6 sierpnia 2026 roku Prezes Urzędu Ochrony Danych Osobowych (UODO) opublikował zbiór narzędzi mających pomóc administratorom w weryfikacji czy wdrożone przez nich narzędzia AI funkcjonują zgodnie z RODO. Opublikowane dokumenty to przede wszystkim checklisty o różnym poziomie szczegółowości, przeznaczone dla różnych kategorii administratorów. Przygotowane kwestionariusze mają charakter pomocniczy i nie zastępują pełnoprawnej analizy ryzyka czy oceny skutków przetwarzania, niemniej stanowią dobry punkt wyjścia dla badania zgodności stosowanych rozwiązań AI z RODO.
RODO i Sztuczna Inteligencja
Głównym aktem prawnym regulującym zagadnienia związane z działaniem Sztucznej Inteligencji jest rozporządzenie AI Act, nie należy jednak zapominać, że procesy przetwarzania danych odbywające się w ramach ich działania pozostają również objęte regulacją RODO. Powiedzieć można nawet, że stosowanie przepisów Rozporządzenia do systemów AI jest jednym z najważniejszych problemów współczesnego prawa ochrony danych osobowych – bezprecedensowe możliwości najnowszych modeli stawiają regulatorów, administratorów i osoby, których dane są przetwarzane, przed wyzwaniami , które trudno było sobie wyobrazić w początkach obowiązywania RODO.
Związek między systemami AI a ochroną danych osobowych był wielokrotnie akcentowany przez organy nadzorcze. Szereg dokumentów opublikowała Europejska Rada Ochrony Danych (m.in. wytyczne nt. web scrapingu w kontekście systemów AI, czy opinię 28/2024). Komunikaty i poradniki dotyczące przetwarzania danych za pośrednictwem sztucznej inteligencji znaleźć można też na stronach internetowych krajowych organów nadzorczych, m.in. AEPD czy CNIL.
Warto zwrócić uwagę, że, mimo starań organów nadzorczych, wciąż występują poważne problemy związane ze świadomością roli ochrony danych osobowych we wdrażaniu narzędzi AI. Badanie przeprowadzone przez Prezesa UODO wśród administratorów wskazuje, że około połowa podmiotów nie dostrzega związku między narzędziami sztucznej inteligencji, a przetwarzaniem danych osobowych, a prawie 96% uważa się za nieprzygotowane do wdrażania ich zgodnie z RODO. Prezes UODO zwrócił również uwagę, że refleksja na temat zgodności narzędzi AI z przepisami pojawia się zwykle dopiero po ich wdrożeniu.
Checklisty Prezesa UODO
W odpowiedzi na te problemy, 6 sierpnia Prezes UODO opublikował zestaw list pytań mających służyć do oceny zgodności wdrażanych narzędzi AI z RODO. Przygotowane listy służyć mają administratorom do wstępnej, ogólnej oceny problemu i zwrócić uwagę na najważniejsze zagadnienia występujące na styku sztucznej inteligencji i ochrony danych. Jak wskazuje Urząd, celem przygotowanych checklist jest skłonienie administratorów do zadawania pytań o ochronę danych osobowych przed wdrożeniem systemu, a nie post factum. Opublikowane materiały mają charakter pomocniczy i nie zastępują pełnoprawnej dokumentacji takiej jak, np. analiza ryzyka czy ocena skutków przetwarzania.
Przygotowano 4 checklisty poświęcone różnym kategoriom administratorów. Pierwsza, najprostsza i najbardziej minimalistyczna kierowana jest do administratorów z sektora małych i średnich przedsiębiorstw, którzy korzystają z gotowych systemów AI. Ta lista obejmuje 26 pytań. Nieco dłuższa (35 pytań) jest przygotowana dla sektora publicznego. Jak wskazano, została ona opracowana ze szczególnym uwzględnieniem zasady legalizmu i reguł postępowania administracyjnego.
Bardziej zaawansowana jest lista „zero”, adresowana do podmiotów nie mieszczących się w żadnej z powyższych kategorii. Zawarte w niej pytania skierowane są, m.in. do organizacji budujących, rozwijających i trenujących własne modele AI. Ta wersja obejmuje 48 pytań. Najdłuższa jest oczywiście wersja rozszerzona – obejmuje ona 73 pytania, uwzględniające zagadnienia wszystkich poprzednich list, ale też zagadnienia związane z obowiązkami wynikającymi z AI Actu.
Korzystanie z list
Intencją Prezesa UODO było, żeby listy były stosowane na etapie koncepcyjnym. Zawarte w nich zagadnienia powinny być wzięte pod uwagę przed wdrożeniem narzędzia, podczas samego projektowania procesu. Warto zwrócić uwagę, że na każdej liście znajdują się pytania dotyczące wyłącznie organizacji trenujących własne modele – podmioty nie wykonujące takich czynności powinny je pominąć.
W wypełnianie listy powinien być zaangażowany IOD (w przypadku podmiotów publicznych Prezes UODO określa to zaangażowanie jako obligatoryjne), a także inne osoby dysponujące niezbędną wiedzą dotyczącą, na przykład, systemów AI lub systemów informatycznych organizacji. Lista powinna być wypełniana osobno dla każdego procesu, nawet jeśli różne procesy wynikają z zastosowania tego samego narzędzia. Warto zaznaczyć, że choć wypełniona lista nie zastępuje analizy ryzyka, PUODO zaleca przechowywanie jej w dokumentacji w celach spełnienia obowiązków związanych z rozliczalnością.
Źródło: https://uodo.gov.pl/pl/138/4533
