Wdrażanie RODO w systemach AI nie musi być chaosem. Kluczowe kroki to: zinwentaryzowanie danych osobowych używanych do treningu i inference, przeprowadzenie oceny skutków (DPIA), wdrożenie zasady minimalizacji danych, zapewnienie realizacji praw osób, których dane dotyczą, oraz udokumentowanie całego procesu. Ten przewodnik przeprowadzi Cię przez każdy z tych etapów w praktyczny, konkretny sposób – bez prawniczego żargonu, za to z narzędziami i przykładami, których naprawdę potrzebujesz.
Dlaczego wdrażanie RODO w systemach AI to osobny temat
RODO obowiązuje od 2018 roku, ale jego zastosowanie do systemów opartych na sztucznej inteligencji wciąż sprawia organizacjom realny kłopot. Dlaczego? Bo AI nie przetwarza danych w przewidywalny, liniowy sposób. Model językowy może „zapamiętać" fragmenty danych treningowych. System rekomendacyjny może profilować użytkowników w sposób, który nie był planowany na etapie projektu. Algorytm rekrutacyjny może podejmować decyzje wywierające prawny skutek na konkretną osobę.
Urząd Ochrony Danych Osobowych (UODO) w Polsce nałożył w 2023 roku karę ponad 1 mln zł na podmiot, który stosował zautomatyzowane profilowanie bez odpowiedniej podstawy prawnej. Europejski Inspektor Ochrony Danych (EDPS) opublikował w 2024 roku wytyczne wprost adresujące systemy generatywnej AI. A od sierpnia 2026 roku wchodzą w życie kolejne przepisy AI Act – rozporządzenia UE, które nakłada obowiązki komplementarne wobec RODO.
Innymi słowy: jeśli Twoja organizacja używa AI do przetwarzania danych osobowych – nawet pośrednio – zgodność z RODO jest kwestią, którą musisz zaadresować teraz.
Krok 1 – Zinwentaryzuj dane osobowe w ekosystemie AI
Zanim cokolwiek wdrożysz, musisz wiedzieć, co masz. Inwentaryzacja to fundament każdej implementacji RODO w systemach AI.
Co dokładnie powinieneś zmapować
- Dane treningowe – skąd pochodzą, czy zawierają dane osobowe, czy były zbierane zgodnie z prawem
- Dane wejściowe (input) – co użytkownicy lub systemy podają modelowi podczas korzystania
- Dane wyjściowe (output) – czy model generuje treści zawierające dane osobowe
- Logi i metadane – kto korzystał z systemu, kiedy, z jakiego kontekstu
- Dane używane do fine-tuningu lub feedbacku – np. oceny użytkowników, poprawki do odpowiedzi
Praktyczny sposób: stwórz arkusz kalkulacyjny (lub użyj narzędzia jak OneTrust, Privado.ai albo DataGrail) z kolumnami: kategoria danych, źródło, podstawa prawna, cel przetwarzania, okres retencji, lokalizacja (serwer EU/non-EU), dostęp podmiotów trzecich.
Uwaga: Dane anonimowe są poza zakresem RODO – ale prawdziwa anonimizacja w kontekście AI jest trudniejsza, niż się wydaje. Badania pokazują, że modele językowe mogą odtwarzać dane osobowe z pozornie zanonimizowanych zbiorów treningowych (źródło: Carlini et al., 2021, „Extracting Training Data from Large Language Models").
Krok 2 – Ustal podstawę prawną przetwarzania
Każde przetwarzanie danych osobowych musi mieć podstawę prawną z art. 6 RODO (lub art. 9 dla danych szczególnych kategorii). W systemach AI najczęściej pojawia się kilka scenariuszy:
Zgoda (art. 6 ust. 1 lit. a)
Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. W praktyce oznacza to, że użytkownik musi wiedzieć, że jego dane posłużą do treningu modelu AI – i mieć realną możliwość odmowy bez konsekwencji. Wstępnie zaznaczone checkboxy są nielegalne. Zgoda na „personalizację usług" nie obejmuje automatycznie trenowania modeli.
Uzasadniony interes (art. 6 ust. 1 lit. f)
To najczęściej nadużywana podstawa. Wymaga przeprowadzenia tzw. testu równowagi interesów (legitimate interest assessment, LIA). Musisz wykazać, że Twój interes nie przeważa nad interesami i prawami osób, których dane dotyczą. Dla systemów AI wysokiego ryzyka (np. scoring kredytowy, monitoring pracowników) ta podstawa rzadko się sprawdzi.
Wykonanie umowy (art. 6 ust. 1 lit. b)
Obejmuje przetwarzanie niezbędne do realizacji usługi. Jeśli AI jest wbudowana w produkt, który użytkownik zamówił – to może być adekwatna podstawa. Nie obejmuje jednak dodatkowego treningu modeli na danych z umowy.
Obowiązek prawny i interes publiczny
Dla instytucji publicznych lub regulowanych sektorów (finanse, ochrona zdrowia) – art. 6 ust. 1 lit. c i e mogą być właściwą podstawą, ale wymagają szczegółowej analizy sektorowej.
Krok 3 – Przeprowadź ocenę skutków dla ochrony danych (DPIA)
Ocena skutków dla ochrony danych (Data Protection Impact Assessment, DPIA) jest obowiązkowa, gdy przetwarzanie „może powodować wysokie ryzyko" dla praw osób. Systemy AI spełniają ten próg praktycznie zawsze
