Narzędzia oparte na sztucznej inteligencji są już wykorzystywane do redagowania dokumentów, analizy danych, obsługi klientów, rekrutacji i pracy z dokumentacją księgową. Ich używanie nie jest zakazane, ale może wiązać się z przetwarzaniem danych osobowych oraz obowiązkami wynikającymi z AI Act. Firma powinna zatem ustalić nie tylko, z jakich narzędzi korzystają pracownicy, lecz także jakie dane do nich trafiają, na jakiej podstawie prawnej i pod czyją kontrolą.
W artykule przeczytasz o:
- jak RODO i AI Act łączą się przy korzystaniu z narzędzi AI w firmie oraz kiedy ich użycie oznacza przetwarzanie danych osobowych,
- najważniejszych obowiązkach przedsiębiorcy – od weryfikacji dostawcy i transferów danych po DPIA, politykę AI i aktualizację dokumentacji RODO,
- tym, jak bezpiecznie wdrożyć AI w organizacji i ograniczyć ryzyka związane m.in. z wykorzystywaniem niezatwierdzonych narzędzi przez pracowników.
AI Act a RODO. Czym różnią się te regulacje i kiedy stosuje się je łącznie?
Zakresy przedmiotowe AI Act i RODO są nieco inne. Trzeba wskazać, że rozporządzenie AI Act dotyczy przede wszystkim systemów sztucznej inteligencji wysokiego ryzyka oraz stanowiących ryzyko niedopuszczalne. Niemal wcale nie odnosi się do systemów AI innej klasy, klasyfikowanych jako „Limited-to-no risk AI”. Nie dotyczy też danych niezwiązanych z systemami informatycznymi. Z drugiej strony przepisy rozporządzenia odnoszą się do wszystkich kategorii danych wprowadzanych do systemu lub przez niego przetwarzanych. Unijny ustawodawca skupia się jednak na tym, co maszyna „robi” z danymi, czyli w jaki sposób je przetwarza i czy nie robi tego w sposób naruszający zasady obiektywizmu.
Jeżeli chodzi o RODO, to ogniskuje się ono wyłącznie wokół pojęcia danych osobowych, chodzi więc tylko o informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, ale za to w całym cyklu ich przetwarzania, niezależnie od tego, na czym operacja przetwarzania miałaby polegać i na którym etapie następuje.
W praktyce będzie więc tak, że administrator stosujący algorytmy AI do przetwarzania danych osobowych musi w pierwszej kolejności spełnić wymagania RODO (na etapie gromadzenia danych i zarządzania nimi), a następnie RODO i AI Act (na etapie przetwarzania danych przez algorytm oraz w późniejszej fazie, kiedy zaczyna już dysponować danymi wyjściowymi). Zarówno w jednym, jak i w drugim przypadku kary za naruszenie przepisów są bardzo wysokie, dlatego należy dołożyć wszelkiej staranności, aby działać w granicach wytyczonych przez unijnego ustawodawcę.
Kiedy korzystanie z AI oznacza przetwarzanie danych osobowych?
Do przetwarzania może dojść nie tylko przez wpisanie danych w poleceniu. Dane osobowe mogą znajdować się w przesłanym pliku, arkuszu, nagraniu, zdjęciu, historii korespondencji, a także w odpowiedzi wygenerowanej przez system. Szczególnej ostrożności wymagają informacje o zdrowiu i inne szczególne kategorie danych, jak również dane pracowników, kandydatów do pracy i klientów.
Nie należy zakładać, że samo przesłanie informacji do modelu prowadzi do ich anonimizacji. Jeżeli osobę nadal można zidentyfikować bezpośrednio lub pośrednio, informacje pozostają danymi osobowymi. Pseudonimizacja ogranicza ryzyko, lecz nie wyłącza stosowania RODO.
Korzystasz z narzędzi AI w swojej firmie? Zadbaj o ich zgodność z RODO i AI Act. Dowiedz się więcej o naszym wsparciu prawnym: https://rpms.pl/obsluga-prawna-ai/
Czy można wprowadzać dane klientów do narzędzia AI?
Nie ma jednej odpowiedzi właściwej dla każdego narzędzia i procesu. Przed przekazaniem danych trzeba ustalić cel i podstawę prawną przetwarzania, a następnie ocenić, czy użycie konkretnych danych jest niezbędne. Jeżeli rezultat można uzyskać bez nazwiska, numeru PESEL, adresu lub pełnej treści dokumentu, dane należy ograniczyć albo usunąć.
