UODO i AI w MŚP: co sprawdzić przed wdrożeniem?

Przed wdrożeniem AI w MŚP ustal, do czego narzędzie ma służyć, jakie dane mu przekażesz, kto będzie je przetwarzał i jak sprawdzisz odpowiedzi. To odpowiada na problemy zgłoszone UODO przez przedstawicielki biznesu: ocenę ryzyka, ochronę danych osobowych oraz obowiązki wynikające z AI Act i RODO. Urząd zadeklarował gotowość do współpracy, ale w komunikacie z 23 października 2026 r. nie opublikował jeszcze zapowiadanych rekomendacji dla firm. Komunikat UODO opisuje spotkanie z 20 października.

W skrócie

Zacznij od jednego procesu, na przykład odpowiedzi na powtarzalne pytania klientów.
Zapisz, jakie dane trafiają do narzędzia i w jakim celu. Sprawdź warunki ich przechowywania i dalszego użycia.
Oceń ryzyko dla osób, których dane dotyczą, a potem dobierz zabezpieczenia i nadzór człowieka.
Przed uruchomieniem ustal, kto odpowiada za sprawdzanie wyników i przekazanie trudnej sprawy pracownikowi.

AI w MŚP: jakie problemy wskazały firmy?

UODO przekazał, że rozmowa dotyczyła trudności prawnych, technologicznych i organizacyjnych. Wśród konkretnych tematów znalazły się ocena ryzyka przetwarzania danych przez AI, bezpieczne korzystanie z narzędzi, marketing generatywny, przejrzystość treści i profilowanie. Izba Gospodarcza Kobiet Biznesu zwróciła się do urzędu o wsparcie informacyjne i współpracę przy rekomendacjach lub wytycznych; komunikat wymienia też szkolenia, webinaria i wydarzenia jako możliwe formy edukacji. UODO opisuje te postulaty i deklarację gotowości do pomocy.

To ważny sygnał dla właściciela firmy usługowej: przed wyborem narzędzia trzeba rozstrzygnąć nie tylko, czy odpowiada na pytania. Trzeba też wiedzieć, czy będzie czytać dane klientów, tworzyć treści publikowane pod nazwą firmy albo porządkować zapytania według cech osób.

Zastosowanie	Co sprawdzić przed startem	Przykład kontroli
Odpowiedzi na pytania z firmowego FAQ	Czy odpowiedzi pochodzą z aktualnej wiedzy firmy i kiedy sprawdza je człowiek?	Zapytaj chat o cenę lub zakres usługi i porównaj odpowiedź z aktualnym cennikiem.
Zbieranie zapytań przez chat na stronie	Jakie dane podaje klient, kto ma do nich dostęp i jak długo są przechowywane?	Sprawdź, czy do pierwszego kontaktu wystarczy imię, e-mail i opis potrzeby.
Tworzenie treści marketingowych	Kto weryfikuje fakty i czy odbiorca rozumie, jak powstała treść?	Porównaj wygenerowany opis z ofertą i usuń niepotwierdzone obietnice.
Profilowanie lub porządkowanie leadów	Jakie kryteria wpływają na wynik i czy człowiek może go skorygować?	Sprawdź, czy system jedynie sugeruje kolejność kontaktu, czy faktycznie decyduje o dalszej obsłudze.

Tabela jest punktem wyjścia do rozmowy z dostawcą i osobą odpowiedzialną za dane. Sama nazwa funkcji, na przykład „asystent”, nie wyjaśnia, jakie operacje wykonuje system.

Lista kontroli przed wyborem narzędzia AI

Opisz jedno zadanie. Zamiast „wdrażamy AI w firmie” zapisz: „chat odpowiada na pytania o ofertę i zbiera dane potrzebne do oddzwonienia”. Określ, czego narzędzie nie robi, na przykład nie ustala ostatecznej ceny ani nie zatwierdza umowy.

Rozrysuj przepływ informacji. Wypisz, co wpisuje klient, co trafia do narzędzia AI, co zapisuje się w CRM, arkuszu lub poczcie i kto może to zobaczyć. Przy czacie na stronie sprawdź także, czy do dostawcy trafia pełna treść rozmowy, dane kontaktowe czy oba rodzaje informacji.

Ogranicz dane do potrzebnego minimum. RODO wymaga, by dane były adekwatne i ograniczone do tego, co niezbędne do celu. Jeśli do wstępnej odpowiedzi wystarczy opis usługi i kod pocztowy, nie proś od razu o skan dokumentu czy szczegółowe dane o sytuacji rodzinnej. Zasada minimalizacji wynika z art. 5 RODO.

Ustal podstawę i cel przetwarzania. Zapisz, po co firma przetwarza dane klienta i na jakiej podstawie prawnej. Samo użycie AI nie tworzy nowej podstawy prawnej. RODO wymaga, by przetwarzanie opierało się na jednej z przesłanek z art. 6; wybór zależy od konkretnego celu i relacji z klientem. W razie wątpliwości skonsultuj go z osobą odpowiedzialną za ochronę danych.

Przeczytaj warunki dostawcy. Zapytaj, czy dane z rozmów są wykorzystywane do ulepszania lub trenowania modeli, gdzie są przetwarzane, jak długo pozostają w systemie, jak można je usunąć i czy dostawca korzysta z dalszych podwykonawców. Jeśli usługodawca przetwarza dane w imieniu firmy, sprawdź, czy zawarto umowę powierzenia i czy określa ona między innymi cel, zakres oraz czas przetwarzania. Art. 28 RODO określa wymogi wobec podmiotu przetwarzającego i umowy.

