RODO i Akt o sztucznej inteligencji: obowiązki firm

Opublikowano 2026-08-08· 5 min czytaniaRODO i AI

Państwa dział prawny prawdopodobnie ma już aktualny rejestr czynności przetwarzania, a być może nawet gotową DPIA dla chatbota, który od jakiegoś czasu obsługuje klientów. I wtedy ktoś w firmie przeczytał, że Akt o sztucznej inteligencji też ich dotyczy, a pierwszą reakcją było pytanie, czy trzeba wszystko robić od nowa dla każdego narzędzia AI, które już działa. Nie trzeba — spora część pracy wykonanej wcześniej pod RODO pozostaje aktualna i stanowi punkt wyjścia. Ale te dwa akty prawne nie zadają dokładnie tego samego pytania, a firma, która traktuje je jako jedno ćwiczenie, zostawia luki, które wykryje kontrola — UODO albo innego organu.

Dwa akty, jedno pytanie? Nie, dwa różne pytania

RODO zadaje pytanie o zakres ograniczony do danych osobowych: czy dane są przetwarzane zgodnie z prawem, rzetelnie i w konkretnie określonym celu. Akt o sztucznej inteligencji zadaje pytanie szersze: czy dany system AI stwarza ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych, niezależnie od tego, czy przetwarza dane osobowe. Narzędzie do selekcji CV, chatbot obsługujący klientów czy system scoringu kredytowego niemal zawsze podlegają obu pytaniom naraz. RODO obowiązuje w Polsce od 2018 roku i nic w nim się nie zmieniło wraz z wejściem Aktu o sztucznej inteligencji — ten dochodzi jako dodatkowa warstwa, niczego nie zastępując.

UODO: podwójna rola, nie nowy organ

Urząd Ochrony Danych Osobowych nadzoruje przetwarzanie danych osobowych w Polsce od wejścia w życie RODO w 2018 roku, a w projektach krajowej ustawy o systemach sztucznej inteligencji wskazywany jest jako naturalny kandydat na organ wiodący w nadzorze nad Aktem o sztucznej inteligencji w zakresie systemów przetwarzających dane osobowe — choć ostateczny podział kompetencji między UODO a organami sektorowymi, takimi jak UOKiK czy KNF, wciąż się kształtuje. (Rolę UODO i ramy czasowe polskiej ustawy o systemach sztucznej inteligencji opisaliśmy szerzej w przewodniku o Akcie o sztucznej inteligencji dla polskich MŚP.) Dla firmy, która przede wszystkim kupuje gotowe narzędzia AI, a nie rozwija własnych systemów, praktyczny wniosek jest taki, że gdy w grę wchodzą dane osobowe, to UODO — z doświadczeniem sięgającym pierwszej kary z 2019 roku — pozostaje głównym punktem odniesienia, także po wejściu w życie nowej regulacji.

Art. 22 RODO a załącznik III: dwa różne testy

Artykuł 22 RODO daje każdej osobie prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli decyzja ta wywołuje skutki prawne lub w podobny sposób istotnie na tę osobę wpływa — np. odrzucenie wniosku kredytowego bez jakiejkolwiek weryfikacji przez człowieka. Załącznik III Aktu o sztucznej inteligencji działa inaczej: klasyfikuje określone systemy jako „wysokiego ryzyka” na podstawie samego obszaru zastosowania — rekrutacji, oceny pracowników, oceny zdolności kredytowej czy dostępu do ubezpieczeń — niezależnie od stopnia automatyzacji ostatecznej decyzji.

Narzędzie do selekcji kandydatów, w którym rekruter ręcznie zatwierdza każdy wynik, zwykle nie podlega art. 22 RODO, bo decyzja nie jest w pełni zautomatyzowana. Mimo to w większości przypadków pozostaje systemem wysokiego ryzyka w rozumieniu załącznika III, bo to obszar zastosowania — rekrutacja — a nie poziom nadzoru człowieka, decyduje o klasyfikacji. Argument „ktoś zawsze to sprawdza” zamyka kwestię art. 22, ale nie dotyka własnych obowiązków Aktu o sztucznej inteligencji: zarządzania ryzykiem, dokumentacji technicznej, sformalizowanego nadzoru ludzkiego.

