Zeptej se na to na fóru a dostaneš dvě sebejisté odpovědi: „samozřejmě, že prodávají všechno“ a „to by bylo nezákonné“. Obě jsou špatně a mezera mezi nimi je místo, kde leží užitečná informace.
„Prodej“ zahrnuje tři různé věci
Prodej obsahu tvých konverzací. Předávat logy konverzací třetí straně za peníze je vzácné, ve většině trhů by to bylo právně riskantní a v den úniku by z toho byl titulek. Provozovatelé to hlasitě popírají a neexistuje veřejný důkaz, že by to dělala některá hlavní aplikace s AI společníkem.
Sdílení údajů o používání s inzerenty. To je běžný případ. Reklamní a analytický kód vložený do aplikace nebo webu, vývojová sada neboli „SDK“, hlásí, co děláš, kdy a na jakém zařízení. Podle kalifornského zákona o soukromí se předávání osobních údajů jiným pro behaviorální reklamu napříč kontexty počítá jako „sdílení“ a výměna za cokoli hodnotného se může počítat jako „prodej“. Aplikace tedy může pravdivě říkat, že tvoje konverzace nikdy neprodala, a přitom prodávat tebe, v právním smyslu.
Předávání údajů poskytovatelům služeb. Firma, která hostuje servery, poskytovatel modelu, který generuje odpovědi, platební procesor, který strhává z tvé karty. Tyto přenosy jsou nutné, aby produkt fungoval, a nejde o prodej, ale stále jsou to kopie tvých dat v cizích systémech.
Existuje i čtvrtá cesta, na kterou lidé zapomínají: změna vlastníka. Téměř každé zásady říkají, že se tvoje data přenesou na kupce, pokud se firma prodá. Aplikace Soulmate změnila majitele krátce předtím, než byla v roce 2023 vypnuta, viz když se tvůj AI společník přes noc změní.
Co zjistil jediný systematický audit
V únoru 2024 Mozilla Foundation prověřila v přehledu Privacy Not Included 11 romantických AI chatbotů, včetně Repliky, Chai a EVA AI. Dohromady měly odhadem 100 milionů stažení na Google Play. Každý z nich dostal výstražný štítek Mozilly o soukromí.
Podíl z 11 aplikací prověřených Mozillou v únoru 2024, na které se dané zjištění vztahovalo. Zdroj: Mozilla Foundation, Privacy Not Included.
Nejpozoruhodnější byla čísla o sledovačích. Mozilla napočítala v průměru 2 663 sledovačů v první minutě používání napříč aplikacemi, přičemž průměr silně zvedla jedna aplikace, Romantic AI, která jich za jedinou minutu spustila 24 354. Druhá nejvyšší, EVA AI, jich spustila 955.
Dvě výhrady, než vyvodíš závěry. Byl to snímek z počátku roku 2024 a zásady se mění. A několik aplikací, které dnes kategorii ovládají, ve vzorku nebylo. Hodnota auditu není tolik v rozsudcích nad konkrétními aplikacemi, jako v tom, co ukazuje o výchozím nastavení celé kategorie.
Jak z pravidel soukromí vyčíst odpověď
Nemusíš číst celý text. Vyhledej v něm hrst frází a přečti odstavec kolem každé.
| Když zásady říkají | Obvykle to znamená | Stojí to za obavy? |
|---|---|---|
| „We do not sell your personal information“ | Žádný prodej v úzkém smyslu. Zvlášť zkontroluj „share“ | Jen pokud se objeví i „share“ |
| „Advertising partners“, „targeted advertising“ | Sledovače vytvářejí z tvého používání reklamní profil | Ano: odhlas se, kde to jde |
| „Our affiliates“ | Další firmy pod stejným vlastníkem, někdy mnoho aplikací | Záleží, kdo je vlastník |
| „To improve our services“, „train“ | Tvoje konverzace se mohou používat k trénování modelů | Ano: hledej možnost odhlášení |
| „Merger, acquisition or sale of assets“ | Kupec dostane tvoje data, pokud se firma prodá | Standard, ale pamatuj na to |
| „Where we believe disclosure is necessary“ | Zpřístupnění úřadům bez soudního příkazu | Ano, pokud neříká nic užšího |
Patičkový odkaz s názvem „Do Not Sell or Share My Personal Information“ nebo „Your Privacy Choices“ je sám o sobě užitečné vodítko. Kalifornie ho vyžaduje od firem, které osobní údaje prodávají nebo sdílejí, takže jeho přítomnost je přiznáním, že k nějakému sdílení dochází, a tlačítkem, jak ho zastavit.
Pětiminutová kontrola, kterou můžeš udělat dnes večer
- Prohledej zásady na sell, share, advertis, train a affiliate. Pět hledání, pět odstavců.
- Podívej se na štítky v obchodě. Sekci „Data Used to Track You“ u Applu a „Data safety“ u Google Play vyplňuje vývojář, takže jde o tvrzení, ne o audity, ale aplikace, která tam sledování přizná, nebude v praxi lepší.
- Zapni Global Privacy Control v prohlížeči, pokud používáš webovou verzi. Kalifornská pravidla vyžadují, aby firmy tento signál braly jako odhlášení z prodeje a sdílení.
- Odmítni výzvu ke sledování na iPhonu a resetuj reklamní ID na Androidu.
- Všimni si, jestli aplikace zobrazuje reklamy. Pokud ano, tvoje pozornost a data jsou součástí toho, jak platí své účty, viz jak vydělávají aplikace s AI společníkem.
Kde zákon pomáhá a kde končí
V Česku a ostatních zemích EU ti GDPR dává právo zjistit, jaké údaje o tobě firma zpracovává, požádat o jejich výmaz a namítat proti zpracování. Firma má na žádost odpovědět do jednoho měsíce, u složitých nebo početných žádostí lze lhůtu prodloužit až o dva další měsíce a firma tě o tom musí informovat v prvním měsíci. Pokud žádost odmítne, musí to zdůvodnit a uvést tvé právo podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ) a obrátit se na soud. Stížnost u ÚOOÚ je zdarma, bez lhůty a podává se formulářem na uoou.gov.cz nebo volným textem. Postup k žádosti o údaje najdeš v článku jak požádat o svá data. Regulátoři tato práva používají: Itálie v roce 2025 pokutovala provozovatele Repliky částkou 5 milionů eur, částečně i za zásady soukromí, které nevysvětlovaly, co se s údaji uživatelů děje. Podobná práva (a rozhraní „Do Not Sell or Share“ výše) mají uživatelé v Kalifornii a v rostoucím počtu dalších států USA, ale pro tebe jako uživatele v Česku je rozhodující GDPR.
Nové zákony amerických států o AI společnících, které popisuje článek Zákony o AI společnících v USA, se zaměřují na transparentnost a řešení krizí a o datech říkají málo. Hlavní výjimka je úzká: zákon státu Utah o chatbotech pro duševní zdraví jim zakazuje prodávat nebo sdílet zdravotní údaje uživatelů a cílit reklamu podle toho, co uživatelé píší.
Poctivá odpověď
Většina aplikací s AI společníkem tvoje konverzace neprodává. Mnohé reklamním a analytickým firmám dovolují sledovat, jak je používáš, a téměř všechny si ponechávají právo dělat víc, než dělají teď. Rozdíl mezi pečlivou a nedbalou aplikací je vidět v jejích zásadách a nastavení a najít ho zabere pět minut. To je dobře strávených pět minut, než napíšeš cokoli, co bys nechtěl mít v cizí databázi, a zbytek pokrývají naše čtyři kontroly soukromí.