Zanim polska firma wdroży AI, która dotyka danych klientów czy pracowników, wchodzi w zasięg dwóch regulacji naraz: RODO, które obowiązuje od 2018 roku, i unijnego AI Act, wprowadzanego etapami. Najczęstsze nieporozumienie brzmi: „mamy AI Act, więc RODO już nas nie dotyczy". Jest odwrotnie — AI Act nie zwalnia z żadnego obowiązku RODO, oba reżimy stosuje się równolegle i wzajemnie uzupełniają. Poniżej praktyczne minimum, które warto rozumieć przed wdrożeniem. To orientacja w temacie, nie porada prawna — konkretny przypadek zawsze warto skonsultować z inspektorem ochrony danych lub prawnikiem.
Stan prawny: wrzesień 2026. AI Act wchodzi etapami do 2027 roku, a polskie przepisy wdrażające wciąż się kształtują. Daty i zakres obowiązków potwierdź przed decyzją — ten tekst jest orientacją, nie źródłem prawa.
Najważniejsze w skrócie
- AI Act nie zwalnia z RODO. Oba reżimy stosuje się równolegle: AI Act dokłada obowiązki dotyczące systemów AI, RODO obowiązuje dalej wszędzie tam, gdzie w grę wchodzą dane osobowe.
- Każde przetwarzanie danych osobowych — także przez model — wymaga podstawy prawnej i określonego celu. To ustala się przed wdrożeniem, nie po nim.
- Zgodność ≠ formalność. Największe praktyczne ryzyko to nie brak dokumentu, lecz pytanie, gdzie fizycznie trafiają dane, gdy narzędzie działa.
- Zasada minimalizacji działa na korzyść wąskich wdrożeń: narzędzie robiące jedną rzecz na ograniczonym zbiorze jest łatwiejsze do obronienia niż platforma na wszystkich danych firmy.
- Przy profilowaniu może być wymagana ocena skutków (DPIA) przed uruchomieniem, a nadzór człowieka nad decyzjami jest wymogiem obu reżimów.
- Obowiązek kompetencji AI (art. 4) dotyczy każdej firmy stosującej AI — bez progu wielkości, od lutego 2025.
- AI w kadrach to zwykle wysokie ryzyko (załącznik III): rekrutacja, ocena, przydział zadań i monitoring pracowników. Najczęstsza pułapka w MŚP.
RODO i AI Act działają razem
To najważniejsza rzecz do zapamiętania. AI Act dokłada nowe obowiązki związane z samymi systemami AI (m.in. klasyfikację ryzyka, przejrzystość, nadzór), ale nie kasuje niczego, co wynika z RODO. Jeśli system AI przetwarza dane osobowe, wszystkie zasady ochrony danych obowiązują dalej — dokładnie tak, jak przed pojawieniem się AI Act.
W praktyce dla średniej firmy oznacza to jedno: wdrożenie AI trzeba przemyśleć z obu stron jednocześnie. Nie „najpierw wdrożymy, potem sprawdzimy zgodność", lecz z pytaniem o dane osobowe od pierwszego dnia projektu.
Co obowiązuje dziś — kalendarz AI Act
AI Act nie wszedł w życie jednego dnia. Obowiązki włączają się etapami, a terminy są zapisane w samym rozporządzeniu:
| od kiedy |
co zaczyna obowiązywać |
| sierpień 2024 |
wejście w życie rozporządzenia |
| luty 2025 |
zakazane praktyki oraz obowiązek kompetencji AI (art. 4) |
| sierpień 2025 |
modele ogólnego przeznaczenia (GPAI), struktury nadzoru, przepisy o karach |
| sierpień 2026 |
zasadnicze stosowanie rozporządzenia, w tym systemy wysokiego ryzyka z załącznika III oraz obowiązki przejrzystości (art. 50) |
| sierpień 2027 |
systemy wysokiego ryzyka wbudowane w produkty objęte odrębnymi przepisami (załącznik I) |
Dla polskiej firmy praktyczny wniosek jest taki: to nie jest już przyszłość. Obowiązek kompetencji AI działa od ponad roku, a reżim wysokiego ryzyka z załącznika III — od sierpnia 2026.
⚠️ Terminy i zakres bywają przedmiotem prac legislacyjnych na poziomie UE. Zanim oprzesz na tym decyzję, potwierdź aktualny stan — daty stosowania i zakres obowiązków mogą się zmieniać.
Jeśli AI dotyka danych osobowych, potrzebujesz podstawy prawnej
To fundament RODO, który AI niczego nie zmienia. Każde przetwarzanie danych osobowych — także przez model AI — wymaga podstawy prawnej: zgody, wykonania umowy, obowiązku prawnego albo uzasadnionego interesu. Nie da się „po prostu użyć AI" na danych pracowników czy klientów bez odpowiedzi na pytanie, na jakiej podstawie to robimy i w jakim celu.
