Dane osobowe w narzędziach AI - jak pogodzić AI Act z RODO

AI Act - Obowiązki na co dzień: kompetencje, przejrzystość, dane i umowy

Dane osobowe w narzędziach AI - jak pogodzić AI Act z RODO

W skrócie

Pytanie wraca przy każdym wdrożeniu narzędzia AI, które dostaje dane klientów, pracowników albo pacjentów. Porządkujemy, jak RODO i AI Act dzielą się zadaniami, co zmienił Digital Omnibus (rozporządzenie (UE) 2026/1744), co mówią Europejska Rada Ochrony Danych (EROD) i Urząd Ochrony Danych Osobowych (UODO) oraz jak połączyć dokumenty obu porządków.

Jak to wygląda w praktyce

Biuro tłumaczeń z Bydgoszczy wdraża Microsoft 365 Copilot w obsłudze klienta i rozważa system do wstępnej selekcji CV. Prezes pyta inspektora ochrony danych, czy rejestr systemów AI zastąpi rejestr czynności przetwarzania, czy do Copilota wolno wprowadzać dane klientów, kto przeprowadzi ocenę skutków i czy kandydat może zażądać, by o odrzuceniu nie decydował sam system.

Co mówią przepisy

Art. 2 ust. 7 AI Act w brzmieniu z Digital Omnibus stanowi, że do danych osobowych przetwarzanych w związku z AI Act stosuje się unijne prawo ochrony danych. Samo rozporządzenie, bez uszczerbku dla art. 4a i art. 59 o dalszym przetwarzaniu danych w piaskownicach, nie ma wpływu na RODO. Wprowadzenie danych osobowych do narzędzia AI wymaga więc podstawy z art. 6 RODO, a przy danych szczególnych kategorii przesłanki z art. 9. Gdy dostawca przetwarza dane w imieniu firmy, potrzebna jest umowa powierzenia z art. 28 RODO, która obejmuje m.in. pomoc w ocenie skutków i prawo do audytu. Rejestr czynności przetwarzania z art. 30 RODO prowadzi się niezależnie od spisu systemów AI.

Decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę, są dopuszczalne tylko, gdy są niezbędne do zawarcia lub wykonania umowy, dozwolone przepisem prawa albo oparte na wyraźnej zgodzie (art. 22 RODO). Przy umowie i zgodzie osoba ma co najmniej prawo do interwencji człowieka, wyrażenia stanowiska i zakwestionowania decyzji. O takim przetwarzaniu informuje się osoby (art. 13 ust. 2 lit. f i art. 14 ust. 2 lit. g RODO). AI Act dokłada informowanie osób o użyciu systemu wysokiego ryzyka przy decyzjach (art. 26 ust. 11, od 2 grudnia 2027 r.) i prawo do wyjaśnienia roli systemu w decyzji (art. 86). Relacji art. 86 do RODO tekst nie rozstrzyga.

Zobacz też: Szkolenie Gotowość na AI ACT

Ocenę skutków dla ochrony danych (art. 35 RODO) przeprowadza administrator przed przetwarzaniem, które może powodować wysokie ryzyko, np. przy profilowaniu, które jest podstawą decyzji o skutkach prawnych, i konsultuje się z inspektorem ochrony danych, jeśli został wyznaczony. FRIA z art. 27 AI Act może odsyłać do sekcji DPIA albo zawierać jej części (ust. 4), ale dotyczy tylko wskazanych podmiotów stosujących, co opisujemy w poście o ocenie skutków dla praw podstawowych.

Nowy art. 4a AI Act pozwala w wyjątkowych przypadkach przetwarzać dane szczególnych kategorii w zakresie absolutnie niezbędnym do wykrywania i korygowania stronniczości. Dotyczy dostawców systemów wysokiego ryzyka, a w drodze wyjątku także podmiotów stosujących te systemy oraz dostawców i podmiotów stosujących inne systemy i modele (ust. 2). Warunki trzeba spełnić łącznie: brak skutecznej alternatywy, w tym danych syntetycznych lub zanonimizowanych, pseudonimizacja, ścisła kontrola dostępu, zakaz przekazywania, usunięcie danych po korekcie i uzasadnienie w rejestrze czynności przetwarzania. Ust. 2 nie nakłada obowiązku wykrywania stronniczości.

