RODO ma zastosowanie do AI zawsze, gdy system AI przetwarza dane osobowe, niezależnie od tego, czy trenują Państwo model, dostrajają go, czy po prostu pozwalają zespołowi wklejać dane klientów do asystenta. Potrzebują Państwo udokumentowanego celu, podstawy prawnej dla każdego etapu, oceny skutków dla ochrony danych tam, gdzie ryzyko jest wysokie, oraz możliwości uzyskania przez osoby decyzji podjętej przez człowieka, gdy decyzja zautomatyzowana ich dotyczy. Akt o sztucznej inteligencji (EU AI Act) nakłada się na te przepisy i dodaje własne obowiązki, w tym obowiązki dotyczące przejrzystości. Ten przewodnik wyjaśnia, jak oba akty współdziałają w firmie B2B SaaS i od czego zacząć.

To informacje ogólne, a nie porada prawna. Inspektor ochrony danych lub radca prawny powinien potwierdzić, jak poszczególne kwestie dotyczą Państwa firmy.

W skrócie

Spis treści

Jak RODO stosuje się do AI

RODO reguluje dane osobowe, a nie technologię. Jedna z analiz tego prawa zauważa, że AI nie jest w nim wprost wymieniona, a art. 22 dotyczący zautomatyzowanego podejmowania decyzji działa jako pośrednia kontrola AI. Cała reszta wynika z zasad ogólnych: zgodności z prawem, rzetelności, przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania, bezpieczeństwa i rozliczalności.

Dla firmy SaaS praktyczne pytanie jest proste. Czy AI widzi imiona i nazwiska, adresy e-mail, logi użycia powiązane z użytkownikiem, zgłoszenia do wsparcia, faktury lub cokolwiek innego, co identyfikuje osobę? Jeśli tak, RODO ma zastosowanie, nawet jeśli AI jest narzędziem, które Państwo kupili, a nie zbudowali.

Cel i podstawa prawna, etap po etapie

Wytyczne brytyjskiego organu ochrony danych mówią, że dla każdej odrębnej operacji przetwarzania w rozwoju i wdrażaniu AI należy przed rozpoczęciem przetwarzania określić i udokumentować jej cel oraz odpowiednią podstawę prawną. Wskazują też, że dane szczególnych kategorii wymagają odrębnej przesłanki. Wytyczne dotyczą brytyjskiego RODO (UK GDPR), które ściśle odzwierciedla przepisy UE, i stanowią przydatne odniesienie dla tej logiki.

Te same wytyczne podkreślają, że trenowanie i wdrożenie to różne etapy i mogą opierać się na różnych podstawach prawnych. Podstawa, która sprawdza się przy budowaniu modelu, nie obejmuje automatycznie jego użycia na danych klientów w środowisku produkcyjnym.

W praktyce warto zapisać jedną linijkę dla każdego przypadku użycia AI:

  1. Jaki jest cel (na przykład streszczanie zgłoszeń do wsparcia)?
  2. Jakie dane osobowe system odczytuje?
  3. Jaka jest podstawa prawna (umowa, uzasadniony interes, zgoda, obowiązek prawny)?
  4. Kto jest administratorem, a kto podmiotem przetwarzającym?
  5. Gdzie dane są przechowywane i przetwarzane?

Jeśli chcą Państwo prostym językiem prześledzić, jak wybrać i udokumentować podstawę prawną oraz zastosować główne zasady, ten artykuł o podstawowych zasadach ochrony danych w RODO pokazuje to samo rozumowanie na przykładzie systemu rezerwacji, a ta logika sprawdza się również w projektach AI.

Ograniczenie celu, minimalizacja i prawidłowość

Holenderski organ ochrony danych wymienia ograniczenie celu, minimalizację danych i prawidłowość jako podstawowe wymogi RODO dla AI. Każdy z nich bezpośrednio wpływa na sposób budowania rozwiązania.

Te same holenderskie wytyczne odwołują się do art. 32: potrzebne są odpowiednie środki techniczne i organizacyjne, z uwzględnieniem stanu wiedzy technicznej, kontekstu przetwarzania i ryzyka dla osób.

Co EROD powiedziała o modelach AI

W grudniu 2024 r. Europejska Rada Ochrony Danych (EROD) wydała opinię 28/2024 dotyczącą modeli AI. Akademicki przegląd tej opinii wyjaśnia, że modele trenowane na danych osobowych mogą zachowywać lub wywodzić informacje o możliwych do zidentyfikowania osobach, więc nie można po prostu zakładać, że są anonimowe. Obejmuje też to, jak uzasadnić uzasadniony interes po zakończeniu trenowania. Wniosek dla kupujących: nie akceptuj od dostawcy twierdzenia „model jest anonimowy”, nie pytając, jak to oceniono.

