Od czego zacząć sprawdzanie, czy narzędzie AI jest zgodne z RODO

Komunikat UODO o listach pytań inicjalnych

Komunikatem z 6 sierpnia 2026 r. UODO udostępnił listy pytań inicjalnych dotyczące ochrony danych osobowych przy tworzeniu i wykorzystywaniu systemów sztucznej inteligencji. Opracowanie przygotował prof. UŁ dr hab. Dominik Lubasz przy wsparciu pozostałych członków Społecznego Zespołu Ekspertów przy Prezesie UODO oraz ekspertów Urzędu. Pliki są dostępne w formacie PDF oraz w edytowalnych plikach DOCX, więc listy można od razu wypełniać u siebie.

Cztery listy i wybór właściwej

Zestaw składa się z trzech list wejściowych i jednej wspólnej. Listę wejściową wybiera się według profilu organizacji. Dostępne są Wersja 0 (ujęcie funkcjonalne), wersja dla małych i średnich przedsiębiorstw (UODO nazywa ją w nazwie pliku „praktyczną checklistą RODO dla wdrażania AI”) albo wersja dla sektora publicznego. Czwarta jest Wersja Rozszerzona, wspólna dla wszystkich profili, która obok pytań o RODO sygnalizuje także obowiązki z AI Act, w tym praktyki zakazane z art. 5 i przejrzystość z art. 50, oraz przegląd po wdrożeniu.

Pracę zaczyna się więc od listy wejściowej dla własnego profilu, a gdy z odpowiedzi wynika, że narzędzie wiąże się z przetwarzaniem danych osobowych, przechodzi się do Wersji Rozszerzonej.

Badanie potrzeb jako podstawa konstrukcji list

Listy wyrastają z badania potrzeb, które Zespół przeprowadził wcześniej i według którego zależnie od pytania od 41 do 58,5 procent podmiotów nie dostrzegało związku między narzędziami AI a przetwarzaniem danych osobowych, a 95,9 procent nie uważało się za przygotowane do wdrożenia AI zgodnie z RODO. W praktyce pytanie o zgodność pada zwykle wtedy, gdy narzędzie już działa, a decyzje o danych i o dostawcy zapadły wcześniej. Stąd konstrukcja list, w której pytania projektowe, co system robi i na jakich danych pracuje, poprzedzają pytania o zgodność, bo bez odpowiedzi na pierwsze nie da się rzetelnie odpowiedzieć na drugie.

Znaczenie i ograniczenia list pytań

Listy są materiałem wejściowym do analiz, które organizacja i tak musi przeprowadzić. Komunikat zaznacza wprost, że pytania nie zastępują analizy ryzyka ani oceny skutków dla ochrony danych i nie są wiążącą wykładnią przepisów. Wypełnionej listy nie przekazuje się też organowi nadzorczemu. To dokument roboczy organizacji, nie formularz sprawozdawczy.

Dla kancelarii i urzędu praktyczna wartość jest inna niż dla działu zgodności dużej spółki. Lista wejściowa nadaje się na pierwsze spotkanie o planowanym narzędziu, bo porządkuje rozmowę, zanim ktokolwiek obieca dostawcy podpis. Wersja Rozszerzona nadaje się na etap przed umową, bo pytania bez odpowiedzi po stronie organizacji stają się pytaniami do dostawcy.

Wersja pierwsza i konsultacje

Opublikowane listy to świadomie wersja pierwsza. UODO zbierało uwagi i doświadczenia z korzystania z nich do 30 września 2026 r. i zapowiedziało, że wykorzysta je przy aktualizacji materiałów. 28 sierpnia 2026 r. dodało zbiorczy plik PDF z listami. Z tego powodu wypełnione listy najlepiej opatrywać datą i oznaczeniem wersji, bo dokument może się zmienić.

Zagadnienia nierozstrzygnięte

Nie wiadomo, jak listy będą się miały do przyszłej praktyki nadzorczej, bo ani UODO, ani Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji nie wypowiedziały się, jakie znaczenie przy ocenie organizacji będzie miało to, że przed wdrożeniem przeszła listy pytań inicjalnych. Nie ma też jeszcze doświadczeń z pracy na listach w realnych wdrożeniach, a właśnie na nie urząd czekał w konsultacjach zamkniętych 30 września 2026 r.