AI w firmie a RODO: co musisz wiedzieć przed wdrożeniem

Latem 2026 temat "AI w firmie a prawo" przestał być teoretyczny: 2 sierpnia zaczyna obowiązywać kluczowa transza unijnego AI Act, a Polska ma świeżo uchwaloną ustawę o systemach sztucznej inteligencji z nowym regulatorem. Do tego dochodzi stare, dobre RODO, które nigdzie się nie wybiera. Ten przewodnik porządkuje, co realnie musi zrobić mała i średnia firma - bez prawniczego betonu. Uwaga: to omówienie, nie porada prawna; w niestandardowych przypadkach skonsultuj się z prawnikiem.

Dwa reżimy naraz: RODO i AI Act

Jeśli twoja firma używa AI, podlegasz równolegle dwóm regulacjom. RODO pilnuje danych osobowych - i obejmuje każdą sytuację, w której do narzędzia AI trafiają dane klientów, pracowników czy kontrahentów. AI Act reguluje same systemy AI - od zakazanych praktyk, przez systemy wysokiego ryzyka, po obowiązki informacyjne przy zwykłych czatbotach.

Dobra wiadomość dla większości MŚP: typowe użycie AI (pisanie tekstów, analiza dokumentów, czatbot na stronie, transkrypcja spotkań) to z perspektywy AI Act przede wszystkim obowiązki transparentności, nie ciężki reżim wysokiego ryzyka. Zła wiadomość: te obowiązki właśnie wchodzą do gry i mało kto jest na nie gotowy.

Kalendarz AI Act: co już obowiązuje, co od 2 sierpnia 2026

Już obowiązuje (od wcześniejszych transz):

• od 2 lutego 2025 - zakazy praktyk niedopuszczalnego ryzyka (np. scoring społeczny, manipulacyjne techniki) oraz wymóg AI literacy: personel pracujący z AI ma rozumieć, czym się posługuje - w praktyce oznacza to przeszkolenie zespołu,
• od 2 sierpnia 2025 - obowiązki dostawców modeli ogólnego przeznaczenia (GPAI).

Od 2 sierpnia 2026 wchodzą obowiązki transparentności z art. 50 (szczegóły w osobnej sekcji niżej) - i to jest transza, która dotyczy niemal każdej firmy używającej AI.

Systemy wysokiego ryzyka - terminy przesunięte. W ramach tzw. AI Omnibus 7 maja 2026 osiągnięto na poziomie UE porozumienie polityczne przesuwające obowiązki dla systemów wysokiego ryzyka: załącznik III (m.in. biometria, zatrudnienie i rekrutacja, edukacja, infrastruktura krytyczna, migracja) zacznie obowiązywać 2 grudnia 2027, a AI wbudowane w produkty regulowane (np. windy, zabawki) - 2 sierpnia 2028. Osobno: maszynowe znakowanie treści generowanych przez AI (art. 50 ust. 2) może przesunąć się na 2 listopada 2026.

Polska ustawa o AI: KRiBSI, piaskownice, opinie

W 2026 roku Sejm uchwalił ustawę o systemach sztucznej inteligencji - polskie wdrożenie AI Act. Co wprowadza:

• KRiBSI - Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, nowego regulatora rynku AI: prowadzi rejestr skarg, kontroluje zgodność systemów z przepisami i nakłada sankcje administracyjne,
• piaskownice regulacyjne - możliwość testowania rozwiązań AI pod okiem regulatora, z preferencyjnymi warunkami dla mniejszych firm,
• opinie indywidualne i wyjaśnienia - firma może wystąpić do KRiBSI o opinię dającą pewność prawną dla planowanego lub trwającego wdrożenia AI,
• Społeczną Radę Sztucznej Inteligencji jako ciało doradcze.

Dla małej firmy najciekawsze są opinie indywidualne i piaskownice - to pierwszy raz, gdy polski przedsiębiorca może dostać od regulatora odpowiedź "czy tak można", zanim wyda pieniądze na wdrożenie.

Obowiązki transparentności - to dotyczy też małych firm

Art. 50 AI Act, stosowany od 2 sierpnia 2026, w praktyce MŚP oznacza trzy rzeczy:

1. Czatbot musi się przedstawić. Jeśli na stronie firmy działa czatbot AI, użytkownik ma wiedzieć, że rozmawia z maszyną - wyjątkiem są konteksty, w których jest to oczywiste. Komunikat "Jestem asystentem AI" na starcie rozmowy załatwia sprawę.
2. Treści syntetyczne muszą być rozpoznawalne. Deepfake'i i zmanipulowane audio/wideo wymagają oznaczenia jako wygenerowane.
3. Systemy rozpoznawania emocji wymagają poinformowania osób, wobec których działają (w MŚP rzadkość, ale warto wiedzieć).

Po stronie podmiotów wdrażających systemy wysokiego ryzyka dochodzą m.in. nadzór człowieka nad systemem, przechowywanie logów minimum 6 miesięcy i informowanie osób o decyzjach podejmowanych z udziałem AI. Jeśli twoja firma używa AI np. do preselekcji CV w rekrutacji - to jest właśnie obszar z załącznika III: obowiązki formalne wchodzą 2 grudnia 2027, ale RODO (rzetelność, prawo do informacji) obowiązuje tu już dziś, więc odkładanie tematu na 2027 byłoby błędem.

