RODO i AI Act: co przygotować, zanim zapyta prawnik

Cztery pytania, na które prawnik chce odpowiedzi na piśmie

Rozmowa z działem prawnym idzie szybko, gdy przychodzisz z odpowiedziami, i ciągnie się tygodniami, gdy przychodzisz z pytaniem „czy możemy?”. Te cztery zamykają zwykle osiemdziesiąt procent tematu.

Pierwsze: gdzie fizycznie stoi instancja agenta i gdzie leżą logi rozmów. Odpowiedź „chmura EU” jest dobra, tylko przygotuj się na dopytanie o konkretny kraj i dostawcę infrastruktury. Drugie: kto jest podprzetwarzającym. Dostawca modelu językowego nim jest i musi znaleźć się na liście, nawet jeśli sama platforma stoi w Europie.

Trzecie: jak długo trzymacie logi rozmów i kto ma prawo je czytać. To pytanie zaskakuje najczęściej, bo logi włącza się „na wszelki wypadek” i nikt nie ustala terminu usunięcia. Czwarte: co się dzieje, gdy klient zażąda usunięcia swoich danych — musicie umieć odnaleźć jego rozmowy i je skasować.

Zastrzeżenie stawiamy wprost: to nie jest porada prawna i nie zastąpi rozmowy z Waszym inspektorem ochrony danych. To lista rzeczy, które i tak usłyszycie, więc lepiej mieć je gotowe przed spotkaniem niż w jego trakcie.

Umowa powierzenia: poproście o nią, bo sama nie przyjdzie

DPA, czyli umowa powierzenia przetwarzania danych, rzadko bywa dołączana do regulaminu. U większości dostawców, także u nas, udostępnia się ją na żądanie: piszecie, dostajecie dokument, podpisujecie. Zajmuje to kilka dni i regularnie ląduje na końcu listy zadań, tuż po starcie produkcyjnym. Powinno być odwrotnie.

Przy własnym kluczu API sprawa się rozdziela. Treść rozmów idzie wtedy bezpośrednio do dostawcy modelu, z którym macie osobną relację, więc potrzebujecie dwóch dokumentów: od platformy i od dostawcy modelu. Anthropic, OpenAI i Google mają własne wzory dla klientów biznesowych i udostępniają je na wniosek.

Przy okazji sprawdźcie w umowie dwie rzeczy, które łatwo przeoczyć: czy dane przesyłane przez API służą do trenowania modeli i jak długo dostawca trzyma je u siebie. Odpowiedzi bywają różne między planem konsumenckim a biznesowym tego samego dostawcy, więc nie wystarczy zajrzeć na stronę marketingową.

Co zmienia 2 sierpnia 2026

Od tej daty stosowane są przepisy unijnego rozporządzenia o sztucznej inteligencji, które dotyczą zwykłych firm, a nie tylko twórców modeli. Dla większości wdrożeń najistotniejszy jest jeden obowiązek: człowiek ma wiedzieć, że rozmawia z systemem AI.

W praktyce to jedno zdanie w pierwszej wiadomości agenta i notka na stronie kontaktowej. Nie musi brzmieć jak klauzula, ale nie może być schowane w stopce ósmym stopniem pisma. „Cześć, jestem asystentem AI firmy X. Jeśli w dowolnym momencie zechcesz rozmawiać z człowiekiem, napisz: człowiek” załatwia obowiązek i przy okazji poprawia odbiór.

Drugi wymóg dotyczy treści generowanych i publikowanych — mają być rozpoznawalne jako wytworzone maszynowo. Jeśli agent pisze u Was opisy produktów albo posty, ustalcie zasadę oznaczania teraz, a nie w sierpniu.

Trzecia rzecz nie jest osobnym przepisem, tylko jego konsekwencją. Skoro klient ma wiedzieć, że pisze z systemem, to ścieżka do człowieka musi działać, a nie istnieć na papierze. Przycisk „skontaktuj się z nami”, który prowadzi z powrotem do agenta, jest gorszy niż brak informacji.

Czego agentowi powierzyć nie wolno

Rozporządzenie wydziela listę zastosowań wysokiego ryzyka, znaną jako Załącznik III. Trafiły tam obszary, w których automatyczna decyzja uderza w czyjeś życie: zatrudnienie, ocena zdolności kredytowej, dostęp do usług publicznych, edukacja, egzekwowanie prawa. Systemy z tej listy podlegają osobnemu reżimowi — dokumentacja, ocena zgodności, nadzór człowieka — którego typowa firma nie udźwignie i nie powinna próbować.

Dlatego regulaminy platform, w tym nasz, wprost wykluczają takie zastosowania. Najczęściej dotyczy to dwóch pomysłów, które przychodzą do głowy jako pierwsze. Rekrutacja: agent nie może być mechanizmem selekcji kandydatów, czyli rozstrzygać, kto przechodzi dalej, ani układać rankingu. Scoring: agent nie ocenia zdolności kredytowej i nie decyduje o przyznaniu finansowania.

Granica przebiega gdzie indziej, niż zwykle się ją stawia. Nie liczy się, czy agent „formalnie podejmuje decyzję”, tylko czy jego wynik przesądza sprawę. Jeśli rekruter dostaje pięć nazwisk z czterdziestu i pozostałych nigdy nie zobaczy, to wybrał system, choćby procedura mówiła inaczej.

Zostaje sporo pracy, której nikt nie zabrania. Agent może odpowiadać kandydatom na pytania o przebieg procesu, umawiać terminy rozmów, spisywać notatki ze spotkania, przypominać o brakujących dokumentach. Cała obsługa wokół decyzji jest dozwolona. Sama decyzja nie.

Minimum papierowe na jedno popołudnie

Nie trzeba budować systemu zarządzania zgodnością. Pięć pozycji zamyka większość ryzyka i mieści się w kilku godzinach pracy.

Największą wartość ma punkt o retencji. Domyślnie logi rosną w nieskończoność, a każdy dzień przechowywania to kolejny dzień, w którym te dane można komuś wydać albo stracić.

• Wpis w rejestrze czynności przetwarzania: kategorie danych, cel, podstawa prawna, odbiorcy.
• Podpisana umowa powierzenia z platformą, a przy własnym kluczu API także z dostawcą modelu.
• Ustalony okres przechowywania logów rozmów i osoba odpowiedzialna za ich kasowanie.
• Zdanie w polityce prywatności o użyciu systemu AI w obsłudze i o tym, dokąd trafiają treści.
• Powitanie agenta z informacją, że jest systemem AI, oraz działająca ścieżka do człowieka.

Częste pytania