Od 41 do 58,5% organizacji nie dostrzega związku między narzędziami sztucznej inteligencji a przetwarzaniem danych osobowych. Nie chodzi o lekceważenie przepisów, tylko o kolejność zdarzeń. Liczba pochodzi z badania potrzeb organizacji, które przeprowadził Społeczny Zespół Ekspertów przy Prezesie UODO. Ten sam urząd udostępnił 6 sierpnia 2026 cztery zestawy pytań do zadania przed uruchomieniem systemu AI. Nazwano je pytaniami inicjalnymi, bo mają otwierać rozmowę, którą warto odbyć, zanim wdrożenie AI w firmie w ogóle ruszy. Urząd od razu zastrzega, że nie są to ani wiążąca wykładnia przepisów, ani gwarancja zgodności z RODO.
Dlaczego pytanie o zgodność pada zwykle za późno
W komunikacie UODO jest jedno zdanie, które trafia w sedno lepiej niż procenty. Pytanie o zgodność pada zwykle wtedy, gdy narzędzie już działa, a rozstrzygnięcia o wykorzystywanych danych i o dostawcy zapadły wcześniej. Kto pracował przy zakupie oprogramowania, zna ten moment. Umowa podpisana, dane wgrane, zespół przeszkolony, a temat ochrony danych wraca dopiero przy pierwszym audycie albo pierwszym pytaniu klienta.
Wtedy jest za późno na tanie decyzje. Zmiana dostawcy potrafi wtedy oznaczać migrację i renegocjację umowy zamiast godziny rozmowy. Cała idea list polega na przesunięciu tych kilku pytań na sam początek, kiedy sięgnięcie po inne narzędzie kosztuje jeszcze tylko czas.
Skalę problemu widać w tym samym badaniu Społecznego Zespołu Ekspertów. Aż 95,9% badanych podmiotów nie uważa się za przygotowane do wdrażania AI zgodnie z RODO. To wynik badania potrzeb organizacji, a nie obraz całego polskiego rynku.
Kto dostał którą listę pytań
Urząd przygotował cztery zestawy, dopasowane do grupy odbiorców i do etapu wdrożenia:
- wersja dla małych i średnich przedsiębiorstw, które korzystają z gotowych systemów AI, więc nie przechodzą etapu ich trenowania i nie mają rozbudowanej wiedzy prawnej,
- wersja dla podmiotów sektora publicznego, uwzględniająca zasadę legalizmu i reguły postępowania administracyjnego,
- wersja 0 dla organizacji spoza obu powyższych grup, w tym budujących lub dotrenowujących własne modele,
- wersja rozszerzona, wspólna dla wszystkich, sygnalizująca dodatkowo obowiązki z AI Act.
Podział ma praktyczny sens. Firma kupująca gotowego asystenta w abonamencie ma zupełnie inne pole manewru niż zespół, który dokłada własne dane do cudzego modelu. Ta pierwsza wybiera głównie dostawcę i zakres danych, jakie mu przekaże. Ta druga odpowiada też za to, co dzieje się z danymi w środku.
Wersja rozszerzona jest najciekawsza dla firm, które już czują na plecach oddech unijnego rozporządzenia. Wypełnia się ją wtedy, gdy podstawowa lista wykaże przesłanki opisane w jej treści, w szczególności budowę albo dotrenowywanie modelu lub wpływ na sytuację prawną osób. Dokłada dwie rzeczy z AI Act: klasyfikację ryzyka i ocenę wpływu na prawa podstawowe. Pisaliśmy wcześniej o tym, co z AI Act już obowiązuje polskie firmy, a co przesunięto.
Dlaczego to nie jest nowy obowiązek
Tę część trzeba przeczytać dosłownie, bo w relacjach łatwo zrobi się z niej “nowe wymogi UODO”. Urząd pisze, że pytania nie zastąpią analizy ryzyka, oceny skutków dla ochrony danych i wpływu na prawa podstawowe, ale stanowią dobry punkt wyjścia do tych analiz. Nie są wiążącą wykładnią przepisów i nie przesądzają o zgodności z RODO. Odpowiedzi nie trzeba nikomu przedstawiać, w tym organowi nadzorczemu. Nie ma tu ani terminu zgodności, ani zapowiedzi kontroli, ani słowa o karach.
