Zanim wdrożycie narzędzie AI: pytania UODO dla firm

Co mówi UODO w skrócie?

Czym są listy pytań inicjalnych UODO?

To cztery zestawy pytań opublikowane przez UODO 6 sierpnia 2026 r.: dla małych i średnich przedsiębiorstw korzystających z gotowych systemów AI, dla sektora publicznego, wersja 0 dla pozostałych organizacji (w tym budujących lub dotrenowujących własne modele) oraz wersja rozszerzona, która oprócz RODO sygnalizuje obowiązki z AI Act. Przygotował je prof. UŁ dr hab. Dominik Lubasz wraz z członkami Społecznego Zespołu Ekspertów przy Prezesie UODO i ekspertami Urzędu.

Co musi być gotowe, zanim narzędzie AI dostanie dane klientów lub pracowników?

Według wersji dla MŚP: umowa z dostawcą, ustalona podstawa przetwarzania, informacja dla osób, których dane trafiają do narzędzia, i wiedza o tym, gdzie te dane są przechowywane. Jeśli narzędzie wpływa na sytuację ludzi, także weryfikacja wyniku przez pracownika. Szkolenie zespołu, zasady wprowadzania danych i postępowanie w razie błędu można realizować równolegle.

Czy wypełniona lista oznacza zgodność z RODO?

Nie. UODO zaznacza, że pytania nie zastępują analizy ryzyka, oceny skutków dla ochrony danych ani oceny wpływu na prawa podstawowe, nie są wiążącą wykładnią przepisów i nie przesądzają o zgodności z RODO. Odpowiedzi nie trzeba przedstawiać organowi nadzorczemu, ale wypełnioną listę należy zachować jako dowód, że firma sprawdziła te kwestie przed wdrożeniem.

Co opublikował UODO i dla kogo?

Zanim wdrożysz narzędzie AI, sprawdź czy jest ono zgodne z zasadami RODO, UODO, 6 sierpnia 2026 r.

• Badanie Społecznego Zespołu Ekspertów przy Prezesie UODO: od 41 do 58,5% podmiotów nie dostrzega związku między narzędziami AI a przetwarzaniem danych osobowych, a 95,9% nie uważa się za przygotowane do wdrożenia AI zgodnie z RODO.
• Pytanie o zgodność pada zwykle wtedy, gdy narzędzie już działa, a decyzje o danych i dostawcy zapadły wcześniej. Listy mają skłonić organizację, by zadała je przed uruchomieniem systemu AI.
• Cztery zestawy: dla MŚP korzystających z gotowych systemów AI, dla sektora publicznego (z zasadą legalizmu i regułami postępowania administracyjnego), wersja 0 dla pozostałych organizacji, w tym budujących lub dotrenowujących własne modele, oraz wspólna wersja rozszerzona.
• Wersja rozszerzona uwzględnia RODO i sygnalizuje obowiązki z AI Act: klasyfikację ryzyka i ocenę wpływu na prawa podstawowe. Wypełnia się ją, gdy lista wejściowa wskaże na przykład budowę lub dotrenowywanie modelu albo wpływ na sytuację prawną osób.
• UODO zachęca, by przekazać materiały inspektorom ochrony danych oraz osobom odpowiedzialnym za zakupy i wdrożenia technologiczne.

Co sprawdza wersja dla MŚP?

Wersja dla MŚP: praktyczna checklista RODO dla wdrażania AI (DOCX), UODO, 6 sierpnia 2026 r.

