Wdrożenie automatyzacji opartej na AI nie wymaga zgody pracowników ani klientów, o ile firma ma inną podstawę prawną przetwarzania - najczęściej jest to wykonanie umowy albo uzasadniony interes. Wymaga natomiast trzech rzeczy: aktualizacji rejestru czynności przetwarzania, umowy powierzenia z dostawcą narzędzia i sprawdzenia, gdzie fizycznie trafiają dane.
To najkrótsza możliwa odpowiedź. Poniżej rozwijamy każdy punkt, a na końcu opisujemy, co zmieniło się w sierpniu 2026 roku, bo zmieniło się dużo.
Zastrzeżenie: to opracowanie praktyczne, nie porada prawna. Przy danych wrażliwych albo decyzjach dotyczących ludzi warto potwierdzić szczegóły z prawnikiem lub inspektorem ochrony danych.
Czy trzeba zbierać zgody na przetwarzanie danych przez AI?
Zwykle nie i to najczęstsze nieporozumienie w tym temacie. Zgoda jest tylko jedną z sześciu podstaw prawnych, a w firmie rzadko najlepszą - bo można ją wycofać w każdej chwili, co przy procesie wpisanym w codzienną pracę oznacza kłopot.
Jeżeli automatyzacja obsługuje zamówienia, to podstawą jest wykonanie umowy. Jeżeli porządkuje wewnętrzne raporty, zwykle wystarczy uzasadniony interes administratora. Zgoda staje się potrzebna dopiero tam, gdzie robicie coś, czego osoba nie mogłaby się rozsądnie spodziewać.
Ważniejsze od zgody jest to, żeby cel przetwarzania był określony wcześniej. Nie wolno zebrać danych do obsługi zamówień, a potem wykorzystać ich do trenowania modelu - to zmiana celu i wymaga osobnej oceny.
Jakie dokumenty trzeba mieć przed pierwszym wdrożeniem?
Cztery, i żaden z nich nie jest rozbudowany, jeśli firma ma już podstawy RODO poukładane.
- Wpis w rejestrze czynności przetwarzania - nowe narzędzie to nowa czynność, z opisem celu, kategorii danych i okresu przechowywania
- Umowa powierzenia przetwarzania z dostawcą narzędzia - o tym niżej, bo tu popełnia się najwięcej błędów
- Zaktualizowana klauzula informacyjna , jeżeli zmienia się zakres danych albo pojawia się nowy odbiorca
- Procedura korzystania z AI przez pracowników - najczęściej pomijana, a w praktyce najważniejsza
Piąty dokument, ocena skutków dla ochrony danych, jest potrzebny tylko w części przypadków. Piszemy o tym w dalszej sekcji.
Co powinno być w umowie powierzenia z dostawcą AI?
Konkretny opis tego, co narzędzie faktycznie robi z danymi - a nie ogólna formuła „powierzenie do wszystkiego", która nie chroni nikogo.
Umowa powinna wprost wskazywać:
- jakie kategorie danych są przetwarzane i w jakim celu
- listę podwykonawców, czyli dalszych podmiotów przetwarzających
- czy dane opuszczają Europejski Obszar Gospodarczy i na jakiej podstawie
- środki bezpieczeństwa, w tym szyfrowanie i kontrolę dostępu
- okres przechowywania i sposób usunięcia danych po zakończeniu współpracy
- czy dostawca może wykorzystywać Wasze dane do trenowania własnych modeli
Ostatni punkt jest tym, który najczęściej zaskakuje. Część narzędzi domyślnie wykorzystuje treść zapytań do dalszego uczenia i trzeba to wyłączyć osobno, zwykle w ustawieniach konta firmowego albo przez wybór droższego planu.
Lista podwykonawców też bywa niedoceniana. Dostawca narzędzia często sam korzysta z zewnętrznego modelu i wtedy Wasze dane przechodzą przez dwa podmioty, nie jeden.
Czy dane mogą wyjechać poza Unię Europejską?
Mogą, ale wymaga to podstawy prawnej i świadomej decyzji, a nie przypadku.
Najprostsze rozwiązanie to wybieranie narzędzi przetwarzających dane na terenie Unii. Wielu dostawców pozwala wskazać region przetwarzania, tylko trzeba to ustawić - domyślnie bywa inaczej. Jeżeli dane mają trafiać poza EOG, potrzebna jest decyzja o odpowiednim stopniu ochrony albo standardowe klauzule umowne.
Praktyczna rada z audytów: sprawdzajcie to przed wdrożeniem, nie po. Zmiana dostawcy w połowie projektu jest droga, a przeniesienie danych z powrotem do Europy potrafi oznaczać budowę wszystkiego od nowa.
Kiedy trzeba zrobić ocenę skutków dla ochrony danych?
Wtedy, gdy przetwarzanie może powodować wysokie ryzyko dla osób, których dane dotyczą. W praktyce najczęściej w trzech sytuacjach.
Pierwsza to systematyczne monitorowanie albo profilowanie na dużą skalę. Druga to przetwarzanie danych szczególnych kategorii, na przykład dotyczących zdrowia. Trzecia to podejmowanie decyzji wyłącznie automatycznie, gdy decyzja ma dla kogoś istotne skutki.
Ten trzeci przypadek warto zapamiętać, bo dotyczy typowych pomysłów na automatyzację. Automatyczne odrzucanie kandydatur w rekrutacji albo odmowa udzielenia rabatu przez algorytm to decyzje, w których RODO daje człowiekowi prawo do interwencji. Bezpieczna zasada brzmi: model może przygotować rekomendację, ale decyzję zatwierdza człowiek.
Czy pracownicy mogą wklejać dane firmowe do publicznych narzędzi AI?
Bez ustalonych zasad - nie powinni, i to jest dziś realnie największe ryzyko w małych firmach.
Nie chodzi o złą wolę. Ktoś wkleja fragment umowy, żeby szybciej ją streścić, ktoś inny listę klientów, żeby ją posortować. Formalnie jest to przekazanie danych osobowych podmiotowi zewnętrznemu bez podstawy prawnej i bez umowy powierzenia.
Rozwiązaniem nie jest zakaz, bo zakazy w tym obszarze nie działają - ludzie i tak korzystają z narzędzi, tylko przestają o tym mówić. Skuteczniejsze jest udostępnienie firmowego konta z wyłączonym uczeniem na danych oraz krótka, jednostronicowa zasada: co wolno wkleić, czego nie wolno, i do czego służy narzędzie firmowe.
Co zmieniło się w sierpniu 2026 roku?
Weszły w życie dwie rzeczy, obok RODO, o których warto wiedzieć.
Od 2 sierpnia 2026 obowiązują przepisy o przejrzystości z unijnego AI Actu. Najważniejszy w praktyce jest artykuł 50: system AI przeznaczony do bezpośredniej interakcji z człowiekiem musi być tak zaprojektowany, żeby ta osoba wiedziała, że rozmawia z automatem. Wyjątek dotyczy sytuacji, w której jest to oczywiste dla rozsądnie zorientowanej osoby.
Treści generowane przez AI - dźwięk, obraz, wideo i część tekstów - mają być oznaczane w sposób odczytywalny maszynowo. Dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 przewidziano okres przejściowy do 2 grudnia 2026 .
W sierpniu 2026 weszła też w życie polska ustawa o systemach sztucznej inteligencji. Tworzy krajowy organ nadzoru: Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Jest to organ kolegialny, złożony z przedstawicieli Prezesa UOKiK, Komisji Nadzoru Finansowego, Krajowej Rady Radiofonii i Telewizji oraz Prezesa UKE. Przewodniczący ma zostać powołany w październiku 2026, a Komisja rozpocząć prace w listopadzie 2026.
Dla firmy zatrudniającej dwadzieścia osób praktyczny wniosek jest jeden: jeżeli macie na stronie albo w obsłudze klienta cokolwiek, co rozmawia z ludźmi, powinno się przedstawiać. Jedno zdanie w powitaniu wystarcza i to jest najprostszy obowiązek do spełnienia z całego tego zestawu.
Od czego zacząć?
Od spisania, gdzie w firmie już dziś używa się AI. Prawie zawsze okazuje się, że w kilku miejscach, o których nikt formalnie nie wie.
Potem trzy pytania do każdego z tych miejsc: jakie dane tam trafiają, kto jest dostawcą narzędzia i czy jest z nim podpisana umowa powierzenia. Odpowiedzi na te trzy pytania załatwiają większość obowiązków, a ich brak jest tym, co realnie tworzy ryzyko.
Ten spis jest częścią naszego audytu, bo bez niego nie da się rozsądnie zaplanować niczego dalej. Jeżeli chcecie zacząć od rozmowy, bezpłatna konsultacja online trwa do 90 minut i obejmuje także ten temat.