Gdzie akt o sztucznej inteligencji (EU AI Act) uzupełnia RODO

Oba akty prawne mają różne korzenie. Według opracowania Parlamentu Europejskiego akt o sztucznej inteligencji opiera się na modelu bezpieczeństwa produktów, natomiast RODO chroni dane osobowe poprzez prawa i zasady. To samo opracowanie zauważa, że obowiązki mogą się pokrywać: ocena skutków dla praw podstawowych (FRIA) i ocena skutków dla ochrony danych (DPIA) mogą się dublować, a obowiązki w zakresie przejrzystości i rejestrowania mogą być zbędne.

Role również się różnią. RODO posługuje się pojęciami administratora i podmiotu przetwarzającego. Akt o sztucznej inteligencji używa pojęć dostawcy, importera, dystrybutora i podmiotu stosującego. Firma SaaS może być jednocześnie dostawcą własnych funkcji AI i podmiotem stosującym cudzy model, a także administratorem lub podmiotem przetwarzającym dla danych osobowych, których to dotyczy. Należy zmapować każdą rolę dla każdego przypadku użycia.

RODO Akt w sprawie sztucznej inteligencji (EU AI Act)
Punkt wyjścia Dane osobowe i prawa osób System AI i jego poziom ryzyka
Kluczowe role Administrator, podmiot przetwarzający Dostawca, podmiot stosujący, importer, dystrybutor
Typowe dokumenty Rejestry czynności przetwarzania, DPIA Dokumentacja techniczna, logi, FRIA dla niektórych zastosowań wysokiego ryzyka
Udział człowieka Prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne Nadzór człowieka nad systemami wysokiego ryzyka

Niektóre krajowe organy zwracają uwagę, że system może być zgodny z jednym aktem prawnym, a mimo to naruszać drugi, dlatego potrzebne jest podejście oceniające każdy przypadek indywidualnie. Belgijski organ dodaje, że AI Act opiera się na rozliczalności z RODO i wprowadza formalne zgłaszanie incydentów oraz zarządzanie oparte na zasadzie human-in-the-loop.

NIS2 to trzeci element układanki. Dotyczy cyberbezpieczeństwa i zarządzania ryzykiem w podmiotach objętych jej zakresem, a nie samej sztucznej inteligencji. Jeśli Państwa firma wchodzi w jej zakres, środki bezpieczeństwa stosowane wokół systemów AI należą do tego samego procesu zarządzania ryzykiem. To, czy podlegają Państwo tym przepisom, jest pytaniem do radcy prawnego.

Obowiązki w zakresie przejrzystości, gdy AI ma kontakt z ludźmi

Przejrzystość pojawia się w obu aktach prawnych i ludzie często je mylą.

Terminy mają znaczenie. Z informacji AI Act Service Desk Komisji wynika, że obowiązki z art. 50 stały się egzekwowalne od 2 sierpnia 2026 r., a dostawcy systemów wprowadzonych do obrotu przed tą datą mają czas do 2 grudnia 2026 r. na spełnienie niektórych wymogów dotyczących znakowania i wykrywania.

W firmie SaaS typowe przypadki to chatbot w produkcie lub widżecie wsparcia oraz generowane teksty lub obrazy, które Państwo publikują. Oznaczajcie chatbota jako AI i sprawdźcie, jak Państwa narzędzia znakują wygenerowane treści. Więcej o art. 4 i 50 znajdą Państwo w naszym przewodniku Art. 4 i 50 EU AI Act dla firm SaaS.

Specjalista ds. wsparcia testuje chatbota produktowego

Oceny skutków dla ochrony danych, nadzór człowieka i decyzje zautomatyzowane

Najczęściej pojawiają się trzy zabezpieczenia.

DPIA. Belgijski organ wyjaśnia, że DPIA jest wymagana w niektórych przypadkach, w tym przy przetwarzaniu wysokiego ryzyka i stosowaniu nowych technologii. Holenderski organ podobnie wskazuje, że jest ona potrzebna, gdy systemy algorytmiczne przetwarzają dane osobowe, a ryzyko dla prywatności jest wysokie. W razie wątpliwości warto ją przeprowadzić. Jest tańsza niż późniejsze tłumaczenie, dlaczego jej nie wykonano.

Nadzór człowieka. AI Act wymaga nadzoru człowieka nad systemami wysokiego ryzyka na etapie rozwoju, wdrożenia i użytkowania, a to samo belgijskie źródło wskazuje to obok wymogu FRIA.

Decyzje zautomatyzowane. Zgodnie z RODO osoby mają prawo nie podlegać decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują wobec nich skutki prawne. Jeśli agent AI mógłby decydować, kto otrzyma umowę, limit kredytowy lub dostęp do usługi, należy zaprojektować w procesie etap zatwierdzenia przez człowieka.