Trzeba także sprawdzić warunki usługi i ustawienia konta: okres przechowywania informacji, możliwość wykorzystywania ich przez dostawcę, zabezpieczenia, podwykonawców oraz lokalizację przetwarzania. Warunki konta biznesowego mogą istotnie różnić się od zasad dotyczących bezpłatnego konta pracownika.
Dostawca AI, umowa powierzenia i transfer poza EOG
Jeżeli dostawca przetwarza dane w imieniu firmy i zgodnie z jej poleceniami, może działać jako podmiot przetwarzający. W takim przypadku relację należy uregulować zgodnie z art. 28 RODO. Nie zawsze jednak dostawca jest wyłącznie procesorem. Dla części operacji może występować jako niezależny administrator, dlatego standardowa umowa powierzenia nie zastępuje analizy rzeczywistych ról stron.
Firma powinna również ustalić, czy dane są przekazywane poza Europejski Obszar Gospodarczy i na jakiej podstawie odbywa się transfer. Siedziba europejskiej spółki dostawcy nie przesądza o lokalizacji infrastruktury ani o miejscu, z którego podwykonawcy uzyskują dostęp do danych.
Czy pracownik może korzystać z AI – ChatGPT, Claude, Copilot lub Gemini?
Przepisy nie ustanawiają ogólnego zakazu korzystania z generatywnej AI w pracy. Ryzyko pojawia się wtedy, gdy pracownik używa prywatnego lub niezatwierdzonego konta i wkleja do niego korespondencję, faktury, CV, umowy albo inne dokumenty służbowe. Firma może wówczas nie wiedzieć, komu przekazano informacje, gdzie są przechowywane i czy dostawca wykorzystuje je do własnych celów.
Zjawisko to określa się jako shadow AI. Sam zakaz zwykle nie wystarcza. Skuteczniejsze jest wskazanie zatwierdzonych narzędzi i określenie, do jakich celów wolno ich używać, jakie dane można wprowadzać, kiedy konieczna jest anonimizacja oraz kto weryfikuje rezultat przygotowany przez system.
Czy potrzebna jest ocena skutków dla ochrony danych?
DPIA nie jest obowiązkowa przy każdym użyciu sztucznej inteligencji. Zgodnie z art. 35 RODO należy ją przeprowadzić, jeżeli planowane przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Znaczenie mają w szczególności skala i charakter danych, profilowanie, systematyczne monitorowanie, automatyczne podejmowanie decyzji oraz wpływ wyniku na sytuację człowieka.
Redagowanie ogólnego tekstu bez danych osobowych zwykle nie wymaga DPIA. Innej oceny może wymagać system służący do selekcji kandydatów, oceny pracowników, klasyfikacji klientów albo podejmowania decyzji wywołujących skutki prawne lub podobnie istotne konsekwencje.
Jeśli chcesz wiedzieć, jakie rozwiązanie będzie najlepsze dla Twojej firmy, wyślij nam wiadomość: kancelaria@rpms.pl
Najważniejsze obowiązki firmy korzystającej z gotowego AI
Przedsiębiorca korzystający z gotowej usługi może być podmiotem stosującym system AI w rozumieniu AI Act. Zakres jego obowiązków zależy od zastosowania. Firma powinna w szczególności zadbać o kompetencje osób obsługujących system. Art. 4 AI Act wymaga podejmowania środków zapewniających odpowiedni poziom wiedzy o AI, z uwzględnieniem doświadczenia personelu i kontekstu użycia.
Od 2 sierpnia 2026 r. stosuje się również obowiązki przejrzystości z art. 50 AI Act. Dotyczą one wskazanych w tym przepisie sytuacji, a nie każdej treści przygotowanej przy pomocy AI. Nie ma zatem ogólnego obowiązku oznaczania każdego e-maila lub dokumentu wspieranego przez takie narzędzie.
Dalej idące wymagania dotyczą systemów wysokiego ryzyka, do których mogą należeć niektóre rozwiązania stosowane w rekrutacji i zarządzaniu pracownikami. Przesunięcie terminów stosowania części tych obowiązków nie wyłącza obecnych wymagań RODO, już stosowanych przepisów AI Act ani regulacji sektorowych.
Polityka AI i aktualizacja dokumentacji RODO
AI Act nie nakłada na każdą firmę obowiązku przyjęcia dokumentu pod nazwą „Polityka AI”. Wewnętrzne zasady korzystania ze sztucznej inteligencji mogą jednak stanowić istotny środek organizacyjny, który ogranicza ryzyko prawne, chroni dane osobowe i zabezpiecza informacje poufne. Pomagają również wykazać, że przedsiębiorca świadomie zarządza ryzykiem zgodnie z zasadą rozliczalności wynikającą z RODO.
