Można by więc pomyśleć, że skoro wdrożeń jest tak niewiele, ryzyko prawne pozostaje marginalne. Dane Urzędu Ochrony Danych Osobowych pokazują natomiast jednak coś przeciwnego: te nieliczne wdrożenia, które już mają miejsce, w większości przypadków odbywają się bez należytego rozpoznania konsekwencji dla ochrony danych osobowych.

5 sierpnia 2026 r. UODO opublikował opracowanie pod nazwą „Listy pytań inicjalnych”. To zestaw pytań, które mają charakter wstępny, porządkujący. Poniżej wyjaśniamy, czym dokładnie są, komu mają służyć i dlaczego warto się z nimi zapoznać, zanim projekt wdrożenia AI w Twojej organizacji nabierze rozpędu.

Skąd ten dokument się wziął?

Punktem wyjścia dla UODO było badanie potrzeb organizacji. Wyniki są dość wymowne, ponieważ jak wskazuje UODO, od 41 do 58,5% badanych podmiotów nie dostrzega w ogóle związku między korzystaniem z narzędzi AI a przetwarzaniem danych osobowych. Innymi słowy, podmioty te nie zdają sobie sprawy, że wprowadzenie danych do systemu AI (choćby w postaci treści wpisywanej do czatu z asystentem) może być czynnością podlegającą RODO. Jeszcze bardziej niepokojący jest drugi wynik: aż 95,9% organizacji nie uważa się za przygotowane do wdrożenia AI zgodnie z wymogami RODO.

UODO zwraca przy tym uwagę na pewien powtarzający się schemat. Pytanie o zgodność z przepisami pojawia się zwykle wtedy, gdy narzędzie już działa, a więc gdy kluczowe decyzje, w tym wybór dostawcy i zakres wykorzystywanych danych, zostały już podjęte. Naprawianie błędów na tym etapie jest znacznie trudniejsze i kosztowniejsze niż ich uniknięcie na starcie. Stąd pomysł, aby dostarczyć organizacjom narzędzie, które skłoni je do zadania sobie właściwych pytań, zanim jeszcze dojdzie do podpisania umowy z dostawcą czy uruchomienia projektu.

To nie jest obowiązek – to rekomendacja co do sposobu sprawdzenia narzędzia AI pod kątem zgodności z RODO!

Warto od razu rozwiać ewentualne wątpliwości co do charakteru tego dokumentu. Listy pytań inicjalnych nie są obowiązkowe, przy czym należy mieć na uwadze, że sprawdzenie narzędzia AI pod kątem zgodności z RODO jest konieczne, a listy tych pytań to jedna z możliwych form tego sprawdzenia. Nie wynikają one natomiast wprost z żadnego przepisu prawa, nie trzeba ich wypełniać, żeby legalnie wdrożyć system AI (wspomnianego sprawdzenia można dokonać w inny sposób), a odpowiedzi udzielonych na te pytania nie przedstawia się organowi nadzorczemu.

Mimo to warto z nich skorzystać, i to z kilku powodów. Po pierwsze, dokument porządkuje myślenie o wdrożeniu w sposób, który (jak pokazują cytowane wyżej statystyki) wielu organizacjom po prostu nie przychodzi naturalnie. Po drugie, prawidłowo wypełniona lista, zachowana w dokumentacji, może stanowić dowód należytej staranności na wypadek późniejszej kontroli lub skargi, element tzw. zasady rozliczalności, czyli obowiązku wykazania, że organizacja faktycznie przestrzega RODO, a nie tylko deklaruje to „na papierze”.Po trzecie wreszcie, sam proces odpowiadania na te pytania często ujawnia luki informacyjne, o których istnieniu organizacja wcześniej nie wiedziała.

Na przykład:

• brak wiedzy o tym, gdzie fizycznie przechowywane są dane wprowadzane do narzędzia AI,
• czy dostawca wykorzystuje je do trenowania własnych modeli.

Dla kogo: budowa własnego AI czy korzystanie z gotowego narzędzia?

Istotne jest to, że opracowanie UODO obejmuje obie sytuacje, z którymi może zetknąć się organizacja: zarówno budowę lub dotrenowywanie własnego systemu sztucznej inteligencji na własnych danych, jak i korzystanie z gotowego narzędzia oferowanego przez zewnętrznego dostawcę (np. popularnego asystenta tekstowego czy narzędzia do obsługi klienta).

To rozróżnienie ma znaczenie prawne, gdyż inny jest zakres odpowiedzialności podmiotu, który trenuje model na przekazywanych mu danych, a inny podmiotu, który jedynie wprowadza dane do cudzego, gotowego rozwiązania. UODO odzwierciedla tę różnicę w strukturze dokumentu, oznaczając poszczególne pytania symbolami faz:

• [T] – trenowanie/rozwój,
• [W] – wdrożenie/użycie,
• [T+W] – kwestie wspólne dla obu faz.