EROD w opinii 28/2024 z 17 grudnia 2024 r. stwierdziła, że modelu trenowanego na danych osobowych nie zawsze można uznać za anonimowy, i przypomniała trzyetapowy test prawnie uzasadnionego interesu. Wskazała też, że firma wdrażająca cudzy model powinna ocenić, czy nie powstał z bezprawnego przetwarzania danych. Zastępca Prezesa UODO zalecił 9 czerwca 2026 r. analizę przedwdrożeniową i decyzje prawne i organizacyjne przed wyborem narzędzi. Organem nadzoru rynku z AI Act jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), a RODO nadzoruje Prezes UODO. Ustawa o systemach sztucznej inteligencji przewiduje ich współpracę (art. 20 ust. 1 pkt 3, art. 123), a Prezes UODO jest w opublikowanym przez KRiBSI 29 października 2026 r. wykazie organów ochrony praw podstawowych z art. 77 AI Act. Ustawa nie odsyła do art. 74 ust. 8 AI Act o organach ochrony danych jako organach nadzoru rynku m.in. przy ściganiu przestępstw, więc podział nadzoru w tym obszarze jest niejasny. Komisja Europejska i EROD przygotowują wspólne wytyczne o relacji AI Act i RODO.

Co zrobić krok po kroku

1. Mapa przetwarzania. Inspektor ochrony danych z właścicielem każdego narzędzia AI opisuje, jakie dane osobowe trafiają do narzędzia, skąd, w jakim celu, gdzie są przetwarzane i jak długo. Efekt: wpis w rejestrze czynności przetwarzania powiązany z wpisem w rejestrze systemów AI.
2. Podstawa prawna. Prawnik ustala podstawę z art. 6 RODO dla każdego celu, a przy danych szczególnych kategorii przesłankę z art. 9. Przy prawnie uzasadnionym interesie przeprowadza test trzyetapowy opisany przez EROD. Efekt: notatka o podstawie prawnej.
3. Udział człowieka w decyzjach. Właściciel procesu sprawdza, czy narzędzie podejmuje decyzje wyłącznie automatycznie ze skutkami dla osób, np. odrzuca kandydatów bez udziału człowieka. Jeśli tak, wdraża warunki z art. 22 RODO albo wprowadza realną ocenę człowieka. Efekt: opis procesu decyzyjnego.
4. DPIA i FRIA. Właściciel procesu ocenia z inspektorem ochrony danych potrzebę DPIA i przeprowadza ją przed wdrożeniem, korzystając z instrukcji obsługi dostawcy (przy systemach wysokiego ryzyka art. 26 ust. 9 AI Act). Gdy organizacja podlega art. 27 AI Act, ten sam zespół przygotowuje FRIA z odesłaniami do DPIA. Efekt: DPIA z opinią inspektora i w razie potrzeby FRIA.
5. Umowa i ocena dostawcy. Dział zakupów uzupełnia umowę z dostawcą systemu AI o powierzenie z art. 28 RODO i prosi dostawcę o informacje, jak zapewnił zgodność trenowania modelu z prawem. Efekt: umowa powierzenia i notatka z oceny dostawcy.
6. Klauzule i zasady dla pracowników. Inspektor aktualizuje klauzule informacyjne z art. 13 i 14 RODO, także o decyzjach automatycznych, a dział HR ogłasza zasady wprowadzania danych do narzędzi AI, w tym zakaz korzystania z prywatnych kont narzędzi AI w pracy przy danych osobowych. Efekt: nowe klauzule i zasady w polityce korzystania z AI.

Jak sprawdzić, że sprawa jest załatwiona

Przy każdym narzędziu AI, które przetwarza dane osobowe, powinno być pięć dokumentów: wpis w rejestrze czynności przetwarzania powiązany z rejestrem systemów AI, notatka o podstawie prawnej, ocena potrzeby DPIA, umowa powierzenia i aktualna klauzula informacyjna. Dokumenty AI Act i RODO odsyłają do siebie, zamiast się powtarzać.

Na kontrolę Prezesa UODO albo KRiBSI zachowaj rejestry, DPIA, FRIA, jeśli jest wymagana, umowy, opis udziału człowieka w decyzjach i notatki z oceny dostawców.

Podstawa prawna i źródła

• art. 2 ust. 7, art. 4a, art. 26 ust. 9 i 11, art. 27 ust. 4, art. 74 ust. 8 i art. 86 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 1 pkt 2 i 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2026/1744 (nowe brzmienie art. 2 ust. 7 i nowy art. 4a AI Act) (źródło)
• art. 6, 9, 13, 14, 22, 28, 30 i 35 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) (źródło)
• art. 5, art. 20 ust. 1 pkt 3 i art. 123 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• Europejska Rada Ochrony Danych, opinia 28/2024 w sprawie niektórych aspektów ochrony danych związanych z modelami AI, 17.12.2024 (źródło)
• UODO, Czy AI to zagrożenie dla danych? Konrad Komornicki podczas AI & MEDTECH CEE 2026 (źródło)
• KRiBSI, wykaz organów i instytucji publicznych właściwych w zakresie ochrony praw podstawowych (wersja 1.0 z 29.10.2026) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001