AI Act a RODO: dwa reżimy, które Twoi agenci muszą spełnić
Dlaczego zgodność z RODO nie pokrywa AI Act, gdzie oba się nakładają i co autonomiczny agent musi spełnić na gruncie każdego z nich.
Definicja
AI Act i RODO to odrębne reżimy UE, które oba dotyczą agentów AI. RODO rządzi danymi osobowymi; AI Act rządzi systemami AI według ryzyka. Zgodność z RODO nie czyni Cię zgodnym z AI Act — agent zwykle musi spełnić oba, na różnych podstawach.
Powracające i kosztowne nieporozumienie — na rynku DACH i nie tylko: „jesteśmy zgodni z RODO, więc mamy spokój“. Dla autonomicznych agentów to nieprawda. Oba reżimy zadają inne pytania, a agent zwykle musi odpowiedzieć na oba.
Dwa reżimy, dwa pytania
RODO pyta: czy przetwarzasz dane osobowe zgodnie z prawem? Podstawa prawna, ograniczenie celu, minimalizacja danych, prawa osób, bezpieczeństwo przetwarzania.
AI Act pyta: czy Twój system AI jest bezpieczny i transparentny stosownie do poziomu ryzyka? Klasyfikacja ryzyka, obowiązki transparentności, nadzór człowieka, zgodność dla zastosowań wysokiego ryzyka.
To wymiary prostopadłe. Możesz przetwarzać dane bez zarzutu, a i tak wdrożyć agenta, który nie ujawnia, że jest AI (Art. 50). Możesz mieć agenta niskiego ryzyka i transparentnego, który mimo to źle obchodzi się z danymi osobowymi.
Gdzie się nakładają?
Reżimy są odrębne, lecz nie rozłączne. Najostrzej spotykają się wokół:
- Decyzji zautomatyzowanych. RODO ogranicza decyzje wyłącznie zautomatyzowane o skutkach prawnych lub podobnych; AI Act może uznać ten sam system za wysokiego ryzyka. Agent przesiewający kandydatów wyzwala oba.
- Minimalizacji danych a pamięci. To, co agent zachowuje w pamięci długotrwałej, to zarazem pytanie RODO i pytanie bezpieczeństwa agentów.
- Transparentności. RODO wymaga poinformowania osób; AI Act wymaga ujawnienia udziału AI. Różne obowiązki, ten sam punkt styku z użytkownikiem.
Co agent musi spełnić na gruncie każdego
| Wymiar | RODO | AI Act |
|---|---|---|
| Przedmiot | Dane osobowe | System AI |
| Wyzwalacz | Przetwarzanie danych osobowych | Poziom ryzyka + rola systemu |
| Kluczowy obowiązek dla agentów | Podstawa prawna, prawa, minimalizacja | Transparentność (Art. 50), nadzór, zgodność |
| Najbliższy termin | Obowiązuje | Art. 50 egzekwowalny 2 sie 2026 |
| Pułap kary | Do 4% obrotu | Do 7% za praktyki zakazane |
Praktyczna postawa
- Odwzoruj przepływy danych pod RODO — jakie dane osobowe agent czyta, przechowuje i wysyła.
- Odwzoruj zachowanie i ryzyko pod AI Act — czy agent wchodzi w interakcję z ludźmi, generuje treści lub działa w dziedzinie wysokiego ryzyka.
- Spełnij sumę. Dodaj ujawnienie AI dla Art. 50, prowadź podpisane logi audytowe dla nadzoru i utrzymaj dotychczasowe kontrole RODO.
- Udokumentuj rozliczalność raz, obejmując oba reżimy.
Traktowanie ich jako jednego checkboxa to droga do niespodzianek. Traktuj je jak dwie soczewki na tego samego agenta. Definicje są w słowniku.
Najczęstsze pytania
Skoro jesteśmy zgodni z RODO, czy AI Act mamy z głowy?
Nie, a przyjęcie inaczej to jedno z najkosztowniejszych nieporozumień na rynku. RODO rządzi danymi osobowymi — podstawą prawną, ograniczeniem celu, prawami osób, bezpieczeństwem przetwarzania — a AI Act rządzi samym systemem AI według jego ryzyka i roli: klasyfikacją, transparentnością, nadzorem człowieka i zgodnością. To pytania prostopadłe. Agent może przetwarzać dane osobowe bez zarzutu, a wciąż naruszać obowiązek z Art. 50 AI Act, by ujawnić, że użytkownik ma do czynienia z AI, i odwrotnie — transparentny agent niskiego ryzyka może mimo to źle obchodzić się z danymi i naruszać RODO. Mają też różne harmonogramy, w wielu państwach członkowskich różnych regulatorów i różne struktury kar. Właściwy model myślowy to dwie osobne soczewki na ten sam system, nie jeden checkbox. Pracę pod RODO traktuj jako konieczną, lecz niewystarczającą, a potem dołóż kontrole właściwe AI Act — ujawnienie, nadzór, klasyfikację ryzyka i logowanie audytowe — na wierzch tego, co już robisz dla ochrony danych, a nie zamiast tego.
