Błędy RODO i sztuczna inteligencja to połączenie, które coraz częściej kończy się postępowaniami przed Urzędem Ochrony Danych Osobowych. Firmy wdrażają ChatGPT, Copilota czy własne modele ML — i niemal natychmiast wpadają w te same pułapki prawne. Najgorsze? Większość z nich jest w pełni przewidywalna i możliwa do uniknięcia. W tym artykule omawiam pięć błędów, które widzę najczęściej, z konkretnymi przykładami i wskazówkami, co zrobić zamiast tego.
Dlaczego AI i RODO to wyjątkowo gorący temat
W 2023 roku włoski organ ochrony danych (Garante) tymczasowo zablokował ChatGPT na terenie Włoch — to był sygnał alarmowy dla całej Europy. Od tego czasu liczba postępowań dotyczących naruszeń RODO przez AI gwałtownie rośnie. Tylko w 2023 roku łączna wartość kar nałożonych przez europejskie organy nadzorcze przekroczyła 1,78 miliarda euro (źródło: enforcementtracker.com).
Polski UODO również nie śpi — w 2024 roku wszczął pierwsze postępowania wyjaśniające dotyczące systemów AI przetwarzających dane klientów. Kary mogą sięgać 20 milionów euro lub 4% globalnego obrotu — cokolwiek jest wyższe.
Brzmi abstrakcyjnie? Dla średniej firmy handlowej z obrotem 10 mln zł rocznie kara 4% to 400 000 zł. Za jeden błąd wdrożeniowy.
Błąd 1: Brak podstawy prawnej do przetwarzania danych w systemie AI
To najczęstszy i jednocześnie najbardziej fundamentalny błąd RODO przy sztucznej inteligencji. Firma kupuje licencję na narzędzie AI, podpina do niego bazę klientów i... uruchamia. Bez zastanowienia się nad pytaniem: na jakiej podstawie prawnej przetwarzamy te dane?
RODO wymaga, żebyś dla każdej operacji przetwarzania miał jedną z sześciu podstaw z art. 6 rozporządzenia. W kontekście AI najczęściej w grę wchodzą:
- Zgoda (art. 6 ust. 1 lit. a) — musi być dobrowolna, konkretna, świadoma i jednoznaczna
- Uzasadniony interes (art. 6 ust. 1 lit. f) — wymaga testu równoważenia interesów (tzw. LIA — Legitimate Interest Assessment)
- Wykonanie umowy (art. 6 ust. 1 lit. b) — tylko jeśli AI rzeczywiście jest niezbędna do realizacji umowy
Gdzie konkretnie firmy się mylą
Najpopularniejszy błąd to podpięcie danych klientów do narzędzia AI na podstawie zgody marketingowej zebranej dwa lata temu — zgody, która nie obejmowała przetwarzania w systemach AI. To tak, jakbyś zebrał zgodę na wysyłkę newslettera i nagle wykorzystał te dane do trenowania modelu predykcyjnego.
Uwaga: Jeśli korzystasz z zewnętrznego dostawcy AI (np. OpenAI API, Azure OpenAI, Google Vertex), musisz też sprawdzić, czy dostawca przetwarza dane jako podmiot przetwarzający (czyli potrzebujesz umowy powierzenia — DPA) czy jako niezależny administrator. To dwie zupełnie różne sytuacje prawne.
Co zrobić: Przed wdrożeniem każdego narzędzia AI przeprowadź analizę podstawy prawnej. Zaktualizuj politykę prywatności i — jeśli to konieczne — zbierz nowe zgody. W przypadku uzasadnionego interesu udokumentuj test LIA.
Błąd 2: Pominięcie oceny skutków dla ochrony danych (DPIA)
Ocena skutków dla ochrony danych (ang. Data Protection Impact Assessment, DPIA) to obowiązkowe narzędzie, które musisz zastosować, gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób. Art. 35 RODO wskazuje wprost, że dotyczy to m.in. systematycznej, zautomatyzowanej oceny osób.
