Wdrożenie AI w firmie a RODO
Wdrożenie AI to nie tylko decyzja technologiczna – często wiąże się także z przetwarzaniem danych osobowych pracowników, kandydatów, klientów czy kontrahentów. Tymczasem kwestie związane z RODO nadal bywają uwzględniane zbyt późno, choć coraz uważniej przygląda się im PUODO. Dlatego przed wyborem i uruchomieniem narzędzia warto zweryfikować kluczowe ryzyka i obowiązki. W dalszej części omawiamy najważniejsze obszary, na które warto zwrócić uwagę przy wdrażaniu AI – z perspektywy RODO i praktyki PUODO.
PUODO ocenia, że organizacje nadal nie są gotowe na AI
Z badań przeprowadzonych przez PUODO wynika, że od 41 do 58,5% podmiotów nie dostrzega związku między narzędziami sztucznej inteligencji a przetwarzaniem danych osobowych. Jednocześnie zdecydowana większość ankietowanych (aż 95,9%) przyznaje, że nie jest przygotowana do wdrożenia rozwiązań AI zgodnie z wymogami RODO.
Wykorzystanie AI znajduje się obecnie w obszarze szczególnego zainteresowania PUODO. Widać to zarówno w sprawozdaniu organu za 2025 r., jak i w opublikowanym przez urząd zestawie pytań pomocniczych dla organizacji wdrażających rozwiązania AI.
Największym ryzykiem bywa AI, którego organizacja nie wdrożyła
W praktyce coraz częściej problemem jest wykorzystywanie ogólnodostępnych narzędzi przez pracowników bez wiedzy organizacji (tzw. shadow AI).
Przykładem takiego działania może być wykorzystanie przez pracownika narzędzia AI np. do przetłumaczenia wiadomości e-mail. Jeżeli przed wprowadzeniem treści do systemu nie usunie on danych osobowych lub informacji stanowiących tajemnicę przedsiębiorstwa, może doprowadzić do niekontrolowanego ujawnienia poufnych informacji. W takiej sytuacji organizacja ma zwykle ograniczoną wiedzę o zakresie danych przekazanych do narzędzia oraz sposobie ich dalszego wykorzystywania przez dostawcę.
Paradoksalnie remedium na problem shadow AI bardzo często nie jest ograniczanie dostępu do sztucznej inteligencji, lecz świadome wdrożenie narzędzi AI wybranych i zatwierdzonych przez organizację. W przeciwnym razie pracownicy mogą sięgać po przypadkowe rozwiązania na własną rękę, poza procedurami i kontrolą pracodawcy.
Od czego zacząć zgodne z RODO wdrożenie AI?
Wejście w życie AI Act spowodowało, że organizacje mocno koncentrują się na nowych obowiązkach związanych ze sztuczną inteligencją. Warto jednak pamiętać, że AI Act nie zastępuje RODO ani nie ogranicza obowiązków wynikających z przepisów o ochronie danych osobowych. Jeżeli organizacja wykorzystuje dane osobowe w związku z AI, zastosowanie znajdą również przepisy RODO.
Problemem wdrożeń jest to, że w praktyce pytania o compliance z przepisami pojawiają się za późno – często dopiero wtedy, gdy narzędzie zostało już wybrane lub nawet wdrożone. Wiele kluczowych decyzji dotyczących dostawcy, architektury rozwiązania czy zakresu wykorzystywanych danych jest wtedy już podjętych (co narusza przewidzianą w RODO zasadę privacy by design).
To, że organizacja posiada dokumentację RODO nie oznacza jeszcze, że jest przygotowana na korzystanie z AI.
Procesy związane z wykorzystaniem sztucznej inteligencji powinny zostać odpowiednio uwzględnione w istniejących procedurach, rejestrach i analizach dotyczących ochrony danych.
Czy można wykorzystywać dane osobowe do AI?
Wiele firm posiada już duże zasoby danych zgromadzonych w toku swojej działalności, np. dane pracowników, kandydatów do pracy, klientów czy użytkowników usług. Naturalnym pomysłem – który zdecydowanie powinien podlegać mocnej weryfikacji z perspektywy ochrony danych osobowych – jest wykorzystanie tych danych do budowy lub rozwijania systemów AI.
RODO nie wyklucza takiego działania, ale wymaga wcześniejszej oceny, czy nowe wykorzystanie danych jest zgodne z celem, dla którego zostały one pierwotnie zebrane.