DPIA i FRIA: uzupełnienie, nie powtórka

Ocena skutków dla ochrony danych (DPIA), wymagana na mocy art. 35 RODO, jest konieczna wtedy, gdy dane przetwarzanie może powodować wysokie ryzyko dla praw osób, których dane dotyczą — warunek, który spełnia większość systemów AI przetwarzających dane osobowe. Artykuł 27 Aktu o sztucznej inteligencji wprowadza ocenę skutków dla praw podstawowych (FRIA), która dotyczy jednak węższej grupy podmiotów stosujących: przede wszystkim organów publicznych oraz niektórych prywatnych dostawców usług podstawowych, takich jak banki i ubezpieczyciele, gdy korzystają z systemu wysokiego ryzyka. Art. 27 ust. 4 wprost przewiduje, że jeśli DPIA już pokrywa wymogi FRIA, ta ostatnia ją uzupełnia, zamiast dublować. Sensowniej jest zbudować od początku jeden proces oceny ryzyka, rozszerzony o pytania dotyczące praw podstawowych, niż prowadzić dwa osobne postępowania angażujące ten sam zespół produktowy dwa razy.

Gdzie ryzyko jest podwójne: firmy outsourcingowe i BPO

Polska ma jeden z największych w UE sektorów usług biznesowych — centra BPO i SSC skupione wokół Krakowa, Wrocławia i Warszawy, obsługujące klientów w całej Europie Zachodniej. Te firmy zwykle mają już dojrzałe programy RODO, bo przetwarzają dane osobowe klientów z wielu jurysdykcji UE na co dzień. To dobra podstawa, ale nie zwalnia z osobnej analizy pod kątem Aktu o sztucznej inteligencji: narzędzie do automatyzacji obsługi zgłoszeń albo analizy dokumentów, które od dawna działa zgodnie z RODO, może dziś klasyfikować się jako system wysokiego ryzyka, jeśli wspiera decyzje kadrowe czy oceny wydajności pracowników klienta końcowego — a wtedy dojrzałość w jednym reżimie nie przekłada się automatycznie na zgodność w drugim.

Co sprawdzić, system po systemie

Dla każdego systemu AI przetwarzającego dane osobowe: czy decyzja końcowa zapada bez jakiegokolwiek udziału człowieka (art. 22 RODO) i/lub czy obszar zastosowania mieści się w załączniku III Aktu o sztucznej inteligencji? Te dwie odpowiedzi są od siebie niezależne.
Czy istnieje udokumentowana DPIA, i czy jest tak skonstruowana, że — jeśli firma podlega art. 27 Aktu o sztucznej inteligencji — może zostać rozszerzona o FRIA zamiast zaczynać od zera?
Czy podstawa prawna jest udokumentowana dla danych używanych do trenowania, dostrajania lub personalizacji modelu, nawet gdy opiera się na prawnie uzasadnionym interesie?
Czy dostawca AI spoza UE/EOG został zapytany o transfer danych, niezależnie od deklarowanej zgodności z Aktem o sztucznej inteligencji?
Czy obecne klauzule informacyjne wprost wymieniają wykorzystanie systemów AI, czy pochodzą sprzed wdrożenia tych narzędzi?

Informacje ogólne, nie porada prawna

Powyższe to informacje ogólne, które mają pomóc Państwu zorientować się w temacie — nie stanowią porady prawnej dotyczącej Państwa konkretnej sytuacji. Zależność między RODO a Aktem o sztucznej inteligencji zależy od dokładnego zakresu przetwarzania danych w Państwa firmie, sektora i zaangażowanych dostawców — szczegółów, których jeden artykuł nie jest w stanie w pełni objąć. Gdy Komplya publikuje tego rodzaju treści, wyraźnie rozróżnia materiał zweryfikowany prawnie od materiału, który wciąż ma status roboczy, aby mogli Państwo świadomie korzystać z tego, co czytają.

Najszybszy sposób, by zobaczyć, gdzie faktycznie stoi Państwa firma, to przejście punkt po punkcie przez przetwarzanie danych stojące za każdym narzędziem AI. Proszę wypełnić krótki kwestionariusz o Państwa wykorzystaniu AI i otrzymać zestawienie obowiązków wynikających z RODO i Aktu o sztucznej inteligencji w prostym języku.