AI prawie zawsze kwalifikuje się do DPIA. Dlaczego? Bo:
- Przetwarza dane na dużą skalę
- Często profiluje użytkowników
- Może podejmować lub wspomagać decyzje o znaczącym wpływie na ludzi (scoring kredytowy, rekrutacja, wycena ubezpieczeń)
Realne przykłady systemów AI wymagających DPIA
- Chatbot obsługi klienta analizujący historię zakupów i emocje
- System rekomendacji produktów oparty na profilowaniu
- Narzędzie HR analizujące CV i oceniające kandydatów
- Monitoring pracowników z wykorzystaniem computer vision
- System antyfraduowy oceniający ryzyko transakcji
W przypadku H&M niderlandzki organ nałożył karę 35,3 mln euro m.in. za to, że firma zbierała i analizowała szczegółowe dane osobowe pracowników bez odpowiedniej podstawy prawnej i bez oceny ryzyka. AI było częścią tej układanki.
Co zrobić: Zanim wdrożysz system AI, wypełnij formularz DPIA (UODO udostępnia wytyczne na uodo.gov.pl). Jeśli po analizie ryzyko pozostaje wysokie, skonsultuj się z organem nadzorczym. DPIA to nie formalność — to konkretna ochrona prawna dla Twojej firmy.
Błąd 3: Automatyczne podejmowanie decyzji bez poinformowania osób
Art. 22 RODO daje osobom fizycznym prawo do tego, żeby nie podlegały decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, jeśli te decyzje wywołują wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływają.
To jeden z problemów prawnych AI i RODO, który jest najczęściej bagatelizowany — bo brzmi skomplikowanie, a w praktyce jest bardzo prosty.
Kiedy art. 22 ma zastosowanie?
- System AI automatycznie odrzuca wniosek kredytowy
- Algorytm rekrutacyjny odfiltruje CV bez udziału człowieka
- Chatbot blokuje dostęp do konta na podstawie oceny ryzyka
- System ubezpieczeniowy automatycznie wycenia polisę
Ważne: "Wyłącznie zautomatyzowane" to kluczowe słowo. Jeśli człowiek faktycznie (a nie tylko formalnie) weryfikuje decyzję AI — przepis nie ma zastosowania. Jednak "gumowanie" decyzji AI przez człowieka, który nie ma czasu ani narzędzi do realnej weryfikacji, nie spełnia tego wymogu.
Jeśli Twój system spełnia kryteria art. 22, musisz:
- Poinformować osobę o tym fakcie (w polityce prywatności lub bezpośrednio)
- Zapewnić jej prawo do uzyskania interwencji ludzkiej
- Umożliwić wyrażenie stanowiska i zakwestionowanie decyzji
Co zrobić: Zrób audyt wszystkich procesów decyzyjnych w firmie, w których uczestniczy AI. Tam, gdzie decyzja jest w pełni automatyczna i ma istotny wpływ na osobę — wdroż mechanizm odwołania i zapewnij udział człowieka.
Błąd 4: Nieświadome przekazywanie danych osobowych do krajów trzecich
Kiedy używasz narzędzi AI opartych na chmurze — ChatGPT API, Google Gemini, AWS AI Services — Twoje dane mogą być przetwarzane na serwerach w USA lub innych krajach poza Europejskim Obszarem Gospodarczym. To przekazanie danych do kraju trzeciego w rozumieniu RODO i wymaga spełnienia dodatkowych warunków.
Po unieważnieniu Privacy Shield w 2020 roku (wyrok Schrems II) i wejściu w życie EU-US Data Privacy Framework w 2023 roku sytuacja się nieco ustabilizowała — ale nadal wymaga aktywnego działania z Twojej strony.
