Coraz więcej firm korzysta na co dzień z narzędzi AI. Wspierają obsługę klienta, analizę dokumentów czy rekrutację. Temat AI a RODO nie jest już jednak abstrakcją prawną. Każde narzędzie AI, które przetwarza dane osobowe klientów, kandydatów czy pracowników, musi działać zgodnie z zasadami ochrony danych.
Dodatkowo od 2 sierpnia 2026 roku zaczyna obowiązywać kolejny etap unijnego AI Act. Wprowadza on obowiązki, które wprost łączą się z RODO. To dobry moment, by uporządkować zasady korzystania z AI w Twojej firmie.
Dlaczego sztuczna inteligencja nie jest strefą bez zasad?
Wiele osób traktuje AI jak neutralny dodatek do pracy. Coś w rodzaju bardziej rozbudowanego kalkulatora. To błąd. Gdy do systemu trafiają dane osobowe: imię, nazwisko, adres e-mail, dane z CV kandydata – zaczyna obowiązywać pełen reżim RODO.
Firma musi mieć podstawę prawną do przetwarzania tych danych przez AI. Musi też wiedzieć, gdzie trafiają wprowadzone informacje. I musi umieć wykazać, że zadbała o bezpieczeństwo całego procesu. Brak kontroli nad tym, co pracownicy wklejają do publicznych narzędzi AI, to dziś jedno z najczęstszych źródeł naruszeń ochrony danych w firmach.
Nowy etap AI Act, który dotyka RODO
Od 2 sierpnia 2026 roku obowiązują przepisy AI Act dotyczące przejrzystości. To obowiązki określone w art. 50 rozporządzenia. W praktyce oznaczają one konieczność informowania odbiorców, gdy mają do czynienia z treścią wygenerowaną przez AI. Ta zasada obejmuje znacznie szersze grono firm niż tylko systemy wysokiego ryzyka.
Pełne wdrożenie obowiązków dla systemów wysokiego ryzyka – na przykład w rekrutacji czy scoringu kredytowym – zostało przesunięte w czasie. Inaczej jest z zakazem praktyk manipulacyjnych. Nie podlega żadnemu odroczeniu. To samo dotyczy obowiązku tzw. AI literacy, czyli zapewnienia pracownikom kompetencji do bezpiecznej obsługi AI.
Dla przedsiębiorcy oznacza to jedno. To dobry moment, by zrobić przegląd narzędzi AI używanych w firmie i sprawdzić, które z nich przetwarzają dane osobowe.
Kiedy trzeba zrobić DPIA przy wdrażaniu AI?
Ocena skutków dla ochrony danych, czyli DPIA, to dokument potwierdzający świadome podejście do ryzyka. Pokazuje, że firma przeanalizowała zagrożenia, zamiast wdrożyć narzędzie bez zastanowienia. Według stanowiska UODO, wdrożenie AI niemal zawsze spełnia przesłanki wymagające takiej oceny. Dotyczy to zwłaszcza profilowania, zautomatyzowanego podejmowania decyzji oraz przetwarzania danych na dużą skalę.
DPIA warto przeprowadzić, zanim narzędzie trafi do codziennego użytku. Nie po fakcie. Taka kolejność znacznie ułatwia rozmowę z klientami i partnerami biznesowymi. Coraz częściej pytają oni dostawców usług o zgodność z RODO.
Obowiązki informacyjne wobec klientów i pracowników
Osoby, których dane przetwarza AI, mają swoje prawa. Mają prawo wiedzieć, kto przetwarza ich dane i w jakim celu. Mają też prawo znać podstawę prawną przetwarzania oraz czas przechowywania danych. Ważna jest również informacja czy dane trafiają poza Europejski Obszar Gospodarczy.
W przypadku narzędzi chmurowych i modeli generatywnych opisanie tych kwestii bywa trudniejsze. Właśnie wtedy przejrzystość ma jednak największe znaczenie. Dobrą praktyką jest aktualizacja polityki prywatności o informację, że firma korzysta z AI. Warto też jasno wskazać, w jakich procesach jest ona wykorzystywana.
AI w rekrutacji i HR – szczególna ostrożność
Prezes UODO zwraca uwagę na dodatkowe ryzyko systemów AI w zatrudnieniu. Mogą one powielać uprzedzenia obecne w danych treningowych. Mogą też analizować więcej informacji o kandydacie, niż pozwala na to Kodeks pracy.
Jeśli Twoja firma korzysta z AI do wstępnej selekcji CV, zadbaj o przejrzystość tego procesu. Kandydat powinien móc go zrozumieć. Ostateczna decyzja rekrutacyjna powinna zawsze należeć do człowieka. AI może wspierać ten proces, ale nie powinna go zastępować.
Jak bezpiecznie wdrożyć AI w firmie?
Zanim wprowadzisz nowe narzędzie AI, sprawdź kilka rzeczy. Po pierwsze, ustal, czy narzędzie przetwarza dane osobowe i jakie dokładnie. Po drugie, zweryfikuj lokalizację serwerów dostawcy. Sprawdź też, czy podpisano z nim umowę powierzenia przetwarzania danych.
Po trzecie, oceń, czy sytuacja wymaga DPIA. Po czwarte, przeszkol pracowników. Zakaz wklejania danych klientów do publicznych chatbotów powinien być jasną zasadą, a nie niepisanym oczekiwaniem. Po piąte, zaktualizuj dokumentację ochrony danych i politykę prywatności tak, by uwzględniały wykorzystanie AI.
Takie podejście pozwala korzystać z możliwości sztucznej inteligencji bez zbędnego ryzyka. Chroni przed karą finansową i utratą zaufania klientów.