Lista jest przeznaczona dla firmy, która korzysta z gotowego narzędzia AI bez trenowania modelu, i wypełnia się ją osobno dla każdego zastosowania. Najważniejsze pytania, w kolejności bloków:

• Cel i system AI: jaki problem ma rozwiązać AI, czy cel da się osiągnąć bez AI, czy wyniki wpływają na sytuację klientów lub pracowników i czy firma zna architekturę i konfigurację systemu.
• Dane osobowe: czy narzędzie przetwarza dane klientów, pracowników lub kontrahentów (także wnioskowania AI o osobach), czy są wśród nich dane wrażliwe lub dane dzieci, kto w firmie odpowiada za dane wprowadzane do AI i jakie dane wolno tam wprowadzać.
• Podstawa prawna: na jakiej podstawie z art. 6 ust. 1 RODO dane są przetwarzane w AI. Jeśli nie wiadomo, konsultacja z IOD lub prawnikiem.
• Dostawca AI: umowa powierzenia (art. 28 RODO), kraj przechowywania danych i przekazywanie poza UE (art. 44–49), model otwarty czy zamknięty, czy dostawca może trenować swoje modele na wprowadzanych danych i czy można to wyłączyć, jak długo przechowuje dane i historię rozmów i czy można je usunąć.
• Jeśli dostawca wykorzystuje wprowadzone dane do własnych celów, przestaje działać wyłącznie na polecenie firmy i w tym zakresie sam staje się administratorem (art. 28 ust. 10 RODO).
• Bezpieczeństwo i naruszenia: kto ma dostęp do konta i danych (konta imienne, uwierzytelnianie dwuskładnikowe, art. 32) i kto odpowiada za zgłoszenie naruszenia najpóźniej w 72 godziny (art. 33–34).
• Ochrona osób: informacja o przetwarzaniu z użyciem AI (art. 13–14), realizacja praw wobec wyników AI oraz rzeczywista weryfikacja wyniku przez pracownika, który może go zmienić, a nie tylko zatwierdzić (art. 22).
• Dokumentacja i ryzyko: aktualizacja rejestru czynności przetwarzania (art. 30), data protection by design (art. 25), ocena, czy wymagana jest DPIA (art. 35), udział IOD, szkolenie pracowników i okresowy przegląd, bo dostawca może zmienić model, a pracownicy sposób korzystania z narzędzia.
• AI Act: czy system może być wysokiego ryzyka, czy zastosowanie nie jest praktyką zakazaną (art. 5) i czy spełnione są wymogi transparentności (art. 50).
• Więcej niż trzy odpowiedzi „NIE” oznaczają konsultację ze specjalistą przed dalszym korzystaniem z narzędzia. Jeśli narzędzie ma samo podejmować decyzje wobec ludzi bez udziału pracownika, trzeba zmienić sposób korzystania z niego albo z niego zrezygnować.
• Lista nie wystarczy, gdy firma trenuje lub dotrenowuje model, gdy narzędzie wpływa na sytuację prawną ludzi (rekrutacja, ocena pracowników, scoring klientów), gdy w grę wchodzą dane wrażliwe lub dane dzieci albo gdy dane trafiają poza EOG. Wtedy należy wypełnić wersję rozszerzoną albo skorzystać ze wsparcia specjalisty.

Co oznaczają pytania dla firmy i jakimi środkami kontroli na nie odpowiedzieć?

Praktyczne odczytanie listy dla firmy, która wdraża gotowe narzędzia AI: każdy blok pytań, czego wymaga od organizacji i jakie środki kontroli to umożliwiają.

1. Uzasadnienie każdego zastosowania

   Dla każdego zastosowania AI opisany cel, oczekiwane korzyści i osobna wypełniona lista. Kontrola: rejestr zastosowań AI i osobny klucz dla każdej aplikacji, żeby było widać, co z czego korzysta.

2. Zasady wprowadzania danych

   Wskazana osoba odpowiedzialna i spisane reguły, jakie dane wolno wprowadzać do narzędzia, a jakich nie (dane wrażliwe, dane dzieci). Kontrola: polityka korzystania z AI i szkolenie zespołu.

3. Podstawa prawna i informacja

   Ustalona podstawa z art. 6 ust. 1 RODO i klauzule informacyjne ze wzmianką o AI. Kontrola: zaktualizowany rejestr czynności przetwarzania i klauzule informacyjne.