Gdzie oba się nakładają?
To reżimy odrębne, lecz nie rozłączne, a najostrzej spotykają się wokół decyzji zautomatyzowanych i danych. RODO ogranicza decyzje wyłącznie zautomatyzowane o skutkach prawnych lub podobnie istotnych dla osoby, a AI Act może uznać ten sam system za wysokiego ryzyka, więc agent przesiewający kandydatów albo oceniający zdolność kredytową wyzwala obowiązki z obu naraz. Minimalizacja danych to kolejny punkt styku: to, co agent zachowuje w pamięci długotrwałej, jest zarazem pytaniem RODO o niezbędność i retencję oraz pytaniem bezpieczeństwa agentów o to, do czego sięgnąłby atakujący. Transparentność też się nakłada — RODO wymaga poinformowania osób o przetwarzaniu, a AI Act wymaga ujawnienia udziału AI, dwa różne obowiązki lądujące często w tym samym punkcie styku z użytkownikiem. Praktyczny wniosek nie jest taki, że jeden obowiązek spełnia drugi; jest taki, że jedna funkcja może tworzyć równoległe obowiązki, które trzeba spełnić razem, najlepiej ze wspólną dokumentacją, by nie rozwiązywać tego samego problemu dwa razy w dwóch językach.
Który stosuje się pierwszy dla agenta?
Żaden nie ma pierwszeństwa; oba stosują się równolegle i żaden nie uchyla drugiego, więc praktyczną odpowiedzią jest spełnić sumę, a nie wybierać zwycięzcę. Najczyściej operacjonalizuje to przeprowadzenie dwóch odwzorowań na tym samym agencie. Pod RODO odwzoruj przepływy danych: jakie dane osobowe agent czyta, przechowuje, przesyła i zatrzymuje, na jakiej podstawie prawnej i jak długo. Pod AI Act odwzoruj zachowanie i ryzyko: czy agent wchodzi w interakcję z ludźmi, generuje lub zmienia treści, albo działa w dziedzinie wysokiego ryzyka z Załącznika III. Następnie wdroż połączony zestaw kontroli — dotychczasowe zabezpieczenia RODO plus dodatki z AI Act, jak ujawnienie z Art. 50, nadzór człowieka i podpisane logi audytowe — i udokumentuj rozliczalność raz, tak by obejmowała oba. Kolejność liczy się tylko dla planowania projektu, nie dla prawnego pierwszeństwa: cokolwiek weźmiesz najpierw, nie skończysz, póki nie spełnisz obu, bo regulator jednego reżimu nie usprawiedliwi naruszenia drugiego.
Korzystamy z zewnętrznego dostawcy AI — kto odpowiada na gruncie każdego reżimu?
Oba reżimy dzielą odpowiedzialność według roli, ale tną ją inaczej, więc trzeba odwzorować swoją pozycję pod każdym, a nie zakładać, że ryzyko niesie dostawca. Pod RODO oś to administrator kontra podmiot przetwarzający: jeśli decydujesz, po co i jak przetwarzane są dane osobowe, jesteś administratorem i nosisz główne obowiązki, nawet gdy dostawca przetwarza w Twoim imieniu na podstawie umowy powierzenia. Pod AI Act oś to dostawca kontra podmiot stosujący: dostawca tworzy lub wprowadza system AI na rynek, a Ty, uruchamiając go we własnym kontekście, jesteś zwykle podmiotem stosującym, a podmioty stosujące mają własne realne obowiązki — używać systemu zgodnie z przeznaczeniem, zapewnić nadzór człowieka i spełnić ujawnienie z Art. 50 tam, gdzie to Ty wchodzisz w interakcję z użytkownikami końcowymi. Co istotne, możesz być administratorem RODO i podmiotem stosującym AI Act jednocześnie dla tego samego agenta, a zakup od zgodnego dostawcy nie przenosi Twoich obowiązków. Ustal obie pary ról na piśmie, przydziel konkretne obowiązki w umowie i zachowaj dowody, że każda strona spełnia swoją część.