Zakres polityki powinien odpowiadać rzeczywistemu sposobowi wykorzystywania AI. Dokument powinien wskazywać zatwierdzone narzędzia, dopuszczalne cele ich używania, kategorie danych, których nie wolno wprowadzać do systemów, oraz przypadki wymagające wcześniejszej zgody. Należy również określić zasady weryfikacji treści generowanych przez AI, odpowiedzialność pracowników i sposób zgłaszania błędów, naruszeń ochrony danych oraz innych incydentów.
Samo przyjęcie polityki nie zastępuje oceny konkretnego narzędzia. Przed jego wdrożeniem należy sprawdzić:
- warunki świadczenia usługi,
- zasady wykorzystywania wprowadzanych treści,
- okres przechowywania danych,
- stosowane zabezpieczenia,
- udział podwykonawców oraz
- ewentualne transfery danych poza Europejski Obszar Gospodarczy.
Szczególnej analizy wymagają narzędzia używane w HR, księgowości, obsłudze klientów i innych procesach dotyczących osób fizycznych.
Wdrożenie AI może wymagać aktualizacji rejestru czynności przetwarzania, analizy ryzyka, dokumentacji dostawców, umów powierzenia, obowiązków informacyjnych, zasad retencji oraz procedur bezpieczeństwa. W przypadkach mogących powodować wysokie ryzyko dla praw lub wolności osób fizycznych konieczne może być także przeprowadzenie oceny skutków dla ochrony danych zgodnie z art. 35 RODO.
Nie trzeba przygotowywać całej dokumentacji od początku. Punktem wyjścia powinna być inwentaryzacja faktycznie używanych narzędzi i procesów, także tych funkcjonujących bez formalnej zgody firmy. Na tej podstawie można określić niezbędne zmiany, przeszkolić pracowników i ustanowić odpowiedni nadzór nad korzystaniem z AI.
Pamiętaj
Polityka oraz dokumentacja powinny być następnie okresowo aktualizowane, zwłaszcza po wdrożeniu nowego narzędzia, zmianie sposobu jego używania lub wystąpieniu incydentu.
Jak przygotować firmę do zgodnego korzystania z AI?
Bezpieczne wdrożenie warto rozpocząć od inwentaryzacji narzędzi i przypadków użycia. Następnie należy określić role wynikające z AI Act i RODO, sprawdzić dostawców, podstawy prawne, zakres danych, transfery oraz potrzebę DPIA. Kolejne kroki to przyjęcie zasad wewnętrznych, przeszkolenie personelu, wdrożenie nadzoru człowieka i okresowa weryfikacja, czy sposób korzystania z systemu nie uległ zmianie.
Szczególnej analizy wymagają zastosowania w księgowości, kadrach i HR. W tych obszarach przetwarza się duże ilości danych, w tym informacje finansowe, dokumentację pracowniczą i niekiedy dane szczególnych kategorii. Przesyłanie pełnych dokumentów do ogólnodostępnego narzędzia wyłącznie dla wygody może naruszać zasadę minimalizacji i obowiązki bezpieczeństwa.
Jak możemy Ci pomóc?
Wspieramy przedsiębiorców w praktycznym i zgodnym z prawem wdrażaniu narzędzi AI. Analizujemy planowane zastosowania, weryfikujemy dostawców i warunki przetwarzania danych oraz wskazujemy, jakie informacje można przekazywać do poszczególnych systemów, a jakie powinny pozostać poza nimi.
Oceniamy zgodność rozwiązań z RODO i AI Act, w tym zasady transferu danych poza EOG, możliwość wykorzystywania danych do trenowania modeli oraz konieczność wyboru biznesowej wersji narzędzia. Przygotowujemy lub aktualizujemy dokumentację RODO, politykę korzystania z AI, umowy powierzenia i postanowienia stosowane w relacjach z klientami. Prowadzimy również spotkania wdrożeniowe i szkolenia, podczas których przekładamy wymagania prawne na jasne zasady codziennej pracy.
Celem naszego wsparcia jest umożliwienie firmie rzeczywistego korzystania z AI, przy zachowaniu bezpieczeństwa danych, poufności informacji i kontroli nad wdrażanymi procesami.
Pytania i odpowiedzi
Administrator danych osobowych wykorzystuje system AI wysokiego ryzyka na potrzeby rekrutacji. Czy może sięgnąć po dane wygenerowane przez sztuczną inteligencję, aby zrealizować obowiązek przeprowadzenia audytu DPIA wynikający z RODO?
Czy korzystanie z systemu sztucznej inteligencji w sposób, który narusza jednocześnie AI Act oraz RODO może skutkować ryzykiem nałożenia podwójnej kary na podmiot?