Czy AI jest zgodne z RODO – checklista dla firmy

Krótka odpowiedź: tak, AI może być zgodne z RODO, pod warunkiem, że masz podstawę prawną do przetwarzania danych, ograniczasz je do niezbędnego minimum, wiesz, dokąd trafiają, i zachowujesz przejrzystość wobec osób, których dane dotyczą. Sama technologia nie jest ani „legalna”, ani „nielegalna”. Decyduje sposób, w jaki jej używasz. Pytanie „czy AI jest zgodne z RODO” sprowadza się więc do kilku konkretnych pytań kontrolnych o Twój proces, nie o samo narzędzie. W LogicMorrow wdrażamy automatyzacje i agentów AI dla MŚP w całej Polsce i każde wdrożenie zaczynamy właśnie od tej checklisty, dlatego poniżej dzielimy się nią w całości.

Disclaimer: Ten artykuł ma charakter edukacyjny i informacyjny. Nie stanowi porady prawnej. Stan prawny opisujemy na podstawie aktów źródłowych obowiązujących w 2026 roku. W indywidualnej sprawie skonsultuj się z prawnikiem specjalizującym się w ochronie danych osobowych i prawie nowych technologii.

Kiedy AI w ogóle podlega RODO

RODO, czyli Rozporządzenie (UE) 2016/679, obowiązuje wtedy, gdy przetwarzane są dane osobowe, czyli wszelkie informacje o możliwej do zidentyfikowania osobie fizycznej. To kluczowy próg: jeśli Twoje narzędzie AI nie dotyka danych osobowych, RODO go nie obejmuje (choć może obejmować AI Act). W praktyce jednak granica jest cieńsza, niż się wydaje.

Dane osobowe to nie tylko imię, nazwisko i PESEL. To także adres e-mail, numer telefonu, adres IP, treść korespondencji z klientem, nagranie rozmowy czy zdjęcie. Jeśli wklejasz do modelu językowego e-mail od klienta, by wygenerować odpowiedź, przetwarzasz dane osobowe. Jeśli agent AI analizuje historię zamówień konkretnych kontrahentów, przetwarzasz dane osobowe. Jeśli chatbot na stronie zbiera imię i adres e-mail, przetwarzasz dane osobowe.

Wniosek dla MŚP jest prosty: większość firmowych zastosowań AI dotyka danych osobowych, więc RODO niemal zawsze wchodzi w grę. Pytanie nie brzmi „czy”, lecz „czy robimy to zgodnie”. I tu zaczyna się checklista.

Checklista: czy moje wdrożenie AI jest zgodne z RODO

Poniżej osiem pytań kontrolnych, które przechodzimy przed każdym wdrożeniem u klienta. Jeśli na wszystkie odpowiadasz świadomie i twierdząco, jesteś na dobrej drodze do zgodności. Każde „nie wiem” to sygnał do zatrzymania się.

• Czy przetwarzasz dane osobowe? Ustal, czy narzędzie w ogóle dotyka danych identyfikujących osoby (klientów, kontrahentów, pracowników). Jeśli tak, RODO obowiązuje w całości.
• Jaka jest podstawa prawna? Każde przetwarzanie wymaga jednej z podstaw z art. 6 RODO: zgoda, wykonanie umowy, prawnie uzasadniony interes, obowiązek prawny. „Bo to wygodne” nie jest podstawą prawną.
• Czy minimalizujesz dane? Podaj narzędziu tylko dane niezbędne do celu. Nie wrzucaj całej bazy klientów, gdy wystarczy jeden rekord. Minimalizacja to wymóg RODO, nie dobra praktyka „na plus”.
• Gdzie trafiają dane: model publiczny czy kontrolowany? Sprawdź, czy dane opuszczają Twoją kontrolę i czy nie są wykorzystywane do trenowania cudzego modelu. To najczęstsze źródło naruszeń.
• Czy masz umowę powierzenia z dostawcą? Jeśli dane osobowe przetwarza zewnętrzny dostawca AI, jest on podmiotem przetwarzającym, potrzebujesz umowy powierzenia (art. 28 RODO).
• Czy zapewniasz przejrzystość wobec osób? Klient lub pracownik powinien wiedzieć, że jego dane są przetwarzane i że może mieć kontakt z systemem automatycznym. To obowiązek informacyjny z art. 13–14 RODO.
• Czy system podejmuje decyzje automatyczne (art. 22)? Jeśli AI samodzielnie rozstrzyga sprawy o istotnym skutku (np. odrzucenie wniosku), obowiązują szczególne wymogi i prawo do interwencji człowieka.
• Czy jest nadzór człowieka? Zapewnij, że istotne rozstrzygnięcia może skontrolować i skorygować człowiek. Nadzór to bezpiecznik, który chroni i klienta, i firmę.

