že poskytovatel neukládá žádné vstupy nebo výstupy, které skrz jeho API posíláte.

Tyto smlouvy ale začínají mít postupně také “díry”. S nástupem nejnovějších tzv. “Mythos-class” modelů (tedy Mythos 5+ a Fable 5+) Anthropic znemožňuje využít ZDR – pro tyto modely se konverzace i v ZDR režimech drží po 30 dní. OpenAI zatím pro frontier modely ZDR nabízí.

Velcí cloudoví poskytovatelé

Poslední mainstreamovou možností využívanou pro přístup k proprietárním modelům jsou velcí cloudoví poskytovatelé jako Azure Foundry nebo AWS Bedrock. Ti nabízejí zatím nejsilnější záruky: data se k trénování nepoužívají, zpracovávají se ve zvoleném regionu (včetně EU) a poskytovatel modelu k nim většinou nemá přístup. I tady ale platí výjimky pro abuse monitoring a nejnovější modely:

Regionální zpracování v EU ale opět neznamená ochranu před CLOUD Actem – všichni tři zmínění poskytovatelé jsou americké firmy.

Ochrana dat u otevřených modelů

I otevřené modely mohou být provozované komerčními poskytovateli v cloudu. Oproti proprietárním modelům je zde škála možných záruk (nebo jejich nedostatku) mnohem širší – a to oběma směry.

Čína a ochrana dat? Dovolte, abych se zasmál…

Na špatném konci spektra leží modely provozované čínskými poskytovateli. Spolupráce se státním aparátem je tu v zásadě neodmyslitelná a probíhá na mnohem větší škále než u amerických poskytovatelů. Čínské zákony platné od srpna 2023 vyžadují, aby AI služby dodržovaly “základní socialistické hodnoty” a negenerovaly obsah podněcující k rozvracení státní moci nebo svržení socialistického systému, ohrožující národní bezpečnost či poškozující obraz státu. To se pojít s mnohem detailnější průběžnou kontrolou, včetně povinnosti podporovat státní zpravodajskou práci a spolupracovat s ní.

Před využitím služeb od DeepSeeku varoval i český Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), na základě čehož naše vláda zakázala produkty od DeepSeek ve státní správě. Tím se připojila k celé řadě dalších zemí, včetně Itálie, USA, Jižní Koreje nebo Austrálie. Pozornost na DeepSeek byla upřená především díky načasování, podobně na tom ale pravděpodobně jsou i další čínští poskytovatelé jako Xiaomi (modely MiMo), Moonshot.ai (modely Kimi), Alibaba (modely Qwen) atd.

Je potřeba zdůraznit, že je potřeba rozlišovat mezi čínským modelem a čínským provozovatelem. Ačkoliv otevřené modely často pocházejí z čínských labů, modely si může stáhnout a provozovat kdokoliv. Rizika v tomto případě stále existují (např. skrz model data poisoning nebo biasy v modelech), už se ale netýkají zpracování dat.

Místní poskytovatelé? Záleží odkud

Otevřené modely (včetně čínských modelů) provozuje i celá řada poskytovatelů z USA, Evropy a dalších zemí. U nich už jsou podmínky mnohem lepší.

Americké inferenční firmy, např. Fireworks, DeepInfra nebo Together AI, v základu nabízejí nebo přímo zapínají ZDR. Akorát protože tyto firmy nedosahují velikosti AI korporátů, často mají méně prostředků na certifikace a audity, které by prokázaly, že skutečně jednají podle standardů. Navíc pořád podléhají americké jurisdikci, takže se na ně vztahuje CLOUD Act a obecně příkazy amerických soudů.

Evropské inferenční firmy, např. Scaleway, OVHcloud nebo Nebius, mohou navíc na rozdíl od svých amerických protějšků nabídnout mnohem větší záruky, protože podléhají evropské jurisdikci a využívají evropská datacentra. Ale pozor: samotný evropský původ ještě neznamená automatickou záruku na vše. Je potřeba ověřit u konkrétního poskytovatele, jestli data opravdu skladuje v Evropě, případně jestli není svázaný CLOUD Actem kvůli vlastnické struktuře nebo subdodavatelům.

Dobré podmínky (a dobrý “track record”) mají pak poskytovatelé akademické infrastruktury jako IT4Innovations nebo finský cluster LUMI AI Factory. Přístup k této infrastruktuře ale podléhá schválení skrz konkrétní projekty.

U agregátorů jako OpenRouter nebo Hugging Face Inference Providers většinou platí podmínky koncového poskytovatele. OpenRouter má ZDR filtr a zákaz poskytovatelů, kteří trénují, ale je potřeba ho zapnout. (OpenRouter zároveň nabízí 1% slevu v případě, že povolíte logování konverzací – zde už je to tedy na vašem zvážení.)

Vlastní model v pronajatém cloudu: nejbezpečnější řešení

Nejvyšší záruky soukromí dat v cloudu pochopitelně získáte ve chvíli, kdy si AI infrastrukturu zprovozníte sami. U poskytovatelů výpočetní kapacity v EU jako Hetzner nebo netcup získáte tyto záruky na ochranu dat poměrně silné. Pronájem samostatné GPU většinou vyjde řádově dráž než využívání nasazeného modelu přes API, ale pro batchové úlohy to může dávat smysl.⁸ V tomto případě se může hodit open-source balíček anex (na doporučení mých známých z Anex.sh). Zlatým grálem je pak pochopitelně váš domácí cloud.

Ani u čistě lokálního provozu to není zcela bez nebezpečí, pokud nedovedete proces správně zabezpečit. Je například dobré, aby inferenční server nevystavoval API na veřejném internetu, jako tomu bylo v případě 175 000 instancí Ollamy. Velké úniky mohou způsobit špatně nastavení osobní AI agenti typu OpenClaw, obzvlášť pokud si nedáte pozor na tzv. “lethal trifecta” / “Rule of Two”. Pozor i na to, že harness může posílat data jinam, i když model běží lokálně – například Codex s otevřenými modely stále posílá data do OpenAI.

Kdy tedy stačí komerční poskytovatel?

Pro většinu scénářů nabízejí komerční poskytovatelé rozumné záruky ochrany dat. Následující rozhodovací strom zjednodušeně shrnuje, jak byste měli uvažovat na základě vašich nároků:

Je ale dobré mít na paměti, že provoz modelů v cloudu s sebou nese řadu háčků a skrytých ustanovení, které mohou časem způsobit problémy. Oblast je navíc velmi proměnlivá a je potřeba ji aktivně sledovat – viz např. nově vznikající podmínky pro Mythos-class modely.

Pro lokální provoz modelů tedy není potřeba, aby vaše data byla klasifikovaná jako přísně tajná. Validní argument může být i “smlouva vs. fyzika”. V případě lokálního provozu jednoduše nemusíte mít důvěru ve sliby komerčních poskytovatelů, v právní systém, ve kterém tyto firmy fungují, ani nemusíte sledovat měnící se podmínky poskytování služeb. Pokud si systém správně zabezpečíte, víte jistě, že elektrony nesoucí vaše data nikdy neopustí váš hardware.