Jak to wygląda w praktyce
Firma wdraża chatbota opartego na OpenAI API. Pracownicy wklejają do niego dane klientów — imiona, adresy, numery zamówień, a czasem PESEL. Te dane trafiają na serwery OpenAI w USA. Firma nie sprawdziła, czy OpenAI jest certyfikowany w ramach EU-US DPF, nie podpisała standardowych klauzul umownych (SCC) i nie poinformowała klientów o tym przekazaniu.
To naruszenia RODO przez AI w czystej postaci. Organ może nałożyć karę nawet bez faktycznej szkody dla osób — sam brak zgodności jest wystarczający.
Co zrobić:
- Sprawdź, gdzie fizycznie przetwarzane są dane przez Twojego dostawcę AI
- Zweryfikuj, czy dostawca figuruje w rejestrze EU-US DPF
- Jeśli nie — podpisz standardowe klauzule umowne (SCC) i przeprowadź Transfer Impact Assessment (TIA)
- Zaktualizuj politykę prywatności o informację o przekazywaniu danych
Błąd 5: Brak procedur na wypadek naruszenia ochrony danych
AI przetwarza dane szybciej i w większej skali niż jakikolwiek ludzki pracownik. To oznacza, że gdy coś pójdzie nie tak — skala naruszenia może być ogromna. Wyciek, nieuprawniony dostęp, błędne działanie modelu, który udostępnia dane jednego klienta innemu — to realne scenariusze.
RODO nakłada obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin od jego wykrycia (art. 33). Jeśli naruszenie może powodować wysokie ryzyko dla osób — musisz też poinformować te osoby bezpośrednio (art. 34).
Gdzie firmy tracą 72 godziny
Najczęstszy scenariusz: incydent bezpieczeństwa wykrywa zewnętrzna firma IT w piątek wieczorem. Nikt nie wie, kogo zadzwonić. Nie ma procedury. DPO (jeśli jest) dowiaduje się w poniedziałek. Prawnicy potrzebują dnia na analizę. Do wtorku rano minęło już ponad 72 godziny.
Brak zgłoszenia lub spóźnione zgłoszenie to samodzielna podstawa do nałożenia kary — niezależnie od tego, czy naruszenie samo w sobie było poważne.
Co zrobić:
- Opracuj procedurę zarządzania incydentami — kto co robi, w jakiej kolejności, w jakim czasie
- Wyznacz osobę (lub zespół) odpowiedzialną za reakcję na incydenty AI
- Skonfiguruj monitoring i alerty w systemach AI — logowanie dostępów, anomalie w zapytaniach
- Regularnie testuj procedury (ćwiczenia symulacyjne)
- Przechowuj dokumentację incydentów w rejestrze naruszeń
Pamiętaj: Zgłoszenie naruszenia do UODO to nie przyznanie się do winy — to obowiązek prawny, który świadczy o dojrzałości organizacji. Organ łagodniej patrzy na firmy, które samodzielnie zgłaszają naruszenia niż na te, u których naruszenia są wykrywane podczas kontroli.
Jak uniknąć kar RODO przy AI — lista kontrolna
Zanim wdrożysz jakikolwiek system AI w firmie, przejdź przez tę listę:
- Czy mam zidentyfikowaną podstawę prawną przetwarzania danych?
- Czy przeprowadziłem DPIA?
- Czy poinformowałem osoby o zautomatyzowanym podejmowaniu decyzji (jeśli dotyczy)?
- Czy sprawdziłem, gdzie fizycznie przetwarzane są dane przez dostawcę AI?
- Czy podpisałem umowę powierzenia przetwarzania danych z dostawcą?
- Czy zaktualizowałem politykę prywatności?
- Czy mam procedurę reagowania na incydenty?
- Czy zaktualizowałem rejestr czynności przetwarzania?
Brak choćby jednego punktu to luka, którą może wykorzystać organ nadzorczy lub — w przypadku naruszenia — poszkodowana osoba.