Pierwsza Misja AI · Kodożercy
Używasz AI codziennie, ale czy robisz to dobrze?
Kurs Pierwsza Misja AI pokaże Ci techniki promptowania, które naprawdę działają. Praktyczne ćwiczenia z prawdziwym GPT-4, gamifikacja i certyfikat.
Sprawdź program kursu →
Ocena skutków dla ochrony danych, czyli dokąd te pytania prowadzą
Listy nie kończą sprawy, tylko wskazują kierunek. Kierunkiem jest ocena skutków dla ochrony danych, znana z artykułu 35 RODO i najczęściej opisywana skrótem DPIA. Robi się ją wtedy, gdy dany rodzaj przetwarzania z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw i wolności osób. Czy konkretny system AI mieści się w tej przesłance, rozstrzyga się osobno dla każdego wdrożenia, i właśnie do tego mają posłużyć pytania inicjalne.
To rozróżnienie ma znaczenie dla każdego, kto planuje takie narzędzie u siebie i nie ma własnego działu prawnego. Wypełniona lista nie przesądza o zgodności z RODO i nie trzeba jej przedstawiać organowi nadzorczemu. Jest zapisem tego, że ktoś w organizacji zadał właściwe pytania, zanim podpisał umowę. Jeśli odpowiedzi wskażą wysokie ryzyko, do zrobienia zostaje pełna ocena skutków razem z jej dokumentacją.
Co sprawdzić przed wdrożeniem AI w firmie
Najpraktyczniejsza wskazówka w całym komunikacie dotyczy tego, komu te materiały podsunąć. UODO zachęca do przekazania opracowania inspektorom ochrony danych oraz osobom odpowiedzialnym za zakupy i wdrożenia technologiczne. Ciekawszy jest ten drugi adresat. Decyzja o narzędziu AI zapada zwykle w dziale, który kupuje oprogramowanie, a nie w dziale, który potem odpowiada za dane.
Jeśli twoja firma dopiero rozważa narzędzie z AI, kolejność działań jest prosta:
- pobrać zestaw pasujący do sytuacji, bo wersja dla MŚP wygląda inaczej niż wersja 0,
- przejść listę razem z osobą odpowiedzialną za zakup, nie po fakcie,
- osobno sprawdzić, jakie dane trafią do dostawcy i na jakiej podstawie prawnej,
- ustalić, czy potrzebna jest ocena skutków dla ochrony danych.
Osobny wątek to dane, które pracownicy wkładają do narzędzi na własną rękę, bez żadnej decyzji zakupowej. Ta droga omija każdą listę pytań, bo z definicji nikt jej nie planuje. Opisywaliśmy ten mechanizm w tekście o tym, jak firmowe dane wyciekają przez ogólnodostępne narzędzia AI.
Do 30 września 2026 urząd zbiera uwagi i doświadczenia z korzystania z list pod adresem pytania_inicjalne@uodo.gov.pl. Ten termin dotyczy wyłącznie zgłaszania uwag do materiałów. Nie jest to żaden termin wdrożenia ani data, do której trzeba się z czymkolwiek uporać.
Podsumowanie
Adresatem tych list nie jest wyłącznie inspektor ochrony danych, tylko także osoba, która podpisuje zamówienie na oprogramowanie. Urząd udostępnił cztery zestawy pytań. Jeden dla małych i średnich firm korzystających z gotowych systemów, drugi dla sektora publicznego, wersję 0 dla budujących lub dotrenowujących własne modele oraz wersję rozszerzoną z obowiązkami z AI Act. Materiał opracował prof. UŁ dr hab. Dominik Lubasz przy wsparciu Społecznego Zespołu Ekspertów i specjalistów UODO. Nic z tego nie tworzy nowego obowiązku ani nie przesądza o zgodności z RODO, a odpowiedzi nie trzeba przedstawiać organowi nadzorczemu. Liczby o nieprzygotowaniu organizacji pochodzą z badania Zespołu, więc nie opisują całego polskiego rynku. Realna wartość tej publikacji jest organizacyjna: daje pretekst, żeby rozmowę o danych odbyć przed zakupem, kiedy zmiana zdania jest jeszcze darmowa.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
