Skip to main content

Jak działało RODO i czego uczy o akcie o AI

Siedem wniosków z tekstu RODO i decyzji egzekucyjnych oraz miejsca, w których unijny akt o AI się różni.

Autor: Scanara

Najważniejsze wnioski

  1. 1.Ogólne rozporządzenie o ochronie danych (RODO) obowiązuje od 25 maja 2018 r. Kary od 50 mln EUR (Google, styczeń 2019 r.) do 1,2 mld EUR (Meta, maj 2023 r.; odwołanie w toku) pojawiły się później. Przepisy karne aktu o AI (art. 99) mają zastosowanie od 2 sierpnia 2025 r. (art. 113). Obowiązki dotyczące wysokiego ryzyka (art. 8–27) mają zastosowanie od dwóch dat. Są to 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I). Kary za nie nie mogą pojawić się wcześniej, ponieważ art. 99 ust. 4 wymienia same obowiązki. Przykłady to art. 16 (dostawcy) i art. 26 (podmioty wdrażające). Załącznik III wymienia zastosowania wysokiego ryzyka, takie jak rekrutacja lub ocena zdolności kredytowej. Załącznik I wymienia unijne prawodawstwo harmonizacyjne dotyczące produktów (art. 6 ust. 1). Sekcja B załącznika I wymienia inne unijne prawodawstwo harmonizacyjne. Art. 8–27 nie mają zastosowania do systemów wysokiego ryzyka związanych z tymi produktami (art. 2 ust. 2).
  2. 2.Oba akty obejmują firmy spoza UE, według różnych kryteriów. Art. 3 ust. 2 RODO obejmuje oferowanie towarów lub usług osobom w Unii albo monitorowanie ich zachowania. Art. 2 ust. 1 aktu o AI obejmuje dostawców, którzy wprowadzają systemy do obrotu w Unii. Obejmuje też firmy gdzie indziej, których wyniki działania systemu są wykorzystywane w Unii.
  3. 3.Oba akty mają jednocześnie zastosowanie do systemu AI, który przetwarza dane osobowe (art. 2 ust. 7 aktu o AI). Dostawcy i podmioty wdrażające muszą przestrzegać obu. Podmioty wdrażające wykorzystują system AI, nad którym sprawują kontrolę, z wyjątkiem osobistej działalności pozazawodowej (art. 3 pkt 4).
  4. 4.Kary z RODO sięgają 20 mln EUR lub 4 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 ust. 5). Za zakazane praktyki kary z aktu o AI sięgają 35 mln EUR lub 7 % światowego obrotu. Stosuje się wyższą kwotę (art. 99 ust. 3). Za obowiązki dostawców i podmiotów wdrażających systemy wysokiego ryzyka kary sięgają 15 mln EUR lub 3 % światowego obrotu. Stosuje się wyższą kwotę (art. 99 ust. 4). Dla małych i średnich przedsiębiorstw (MŚP) każda kara wynosi do niższej z tych dwóch kwot (art. 99 ust. 6). Art. 3 pkt 14a definiuje MŚP. Oba akty wymieniają złagodzenie szkody, współpracę i podjęte środki wśród czynników przy ustalaniu kwoty. Zob. art. 83 ust. 2 RODO i art. 99 ust. 7 aktu o AI.

Następny krok: sporządzić listę systemów AI, które przetwarzają dane osobowe, i zmapować ich role w obu aktach.

Wniosek 1: Kary od 50 mln EUR do 1,2 mld EUR pojawiły się w ciągu pięciu lat

RODO obowiązuje od 25 maja 2018 r. Pojawiły się następujące kary:

  • Google, 50 mln EUR (francuski organ ochrony danych CNIL, styczeń 2019 r.). Conseil d’État utrzymał karę w czerwcu 2020 r.
  • Amazon, 746 mln EUR (luksemburski organ ochrony danych CNPD, lipiec 2021 r.). 12 marca 2026 r. luksemburska Cour administrative uchyliła tę decyzję i przekazała sprawę z powrotem CNPD. Sąd uznał, że CNPD nie ocenił winy i nie wybrał właściwie środka naprawczego. Sąd w dużej mierze potwierdził naruszenia stwierdzone przez CNPD.
  • WhatsApp, 225 mln EUR (irlandzka Komisja Ochrony Danych, DPC, sierpień 2021 r.). Strona DPC z karami (zaktualizowana 21 września 2026 r.) podaje status kary jako „Pending Appeal” (odwołanie w toku).
  • Meta, 1,2 mld EUR (irlandzki DPC, maj 2023 r.). Strona DPC z karami (zaktualizowana 21 września 2026 r.) podaje status kary jako „Pending Appeal” (odwołanie w toku).