Warto to ustalić na początku, bo podstawa prawna determinuje resztę: co wolno, jak długo, komu i jak poinformować osoby, których dane dotyczą. Dołożenie tego po fakcie jest trudniejsze niż zaprojektowanie od razu.
Minimalizacja danych — model dostaje tylko to, co niezbędne
RODO wymaga, by dane były adekwatne, stosowne i ograniczone do tego, co niezbędne do celu (zasada minimalizacji, art. 5 RODO). W kontekście AI to bardzo konkretna wskazówka: nie karm modelu wszystkim, co masz, tylko tym, czego naprawdę potrzebuje do zadania.
Pokusa jest odwrotna — „wrzućmy wszystkie dane, może się przydadzą". To zły odruch nie tylko prawnie, ale i praktycznie: im mniej danych osobowych w obiegu, tym mniejsze ryzyko i prostsza zgodność. Wąskie wdrożenie, które robi jedną rzecz na jednym, ograniczonym zbiorze, jest tu naturalnie bezpieczniejsze niż „wielka platforma AI na wszystkich danych firmy".
Gdzie mieszkają dane — największe praktyczne ryzyko
To pytanie, które w praktyce waży najwięcej, a pada najrzadziej: gdzie fizycznie trafiają dane, gdy działa AI. Jeśli rozwiązanie wysyła dane osobowe do zewnętrznego dostawcy w modelu abonamentowym, wchodzi powierzenie przetwarzania, potrzebna jest odpowiednia umowa, a często pojawia się kwestia transferu danych poza Europejski Obszar Gospodarczy. Kontrola nad danymi słabnie, bo część odpowiedzialności i ryzyka przechodzi na cudzą platformę.
Rozwiązanie działające we własnej infrastrukturze firmy odwraca ten układ: dane nie opuszczają firmy, nie ma powierzenia zewnętrznemu dostawcy, a zgodność jest łatwiejsza do utrzymania, bo wszystko dzieje się u siebie. To ta sama różnica między własnością a wynajmem, która ma znaczenie także poza RODO — rozkłada ją dedykowany system AI vs gotowy SaaS. Przy danych osobowych ta różnica przestaje być tylko kwestią kosztu, a staje się kwestią ryzyka.
DPIA i nadzór człowieka
Dwie rzeczy warto mieć na uwadze przy bardziej wrażliwych zastosowaniach. Po pierwsze, jeśli system profiluje osoby lub przetwarza dane w sposób mogący nieść wysokie ryzyko dla ich praw, RODO może wymagać oceny skutków dla ochrony danych (DPIA) przed uruchomieniem. Po drugie, i RODO, i AI Act kładą nacisk na nadzór człowieka nad decyzjami — automatyczne rozstrzygnięcia wobec ludzi bez udziału człowieka są obwarowane szczególnymi warunkami.
Dla rozsądnego wdrożenia to zresztą naturalne: pierwszy przypadek użycia zwykle i tak zostawia człowieka w pętli, bo tak buduje się zaufanie do narzędzia. Zgodność i dobra praktyka wdrożeniowa idą tu w tę samą stronę.
Jesteś podmiotem stosującym, nie dostawcą
AI Act rozdziela role i przypisuje im różne obowiązki. Dwie najważniejsze to dostawca (kto system tworzy lub wprowadza na rynek pod swoją marką) i podmiot stosujący (kto go używa w swojej działalności).
Firma produkcyjna, która wdraża narzędzie AI u siebie, jest zwykle podmiotem stosującym — i to jej obowiązki powinna znać. Najważniejsze z nich są przyziemne: używać systemu zgodnie z instrukcją dostawcy, zapewnić nadzór człowieka przez osoby o odpowiednich kompetencjach, monitorować działanie i reagować na nieprawidłowości, a przy systemach dotyczących pracowników — poinformować ich przed uruchomieniem.
To rozróżnienie ma praktyczne znaczenie przy wyborze partnera: część obowiązków spoczywa na dostawcy i warto wiedzieć, które, zanim podpiszesz umowę.
Obowiązek kompetencji AI — dotyczy każdego
Najbardziej powszechny obowiązek całego rozporządzenia jest jednocześnie najczęściej pomijany. Art. 4 wymaga, by dostawcy i podmioty stosujące zapewnili odpowiedni poziom kompetencji AI u osób zajmujących się obsługą i użytkowaniem tych systemów.
