Zanim wdrożysz narzędzie AI, sprawdź czy jest ono zgodne z zasadami RODO

Urząd Ochrony Danych Osobowych przedstawia listy pytań inicjalnych, które warto zadać zanim podejmie się decyzję o stworzeniu lub wykorzystywaniu systemów sztucznej inteligencji. Pytania nie zastąpią analizy ryzyka, oceny skutków dla ochrony danych i wpływu na prawa podstawowe, ale stanowią dobry punkt wyjścia do tych analiz. Nie są wiążącą wykładnią przepisów i nie przesądzają o zgodności z RODO. Odpowiedzi na pytania nie trzeba przedstawiać organowi nadzorczemu.

Badanie potrzeb organizacji, przeprowadzone przez Społeczny Zespół Ekspertów przy Prezesie UODO, pokazało, że od 41 do 58,5% podmiotów nie dostrzega związku między narzędziami sztucznej inteligencji (AI) a przetwarzaniem danych osobowych. Z kolei aż 95,9% nie uważa się za przygotowane do wdrożenia AI zgodnie z RODO. Pytanie o zgodność pada zwykle wtedy, gdy narzędzie już działa, a rozstrzygnięcia o wykorzystywanych danych i dostawcy zapadły wcześniej. Celem publikowanych poniżej pytań jest skłonienie organizacji do tego, by zadać je przed uruchomieniem systemu AI.

UODO przygotował 4 zestawy dostosowane do poszczególnych grup i etapów wdrażania sztucznej inteligencji. Pierwsza dedykowana jest małym i średnim przedsiębiorstwom, które korzystają z gotowych- systemów AI. Nie przechodzą więc przez etap ich trenowania i nie mają rozbudowanej wiedzy prawnej. Drugi zestaw pytań przeznaczono dla podmiotów sektora publicznego – uwzględnia on zasadę legalizmu i reguły postępowania administracyjnego. Wersja 0, skierowana została do organizacji nie mieszczących się w żadnej z powyższych grup – w tym budujących lub dotrenowujących własne modele AI.

Wersja Rozszerzona jest natomiast wspólna dla wszystkich powyższych podmiotów. Uwzględnia ona nie tylko RODO, ale też sygnalizuje obowiązki z AI Act: klasyfikację ryzyka i ocenę wpływu na prawa podstawowe; wypełniana, gdy lista wejściowa wykaże przesłanki wskazane w jej opisie, w szczególności budowę lub dotrenowywanie modelu albo wpływ na sytuację prawną osób.

Listy zostały przygotowane przez prof. UŁ dra hab. Dominika Lubasza, przy wsparciu pozostałych członków SZE oraz ekspertów Urzędu Ochrony Danych Osobowych. Zachęcamy do przekazania opracowania inspektorom ochrony danych oraz osobom odpowiedzialnym za zakupy i wdrożenia technologiczne w całości albo w części dotyczącej adresata.

Do 30 września 2026 r. na adres e-mail: pytania_inicjalne@uodo.gov.pl można przesyłać wszelkie uwagi i doświadczenia z korzystania z list, które zostaną wykorzystane przy aktualizacji przestawionych materiałów.