AI, data žáků a GDPR: co smí učitel vložit do chatbota

Je neděle večer, do konce čtvrtletí zbývají tři dny a před vámi leží 26 slovních hodnocení. Zkopírujete si poznámky o dětech do ChatGPT na svém soukromém účtu a za hodinu máte hotovo. Porušili jste tím GDPR? A kdo za to odpovídá?

Odpověď zní: velmi pravděpodobně ano, a odpovídá za to škola. AI při hodnocení používat můžete, zákon to nezakazuje a Národní pedagogický institut (NPI) to dokonce doporučuje. Rozhoduje ale kam data posíláte a jaká data to jsou.

Ve zkratce:

• Soukromý účet v AI nástroji není školní prostředí. Škola s poskytovatelem nemá zpracovatelskou smlouvu, takže vkládání osobních údajů žáků do něj nemá opodstatnění.
• Bezplatné a osobní tarify mohou na vašich konverzacích trénovat. U ChatGPT je to výchozí nastavení, u Claude a osobního Gemini záleží na volbě uživatele.
• Školy, které používají Google Workspace for Education, mají Gemini s ochranou dat bez příplatku. Na školním účtu Google konverzace nepoužívá k tréninku a vztahuje se na ně smlouva školy s Googlem, a to i v bezplatné edici Fundamentals. Neznamená to ale automaticky, že data zůstávají v EU: volbu ukládání dat v EU mají jen placené edice a ani ty nezaručují, že se data v EU také zpracovávají.
• Přepsání jména na „žák A“ není anonymizace. Ve třídě o 25 dětech poznáte dítě podle diagnózy, podpůrného opatření nebo rodinné situace.
• Konečné hodnocení musí vždy stanovit učitel. AI smí pomáhat s formulací, ne rozhodovat.

Proč je to problém, i když to myslíte dobře

Osobní údaje žáků nepatří učiteli, ale škole. Pro GDPR je škola správce: rozhoduje, k čemu se údaje používají a komu se smějí předat. Učitel s nimi pracuje jako zaměstnanec na pokyn školy.

Když škola používá externí službu, třeba školní matriku nebo Google Workspace, uzavírá s poskytovatelem zpracovatelskou smlouvu (DPA). V ní je dáno, co poskytovatel s daty smí dělat, jak je chrání a kdy je smaže. Vaše soukromé předplatné ChatGPT, Claude nebo Gemini takovou smlouvu se školou nemá. Je to smlouva mezi vámi a poskytovatelem jako spotřebitelem.

V praxi to znamená: vložením poznámek o pojmenovaném žákovi do soukromého účtu předáváte osobní údaje třetí straně mimo režim, který škola nastavila. Tento výklad je náš, ne rozhodnutí Úřadu pro ochranu osobních údajů (ÚOOÚ). Odpovídá ale základní logice GDPR i doporučení NPI, které uvádíme níže.

Dvě okolnosti riziko ještě zvyšují:

• Jde o děti. GDPR jim přiznává zvláštní ochranu.
• Školní data často obsahují zvláštní kategorie údajů. Diagnóza, doporučení z poradny, podpůrná opatření nebo informace o zdravotním stavu jsou údaje o zdraví. Ty mají v GDPR nejpřísnější režim (čl. 9).

Je potřeba říct i druhou stranu: AI ve škole je legální a žádoucí. NPI ve svém FAQ z listopadu 2025 výslovně píše, že chatbot může učiteli pomoci formulovat slovní hodnocení. Podmínkou je, že konečné hodnocení stanoví učitel a informace o žácích použije anonymizovaně. Problémem tedy není AI, ale nekontrolovaný tok dat.

Soukromý účet vs. školní účet

Rozdíl není v tom, který chatbot používáte, ale pod jakým účtem. Stejný model může běžet ve spotřebitelském režimu, kde se z dat učí, i v organizačním režimu se smlouvou, kde se neučí.

Vypnutí tréninku problém nevyřeší. Vypínač v nastavení jen zabrání tomu, aby se model učil z vašich nových konverzací. Smlouvu mezi školou a poskytovatelem nevytvoří a data zůstávají uložená u poskytovatele. Stejně tak platí, že přihlášení školním e-mailem do osobního tarifu z něj školní prostředí neudělá.

Podmínky poskytovatelů se mění často. Stav v tabulce odpovídá veřejným informacím k říjnu 2026.

Gemini ve škole: co skutečně platí

Pokud vaše škola používá Google Workspace for Education, máte nejspíš k dispozici AI s ochranou dat zdarma. Jen o tom možná nevíte.

Co Google garantuje:

• Aplikace Gemini a NotebookLM jsou od roku 2025 základní službou pro všechny edice, včetně bezplatné Education Fundamentals.
• Od června 2025 jsou dostupné uživatelům všech věkových kategorií, tedy i žákům.
• Na školním účtu Google podle svých FAQ konverzace nepoužívá k tréninku a nečtou je lidští hodnotitelé.
• Gemini se řídí smlouvou školy s Googlem, včetně zpracovatelského dodatku (Cloud Data Processing Addendum).