Nie ma tu progu wielkości firmy ani wyłączenia dla MŚP. Jeśli Twój zespół korzysta z narzędzia AI, powinien rozumieć, jak ono działa, na czym polegają jego ograniczenia i gdzie kończy się zaufanie do wyniku. W praktyce wystarczy udokumentowane przeszkolenie proporcjonalne do zastosowania — ale musi się odbyć.
Uwaga na kadry — to najczęstsza pułapka
Najczęstsze zastosowanie AI w średniej firmie to jednocześnie obszar, który rozporządzenie traktuje najostrzej. Załącznik III zalicza do systemów wysokiego ryzyka m.in. systemy używane w zatrudnieniu: przy rekrutacji i selekcji kandydatów, przy decyzjach o awansie lub zakończeniu współpracy, przy przydzielaniu zadań oraz przy monitorowaniu i ocenie pracowników.
To oznacza pełny reżim wysokiego ryzyka — a nie zwykłe wdrożenie. Firma, która „tylko przepuszcza CV przez AI" albo „tylko podpowiada ocenę pracownika", może być w tym reżimie, nie zdając sobie z tego sprawy.
Wniosek praktyczny: zanim uruchomisz AI w obszarze kadrowym, sprawdź klasyfikację. To jeden z niewielu przypadków, gdzie warto zapytać prawnika przed pilotażem, nie po nim.
Kiedy trzeba powiedzieć, że to AI
Art. 50 dokłada obowiązki przejrzystości, które dotykają zastosowań spotykanych w każdej firmie. System wchodzący w interakcję z człowiekiem — na przykład chatbot na stronie — musi być tak zaprojektowany, żeby osoba wiedziała, że rozmawia z AI, chyba że jest to oczywiste z kontekstu. Treści generowane lub istotnie zmodyfikowane przez AI powinny być odpowiednio oznaczone.
Dla firmy planującej asystenta w obsłudze klienta to konkretny wymóg projektowy, nie kosmetyka.
Kary — rząd wielkości
Rozporządzenie przewiduje sankcje administracyjne w trzech przedziałach, liczone jako kwota albo procent światowego obrotu — zależnie od tego, co wyższe. Najwyższy próg dotyczy praktyk zakazanych, średni — naruszenia pozostałych obowiązków, najniższy — podania organom nieprawdziwych informacji. Przepisy przewidują przy tym uwzględnianie sytuacji małych i średnich przedsiębiorstw.
Konkretne wysokości i tryb ich nakładania w Polsce zależą od krajowych przepisów wykonawczych — i to jest właśnie ten fragment, który warto potwierdzić na bieżąco.
Co z polskimi przepisami
AI Act jest rozporządzeniem unijnym, więc stosuje się bezpośrednio — nie trzeba czekać na polską ustawę, żeby obowiązki działały. Państwa członkowskie mają jednak dołożyć swoje: wyznaczyć organy nadzoru rynku, uregulować tryb kontroli i sankcji oraz zapewnić instrumenty wsparcia, w tym piaskownice regulacyjne.
W Polsce prace nad przepisami wdrażającymi trwały równolegle do wchodzenia rozporządzenia w życie. Nie opieraj decyzji na tym akapicie — status ustawy, wskazanie organu nadzoru i szczegóły trybu kontroli to rzeczy, które zmieniają się w czasie i przed wdrożeniem warto sprawdzić w źródle albo u prawnika.
Nie wiadomo jednak:
Zgodność rozstrzyga się na szczegółach, które w ofertach zwykle nie padają:
- czy dane opuszczają firmę — a jeśli tak, do kogo, na jakiej podstawie i czy poza EOG;
- co dzieje się z danymi po zakończeniu współpracy — w tym z danymi użytymi do trenowania;
- czy dostawca wykorzystuje Wasze dane do rozwijania rozwiązań dla innych klientów;
- kto odpowiada za incydent i w jakim czasie musi Was o nim poinformować;
- czy da się rozwiązanie wyłączyć i usunąć dane na żądanie;
- jak dostawca klasyfikuje system w rozumieniu AI Act i czy zgadza się to z Waszym zastosowaniem;
- kto dostarcza dokumentację i instrukcję, bez których nie da się spełnić obowiązków podmiotu stosującego.
Praktyczne minimum przed wdrożeniem
Zanim uruchomisz AI, która dotyka danych osobowych, warto odpowiedzieć na kilka pytań: czy system w ogóle przetwarza dane osobowe i jakie; na jakiej podstawie prawnej; czy ograniczasz zakres do niezbędnego minimum; gdzie fizycznie trafiają dane i czy nie opuszczają firmy bez potrzeby; czy przy profilowaniu potrzebna jest DPIA; i czy człowiek zachowuje nadzór nad decyzjami. Konkretne odpowiedzi zależą od przypadku i warto je potwierdzić z inspektorem ochrony danych — ale samo zadanie tych pytań przed startem eliminuje większość późniejszych problemów.
