Zanim wdrożysz sztuczną inteligencję – sprawdź checklisty UODO

Pytania o ochronę danych przed zakupem lub rozpoczęciem prac

Materiały UODO zostały opublikowane 6.8.2026 r. Urząd zastrzega, że pytania inicjalne nie stanowią wiążącej wykładni przepisów i nie przesądzają o zgodności konkretnego rozwiązania z RODO. Wypełnionych list nie trzeba także przedstawiać organowi nadzorczemu. Ich publikacja nie ustanawia nowych obowiązków prawnych, bowiem mają być one materiałem wejściowym do dalszych analiz.

Znaczenie opracowania jest przede wszystkim praktyczne. Zgodnie z instrukcją kwestie objęte checklistami powinny być rozpatrywane na etapie koncepcji i wyboru narzędzia, przed zakupem lub rozpoczęciem prac. Pozwala to wcześniej ustalić, czy planowane zastosowanie AI wiąże się z przetwarzaniem danych osobowych i czy charakter wdrożenia wymaga dalszych działań na gruncie przepisów o ochronie danych.

Publikacja odpowiada na problemy zidentyfikowane w badaniu potrzeb organizacji przeprowadzonym przez Społeczny Zespół Ekspertów przy Prezesie UODO. Z przytoczonych przez Urząd danych wynika, że zależnie od badanego zagadnienia od 41 do 58,5 proc. podmiotów nie dostrzega związku między narzędziami AI a przetwarzaniem danych osobowych. Jednocześnie 95,9 proc. badanych nie uważa się za przygotowanych do wdrożenia AI zgodnie z RODO.

UODO zwraca uwagę, że pytanie o zgodność pojawia się często dopiero wtedy, gdy narzędzie już działa, a decyzje dotyczące wykorzystywanych danych i dostawcy zapadły wcześniej. Listy mają skłonić organizacje do postawienia tych pytań przed uruchomieniem systemu.

Trzy listy wejściowe i Wersja Rozszerzona

Opracowanie ma dwa poziomy. Pierwszy tworzą trzy samodzielne listy wejściowe, dobierane z uwzględnieniem profilu adresata i przedmiotu wdrożenia. Drugi stanowi wspólna Wersja Rozszerzona, przeznaczona do pogłębionej analizy. UODO zaznacza przy tym, że o wyborze właściwej wersji rozstrzyga przedmiot oceny, a nie sam schemat organizacyjny.

Pierwszy zestaw przygotowano dla małych i średnich przedsiębiorstw korzystających z gotowych systemów AI, bez przechodzenia przez etap ich trenowania. Dla tej grupy opracowano „Praktyczną checklistę RODO dla wdrażania AI”.

Wariant ten jest szczególnie ważny przy zakupie gotowego rozwiązania od zewnętrznego dostawcy. Brak udziału przedsiębiorcy w trenowaniu modelu nie oznacza, że poza zakresem wdrożenia pozostają kwestie ochrony danych. Lista ma pomóc ustalić, czy korzystanie z konkretnego narzędzia wymaga dalszej oceny na gruncie RODO i jakie działania mogą być potrzebne dla zapewnienia zgodności z prawem.

Checklista nie tworzy dodatkowego formalnego etapu postępowania zakupowego. Jej funkcja polega na umożliwieniu uwzględnienia ochrony danych już przy koncepcji i wyborze rozwiązania technologicznego, a nie dopiero po jego uruchomieniu.

Drugi wariant przeznaczono dla sektora publicznego. Uwzględnia on jego specyfikę, w szczególności zasadę legalizmu oraz reguły postępowania administracyjnego. Lista ma służyć m.in. ustaleniu dopuszczalności wykorzystania AI w konkretnym procesie oraz zakresu obowiązków wobec osób, których może dotyczyć działanie systemu.

Istotne są zwłaszcza przypadki, w których wynik działania AI wpływa na sytuację prawną osób. Jest to jedna z przesłanek wymagających – zgodnie z instrukcją – przejścia do Wersji Rozszerzonej. Sama checklista nie przesądza jednak o dopuszczalności konkretnego zastosowania AI przez podmiot publiczny. Ocena taka musi wynikać z właściwych przepisów i okoliczności danego wdrożenia.

Trzeci zestaw, określony jako „Wersja 0” lub checklista zerowa, jest skierowany do organizacji, które nie mieszczą się w dwóch wcześniejszych profilach, w tym do podmiotów budujących lub dotrenowujących własne rozwiązania AI.

Budowa lub dotrenowywanie modelu jest zarazem jedną z przesłanek, przy których należy sięgnąć po Wersję Rozszerzoną. W takim przypadku „Wersja 0” pełni funkcję listy wejściowej, a analiza jest następnie kontynuowana na poziomie pogłębionym.