Lista kontrolna AI Act dla zespołów SaaS

Z przeglądu AI Act przygotowanego przez Komisję wynika, że systemy wysokiego ryzyka muszą obejmować ocenę i ograniczanie ryzyka, jakość zbiorów danych, rejestrowanie zdarzeń, dokumentację techniczną, informacje dla podmiotów stosujących, nadzór człowieka, odporność, cyberbezpieczeństwo i dokładność. Większość produktów SaaS nie jest wysokiego ryzyka, ale ta lista to dobry standard dla każdej AI, która styka się z danymi osób.

Terminy dla systemów wysokiego ryzyka są późniejsze, niż wielu się spodziewa. Z FAQ Service Desk wynika, że systemy w wrażliwych obszarach, takich jak zatrudnienie (załącznik III), muszą spełnić wymogi do 2 grudnia 2027 r., a systemy wbudowane w produkty regulowane (załącznik I) do 2 sierpnia 2028 r. Aktualny stan należy sprawdzić na oficjalnej stronie, ponieważ harmonogramy mogą się zmieniać.

Praktyczna lista kontrolna:

  1. Zinwentaryzujcie każde użycie AI. Uwzględnijcie narzędzia, które pracownicy wybrali na własną rękę.
  2. Sklasyfikujcie każde z nich. Czy to chatbot, asystent wewnętrzny, model scoringowy, czy coś, co podejmuje decyzje dotyczące osób? Zapytajcie radcę prawnego, czy któreś zastosowanie jest wysokiego ryzyka.
  3. Zmapujcie role. Dostawca, podmiot stosujący, administrator, podmiot przetwarzający.
  4. Udokumentujcie cel i podstawę prawną na każdym etapie.
  5. Przeprowadźcie DPIA tam, gdzie ryzyko jest wysokie.
  6. Ustawcie uprawnienia. AI powinna odczytywać i zmieniać tylko to, co mógłby użytkownik.
  7. Dodajcie kroki zatwierdzania dla działań o realnych konsekwencjach.
  8. Prowadźcie logi tego, co AI odczytała, zapisała i uruchomiła.
  9. Oznaczajcie interakcje z AI i wygenerowane treści.
  10. Szkolcie ludzi. Art. 4 wymaga kompetencji w zakresie AI.
  11. Sprawdzajcie dostawców. Gdzie przetwarzane są dane i czy służą do trenowania ich modeli?
  12. Wyznaczcie właściciela. Jedna wskazana osoba powinna ponosić odpowiedzialność.

Nasze ramy zarządzania AI dla firm SaaS B2B przekształcają to w działającą strukturę.

Gdzie AI nie ma zastosowania

Dobra zgodność z przepisami obejmuje także decyzję, czego AI nie powinna robić. Nie dopuszczalibyśmy AI w tych obszarach:

Najpierw zbuduj fundament danych

Większość problemów z RODO przy AI zaczyna się w danych, a nie w modelu. Jeśli nie potrafią Państwo powiedzieć, gdzie znajdują się dane klienta, który system jest prawidłowy i kto może je odczytać, nie zrealizują Państwo żądań dostępu ani usunięcia danych i nie będą mogli kontrolować tego, co czyta AI.

Dlatego pracujemy w ustalonej kolejności:

  1. Fundament danych. Dane z Państwa CRM i finansów stają się źródłem prawdy, a otaczające je systemy zostają uzgodnione w jedną wspólną wersję.
  2. Warstwa AI. Asystent, z którego Państwa zespół już korzysta, zostaje połączony z tymi danymi przez MCP, w ramach uprawnień.
  3. Agenci działowi. Dedykowani agenci dla Finansów, Sprzedaży i Customer Success, dzięki którym pracownicy mogą zadawać pytania, tworzyć raporty i wyszukiwać informacje w różnych systemach, a także aktualizować rekordy lub uruchamiać procesy, z zatwierdzeniem tam, gdzie jest potrzebne, i ze śladem audytowym.

Budowa, pilotaż i testy odbywają się na własnej europejskiej infrastrukturze w Niemczech, a RODO, NIS2 i EU AI Act są od początku traktowane jako wymagania projektowe. Żaden projekt nie gwarantuje zgodności z przepisami, a ta ocena pozostaje po Państwa stronie i po stronie Państwa doradców prawnych. Jednak system z wdrożonymi uprawnieniami, zatwierdzeniami i logami znacznie ułatwia odpowiedź na pytania, które zadają organy nadzorcze. Jak to wygląda w praktyce, można zobaczyć na naszej stronie o agentach AI dla Finansów, Sprzedaży i Customer Success, a Admin Portal pokazuje, jak dostępem i zatwierdzeniami zarządza się w jednym miejscu.