Jeśli czujesz, że te zagadnienia to dla Ciebie nowy teren, najskuteczniejszym krokiem jest zdobycie solidnej wiedzy zanim popełnisz któryś z tych błędów. Kurs RODO i AI: Ochrona Danych w Erze AI dostępny na vita.edu.pl prowadzi Cię przez wszystkie kluczowe wymogi prawne — od oceny podstawy prawnej, przez DPIA, po procedury incydentowe — w kontekście konkretnych narzędzi AI używanych w biznesie.
Kurs jest częścią abonamentu VITA, który możesz wypróbować przez 7 dni całkowicie za darmo — bez kodów, bez zobowiązań, z możliwością anulowania kiedy chcesz. Przez tydzień masz dostęp do wszystkich kursów platformy, nie tylko do tego jednego. Zacznij darmowy trial na vita.edu.pl/abonament — to zdecydowanie tańsze niż pierwsza kara od UODO.
FAQ — najczęściej zadawane pytania o błędy RODO i AI
Czy używanie ChatGPT w firmie jest zgodne z RODO?
To zależy od tego, jakich danych używasz i jak skonfigurujesz narzędzie. Wklejanie danych osobowych klientów do standardowego interfejsu ChatGPT (chat.openai.com) jest ryzykowne — OpenAI może wykorzystywać te dane do trenowania modeli. Bezpieczniejszą opcją jest ChatGPT Enterprise lub korzystanie z API z wyłączonym trenowaniem modeli. W każdym przypadku potrzebujesz podstawy prawnej, umowy powierzenia i wpisu w rejestrze czynności przetwarzania.
Kiedy muszę przeprowadzić DPIA dla systemu AI?
Obowiązek DPIA powstaje, gdy przetwarzanie może powodować wysokie ryzyko — a systemy AI bardzo często ten próg przekraczają. UODO i EROD wskazują, że jeśli spełniasz dwa lub więcej z dziewięciu kryteriów ryzyka (m.in. profilowanie, dane wrażliwe, duża skala, decyzje automatyczne), DPIA jest obowiązkowa. W praktyce: jeśli AI przetwarza dane klientów lub pracowników i podejmuje lub wspiera decyzje — rób DPIA.
Jakie kary grożą za naruszenia RODO przez AI?
RODO przewiduje dwa poziomy kar: do 10 mln euro (lub 2% obrotu) za naruszenia obowiązków organizacyjnych (brak DPIA, brak umowy powierzenia) i do 20 mln euro (lub 4% obrotu) za naruszenia podstawowych zasad przetwarzania lub praw osób. W Polsce UODO nakładał dotąd kary od kilkudziesięciu tysięcy do kilku milionów złotych — trend jest wzrostowy.
Czy muszę informować klientów, że używam AI?
Nie ma ogólnego obowiązku informowania o używaniu AI, ale masz obowiązek informować o wszystkich operacjach przetwarzania danych (art. 13-14 RODO). Jeśli AI jest narzędziem przetwarzania danych klientów — tak, informacja o tym powinna znaleźć się w polityce prywatności. Jeśli AI podejmuje zautomatyzowane decyzje z istotnymi skutkami — informacja jest obowiązkowa i musi być podana z wyprzedzeniem.
Jak sprawdzić, czy dostawca AI jest zgodny z RODO?
Poproś dostawcę o Data Processing Agreement (DPA/umowę powierzenia) i sprawdź jej treść — szczególnie zapisy o podpowierzaniu, lokalizacji serwerów i środkach bezpieczeństwa. Dla dostawców amerykańskich sprawdź certyfikację w ramach EU-US Data Privacy Framework na dataprivacyframework.gov. Renomowani dostawcy (Microsoft, Google, AWS) mają gotowe DPA i szczegółową dokumentację compliance — szukaj jej w sekcji "Trust Center" lub "Privacy" na ich stronach.