Przejście tej listy zajmuje typowemu MŚP kilka godzin, a porządkuje sytuację na długo. To zarazem najlepszy moment, by zaprojektować wdrożenie od razu zgodnie z prawem od początku, zamiast łatać zgodność po fakcie.

Najczęstsze naruszenie: dane klientów w publicznym modelu

Z naszej praktyki wynika, że jedno naruszenie powraca częściej niż wszystkie inne razem wzięte: wklejanie danych osobowych klientów do publicznych, darmowych narzędzi AI. Pracownik chce szybciej napisać odpowiedź albo streścić umowę, więc kopiuje cały e-mail lub dokument do popularnego czatu w przeglądarce. Problem w tym, że w wielu darmowych planach wprowadzone treści mogą być wykorzystywane do dalszego trenowania modelu i trafiają poza kontrolę firmy.

To klasyczny przykład sytuacji, w której nie technologia jest niezgodna z RODO, lecz sposób jej użycia. To samo zadanie wykonane w środowisku kontrolowanym (z umową powierzenia, wyłączonym uczeniem na danych firmy i ograniczonym zakresem danych wejściowych) może być w pełni zgodne. Dlatego w temacie AI a dane osobowe w firmie zawsze zaczynamy od pytania, dokąd te dane realnie trafiają, zanim w ogóle dobierzemy narzędzie.

Jeśli interesuje Cię szerszy obraz prawny, czyli jak RODO łączy się z nową regulacją technologii, opisaliśmy to w artykule AI Act a RODO w firmie. Tutaj skupiamy się na praktyce ochrony danych przy konkretnym wdrożeniu.

Pytanie kontrolne: co zrobić w praktyce

Checklistę najłatwiej zamienić w działanie, gdy każdemu pytaniu przypiszesz konkretny krok. Poniższa tabela porządkuje to, co w MŚP załatwia większość spraw związanych z RODO a sztuczną inteligencją.

Tabela odpowiada na pytanie, które słyszymy najczęściej: „dobrze, wiem czego wymaga RODO, ale co konkretnie mam zrobić jutro rano”. Te osiem kroków to właśnie to.

Schemat decyzyjny: czy mogę użyć tych danych w AI

Gdy zespół ma wątpliwość przy konkretnym zadaniu, najszybciej rozstrzyga ją prosty schemat decyzyjny. Pytasz po kolei: czy w grze są dane osobowe, czy masz podstawę prawną i dokąd dane trafiają. Jeśli na którymkolwiek etapie odpowiedź jest niepokojąca, zatrzymujesz się, zanim dane opuszczą firmę.

Ten sposób myślenia warto wbudować w codzienne nawyki zespołu. Nie chodzi o to, by przy każdym zadaniu czytać rozporządzenie, lecz by mieć odruch zadania trzech pytań, zanim wrażliwa treść trafi do narzędzia. To najtańsza forma ochrony danych, jaką znamy, i działa niezależnie od tego, jakiego narzędzia AI używacie.

Jak projektujemy wdrożenia zgodne z prawem od początku

Naszym zdaniem zgodność z RODO nie powinna być dodatkiem doklejanym po wdrożeniu, lecz właściwością samego projektu. Dlatego wdrożenia automatyzacji i agentów AI projektujemy tak, by minimalizacja danych, kontrola nad tym, dokąd trafiają, oraz nadzór człowieka były wbudowane od pierwszego dnia. To właśnie znaczy zgodność wbudowana od początku: wynika z samej budowy systemu, a nie z dyscypliny pojedynczego pracownika.