Co neplatí automaticky:

• „Data jen v EU“. Datové regiony pro aplikaci Gemini Google spustil v červnu 2026. Pro školy jsou jen v placených edicích Education Standard a Plus a zaručují pouze uložení dat v regionu, ne zpracování. Na bezplatné edici Fundamentals škola volbu regionu nemá. I tam je ale přenos dat řešen smlouvou.
• Funguje jen pod školním účtem. Když jste v prohlížeči přihlášeni soukromým Gmailem, platí spotřebitelské podmínky. Ověřte si v rohu obrazovky, pod jakým účtem pracujete.
• Správce ji musí povolit. Pokud Gemini ve školním účtu nevidíte, zeptejte se správce IT.

Smíte do školního Gemini vkládat osobní údaje žáků? Google to nezakazuje, na rozdíl od soukromého účtu na to existuje smluvní rámec. Rozhoduje ale škola jako správce, ne Google. Některé školní systémy jdou přísnější cestou: velšská vzdělávací platforma Hwb ukládá učitelům, aby do Gemini osobní ani citlivé údaje nevkládali, a to i přes školní účet. České NPI doporučuje v promptech vždy používat vymyšlená jména a anonymizované údaje.

Rozumné výchozí pravidlo proto zní: školní Gemini ano, ale i v něm pracujte bez jmen. Údaje o zdraví a podpůrných opatřeních tam nevkládejte, dokud to škola výslovně neposoudí a nepovolí.

Anonymizace není přepsání jména

Osobní údaj není jen jméno. Je to jakákoli informace, podle které lze konkrétního člověka poznat, přímo nebo v kombinaci s dalšími údaji.

Představte si větu: „Žák A ze 4.B, který má od září asistenta pedagoga kvůli ADHD a loňský rok se přestěhoval z Brna.“ Jméno tam není, ale kdokoli ze školy pozná, o koho jde. To je pseudonymizace, ne anonymizace, a pro GDPR jde stále o osobní údaje.

Co dítě prozradí i bez jména:

• diagnóza, podpůrné opatření, asistent pedagoga, IVP
• rodinná situace (rozvod, úmrtí, přestěhování, sociální situace)
• národnost, mateřský jazyk, náboženství
• jedinečné události (úrazy, kázeňské řešení, soutěžní úspěch)
• kombinace třídy, pohlaví a výrazné vlastnosti

Tři pravidla, která vystačí na většinu situací:

1. Odstraňte údaje dřív, než text vložíte. Pokyn „nejdřív to anonymizuj“ znamená, že jste originál už odeslali.
2. Popisujte pozorované chování a pokrok, ne okolnosti. „Samostatně řeší slovní úlohy se dvěma kroky“ AI stačí. Proč dítě dřív nezvládalo, nepotřebuje vědět.
3. Jména doplňte až u sebe. Pracujte se zástupným znakem, třeba [JMÉNO], a skutečné jméno vložte až do hotového textu ve školním systému.

Když si nejste jistí, zda by dítě šlo poznat, zeptejte se: Poznal by někdo z naší školy, o koho jde? Pokud ano, text ještě není anonymní.

Tři typické situace

Slovní hodnocení

Tady AI učitelům ušetří nejvíc času a zároveň nejvíc riskují. Poznámky o dítěti bývají osobní a podrobné.

• Nevkládejte: jméno, třídu, diagnózu, podpůrná opatření, rodinné okolnosti, export ze školní matriky.
• Vkládejte: konkrétní pozorování bez kontextu („zvládá číst s porozuměním text na půl strany“), požadovaný tón, délku a strukturu.
• Lepší postup: nechte AI vytvořit šablony formulací pro typické úrovně pokroku a těm pak děti přiřazujte sami.

NPI k tomu dodává důležitou věc: hodnocení má právní účinky. Podle čl. 22 GDPR proto nesmí být výsledkem výhradně automatizovaného rozhodnutí. Hotový text musíte přečíst, upravit a umět obhájit.

Hromadné operace

Nahrát do chatbota tabulku se jmény a známkami celé třídy a nechat si ji setřídit, spočítat průměry nebo napsat dopisy rodičům je nejrizikovější varianta. Jedním vložením předáte data desítek dětí najednou.

• Průměry a statistiky umí tabulkový editor nebo školní systém bez AI.
• Pokud AI potřebujete, sloupec se jmény nahraďte čísly a přiřazovací klíč nechte u sebe.
• Hromadné dopisy si nechte vygenerovat jako šablonu se zástupnými poli a jména doplňte hromadnou korespondencí ve Wordu nebo Google Dokumentech.

Opravování testů

Fotka nebo sken písemky obvykle nese jméno, třídu a rukopis dítěte. Samotné řešení žáka je navíc jeho osobním údajem, jak v roce 2017 potvrdil Soudní dvůr EU (věc Nowak, C-434/16).