RODO w praktyce: co wolno wpisywać do czatbota

Zasada jest brutalnie prosta: to, co wpisujesz do konsumenckiego czatbota, wychodzi poza twoją firmę - trafia na serwery dostawcy, zwykle w USA. Dlatego:

• bez umowy powierzenia nie wolno wprowadzać do AI danych osobowych klientów, pracowników czy kontrahentów (imiona i nazwiska w kontekście, PESEL-e, adresy, dane z CV, dane zdrowotne),
• anonimizuj zanim wkleisz - "klient X z branży e-commerce" zamiast pełnych danych; treść zadania zwykle nie potrzebuje personaliów,
• tajemnica przedsiębiorstwa to osobny problem - RODO jej nie dotyczy, ale wyciek strategii cenowej przez czat na prywatnym koncie pracownika boli tak samo.

Największe realne ryzyko w MŚP nie jest wyrafinowane: to pracownik, który na prywatnym, darmowym koncie wkleja do czatbota dane klientów, bo "tak szybciej". Tu wracamy do obowiązkowego szkolenia z lutego 2025 i do polityki AI z sekcji 9.

Czy AI uczy się na twoich danych? Consumer vs biznes

To pytanie, od którego zależy połowa oceny ryzyka - i odpowiedź zależy od rodzaju konta:

Wniosek praktyczny: do pracy z danymi firmowymi używa się planów biznesowych albo API - nie kont konsumenckich. Różnica w cenie jest mniejsza niż koszt jednego incydentu.

Umowa powierzenia (DPA) i transfer danych do USA

Jeżeli w narzędziu AI przetwarzasz dane osobowe, dostawca staje się twoim procesorem - potrzebujesz umowy powierzenia przetwarzania (DPA, art. 28 RODO). Dobra wiadomość: najwięksi dostawcy mają gotowe DPA do zaakceptowania online - i OpenAI, i Anthropic udostępniają je dla klientów biznesowych i API.

Drugi temat to transfer poza EOG. Stan na 2026: Anthropic nie oferuje hostingu w regionie UE na standardowych planach - przetwarzanie API odbywa się w USA (w oparciu o standardowe klauzule umowne). Jeśli polityka twojej firmy albo klientów wymaga przetwarzania w UE, praktyczną opcją jest Azure OpenAI z wybranym regionem europejskim - wtedy zapytania nie opuszczają UE. To dziś jedna z najczęstszych przyczyn wyboru drogi przez Azure w polskich firmach.

Transkrypcja spotkań a RODO

Nagrywanie i transkrypcja spotkań przez AI (Fireflies, Otter, wbudowane funkcje Teams/Meet) to przetwarzanie danych osobowych uczestników - ich głosu i wypowiedzi. Minimum przyzwoitości i zgodności:

• informuj uczestników przed startem nagrywania - w zaproszeniu i na początku spotkania; uczestnik ma prawo się nie zgodzić,
• miej podstawę prawną - w relacjach B2B zwykle uzasadniony interes (dokumentacja ustaleń), przy pracownikach ostrożniej: zgoda pracownika bywa wątpliwą podstawą przez nierównowagę stron,
• narzędzie na planie biznesowym z DPA - transkrypcja spotkania to często najbardziej wrażliwa treść w firmie,
• retencja - ustaw automatyczne kasowanie nagrań po określonym czasie zamiast trzymać wszystko wiecznie.

6 kroków zgodnego wdrożenia + polityka AI

1. Zinwentaryzuj - spisz, jakich narzędzi AI firma faktycznie używa (łącznie z prywatnymi kontami pracowników; ankieta anonimowa działa lepiej niż nakaz),
2. Przenieś pracę z danymi na konta biznesowe/API i zaakceptuj DPA u każdego dostawcy,
3. Sklasyfikuj zastosowania - zwykłe (teksty, analiza) vs wrażliwe (rekrutacja, oceny pracowników, decyzje wobec klientów); te drugie sprawdź pod kątem załącznika III AI Act,
4. Wdróż transparentność - czatbot z komunikatem, oznaczanie publikowanych treści syntetycznych,
5. Przeszkol zespół (obowiązek AI literacy) - co wolno wkleić, czego nie, jak anonimizować; jedno szkolenie + jednostronicowa ściąga,
6. Spisz politykę AI - dozwolone narzędzia i konta, zakazane treści, osoba odpowiedzialna, procedura zgłaszania incydentów. Jedna strona A4 przestrzegana bije dwadzieścia stron, których nikt nie czyta.

Kary: ile realnie grozi

Widełki z AI Act robią wrażenie: do 35 mln euro lub 7% światowego obrotu za praktyki zakazane oraz do 15 mln euro lub 3% obrotu za naruszenia przy systemach wysokiego ryzyka. Po stronie RODO - znane od lat kary do 20 mln euro lub 4% obrotu, egzekwowane w Polsce przez UODO, a w obszarze AI Act sankcje nakładać będzie KRiBSI.

Realistycznie: mała firma nie dostanie z dnia na dzień kary maksymalnej. Ale scenariusz "pracownik wkleił dane klientów do darmowego czatbota, klient się dowiedział i złożył skargę" jest już dziś codziennością postępowań - i to on, nie milionowe kary, powinien motywować do zrobienia porządku. Sześć kroków z poprzedniej sekcji to w małej firmie tydzień pracy - a zamyka zdecydowaną większość ryzyk. Jeśli dopiero układasz AI w firmie, zacznij od naszego przewodnika AI dla małych firm.