W praktyce oznacza to, że agenta AI do obsługi klientów lub ofertowania budujemy z ograniczonym zakresem danych wejściowych, w środowisku, w którym wiadomo, gdzie dane są przechowywane, i z jasną informacją dla odbiorcy, że rozmawia z systemem. Wdrażamy w 2–4 tygodnie, z bezpośrednim kontaktem przez cały projekt, bez korporacyjnej biurokracji, za to z porządkiem od strony ochrony danych. Zgodność z RODO to jeden z elementów szerszej układanki, a pełny obraz wdrażania technologii w MŚP zebraliśmy w przewodniku automatyzacja i AI w małej firmie.

Jeśli chcesz sprawdzić, czy Twoje obecne lub planowane użycie AI jest zgodne z RODO, umów bezpłatną konsultację, przejdziemy razem przez tę checklistę na Twoim konkretnym przypadku.

Źródła i akty prawne

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO/GDPR): reguluje ochronę osób fizycznych w związku z przetwarzaniem danych osobowych; w szczególności art. 6 (podstawy prawne), art. 13–14 (obowiązek informacyjny), art. 22 (decyzje zautomatyzowane), art. 28 (powierzenie przetwarzania).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act): reguluje samą technologię sztucznej inteligencji, uzupełniając RODO o klasyfikację ryzyka i obowiązki przejrzystości.
• Wytyczne i komunikaty UODO (Urząd Ochrony Danych Osobowych): krajowe źródło interpretacji RODO w Polsce, w tym w kontekście narzędzi opartych na sztucznej inteligencji.

FAQ: najczęstsze pytania o AI a dane osobowe

Czy AI jest zgodne z RODO?

Tak, AI może być zgodne z RODO, jeśli przetwarzanie danych osobowych ma podstawę prawną, jest ograniczone do niezbędnego minimum, dane pozostają pod kontrolą firmy, a osoby, których dotyczą, są poinformowane. Zgodność zależy od sposobu użycia narzędzia, a nie od samej technologii.

Czy mogę wkleić dane klienta do ChatGPT?

To zależy od planu i ustawień narzędzia. W wielu darmowych wersjach wprowadzone treści mogą być wykorzystywane do trenowania modelu i opuszczają kontrolę firmy, co bywa naruszeniem RODO. Bezpieczniej jest używać środowiska kontrolowanego, z umową powierzenia i wyłączonym uczeniem na danych firmy.

Czy potrzebuję zgody klienta, by przetwarzać jego dane przez AI?

Zgoda to tylko jedna z podstaw prawnych z art. 6 RODO. Często wystarczającą podstawą jest wykonanie umowy lub prawnie uzasadniony interes. Kluczowe jest świadome przypisanie konkretnej podstawy przed rozpoczęciem przetwarzania, a nie automatyczne zbieranie zgód na wszelki wypadek.

Co to jest umowa powierzenia i kiedy jej potrzebuję?

Umowa powierzenia (art. 28 RODO) reguluje, jak zewnętrzny dostawca przetwarza dane osobowe w Twoim imieniu. Potrzebujesz jej, gdy dane osobowe trafiają do dostawcy narzędzia AI lub usługi chmurowej. Określa ona zakres, cel i zabezpieczenia przetwarzania oraz odpowiedzialność stron.

Czy minimalizacja danych dotyczy też narzędzi AI?

Tak, zasada minimalizacji z RODO obowiązuje niezależnie od technologii. Do narzędzia AI należy podawać wyłącznie dane niezbędne do osiągnięcia celu. Wprowadzanie nadmiarowych danych, bo model lepiej działa, jest naruszeniem zasady minimalizacji i zwiększa ryzyko incydentu.

Czy AI może samodzielnie podejmować decyzje o klientach?

Art. 22 RODO ogranicza w pełni zautomatyzowane decyzje wywołujące skutki prawne lub podobnie istotne. Przy takich rozstrzygnięciach osoba ma prawo do interwencji człowieka i wyjaśnienia decyzji. W praktyce MŚP bezpieczniej jest, by AI wspierała człowieka, a ostateczne rozstrzygnięcie należało do pracownika.

Od czego zacząć sprawdzanie zgodności AI z RODO?

Zacznij od pytania, czy narzędzie przetwarza dane osobowe i jaka jest podstawa prawna. Następnie sprawdź, dokąd trafiają dane i czy masz umowę powierzenia z dostawcą. Te pierwsze kroki z checklisty pozwalają szybko wychwycić najpoważniejsze ryzyka, zanim sięgniesz po dalsze szczegóły.