Cztery zestawy pytań

UODO nie zaproponował jednej uniwersalnej listy, lecz cztery odrębne zestawy, dopasowane do profilu organizacji i rodzaju (faz) wdrożenia:

• Wersja 0 – checklista o charakterze podstawowym, przeznaczona dla organizacji, które nie mieszczą się w dwóch pozostałych profilach opisanych niżej, w tym dla podmiotów budujących lub dotrenowujących własne rozwiązania AI. To swego rodzaju punkt wejścia dla każdego, kto nie jest ani małą czy średnią firmą korzystającą z gotowego narzędzia, ani jednostką sektora publicznego.
• Wersja dla MŚP – praktyczna checklista skierowana do małych i średnich przedsiębiorstw, które korzystają z gotowych narzędzi AI, bez fazy trenowania modelu. To właśnie ta wersja będzie najbardziej przydatna dla większości przedsiębiorców wdrażających np. asystenta do obsługi klienta czy narzędzie wspierające rekrutację.
• Wersja dla sektora publicznego – checklista uwzględniająca specyfikę jednostek samorządu terytorialnego, urzędów administracji publicznej i innych podmiotów realizujących zadania publiczne. Kładzie nacisk na zasadę legalizmu, zgodnie z którą organ administracji publicznej nie może podjąć działania bez wyraźnej podstawy prawnej – w tym przypadku bez przepisu, który pozwala na wykorzystanie AI w danym procesie decyzyjnym.
• Wersja rozszerzona – najbardziej rozbudowany, pogłębiony poziom opracowania, wspólny dla wszystkich trzech powyższych grup. Sięga się po nią niezależnie od tego, którą listę wejściową wcześniej wypełniono, gdy zachodzi co najmniej jedna z sytuacji: organizacja buduje lub dotrenowuje model na własnych danych, wynik działania systemu wpływa na sytuację prawną osób, przetwarzane są dane szczególnych kategorii (np. dane o zdrowiu), dane dzieci lub dane o wyrokach, dane są przekazywane poza Europejski Obszar Gospodarczy, albo system może zostać zakwalifikowany jako system wysokiego ryzyka w rozumieniu unijnego rozporządzenia w sprawie sztucznej inteligencji (tzw. AI Act). Co istotne, ta wersja sygnalizuje również obowiązki wynikające z AI Act, choć, jak podkreśla UODO, ma to charakter wyłącznie sygnalizacyjny i nie zastępuje pełnej klasyfikacji systemu pod kątem tego aktu.

Jak zbudowane są pytania?

Każda z list opiera się na tym samym podejściu funkcjonalnym. Pytania podzielono na dwa typy, oznaczone literami:

• P – pytania projektowe, które dostarczają wiedzy o samym systemie (co robi, jakie dane przetwarza, kto jest dostawcą, czy organizacja zna architekturę narzędzia),
• Z – pytania o zgodność, które weryfikują spełnienie konkretnych wymogów RODO (czy istnieje podstawa prawna przetwarzania, czy zawarto umowę powierzenia z dostawcą, czy przeprowadzono ocenę skutków dla ochrony danych). Część pytań oznaczono jako P/Z, gdyż łączą one oba te aspekty jednocześnie.

Kolejność pytań nie jest przypadkowa, bowiem bez ustalenia, jakie dane trafiają do systemu, nie da się ocenić czy wolno je tam wprowadzać. Listy rozpoczynają się więc od pytań o sam sens wdrożenia (czy dane narzędzie faktycznie rozwiązuje problem organizacji i czy korzyści przewyższają związane z nim ryzyka), następnie przechodzą do charakteru systemu, danych, ról i obowiązków wynikających z RODO, kwestii bezpieczeństwa, praw osób, których dane dotyczą, a kończą na ocenie gotowości organizacyjnej i ostatecznie w Wersji rozszerzonej – sygnalizacji obowiązków z AI Act.

Czym te pytania nie są?

Tu trzeba być precyzyjnym, bo to jeden z najważniejszych aspektów całego opracowania. UODO wprost zastrzega, że pytania nie zastępują analizy ryzyka, oceny skutków dla ochrony danych (tzw. DPIA), ani w przypadkach wskazanych w AI Act oceny wpływu na prawa podstawowe (tzw. FRIA). Obowiązek przeprowadzenia FRIA dotyczy nie tylko podmiotów publicznych, lecz również podmiotów prywatnych świadczących usługi publiczne oraz w określonych przypadkach, podmiotów z sektora finansowego i ubezpieczeniowego. Wypełnienie listy nie jest też równoznaczne z potwierdzeniem zgodności wdrożenia z RODO.

Pełna analiza ryzyka, ocena skutków dla ochrony danych czy ocena wpływu na prawa podstawowe to zagadnienia znacznie szersze, wymagające pogłębionej, indywidualnej oceny konkretnego przypadku: uwzględniającej specyfikę branży, charakter przetwarzanych danych, kontekst prawny i faktyczny, w jakim system ma funkcjonować.

Podsumowanie

Listy pytań inicjalnych UODO to praktyczne, choć niewiążące narzędzie, które pomaga zorganizować myślenie o wdrożeniu sztucznej inteligencji, zanim jeszcze padnie decyzja o zakupie narzędzia czy rozpoczęciu prac nad własnym modelem. Ich największą wartością jest to, że zmuszają do zadania sobie pytań, które jak pokazują dane UODO oraz dane Eurostatu dotyczące niskiego wykorzystania AI w Polsce, wiele organizacji w Polsce po prostu pomija, mimo rosnącej presji na cyfryzację i wdrażanie AI. Nie zastępują one jednak analizy ryzyka, oceny skutków dla ochrony danych ani pogłębionej oceny zgodności z AI Act, ponieważ to zadania, przy których warto skorzystać ze wsparcia prawnika znającego oba te reżimy.

autor: prawnik Emilia Sobota