Otkako je ChatGPT lansiran, europska tijela za zaštitu podataka pokretala su istrage, izricala zabrane i najavljivala kazne AI tvrtkama. Ipak, u listopadu 2026. jedina velika GDPR kazna izrečena tvorcu generativnog AI modela, 15 milijuna eura za OpenAI, više ne postoji: Sud u Rimu poništio ju je u ožujku. Za tvrtke to ne znači da GDPR prestaje kod umjetne inteligencije. Znači da su obveze na vama, voditelju obrade koji podatke kupaca i zaposlenika unosi u Claude, ChatGPT, Mistral ili Manus. Ovaj vodič pokazuje što su regulatori stvarno napravili, koliko dugo četiri pružatelja čuvaju vaše podatke i što provjeriti prije uvođenja.
Što su regulatori stvarno napravili
GDPR se na AI primjenjuje jednako kao na svaku drugu obradu osobnih podataka: kad se model trenira na osobnim podacima, kad zaposlenici lijepe podatke kupaca u chatbot i kad chatbot odgovara na pitanja o stvarnim osobama. Dosadašnji nadzor dijeli se u tri skupine.
- Prepoznavanje lica. Clearview AI, koji je s weba prikupio milijarde fotografija, dobio je najveće GDPR kazne povezane s AI-jem: po 20 milijuna eura u Italiji, Grčkoj i Francuskoj 2022. te 30,5 milijuna eura u Nizozemskoj 2024.
- Chatbotovi generativne AI. Talijanski Garante privremeno je blokirao ChatGPT 2023. i u studenom 2024. kaznio OpenAI s 15 milijuna eura zbog pravne osnove za treniranje, transparentnosti, kasno prijavljene povrede podataka i nedostatka provjere dobi. Tvrtku Luka Inc., tvorca chatbota Replika, kaznio je s 5 milijuna eura 2025., a Character.AI sa 158.000 eura u srpnju 2026. zbog provjere dobi i zaštite maloljetnika.
- Zabrane i nalozi bez kazne. Garante je u siječnju 2025. naložio blokadu DeepSeeka u Italiji. U lipnju 2025. berlinska povjerenica za zaštitu podataka prijavila je aplikaciju DeepSeek Appleu i Googleu kao nezakonit sadržaj jer se podaci korisnika prenose u Kinu bez odgovarajućih zaštitnih mjera.
Izvori: odluke nizozemskog, talijanskog, grčkog i francuskog tijela o Clearview AI; odluke Garantea o OpenAI-ju (br. 755 od 2. studenog 2024.), Luka Inc. (2025.) i Character Technologies (srpanj 2026., prema izvještajima); presuda Suda u Rimu R.G. 4785/2025 od 18. ožujka 2026. Zabrane bez kazne (DeepSeek) nisu prikazane.
Zašto je pala kazna za OpenAI: mehanizam jedinstvenog nadzora
Sud u Rimu nije odlučio je li OpenAI prekršio GDPR. Odlučio je tko o tome smije suditi. Prema mehanizmu „one-stop-shop”, tvrtku s glavnim poslovnim nastanom u EU nadzire tijelo te države. OpenAI je otvorio irsku poslovnu jedinicu u veljači 2024., prije odluke Garantea, pa je sud zaključio da je vodeće tijelo postala irska Data Protection Commission, a da Garante nije bio nadležan. Ključna pitanja (smije li se model trenirati na prikupljenim osobnim podacima na temelju legitimnog interesa, kako ispraviti netočnu tvrdnju o osobi) ostaju otvorena i sada su u Dublinu.
Anthropic, OpenAI i Microsoft među AI pružateljima su s poslovnim nastanom u Irskoj; Mistral nadzire francuski CNIL. Za tvrtke u EU to ima praktičnu posljedicu: europske odluke o tome kako su trenirani vodeći modeli bit će spore, ali nacionalna tijela ostaju potpuno nadležna za vašu upotrebu tih alata, jer ste vi voditelj obrade podataka koje unose vaši zaposlenici.
Izvor: DLA Piper GDPR Fines and Data Breach Survey, siječanj 2026. (podaci do 10. siječnja 2026.). Ukupno oko 7,1 mlrd. €; Irska 4,04 mlrd., Francuska 1,1 mlrd., Luksemburg 746,56 mil. €. „Sve ostale zemlje” je ostatak ukupnog iznosa.
Koliko dugo Claude, ChatGPT, Mistral i Manus čuvaju vaše podatke?
Rok čuvanja prvo je pitanje koje postavlja službenik za zaštitu podataka. Vlastita dokumentacija pružatelja u listopadu 2026. daje ove odgovore:
- Anthropic. Ulazi i izlazi API-ja brišu se iz sustava u roku od 30 dana. Zero data retention (ZDR) dostupan je odobrenim API korisnicima, ali ne pokriva funkcije koje čuvaju stanje, poput Batch API-ja, Files API-ja i izvršavanja koda. Sadržaj koji označe sigurnosni sustavi može se čuvati do 2 godine, a klasifikacijske ocjene do 7 godina. U Claudeu za potrošače razgovori se koriste za treniranje samo ako korisnik uključi tu postavku; tada mogu ostati u procesu treniranja do 5 godina.
- OpenAI. Zapisi nadzora zlouporabe API-ja čuvaju se do 30 dana. ZDR i prilagođeni nadzor zlouporabe zahtijevaju odobrenje OpenAI-ja. Podaci iz API-ja i poslovnih paketa (ChatGPT Business, Enterprise, Edu) prema zadanim se postavkama ne koriste za treniranje; potrošački ChatGPT se koristi, osim ako korisnik ne isključi „Improve the model for everyone”.
- Mistral. Ulazi i izlazi API-ja čuvaju se 30 dana radi nadzora zlouporabe, a za API je dostupan ZDR. Podaci iz paketa Team, Enterprise i API-ja prema zadanim se postavkama ne koriste za treniranje; besplatni Vibe (prije Le Chat) koristi razgovore, osim ako se korisnik ne isključi. Mistral je francuska tvrtka s hostingom u EU.
- Manus. Centar za pomoć navodi da Manus koristi agregirane ili deidentificirane podatke za poboljšanje usluga i da se korisnici mogu isključiti u postavkama. Objavljeni rok čuvanja razgovora nismo pronašli, pa ga zatražite u ugovoru o obradi podataka.
Izvori: Anthropic privacy centar (članci o čuvanju podataka za poslovne korisnike i potrošače) i API dokumentacija o čuvanju podataka; OpenAI API dokumentacija „Your data”; Mistral API uvjeti. Najdulja razdoblja koja navode pružatelji, listopad 2026. Aranžmani bez pohrane (0 dana za podržane API funkcije) nisu prikazani. Zakonske obveze čuvanja mogu produljiti svako razdoblje.
Koji paketi treniraju na vašim podacima
Najvažnija crta u svakoj AI politici je ona između potrošačkih i poslovnih proizvoda. Sva tri velika laboratorija obećavaju da prema zadanim postavkama ne treniraju na podacima iz poslovnih paketa i API-ja. Na potrošačkim računima zadano je treniranje kod OpenAI-ja i Mistrala, a izričit izbor kod Anthropica. Zaposlenici koji za posao koriste privatne račune, klasični scenarij shadow AI, tako šalju podatke tvrtke u procese treniranja.
Izvori: pravila privatnosti i centri za pomoć Anthropica, OpenAI-ja, Mistrala i Manusa, listopad 2026. „Vaš izbor”: Anthropic traži od potrošača da uključe ili isključe treniranje. Manus dokumentira upotrebu deidentificiranih podataka s mogućnošću isključenja, ali ne razlikuje pakete. Postavke se mijenjaju; prije potpisivanja provjerite aktualne uvjete.
GDPR popis koraka za upotrebu generativne AI
| Korak | Što napraviti | Zašto je važno |
|---|---|---|
| Samo poslovni paket | Zabranite potrošačke račune za posao; kupite Team, Enterprise ili API pristup | Bez treniranja prema zadanim postavkama, administratorske kontrole, ugovor o obradi |
| Ugovor o obradi podataka | Potpišite DPA pružatelja; provjerite podizvršitelje i standardne ugovorne klauzule | Čl. 28. i prijenosi u SAD prema poglavlju V. |
| Pravna osnova i evidencija | Dokumentirajte svrhu i pravnu osnovu za svaki slučaj upotrebe u evidenciji obrade | Čl. 6. i 30.; prvo što revizor traži |
| DPIA | Provedite procjenu učinka za HR, podatke kupaca u velikom opsegu ili osjetljive podatke | Čl. 35.; obvezna za vjerojatno visokorizičnu obradu |
| Rok čuvanja | Postavite rok čuvanja razgovora u administraciji; za osjetljiva API opterećenja zatražite ZDR | Ograničenje pohrane, čl. 5. st. 1. t. (e) |
| Smanjenje količine podataka | Gdje možete, uklonite ili pseudonimizirajte osobne podatke prije upita | Čl. 5. st. 1. t. (c); manje podataka, manji rizik |
| Transparentnost | Obavijestite kupce i zaposlenike kad AI obrađuje njihove podatke ili razgovara s njima | Čl. 13. – 14. GDPR-a i čl. 50. AI Acta |
| Automatizirane odluke | Zadržite čovjeka u procesu za odluke s pravnim ili sličnim učincima | Čl. 22.; vrijedi i za AI probir kandidata |
GDPR i AI Act: dva zakona, jedan projekt
EU AI Act ne zamjenjuje GDPR; dodaje pravila za proizvode. Obveze transparentnosti iz članka 50. (obavijest da osoba razgovara s chatbotom, označavanje sintetičkog sadržaja) preklapaju se s obvezama informiranja iz GDPR-a, a visokorizični sustav prema AI Actu gotovo će uvijek trebati i DPIA. Provođenje obje procjene u jednom projektu štedi vrijeme. Naš vodič za usklađenost s AI Actom pokriva rokove nakon Digital Omnibusa, a besplatni skener web-stranica za članak 50. provjerava navodi li vaš chatbot da je AI.
Što to znači za tvrtke u Hrvatskoj i regiji DACH
Hrvatske tvrtke nadzire AZOP, njemačke tijelo njihove savezne zemlje (a savezna tijela BfDI), austrijske DSB. Nijednom od njih ne treba slučaj velike tehnološke tvrtke da bi postupilo zbog povrede u lokalnoj tvrtki. U praksi tri odluke pokrivaju većinu rizika: dajte zaposlenicima alat u poslovnom paketu da prestanu koristiti privatne račune, upite s osobnim podacima šaljite samo pružateljima koji nude DPA, kratko čuvanje te EU ili ZDR opcije, i napišite DPIA od jedne stranice za svaki slučaj upotrebe. Ako podaci uopće ne smiju napustiti EU, razmotrite opcije s hostingom u EU i modele otvorenih težina, koje uspoređujemo u vodiču o suverenoj AI i rezidentnosti podataka.
Često postavljana pitanja
Jesu li ChatGPT i Claude usklađeni s GDPR-om za poslovnu upotrebu?
Alat sam po sebi nije ni usklađen ni neusklađen; usklađena mora biti vaša upotreba. Poslovni paketi i API-ji Anthropica, OpenAI-ja i Mistrala prema zadanim postavkama ne treniraju na vašim podacima i dolaze s ugovorom o obradi podataka. I dalje vam trebaju pravna osnova, evidencija obrade, transparentnost prema ispitanicima i, za rizičnije primjene, procjena učinka (DPIA).
Koliko dugo AI pružatelji čuvaju upite poslane preko API-ja?
Anthropic, OpenAI i Mistral prema zadanim postavkama čuvaju ulaze i izlaze API-ja do 30 dana, uglavnom radi nadzora zlouporabe. Zero data retention (bez pohrane) dostupan je uz odobrenje. Sadržaj označen zbog kršenja pravila može se čuvati dulje: Anthropic navodi do 2 godine.
Što se dogodilo s kaznom od 15 milijuna eura za OpenAI?
Talijanski Garante kaznio je OpenAI s 15 milijuna eura u studenom 2024. Sud u Rimu poništio je odluku 18. ožujka 2026. zbog nadležnosti: nakon što je OpenAI otvorio poslovnu jedinicu u Irskoj, vodeće tijelo postala je irska Data Protection Commission. Sud nije odlučivao o samim povredama.
Treba li nam DPIA prije uvođenja AI asistenta?
Često da. Procjena učinka obvezna je kad obrada vjerojatno nosi visok rizik, što nadzorna tijela pretpostavljaju za novu tehnologiju u kombinaciji s praćenjem zaposlenika, osjetljivim podacima, obradom velikog opsega ili automatiziranim odlukama. I kad nije obvezna, kratka DPIA najjeftiniji je način da dokumentirate svoje odluke.
Uvodite AI bez GDPR glavobolje?
Pomažemo tvrtkama u Hrvatskoj i regiji DACH odabrati pravi AI paket, postaviti rokove čuvanja i kontrole pristupa te napisati DPIA i AI politiku prije nego što zaposlenici počnu lijepiti podatke. Kao Claude Certified Architect iz Zagreba spajamo tehničko postavljanje s dokumentacijom koja treba vašem službeniku za zaštitu podataka.
Razgovarajte s AI konzultantom