AI Act i RODO - jak legalnie używać AI w firmie

Definicja

AI Act to unijne rozporządzenie, które reguluje sztuczną inteligencję według poziomu ryzyka, a RODO to zestaw zasad chroniących dane osobowe - razem wyznaczają granice, w których firma może legalnie i bezpiecznie używać AI. Nie są to konkurencyjne przepisy. To dwie warstwy tej samej ochrony: jedna dba o systemy AI, druga o dane, na których te systemy pracują.

Dla właściciela firmy najważniejsza jest prosta myśl: legalne używanie AI nie polega na omijaniu przepisów, tylko na wdrożeniu, które od początku jest z nimi zgodne.

Podejście oparte na ryzyku

AI Act nie traktuje całej sztucznej inteligencji jednakowo. Zamiast tego dzieli zastosowania według tego, jak bardzo mogą zaszkodzić ludziom - i im wyższe ryzyko, tym surowsze wymogi.

• Ryzyko nieakceptowalne - praktyki zakazane, takie jak społeczny scoring obywateli, manipulacja wykorzystująca słabości ludzi czy rozpoznawanie emocji pracowników. Tych zastosowań po prostu nie wolno wdrażać.
• Wysokie ryzyko - systemy używane np. w rekrutacji, ocenie zdolności kredytowej czy dostępie do kluczowych usług. Wymagają dokumentacji, nadzoru człowieka i oceny zgodności.
• Ryzyko ograniczone (przejrzystość) - np. chatboty, gdzie wystarczy poinformować człowieka, że rozmawia z AI.
• Ryzyko minimalne - większość codziennych narzędzi, gdzie obowiązków praktycznie nie ma.

Większość typowych zastosowań biznesowych - porządkowanie dokumentów, podsumowania, wstępne odpowiedzi na zapytania - mieści się w dwóch dolnych poziomach.

Przejrzystość: ludzie mają wiedzieć

Przejrzystość w AI Act sprowadza się do jednej zasady: człowiek nie powinien być oszukiwany co do tego, że ma do czynienia z maszyną.

Jeśli klient pisze z chatbotem, powinien wiedzieć, że to system AI, a nie żywy konsultant. Treści wygenerowane przez AI - zwłaszcza realistyczne obrazy i deepfake - powinny dać się rozpoznać jako sztucznie wytworzone. To nie biurokracja, lecz ochrona zaufania, na którym opiera się każda relacja z klientem.

AI Act i RODO razem

RODO obowiązuje od lat i firmy zwykle dobrze je znają. AI Act go nie zastępuje - dokłada drugą warstwę.

• RODO odpowiada na pytanie: czy wolno mi przetwarzać te dane osobowe, w jakim celu i na jakiej podstawie.
• AI Act odpowiada na pytanie: czy sam system AI jest bezpieczny, przejrzysty i pod nadzorem człowieka.

W praktyce oba przecinają się wszędzie tam, gdzie AI dotyka danych osobowych - a to w firmie dzieje się niemal zawsze.

Praktyczne zasady na co dzień

Większość zgodności sprowadza się do kilku decyzji projektowych, które podejmuje się raz, na początku wdrożenia.

Minimalizacja danych

Do modelu trafia tylko to, co jest niezbędne dla konkretnego zadania, a nie cała baza firmy. Mniej danych w obiegu to mniejsze ryzyko i prostsza zgodność z RODO.

Dane na własnych kontach

Trzymaj dane tam, gdzie firma już je trzyma - w pakiecie biurowym, na dysku, w CRM. Dane firmy zostają firmy i pod jej kontrolą, zamiast wędrować w nieznane.

Nadzór człowieka

Decyzje wymagające osądu i działania nieodwracalne przechodzą przez akcept człowieka. System przygotowuje i proponuje, człowiek zatwierdza - to wprost odpowiada na nacisk AI Act na nadzór człowieka.

Dokumentacja

Zapisz, jak system działa, jakie dane przetwarza i gdzie kończy się jego samodzielność. Prosta dokumentacja to dowód należytej staranności - i zarazem mapa, która pozwala panować nad systemem.

Status na 2026 rok

AI Act wchodzi w życie etapami. Część zakazanych praktyk i obowiązki dotyczące przejrzystości zaczynają obowiązywać wcześniej, a najcięższe wymogi dla systemów wysokiego ryzyka są wdrażane stopniowo w kolejnych latach. Dla większości firm oznacza to, że jest czas, by uporządkować sposób używania AI - najlepiej, projektując wdrożenie zgodnie z przepisami od razu, zamiast naprawiać je później.