Oceń ryzyko i dobierz zabezpieczenia. Rozważ, co mogłoby się stać, gdyby dane wyciekły, trafiły do niewłaściwej osoby albo odpowiedź AI była błędna. Sprawdź uprawnienia pracowników, możliwość usunięcia danych, sposób zgłaszania incydentów i kontrolę odpowiedzi. RODO wymaga środków bezpieczeństwa dopasowanych do ryzyka; ocena skutków dla ochrony danych jest wymagana przed przetwarzaniem, gdy może ono powodować wysokie ryzyko dla praw lub wolności osób. Wymogi bezpieczeństwa i oceny skutków opisują art. 32 i 35 RODO.

Przygotuj ludzi do używania narzędzia. Pokaż zespołowi, jak rozpoznawać błędne odpowiedzi, jakich danych nie wpisywać i kiedy przejąć rozmowę. Po zmianie AI Act z lipca 2026 r. art. 4 wymaga od dostawców i podmiotów stosujących działań wspierających rozwój kompetencji AI personelu; przepis wyjaśnia zarazem, że nie oznacza to obowiązku zapewnienia określonego poziomu kompetencji każdej osobie. Zmianę wprowadziło rozporządzenie UE 2026/1744.

Ustal test i nadzór po uruchomieniu. Przygotuj przykładowe pytania klientów, również niepełne i nietypowe. Zapisz, które odpowiedzi są poprawne, a które powinny kończyć się przekazaniem sprawy człowiekowi. Przetestuj na danych przykładowych, nie na prawdziwych danych klientów, dopóki nie ustalisz zasad ich użycia.

Co sprawdzić w AI Act przy czacie i treściach?

AI Act nie zastępuje RODO. Jeżeli system przetwarza dane osobowe, nadal trzeba ocenić zgodność z zasadami ochrony danych. Z kolei AI Act obejmuje między innymi przejrzystość interakcji: zgodnie z art. 50 dostawcy mają projektować systemy przeznaczone do bezpośredniej interakcji z osobami fizycznymi tak, by informowały je o kontakcie z AI, chyba że jest to oczywiste w danym kontekście. W przypadku firmowego czatu prostym rozwiązaniem jest jasny komunikat przy oknie rozmowy. Tekst AI Act w brzmieniu skonsolidowanym zawiera art. 50 oraz aktualne terminy stosowania.

Przed wdrożeniem sprawdź też rolę firmy. Korzystanie z gotowego narzędzia w jednym procesie nie daje automatycznie odpowiedzi na pytanie, jakie obowiązki dotyczą konkretnego zastosowania. Opisz przeznaczenie systemu, osoby, na które może wpływać, i sposób wykorzystania wyników. Szczególnej uwagi wymaga sytuacja, w której AI ma oceniać osoby lub wpływać na decyzje dotyczące ich dostępu do usług.

Wytyczne UODO dla MŚP mogą pomóc uporządkować interpretację przepisów, ale firma już teraz może przygotować spis narzędzi, przepływ danych, zasady weryfikacji i plan reakcji na błąd. Opinia Europejskiej Rady Ochrony Danych o danych osobowych w modelach AI omawia między innymi podstawy prawne i ocenę anonimowości modeli. To przydatny kontekst przy pytaniu dostawcy, czy dane z rozmów zasilają model, ale nie zastępuje oceny konkretnej usługi i umowy. Opinia 28/2024 EROD.

Stan źródeł sprawdziłem 26 października 2026 r.

FAQ

Czy mała firma musi zrobić ocenę skutków dla ochrony danych przed wdrożeniem AI?

Nie w każdym przypadku. RODO wymaga jej przed rozpoczęciem przetwarzania, gdy dany proces może powodować wysokie ryzyko dla praw lub wolności osób. Najpierw opisz dane, cel i sposób działania narzędzia, a następnie oceń ryzyko. Sama wielkość firmy nie rozstrzyga, czy ocena jest potrzebna.

Czy dane klientów można wpisywać do publicznego narzędzia AI?

Najpierw sprawdź cel i podstawę przetwarzania, warunki dostawcy oraz to, co dzieje się z wpisanymi danymi. Nie wpisuj danych osobowych tylko dlatego, że narzędzie jest dostępne. Do testów użyj treści przykładowych lub danych, które nie pozwalają rozpoznać klienta.

Czy trzeba informować klienta, że rozmawia z chatbotem AI?

AI Act przewiduje informowanie o interakcji z systemem AI przeznaczonym do bezpośredniego kontaktu z osobą fizyczną, chyba że z kontekstu jest to oczywiste. Przy czacie na stronie warto umieścić krótką, czytelną informację obok pola rozmowy.

Czy UODO opublikował już wytyczne dla MŚP?

Komunikat z 23 października 2026 r. opisuje gotowość urzędu do współpracy oraz postulat przygotowania rekomendacji lub wytycznych. Sam komunikat nie zawiera takich wytycznych.

Co dalej

Jeśli rozważasz chat na stronie, sprawdź też przewodnik o chatbocie, RODO i AI Act przed wdrożeniem.