4. Umowa powierzenia i lokalizacja

   Podpisana umowa powierzenia z dostawcą, znany kraj przechowywania danych i ocena przekazań poza UE. Kontrola: umowa powierzenia, lista dalszych podmiotów przetwarzających i ograniczenie miejsca przetwarzania.

5. Bez trenowania, z określoną retencją

   Potwierdzone, że dostawca nie trenuje modeli na danych firmy, oraz znany okres przechowywania danych i historii rozmów. Kontrola: zapis w umowie i zerowa retencja danych u dostawcy inferencji.

6. Dostęp i naruszenia

   Konta imienne, uwierzytelnianie dwuskładnikowe, dostęp tylko dla osób, które go potrzebują, i osoba odpowiedzialna za zgłoszenie naruszenia w 72 godziny. Kontrola: logowanie jednokrotne przez dostawcę tożsamości firmy i procedura postępowania z naruszeniami.

7. Pracownik weryfikuje wynik

   Wynik dotyczący osoby sprawdza pracownik, który może go zmienić. Kontrola: opis procesu i instrukcja dla pracowników.

8. DPIA, IOD i przegląd

   Ocena, czy wymagana jest DPIA, udział IOD i osoba, która okresowo sprawdza, czy narzędzie albo sposób korzystania się nie zmieniły. Kontrola: dokumentacja oceny i zapis zmian konfiguracji.

9. AI Act

   Sprawdzenie, czy zastosowanie nie jest systemem wysokiego ryzyka ani praktyką zakazaną, i spełnienie wymogów transparentności z art. 50. Kontrola: klasyfikacja w rejestrze zastosowań AI.

Którą część obsługuje bramka AI?

Podstawa prawna, klauzule informacyjne, DPIA i weryfikacja wyników przez pracownika pozostają zadaniem firmy. Standard Compute, bramka AI do czołowych i otwartych modeli, odpowiada na część pytań z bloków „Dostawca AI” i „Bezpieczeństwo”: gdzie trafiają prompty, kto je przechowuje, którzy dostawcy i jakie modele są dozwolone dla każdego klucza, kto ma dostęp i jaki ślad zostaje.

Pytania działów IT, ochrony danych i bezpieczeństwa

Czy UODO zakazuje korzystania z narzędzi AI w firmie?

Nie. Listy niczego nie zakazują. Pomagają ustalić przed wdrożeniem, czy korzystanie z konkretnego narzędzia jest zgodne z RODO i co trzeba załatwić wcześniej.

Czy listy UODO są obowiązkowe?

Nie są wiążącą wykładnią przepisów, a odpowiedzi nie trzeba przedstawiać organowi nadzorczemu. Obowiązki wynikają z RODO i AI Act; listy pomagają je uporządkować przed zakupem lub uruchomieniem narzędzia.

Czy bramka AI zapewnia firmie zgodność z RODO?

Nie. Bramka obsługuje część techniczną: miejsce przetwarzania, retencję, dozwolonych dostawców i modele, budżety i dzienniki. Podstawa prawna, DPIA, klauzule informacyjne, polityka wewnętrzna i weryfikacja wyników przez pracownika pozostają obowiązkiem firmy.

Czy Standard Compute przechowuje treść żądań?

Przetwarzamy prompty w pamięci operacyjnej, aby obsłużyć każde żądanie, i nigdy nie zapisujemy ich w pamięci trwałej ani w dziennikach. Dzienniki żądań zawierają wyłącznie metadane: model, dostawcę, tokeny, koszt i status.

Oficjalne źródła

Streszczenie przygotowane na podstawie tych dokumentów, sprawdzonych 9 listopada 2026 r. Nie zastępuje samych dokumentów ani porady prawnej.

• Zanim wdrożysz narzędzie AI, sprawdź czy jest ono zgodne z zasadami RODO (UODO, 6 sierpnia 2026 r.)
• Wersja dla MŚP: praktyczna checklista RODO dla wdrażania AI (DOCX) (UODO, 6 sierpnia 2026 r.)

Więcej na ten temat