RODO a narzędzia AI: podstawa prawna, umowy powierzenia i transfer danych

Kiedy RODO dotyczy pracy z narzędziami AI

RODO nie reguluje samej technologii, tylko przetwarzanie danych osobowych. Jeśli do narzędzia AI nie trafiają żadne informacje o rozpoznawalnych osobach, przepisy o ochronie danych nie mają zastosowania. W marketingu ten warunek łatwo jednak przekroczyć, często niezauważenie:

• eksport z CRM lub listy mailingowej wklejony do analizy segmentów;
• opinie klientów z imionami i nazwiskami przekazane do podsumowania;
• nagrania rozmów z obsługi klienta do analizy powodów rezygnacji;
• zdjęcia lub nagrania osób do obróbki w generatorze obrazu;
• brief zawierający dane kontaktowe i opis konkretnego klienta B2B;
• rozmowy klientów z chatbotem na stronie.

W każdym z tych przypadków firma jest administratorem danych i odpowiada za zgodność z RODO, także wtedy, gdy samo przetwarzanie wykonuje dostawca narzędzia. Za naruszenia RODO grożą kary do 20 mln euro lub 4% rocznego światowego obrotu. Ogólny kontekst przepisów o AI, które obowiązują równolegle z RODO, opisujemy w przewodniku AI Act w marketingu.

Dostawca AI: podmiot przetwarzający czy odrębny administrator

Pierwsze pytanie przy każdym narzędziu brzmi: w jakiej roli działa jego dostawca. Od odpowiedzi zależy, jakiej umowy i podstawy prawnej potrzebujesz.

Przykład z rynku: według OpenAI dane z planów ChatGPT Enterprise, ChatGPT Business, ChatGPT Edu i z platformy API domyślnie nie są wykorzystywane do trenowania modeli, firma może zawrzeć umowę powierzenia przetwarzania (DPA), a kwalifikujące się organizacje mogą ustawić okres przechowywania danych. Tego samego warto szukać u każdego dostawcy, zanim do narzędzia trafią dane klientów. Praktyczne zasady, co wolno wkleić do czatu, opisujemy w tekście o bezpieczeństwie danych w narzędziach AI.

Podstawa prawna: co wybrać przy typowych zastosowaniach

Każde przetwarzanie danych osobowych potrzebuje jednej z podstaw z art. 6 RODO. W marketingu w grę wchodzą najczęściej zgoda, wykonanie umowy i prawnie uzasadniony interes. Wybór zależy od celu, a nie od narzędzia.

Prawnie uzasadniony interes jest najbardziej elastyczny, ale nie jest automatyczny. Europejska Rada Ochrony Danych w opinii 28/2024 z 17 grudnia 2024 r. wskazała, że przy modelach AI nie jest to podstawa „domyślna”. Administrator musi wykazać w trzyetapowym teście, że przetwarzanie jest proporcjonalne, niezbędne i skuteczne. EROD zwrócił szczególną uwagę na rozsądne oczekiwania osób, których dane dotyczą, oraz na środki ograniczające ryzyko: pseudonimizację, dane syntetyczne, przejrzystość ponad minimum z art. 13 i 14 oraz możliwość sprzeciwu od początku.

Zgoda na komunikację marketingową to osobny temat, regulowany także przepisami o komunikacji elektronicznej. Opisujemy go w tekście o zgodach marketingowych i RODO.

Umowa powierzenia z dostawcą AI: co sprawdzić

Art. 28 RODO określa minimalną treść umowy powierzenia: przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, przetwarzanie wyłącznie na udokumentowane polecenie, poufność, bezpieczeństwo, zasady korzystania z dalszych podmiotów przetwarzających, pomoc w realizacji praw osób, usunięcie lub zwrot danych po zakończeniu usługi oraz audyty. Przy narzędziach AI warto sprawdzić dodatkowo kilka kwestii.

1. Trenowanie modeli. Czy umowa wyklucza wykorzystanie danych firmy do trenowania lub ulepszania modeli dostawcy? Czy wyłączenie jest domyślne, czy wymaga zmiany ustawień?
2. Okres przechowywania. Jak długo dostawca przechowuje treść poleceń i wyników? Czy można go skrócić?
3. Lokalizacja danych. Gdzie dane są przechowywane i przetwarzane? Na przykład OpenAI oferuje kwalifikującym się klientom ChatGPT Enterprise, Edu i API przechowywanie danych w Europie, ale tylko w nowych przestrzeniach roboczych lub projektach.
4. Dalsi podwykonawcy. Jakie podmioty, np. dostawcy chmury lub modeli bazowych, mają dostęp do danych i gdzie działają?
5. Incydenty. W jakim terminie dostawca zawiadomi firmę o naruszeniu? Administrator ma 72 godziny na zgłoszenie naruszenia do Prezesa UODO od jego stwierdzenia.
6. Funkcje dodatkowe. Czy wtyczki, integracje i agenci działający w narzędziu podlegają tej samej umowie?

Transfer danych poza EOG: USA i inne kraje

Większość popularnych narzędzi AI ma dostawców z USA. Przekazanie danych poza Europejski Obszar Gospodarczy wymaga podstawy z rozdziału V RODO. W praktyce są dwie drogi:

• Decyzja o adekwatności. Dla USA jest to decyzja Komisji w sprawie EU-US Data Privacy Framework z lipca 2023 r. Działa tylko wobec firm, które są certyfikowane w tym programie, więc trzeba sprawdzić, czy konkretny dostawca jest na liście. Sąd UE oddalił skargę na tę decyzję 3 września 2025 r. (sprawa T-553/23 Latombe). Od wyroku wniesiono odwołanie do Trybunału Sprawiedliwości UE; według dostępnych nam źródeł na dzień sprawdzenia nie zostało rozstrzygnięte.
• Standardowe klauzule umowne. Jeśli dostawca nie jest certyfikowany, transfer można oprzeć na klauzulach przyjętych przez Komisję, uzupełnionych o ocenę skutków transferu.

