baza wiedzyOd czego zacząć sprawdzanie, czy narzędzie AI jest zgodne z RODO

stan ustalony Od list pytań inicjalnych opublikowanych 6 sierpnia 2026 r. przez UODO: czterech zestawów pytań, które organizacja zadaje sobie przed zakupem i wdrożeniem narzędzia AI, zanim przystąpi do analizy ryzyka i oceny skutków dla ochrony danych. Listy są materiałem wejściowym do tych analiz, nie narzędziem zgodności; uwagi do pierwszej wersji można zgłaszać do 30 września 2026 r.

Co dokładnie opublikował UODO

Komunikatem z 6 sierpnia 2026 r. UODO udostępnił listy pytań inicjalnych dotyczące ochrony danych osobowych przy tworzeniu i wykorzystywaniu systemów sztucznej inteligencji. Opracowanie przygotował prof. UŁ dr hab. Dominik Lubasz przy wsparciu pozostałych członków Społecznego Zespołu Ekspertów przy Prezesie UODO oraz ekspertów Urzędu. Pliki są dostępne w formacie PDF oraz w edytowalnych plikach DOCX, więc listy można od razu wypełniać u siebie, a nie tylko je czytać.

Cztery listy i wybór właściwej

Zestaw składa się z trzech list wejściowych i jednej wspólnej. Listę wejściową wybiera się według profilu organizacji: Wersja 0 (ujęcie funkcjonalne), wersja dla małych i średnich przedsiębiorstw (praktyczna checklista) albo wersja dla sektora publicznego. Czwarta jest Wersja Rozszerzona, wspólna dla wszystkich profili: obok pytań o RODO sygnalizuje także obowiązki z AI Act, w tym praktyki zakazane z art. 5 i przejrzystość z art. 50, oraz przegląd po wdrożeniu.

Kolejność pracy jest więc dwustopniowa: najpierw lista wejściowa dla własnego profilu, a gdy z odpowiedzi wynika, że narzędzie wiąże się z przetwarzaniem danych osobowych, Wersja Rozszerzona.

Skąd ta konstrukcja

Listy wyrastają z badania potrzeb, które Zespół przeprowadził wcześniej: zależnie od pytania od 41 do 58,5 procent podmiotów nie dostrzegało związku między narzędziami AI a przetwarzaniem danych osobowych, a 95,9 procent nie uważało się za przygotowane do wdrożenia AI zgodnie z RODO. W praktyce pytanie o zgodność pada zwykle wtedy, gdy narzędzie już działa, a decyzje o danych i o dostawcy zapadły wcześniej. Stąd konstrukcja list: pytania projektowe, co system robi i na jakich danych pracuje, poprzedzają pytania o zgodność, bo bez odpowiedzi na pierwsze nie da się rzetelnie odpowiedzieć na drugie.

Czym listy są, a czym nie są

Listy są materiałem wejściowym do analiz, które organizacja i tak musi przeprowadzić. Komunikat zaznacza wprost, że pytania nie zastępują analizy ryzyka ani oceny skutków dla ochrony danych i nie są wiążącą wykładnią przepisów. Wypełnionej listy nie przekazuje się też organowi nadzorczemu; to dokument roboczy organizacji, nie formularz sprawozdawczy.

Dla kancelarii i urzędu praktyczna wartość jest inna niż dla działu zgodności dużej spółki. Lista wejściowa nadaje się na pierwsze spotkanie o planowanym narzędziu: porządkuje rozmowę, zanim ktokolwiek obieca dostawcy podpis. Wersja Rozszerzona nadaje się na etap przed umową, bo pytania bez odpowiedzi po stronie organizacji stają się pytaniami do dostawcy.

Wersja pierwsza i konsultacje

Opublikowane listy to świadomie wersja pierwsza. UODO zbiera uwagi i doświadczenia z korzystania z nich do 30 września 2026 r. pod adresem pytania_inicjalne@uodo.gov.pl. Z tego powodu wypełnione listy warto opatrywać datą i oznaczeniem wersji, a następny przegląd tej strony wyznaczam krótko po zamknięciu konsultacji, bo dokument może się zmienić.

Czego dziś nie da się rozstrzygnąć

Nie wiadomo, jak listy będą się miały do przyszłej praktyki nadzorczej: ani UODO, ani Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji nie wypowiedziały się, jakie znaczenie przy ocenie organizacji będzie miało to, że przed wdrożeniem przeszła listy pytań inicjalnych. Nie ma też jeszcze doświadczeń z pracy na listach w realnych wdrożeniach; na te doświadczenia urząd właśnie czeka w konsultacjach.

Źródła: komunikat UODO z 6 sierpnia 2026 r. „Zanim wdrożysz narzędzie AI, sprawdź czy jest ono zgodne z zasadami RODO", z plikami wszystkich list do pobrania (PDF i edytowalne DOCX); badanie potrzeb organizacji w zakresie wykorzystania systemów AI, Społeczny Zespół Ekspertów przy Prezesie UODO; rozporządzenie (UE) 2024/1689 (AI Act), art. 5 i art. 50: obowiązki sygnalizowane w Wersji Rozszerzonej list. Sprawdzone 6.08.2026. Treść ma charakter ogólny i nie zastępuje oceny konkretnej sprawy. Kryteria doboru i cykl przeglądu opisuje metodologia.