Nasz punkt widzenia

W rosnących firmach SaaS widzimy ten sam wzorzec. Ludzie już korzystają z AI, w CRM, w obsłudze klienta, w finansach, a nikt za nią nie odpowiada. Nikt nie zdecydował, jakie dane może czytać, nikt nie prowadzi zapisu tego, co zrobiła, a polityka prywatności powstała, zanim cokolwiek z tego istniało.

Naszym zdaniem zgodność z przepisami to w większości problem operacyjny. Polityka prywatności nie powstrzyma asystenta przed odczytaniem rekordu, którego nie powinien czytać. Robią to uprawnienia, zatwierdzenia i logi. Dlatego zaczynamy od fundamentu danych, potem łączymy warstwę AI, następnie budujemy agentów działowych, i dlatego wdrażamy AI proces po procesie, zaczynając od najdroższego.

Pomaga też, gdy jedna osoba zarówno decyduje, gdzie AI się opłaca, jak i ją buduje, dzięki czemu strategia i działający system nie rozchodzą się. Na tym polega idea Fractional Chief AI Officer, poparta 25 latami prowadzenia operacji. Projektujemy zgodnie z RODO, NIS2 i EU AI Act od pierwszego dnia, a przy przekazaniu stają się Państwo właścicielami kodu źródłowego, dokumentacji i infrastruktury.

Nie udzielamy porad prawnych i nic, co budujemy, nie gwarantuje zgodności z przepisami. Sprawiamy, że systemami łatwiej zarządzać, i pracujemy razem z Państwa doradcami prawnymi.

Claus Nielsen

Od czego zacząć

Jeśli AI jest już używana i nikt za nią nie odpowiada, pierwszym krokiem jest rzetelny obraz tego, co Państwo mają. Nasz AI Readiness Assessment kosztuje od €4,500 i obejmuje Państwa dane, procesy oraz ekspozycję regulacyjną, abyście wiedzieli, gdzie AI się opłaca, a gdzie nie. Na potrzeby stałej opieki abonament Fractional Chief AI Officer ma trzy poziomy: Advisor od €3,000 miesięcznie, Operating od €6,500 miesięcznie i Embedded od €11,000 miesięcznie.

Wdrożenia są wyceniane albo na 30% oszczędności w pierwszym roku, po ich zmierzeniu i potwierdzeniu, albo według stałej ceny uzgodnionej przed rozpoczęciem prac. Mogą Państwo także umówić bezpłatną 30-minutową rozmowę wstępną przez naszą stronę główną.

FAQ

Czy RODO ma zastosowanie, jeśli korzystamy tylko z zewnętrznego narzędzia AI?

Tak, jeśli trafiają do niego dane osobowe. Zwykle są Państwo administratorem, a dostawca narzędzia podmiotem przetwarzającym, więc potrzebna jest umowa, cel i podstawa prawna, a także wiedza o tym, gdzie dane są przetwarzane. Należy sprawdzić, czy dostawca wykorzystuje Państwa dane wejściowe do trenowania swoich modeli.

Czy EU AI Act zastępuje RODO?

Nie. Obowiązują obok siebie. RODO chroni dane osobowe, a AI Act reguluje systemy AI według poziomu ryzyka. Jeden przypadek użycia AI może powodować obowiązki wynikające z obu aktów, a niektóre dokumenty, takie jak oceny skutków, mogą się częściowo pokrywać.

Czy potrzebujemy DPIA dla każdego projektu AI?

Niekoniecznie. Według belgijskiego organu DPIA jest wymagana w niektórych przypadkach, w tym przy przetwarzaniu wysokiego ryzyka i nowych technologiach. Jeśli system AI przetwarza dane osobowe w sposób, który może poważnie wpłynąć na ludzi, należy ją przeprowadzić. Gdy sprawa jest niejasna, warto zapytać inspektora ochrony danych.

Co musimy powiedzieć użytkownikom o AI?

Zgodnie z RODO należy wyjaśnić, jakie dane osobowe przetwarzacie i dlaczego. Zgodnie z art. 50 AI Act, który jest egzekwowalny od 2 August 2026, osoby muszą być informowane, gdy wchodzą w bezpośrednią interakcję z systemem AI, a treści wygenerowane przez AI muszą być oznaczone w formie nadającej się do odczytu maszynowego. Państwa doradcy prawni mogą potwierdzić, które z tych przepisów dotyczą Państwa produktów.

Czy agent AI może samodzielnie podejmować decyzje dotyczące klientów?

W rutynowych zadaniach o niewielkim wpływie, tak, w ramach uprawnień i z logami. W przypadku decyzji wywołujących skutki prawne lub podobnie istotne dla osoby RODO daje ludziom prawo, by nie podlegać decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu. W takich przypadkach należy przewidzieć weryfikację przez człowieka.

Źródła