Kiedy trzeba sięgnąć po Wersję Rozszerzoną

Wersja Rozszerzona jest drugim, pogłębionym poziomem opracowania, wspólnym dla wszystkich trzech list wejściowych. Stosuje się ją, gdy charakter konkretnego wdrożenia odpowiada przesłankom wskazanym przez UODO.

Dotyczy to m.in. budowania lub dotrenowywania modelu, wpływu wyniku systemu na sytuację prawną osób, przetwarzania danych szczególnych kategorii, danych dzieci lub danych dotyczących wyroków skazujących i czynów zabronionych, przekazywania danych poza Europejski Obszar Gospodarczy, a także sytuacji, w których system może zostać zakwalifikowany jako system wysokiego ryzyka w rozumieniu AI Act.

Wersja Rozszerzona obejmuje nie tylko kwestie wynikające z RODO. Sygnalizuje również zagadnienia związane z AI Act, w tym klasyfikację ryzyka oraz ocenę wpływu na prawa podstawowe.

Nie oznacza to jednak, że wykonanie checklisty zastępuje obowiązki wynikające z tych regulacji. Materiał nie zastępuje analizy ryzyka, oceny skutków dla ochrony danych ani oceny wpływu na prawa podstawowe. Może pomóc rozpoznać potrzebę ich przeprowadzenia i wskazać obszary wymagające dalszej oceny.

Także odwołania do AI Act mają charakter sygnalizacyjny. Checklista nie zmienia zakresu stosowania rozporządzenia ani nie przesądza o kwalifikacji konkretnego systemu. Zwraca natomiast uwagę na obowiązki, które – zależnie od charakteru i zastosowania rozwiązania – mogą mieć do niego zastosowanie.

Wypełnienie checklisty nie potwierdza zgodności z RODO

Wszystkie warianty mają charakter pomocniczy. UODO wskazuje wprost, że pytania inicjalne nie są wiążącą wykładnią przepisów i nie przesądzają o zgodności z RODO. Samo udzielenie odpowiedzi na wszystkie pytania nie może więc być traktowane jako potwierdzenie zgodności konkretnego wdrożenia.

Wypełnionych list nie trzeba przedstawiać organowi nadzorczemu. Mają one służyć organizacji do uporządkowania kwestii, które należy rozpoznać przed uruchomieniem systemu.

Checklisty nie zmieniają również obowiązków wynikających z RODO ani innych przepisów. Jeżeli konkretne wdrożenie wymaga przeprowadzenia określonej analizy lub oceny, lista może pomóc zidentyfikować taką potrzebę, ale nie zastępuje właściwego procesu.

Komentarz praktyczny: kwestie RODO już na początku projektu AI

Najważniejsze znaczenie publikacji dla praktyki compliance wiąże się z momentem identyfikowania problemów dotyczących ochrony danych. UODO kieruje checklisty na etap poprzedzający wdrożenie, w instrukcji określony jako etap koncepcji i wyboru narzędzia, przed zakupem lub rozpoczęciem prac.

Pierwszym krokiem powinien być dobór listy wejściowej odpowiadającej profilowi adresata i przedmiotowi konkretnego wdrożenia. Nie należy jednak opierać tego wyboru wyłącznie na formalnym typie organizacji, ponieważ zgodnie z instrukcją rozstrzygający jest przedmiot oceny.

Następnie trzeba ustalić, czy występuje którakolwiek z przesłanek wymagających przejścia do Wersji Rozszerzonej. Niezależnie od wyniku checklisty organizacja powinna później ocenić, czy konkretne wdrożenie wymaga analizy ryzyka, oceny skutków dla ochrony danych albo – w odpowiednich przypadkach – oceny wpływu na prawa podstawowe.

Znaczenie ma również organizacja procesu wdrożeniowego. UODO zachęca do przekazania opracowania inspektorom ochrony danych oraz osobom odpowiedzialnym za zakupy i wdrożenia technologiczne. W praktyce sprzyja to włączeniu kwestii ochrony danych do procesu wyboru i projektowania rozwiązania AI, zamiast pozostawiania ich do oceny dopiero po jego uruchomieniu.

Wypełniona checklista nie stanowi potwierdzenia zgodności i nie jest dokumentem wymagającym przekazania UODO. Jej rolą jest wcześniejsze rozpoznanie kwestii, które mogą wymagać dalszych działań prawnych, organizacyjnych lub compliance.

Urząd przewidział również możliwość przekazywania uwag i doświadczeń związanych ze stosowaniem list. Można je zgłaszać do 30.92026 r.; mają zostać wykorzystane przy aktualizacji materiałów.

Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →