Rozwój sztucznej inteligencji w ostatnich latach wyprzedził tempo regulacji prawnych. Odpowiedzią Unii Europejskiej na te wyzwania jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, znane jako AI Act. Akt ten po raz pierwszy w sposób kompleksowy reguluje projektowanie, wdrażanie i wykorzystywanie systemów sztucznej inteligencji, w tym w kontekście przetwarzania danych osobowych.
AI Act nie zastępuje RODO, lecz je uzupełnia, tworząc wyspecjalizowany reżim prawny dla technologii AI. Szczególne znaczenie ma to dla systemów, które przetwarzają dane osobowe, w tym dane wrażliwe, biometryczne czy dane wykorzystywane do profilowania.
AI Act a dane osobowe – zasada komplementarności z RODO
AI Act wprost wskazuje, że jego stosowanie pozostaje bez uszczerbku dla przepisów o ochronie danych osobowych, w szczególności RODO. Oznacza to, że:
- ✓ każdy system AI przetwarzający dane osobowe musi mieć podstawę prawną zgodnie z RODO,
- ✓ prawa osób, których dane dotyczą (prawo dostępu, sprzeciwu, ograniczenia, informacji), pozostają w pełni aktualne,
- ✓ obowiązki administratorów i podmiotów przetwarzających są rozszerzone o wymogi techniczne i organizacyjne wynikające z AI Act.
Szczególnie istotne są regulacje dotyczące systemów wysokiego ryzyka, do których zaliczono m.in. systemy wykorzystywane w ochronie zdrowia, rekrutacji, edukacji, administracji publicznej czy wymiarze sprawiedliwości.
Kto i jakie zasady musi spełnić?
AI Act wprowadza wyraźny podział ról i odpowiedzialności:
- ✓ dostawcy systemów AI – odpowiadają za zgodność systemu z wymogami prawa, jakość danych, dokumentację techniczną, ocenę ryzyka i mechanizmy nadzoru człowieka,
- ✓ podmioty stosujące AI (np. pracodawcy, urzędy, szpitale) – odpowiadają za legalne i zgodne z celem wykorzystanie systemu oraz respektowanie praw osób fizycznych,
- ✓ organy publiczne – podlegają szczególnemu reżimowi kontroli, zwłaszcza przy użyciu AI do oceny ryzyka, podejmowania decyzji administracyjnych czy identyfikacji biometrycznej.
W kontekście danych osobowych kluczowe znaczenie mają zasady: minimalizacji danych, przejrzystości algorytmów, rozliczalności oraz ludzkiego nadzoru nad decyzjami AI.
Zakazane i szczególnie kontrolowane praktyki
AI Act wprowadza katalog praktyk niedopuszczalnych, które mają bezpośredni związek z ochroną danych osobowych i prywatności, w tym:
- ✕ systemy scoringu społecznego,
- ✕ biometryczną kategoryzację osób według cech wrażliwych (np. poglądy, orientacja, zdrowie),
- ✕ zdalną identyfikację biometryczną w czasie rzeczywistym w przestrzeni publicznej – poza ściśle określonymi wyjątkami.
Zakazy te stanowią istotne wzmocnienie ochrony prywatności i praw podstawowych w erze automatyzacji decyzji.
Głos ekspertów: Społeczny Zespół Ekspertów przy Prezesie UODO
Znaczenie AI Act i jego wpływ na ochronę danych osobowych były jednym z głównych tematów spotkania Społecznego Zespołu Ekspertów przy Prezesie UODO oraz działającej w jego ramach Grupy Roboczej ds. sztucznej inteligencji, które odbyło się 16 grudnia 2025 r. w siedzibie UODO oraz w formule zdalnej.
Podczas spotkania omówiono bieżące wyzwania związane z wdrażaniem AI Act, potrzeby organizacji w zakresie bezpiecznego stosowania AI oraz kierunki dalszych działań edukacyjnych i eksperckich. Dyskusja dotyczyła m.in. tworzenia praktycznych narzędzi wsparcia, pakietów startowych AI, programów szkoleniowych oraz budowy sieci praktyków „AI przy UODO”.
Jak podkreślił dr Mirosław Gumularz, przewodniczący Społecznego Zespołu Ekspertów, spotkanie w tak licznym gronie stworzyło przestrzeń do realnej wymiany doświadczeń i planowania dalszej współpracy, w tym w kontekście Kongresu Ochrony Danych i Nowoczesnych Technologii organizowanego z okazji Europejskiego Dnia Ochrony Danych Osobowych.
Wnioski
AI Act otwiera nowy etap regulacji sztucznej inteligencji w Unii Europejskiej. W połączeniu z RODO tworzy spójny, choć wymagający, system ochrony praw osób fizycznych w środowisku algorytmicznym. Dla administratorów danych oznacza to konieczność nie tylko oceny legalności przetwarzania, ale również analizy ryzyk technologicznych, organizacyjnych i etycznych.
Działalność Społecznego Zespołu Ekspertów przy Prezesie UODO pokazuje, że wdrażanie AI Act nie jest wyłącznie procesem legislacyjnym, lecz również praktycznym i dialogicznym – opartym na współpracy regulatora, ekspertów i organizacji stosujących nowe technologie.
