Deepfakes a GDPR: Právní ochrana identity v digitální době

Deepfakes jako hrozba pro osobní identitu

Technologie deepfakes — synteticky generovaný obsah využívající umělou inteligenci k vytvoření realistických napodobenin obličejů, hlasů a gest konkrétních osob — se v roce 2026 stala jednou z nejzávažnějších hrozeb pro ochranu osobní identity. Kvalita deepfakes dosáhla úrovně, kdy je pro běžného člověka prakticky nemožné odlišit falešný obsah od skutečného.

GDPR jako ochranný štít

Vytvoření deepfake představuje zpracování osobních údajů ve smyslu GDPR. Obličej, hlas a gesta osoby jsou biometrickými údaji podle článku 4 odst. 14 GDPR, a pokud jsou zpracovávány za účelem jedinečné identifikace fyzické osoby, spadají pod zvláštní kategorii osobních údajů (článek 9).

Oběť deepfake může uplatnit řadu práv podle GDPR:

• Právo na výmaz (článek 17) — požadavek na odstranění deepfake obsahu, pokud je zpracování neoprávněné.
• Právo vznést námitku (článek 21) — proti zpracování založenému na oprávněném zájmu.
• Právo na opravu (článek 16) — deepfake ze své podstaty obsahuje nepřesné údaje o dotčené osobě.
• Právo na náhradu škody (článek 82) — oběť může požadovat kompenzaci za materiální i nemateriální újmu.

AI Act a povinnosti tvůrců deepfakes

AI Act zavádí specifické povinnosti pro tvůrce a distributory deepfake obsahu:

Povinnost označení. Článek 50 odst. 4 AI Actu stanoví, že osoby nasazující AI systém generující syntetický obsah (audio, video, obrázky, text), který se znatelně podobá existujícím osobám, místům nebo událostem a může být falešně vnímán jako autentický, musí zajistit, že výstupy budou strojově čitelně označeny jako uměle generované nebo manipulované.

Toto označení musí být implementováno prostřednictvím technických prostředků, jako jsou digitální vodoznaky (watermarking), metadata nebo kryptografické podpisy.

Praktické výzvy při vymáhání

Přes existenci právních nástrojů čelí oběti deepfakes několika praktickým překážkám:

• Obtížná identifikace tvůrce deepfake obsahu, zejména při šíření přes anonymní platformy.
• Přeshraniční rozměr — tvůrce může působit mimo jurisdikci EU.
• Rychlost šíření — než je obsah odstraněn, může být viděn miliony lidí.
• Efekt Streisand — snaha o odstranění může paradoxně zvýšit pozornost.

Doporučení pro ochranu firem a jednotlivců

• Implementujte nástroje pro detekci deepfakes ve vaší komunikační infrastruktuře.
• Proškolte zaměstnance na rozpoznávání deepfake obsahu, zejména v kontextu CEO fraud a social engineeringu.
• Připravte interní postup pro rychlou reakci v případě, že se vaše firma nebo její představitelé stanou obětí deepfake.
• Zvažte technologie digitální autentizace obsahu (C2PA standard) pro oficiální firemní komunikaci.

Ochrana identity v éře deepfakes vyžaduje kombinaci právních, technických a organizačních opatření. GDPR a AI Act poskytují solidní právní základ, ale bez aktivního přístupu firem a jednotlivců zůstane ochrana neúplná.