• Jméno před nafocením zakryjte, písemky očíslujte.
• Ideálně nechte AI připravit jen hodnoticí kritéria a vzorová řešení. Samotné opravování dělejte vy, nebo ve školním nástroji se smlouvou.
• Bodové hodnocení navržené AI vždy zkontrolujte. Konečná známka je vaše rozhodnutí.

Semafor pro učitele

Většině situací stačí jednoduché rozdělení do tří barev. Inspirovali jsme se semaforem pro firmy Patricka Zandla a přizpůsobili ho škole.

Tři otázky před každým vložením:

1. Potřebuje AI opravdu tuto informaci, nebo jen pomoc s formulací?
2. Pracuji pod školním účtem, nebo soukromým?
3. Poznal by někdo ze školy, o které dítě jde?

A co AI Act?

Evropské nařízení o umělé inteligenci řadí AI systémy určené k hodnocení výsledků učení mezi vysoce rizikové (příloha III). Pro školy to ale zatím není akutní.

• Povinnosti pro vysoce rizikové systémy měly platit od srpna 2026. Takzvaný Digitální omnibus (nařízení 2026/1744) je odložil na 2. prosince 2027. V platnosti je od 27. července 2026.
• Kategorie samotná se nezměnila. AI pro hodnocení ve vzdělávání zůstává vysoce riziková.
• Zda učitel, který si nechá od běžného chatbota navrhnout slovní hodnocení, „nasazuje vysoce rizikový systém“, není jednoznačné. Klasifikace závisí na účelu, ke kterému poskytovatel systém určil. Tuto otázku zatím žádné české metodické doporučení, které bychom našli, nerozhoduje.

Prakticky z toho plyne: GDPR platí už teď a v plné šíři. AI Act k němu v roce 2027 přidá další povinnosti, hlavně pro poskytovatele a školy, které používají specializované hodnoticí nástroje. Princip „konečné slovo má učitel“ je dobré dodržovat už dnes.

Co dělat

Jako učitel

• Zjistěte, jestli má škola Google Workspace for Education nebo Microsoft 365 Education s AI, a pracujte v něm pod školním účtem.
• Na soukromém účtu používejte AI jen pro zelené úkoly ze semaforu. Vypněte v něm trénink na vašich datech.
• Pracujte bez jmen a bez okolností, které dítě prozradí. Jména doplňujte až u sebe.
• Pokud jste už osobní údaje do soukromého nástroje vložili, smažte konverzace a dejte vědět vedení nebo pověřenci. Pověřenec posoudí, zda jde o porušení zabezpečení, které se hlásí ÚOOÚ (zpravidla do 72 hodin od zjištění).
• Každý text od AI přečtěte a upravte. Za hodnocení odpovídáte vy.

Jako vedení školy

• Schválit jeden školní AI nástroj se smlouvou a oznámit ho učitelům. Zakazovat AI nemá smysl, učitelé ji budou používat tak jako tak, jen hůř viditelně.
• Vydat krátkou směrnici: který účet, co se smí vložit (semafor), kdo řeší incident.
• Vést přehled používaných AI nástrojů a informovat rodiče. Obě povinnosti uvádí NPI.
• Projednat s pověřencem pro ochranu osobních údajů, zda pro zpracování údajů žáků v AI není potřeba posouzení vlivu (DPIA).

Jak poznat bezpečný nástroj pro pedagogickou dokumentaci

Když škola vybírá specializovaný nástroj pro hodnocení nebo pozorování žáků, položte dodavateli pět otázek:

1. Podepíšete se školou zpracovatelskou smlouvu?
2. Kde se data ukládají a zpracovávají a kteří subdodavatelé k nim mají přístup?
3. Používáte data k tréninku AI modelů?
4. Navrhuje nástroj hodnocení, nebo ho rozhoduje? (Správná odpověď: navrhuje, učitel potvrzuje.)
5. Jak se data smažou, když škola spolupráci ukončí?

Zdroje

• NPI a aidoskol.cz: Umělá inteligence a právo ve škole, FAQ (listopad 2025)
• NPI: Doporučení pro využívání umělé inteligence na ZŠ a SŠ
• Google for Education: Privacy & Security FAQ
• Google Workspace: Generative AI in Google Workspace Privacy Hub
• Google Workspace Updates: Gemini a NotebookLM jako základní služby pro všechny edice Education (duben 2025)
• Google Workspace Updates: Gemini pro uživatele všech věkových kategorií (červen 2025)
• Google Workspace Updates: Datové regiony pro aplikaci Gemini (červen 2026)
• Hwb (Wales): Google Gemini v Hwb
• OpenAI: Vypnutí tréninku v ChatGPT
• Anthropic: Změny spotřebitelských podmínek Claude
• Patrick Zandl: Smlouvy, AI, GDPR (Marigold.cz, říjen 2026)
• AI Acto: Digital Omnibus a odklad AI Act

Stav k říjnu 2026. Článek není právní rada. Konkrétní nastavení ve vaší škole posuzuje vedení školy s pověřencem pro ochranu osobních údajů.