Przechowywanie danych w Europie ogranicza transfery, ale nie zawsze je eliminuje. Zdalny dostęp zespołów wsparcia lub podwykonawców spoza EOG także może być transferem. Szczegóły zawsze sprawdzaj w umowie i na liście podwykonawców dostawcy. Ponieważ decyzja o adekwatności dla USA jest kwestionowana przed TSUE, warto mieć plan awaryjny, np. alternatywnego dostawcę lub klauzule umowne.

Ocena skutków, obowiązki informacyjne i prawa osób

Ocena skutków dla ochrony danych (art. 35 RODO) jest obowiązkowa, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób. Przy AI w marketingu dotyczy to przede wszystkim profilowania klientów na dużą skalę, łączenia danych z wielu źródeł, oceny klientów wpływającej na ofertę oraz monitorowania zachowań, np. przez nagrania sesji na stronie analizowane przez AI. Generowanie tekstów reklamowych bez danych osobowych oceny skutków nie wymaga.

Klient musi wiedzieć, że jego dane są przetwarzane z użyciem AI, jeśli wpływa to na cel lub sposób przetwarzania. Klauzula informacyjna powinna wymieniać kategorie odbiorców, w tym dostawców narzędzi, transfery poza EOG oraz profilowanie. Przy chatbocie informację o przetwarzaniu warto pokazać na starcie rozmowy razem z informacją, że rozmówcą jest AI, której wymaga art. 50 AI Act; więcej w tekście o chatbocie AI na stronie firmy.

Osoby, których dane dotyczą, zachowują wszystkie prawa: dostęp, sprostowanie, usunięcie, sprzeciw. Wobec marketingu bezpośredniego sprzeciw jest bezwzględny. Firma musi umieć zrealizować te prawa także w odniesieniu do danych w narzędziach AI, co jest kolejnym argumentem za kontrolą okresu przechowywania. Personalizacja na podstawie zgód z banera cookies wiąże się z kolei z tym, jak zgody wpływają na dane w narzędziach analitycznych; opisujemy to w tekście o Consent Mode v2.

Co się zmieni: Digital Omnibus a RODO

Pakiet Digital Omnibus składa się z dwóch części. Część dotycząca AI Act to już obowiązujące rozporządzenie 2026/1744. Wprowadziło ono m.in. szerszą podstawę do przetwarzania danych szczególnych kategorii w celu wykrywania i korygowania stronniczości systemów AI, przy zasadzie ścisłej niezbędności i zabezpieczeniach. To zmiana ważna głównie dla twórców systemów, nie dla działu marketingu.

Zmiany samego RODO są w osobnym wniosku Komisji z listopada 2025 r. (COM(2025) 837) i według stanu na 28 października 2026 r. pozostają projektem. Komitet Stałych Przedstawicieli Rady przyjął mandat negocjacyjny 21 października 2026 r. W Parlamencie Europejskim projekt sprawozdania komisji ITRE i LIBE przedstawiono w czerwcu 2026 r., a poprawki zgłaszano w lipcu. Przed wejściem zmian w życie potrzebne jest porozumienie Parlamentu i Rady oraz publikacja w Dzienniku Urzędowym UE. Projekt dotyczy m.in.:

• przepisu potwierdzającego, że rozwój i działanie systemów AI może opierać się na prawnie uzasadnionym interesie, z zabezpieczeniami i prawem sprzeciwu; Rada dodała zastrzeżenie w motywie, że sam rozwój AI nie jest jeszcze uzasadnionym interesem;
• zasad postępowania z danymi szczególnych kategorii, które przypadkowo znalazły się w danych treningowych;
• doprecyzowania definicji danych osobowych w odniesieniu do danych spseudonimizowanych;
• zgłaszania naruszeń: tylko przy wysokim ryzyku i w terminie 96 godzin, przez jeden punkt kontaktowy;
• zasad dotyczących plików cookies, które w wersji Rady mają zostać w dyrektywie ePrivacy.

Do czasu przyjęcia i publikacji zmian obowiązuje obecne brzmienie RODO, w tym 72 godziny na zgłoszenie naruszenia. Nie planuj procesów pod przepisy, które mogą się jeszcze zmienić w negocjacjach.

Lista kontrolna przed wdrożeniem narzędzia AI

• Wiesz, czy do narzędzia trafią dane osobowe, i jeśli tak, to jakie.
• Ustaliłeś rolę dostawcy: podmiot przetwarzający czy odrębny administrator.
• Masz zawartą umowę powierzenia, a trenowanie modeli na Twoich danych jest wyłączone.
• Wybrałeś i udokumentowałeś podstawę prawną; przy uzasadnionym interesie masz test równowagi.
• Sprawdziłeś mechanizm transferu: certyfikat DPF dostawcy albo klauzule umowne.
• Oceniłeś, czy potrzebna jest ocena skutków dla ochrony danych.
• Zaktualizowałeś klauzulę informacyjną i rejestr czynności przetwarzania.
• Narzędzie jest wpisane do rejestru w polityce AI działu marketingu.

Szerzej o tym, jak wykorzystywać dane klientów do personalizacji bez przekraczania granic prywatności, piszemy w tekście o personalizacji na dużą skalę z AI, a o granicach etycznych w tekście o etyce AI w reklamie.