Przy takiej analizie należy w szczególności odpowiedzieć na następujące pytania:
- Jaki jest związek pomiędzy pierwotnym celem przetwarzania danych a planowanym wykorzystaniem ich do AI?
- Jakie relacje łączą organizację z osobami, których dane dotyczą?
- Jaki charakter mają wykorzystywane dane i czy obejmują dane szczególnie chronione, np. dane dotyczące zdrowia?
- Jakie skutki wykorzystanie AI może wywołać dla osób, których dane dotyczą?
- Jakie środki bezpieczeństwa zastosowano, np. pseudonimizację lub szyfrowanie?
W praktyce oznacza to, że wykorzystanie istniejących baz danych do trenowania modeli lub budowy własnych rozwiązań AI powinno zostać poprzedzone odrębną analizą zgodności z RODO.
Kluczowe znaczenie ma wybór dostawcy
Jednym z pierwszych pytań, jakie należy sobie zadać, jest to, czy organizacja chce korzystać z gotowego rozwiązania oferowanego przez zewnętrznego dostawcę, czy też rozwijać własne narzędzie AI.
Nawet własne rozwiązania bardzo często bazują na modelach dostarczanych przez zewnętrznych dostawców, takich jak OpenAI, Anthropic czy inni dostawcy modeli generatywnych.
Jeżeli taki dostawca miałby uzyskiwać dostęp do danych osobowych przetwarzanych przez organizację, konieczne jest m.in. sprawdzenie:
- jakie środki bezpieczeństwa stosuje;
- czy oferuje warunki zgodne z wymogami RODO;
- czy możliwe jest zawarcie umowy powierzenia przetwarzania danych (to obowiązek wynikający z RODO – dostawca nie może odmówić zawarcia takiej umowy);
- czy dane nie będą wykorzystywane przez dostawcę do dalszego trenowania jego własnych modeli;
- gdzie dane będą przechowywane i przetwarzane – szczególną uwagę należy zwrócić na transfer danych poza Europejski Obszar Gospodarczy. W przypadku wielu popularnych narzędzi AI kwestia ta wymaga dodatkowej analizy i zastosowania odpowiednich zabezpieczeń prawnych.
Na jakie pytania warto odpowiedzieć przed wdrożeniem AI w firmie?
PUODO opublikował listę pytań, które mogą pomóc organizacjom ocenić gotowość do wdrożenia AI z perspektywy ochrony danych osobowych. Wśród nich znajdują się m.in. następujące kwestie:
- czy organizacja posiada politykę AI oraz procedury dotyczące zarządzania ryzykiem i incydentami związanymi z AI;
- czy wyznaczono osoby odpowiedzialne za nadzór nad wykorzystaniem AI;
- czy procedury dotyczące naruszeń ochrony danych obejmują również incydenty związane z AI;
- czy osoby, których dane dotyczą, są odpowiednio informowane o wykorzystaniu AI;
- czy organizacja potrafi wyjaśnić sposób działania wykorzystywanych systemów AI;
- czy przeprowadzono lub zaplanowano ocenę skutków dla ochrony danych (DPIA);
- czy procesy związane z AI zostały uwzględnione w rejestrze czynności przetwarzania;
- czy pracownicy zostali przeszkoleni z bezpiecznego korzystania z AI;
- czy przeanalizowano obowiązki wynikające z AI Act;
- czy spełniono wymagania dotyczące transparentności określone w AI Act.
- AI to nie tylko zakup nowego narzędzia
Wdrożenie AI nie powinno być traktowane wyłącznie jako projekt technologiczny. W wielu przypadkach oznacza ono również uruchomienie nowych procesów przetwarzania danych osobowych, które należy ocenić pod kątem zgodności z RODO oraz nowymi regulacjami dotyczącymi sztucznej inteligencji.
Dlatego przed uruchomieniem AI warto zweryfikować nie tylko funkcjonalność i możliwości biznesowe rozwiązania, ale również sposób wykorzystania danych, relacje z dostawcą oraz obowiązki regulacyjne, które mogą pojawić się wraz z wdrożeniem. Im wcześniej te kwestie zostaną uwzględnione, tym łatwiej będzie uniknąć problematycznych (i często kosztownych) zmian już po starcie.
Jeżeli planują Państwo wdrożenie AI lub już korzystają z takich rozwiązań w swojej organizacji, chętnie pomożemy przeanalizować związane z tym obowiązki wynikające z RODO i AI Act.