Do tego dochodzą trzy pytania z AI Act, których RODO nie obejmuje: czy zastosowanie nie trafia do kategorii wysokiego ryzyka (zwłaszcza w kadrach), czy zespół ma zapewnione kompetencje AI, i czy — gdy system rozmawia z człowiekiem — jest jasne, że to AI.
Najczęstsze pytania
Czy AI Act zwalnia firmę z obowiązków RODO?
Nie. AI Act dokłada obowiązki związane z systemami AI, ale nie kasuje żadnego obowiązku wynikającego z RODO. Oba reżimy stosuje się równolegle i uzupełniają. Jeśli system AI przetwarza dane osobowe, wszystkie zasady RODO obowiązują dalej.
Czy mogę użyć danych klientów lub pracowników do AI bez zgody?
Zależy od podstawy prawnej. Zgoda to tylko jedna z możliwych podstaw — bywa nią też wykonanie umowy, obowiązek prawny czy uzasadniony interes. Kluczowe jest to, że jakaś podstawa prawna musi istnieć, a cel przetwarzania musi być określony. To warto ustalić przed wdrożeniem, nie po nim, i najlepiej z inspektorem ochrony danych.
Czy korzystanie z zewnętrznego, abonamentowego narzędzia AI jest zgodne z RODO?
Może być, ale wymaga więcej uwagi. Wysyłanie danych osobowych do zewnętrznego dostawcy oznacza powierzenie przetwarzania, potrzebę odpowiedniej umowy i często kwestię transferu danych poza EOG. Rozwiązanie działające we własnej infrastrukturze firmy upraszcza sprawę, bo dane nie opuszczają firmy i nie ma powierzenia zewnętrznemu podmiotowi.
Czy AI Act dotyczy małej firmy, która tylko korzysta z gotowych narzędzi?
Tak, choć w węższym zakresie. Firma używająca AI jest zwykle podmiotem stosującym, nie dostawcą, więc nie ciążą na niej obowiązki wytwórcy. Obowiązek kompetencji AI (art. 4) dotyczy jej jednak bez względu na wielkość, podobnie jak wymóg informowania, że rozmówcą jest AI. Jeśli narzędzie dotyka spraw kadrowych, zastosowanie może trafić do kategorii wysokiego ryzyka — i to warto sprawdzić przed uruchomieniem.
Czy AI do rekrutacji albo oceny pracowników to system wysokiego ryzyka?
Bardzo często tak. Załącznik III wymienia zatrudnienie jako obszar wysokiego ryzyka, obejmując rekrutację i selekcję, decyzje o awansie i zakończeniu współpracy, przydzielanie zadań oraz monitorowanie i ocenę. Konsekwencją jest pełny reżim obowiązków, a nie zwykłe wdrożenie. Klasyfikację warto potwierdzić z prawnikiem przed pilotażem.
Jak zminimalizować ryzyko RODO przy wdrożeniu AI?
Ograniczyć dane do niezbędnego minimum, ustalić podstawę prawną i cel, trzymać dane możliwie u siebie zamiast wysyłać je na zewnątrz, rozważyć DPIA przy profilowaniu i zostawić człowiekowi nadzór nad decyzjami. Wąskie wdrożenie na ograniczonym zbiorze danych jest tu naturalnie bezpieczniejsze niż wielka platforma na wszystkich danych firmy.
Co dalej
RODO nie jest powodem, żeby rezygnować z AI — jest powodem, żeby wdrażać ją z głową: wąsko, na minimum niezbędnych danych i możliwie we własnej infrastrukturze. Dobrze zaprojektowane wdrożenie i zgodność z ochroną danych zwykle idą w tę samą stronę. Od czego zacząć rozpoznanie, gdzie AI da efekt przy najmniejszym ryzyku danych, pomaga ustalić Audyt Gotowości AI. Dlaczego trzymanie danych i rozwiązania u siebie ma znaczenie także poza compliance, rozkłada własne systemy zamiast abonamentu.
→ Umów bezpłatną konsultację 30 minut
Artykuł jest ogólnym wprowadzeniem do relacji między wdrożeniem AI a ochroną danych osobowych (RODO i AI Act) dla polskiej firmy. Stan prawny: wrzesień 2026. Kalendarz stosowania AI Act, zakres obowiązków i polskie przepisy wdrażające zmieniają się w czasie — przed decyzją potwierdź aktualny stan. Nie stanowi porady prawnej; konkretny przypadek, podstawę prawną i obowiązki warto potwierdzić z inspektorem ochrony danych lub prawnikiem.