Nie możemy przewidzieć, kiedy organy po raz pierwszy nałożą karę na podstawie aktu o AI

Państwa członkowskie ustanawiają przepisy karne (art. 99 ust. 1), a organy krajowe oceniają każdą sprawę (art. 99 ust. 7).

Wniosek 2: Zgodność przemieszcza się przez umowy i dokumenty

Art. 28 ust. 3 RODO reguluje podmioty przetwarzające (podmioty, które przetwarzają dane osobowe w imieniu administratora, art. 4 pkt 8). Wymaga umowy lub innego instrumentu prawnego, który wiąże podmiot przetwarzający z administratorem.

Akt o AI również przenosi obowiązki wzdłuż łańcucha dostaw. Do systemów wysokiego ryzyka dołącza się instrukcję obsługi dla podmiotów wdrażających (art. 13 ust. 2). Dostawcy modeli AI ogólnego przeznaczenia (modeli kompetentnie wykonujących szeroki zakres różnych zadań, art. 3 pkt 63) muszą udostępnić dokumentację. Przekazują ją dostawcom, którzy integrują model w systemach AI (art. 53 ust. 1 lit. b). Ci dostawcy to dostawcy niższego szczebla (art. 3 pkt 68). Art. 25 ust. 4 wymaga pisemnej umowy między dostawcą systemu wysokiego ryzyka a osobami trzecimi. Osoby trzecie dostarczają mu systemy AI, modele AI, narzędzia, usługi, komponenty lub procesy. Zasada nie dotyczy osób trzecich, które udostępniają publicznie narzędzia, usługi, procesy lub komponenty, inne niż modele AI ogólnego przeznaczenia, na podstawie bezpłatnej licencji otwartego oprogramowania.

Akt o AI wymaga dokumentów i pisemnych umów wzdłuż łańcucha dostaw AI, od różnych dat

Art. 53 ust. 1 lit. b ma zastosowanie od 2 sierpnia 2025 r. Art. 13 i art. 25 ust. 4 mają zastosowanie od 2 grudnia 2027 r. (załącznik III) lub od 2 sierpnia 2028 r. (załącznik I). Wyłączone są produkty z sekcji B (art. 2 ust. 2).

Wniosek 3: Oba akty obejmują firmy spoza UE

Art. 3 ust. 2 RODO obejmuje organizacje spoza UE, które oferują towary lub usługi osobom w Unii albo monitorują ich zachowanie. Kary z wniosku 1 nałożono na cztery spółki: Google LLC, Amazon Europe Core S.à r.l., WhatsApp Ireland Ltd i Meta Platforms Ireland Limited. Ostatnie trzy mają siedzibę w UE, więc te kary nie pokazują działania art. 3 ust. 2.

Akt o AI stosuje inne kryterium. Art. 2 ust. 1 lit. c obejmuje dostawców i podmioty wdrażające z siedzibą w państwie trzecim, gdy wyniki działania systemu są wykorzystywane w Unii. Art. 2 ust. 1 lit. a obejmuje dostawców, którzy wprowadzają systemy AI do obrotu na rynku Unii, niezależnie od miejsca ich siedziby.

Dostawcy systemów wysokiego ryzyka i modeli AI ogólnego przeznaczenia z państw trzecich muszą ustanowić upoważnionego przedstawiciela w Unii (art. 22 i 54)

Dostawcy systemów wysokiego ryzyka mający siedzibę w państwach trzecich muszą na podstawie pisemnego pełnomocnictwa ustanowić upoważnionego przedstawiciela mającego siedzibę w Unii (art. 22 ust. 1). Upoważniony przedstawiciel to osoba fizyczna lub prawna znajdująca się lub mająca siedzibę w Unii. Otrzymała i przyjęła pisemne pełnomocnictwo od dostawcy do wykonywania w jego imieniu obowiązków i procedur określonych w niniejszym rozporządzeniu (art. 3 pkt 5). Art. 22 ma zastosowanie od 2 grudnia 2027 r. (załącznik III) lub od 2 sierpnia 2028 r. (załącznik I). Wyłączone są produkty z sekcji B (art. 2 ust. 2). Dostawcy modeli AI ogólnego przeznaczenia mający siedzibę w państwach trzecich muszą zrobić to samo przed wprowadzeniem modelu do obrotu (art. 54 ust. 1). Art. 54 ma zastosowanie od 2 sierpnia 2025 r. Dostawcy modeli wprowadzonych do obrotu przed tą datą muszą podjąć niezbędne kroki, aby spełnić obowiązki do 2 sierpnia 2027 r. (art. 111 ust. 3). Art. 54 ust. 6 zwalnia dostawców modeli AI ogólnego przeznaczenia udostępnianych na podstawie bezpłatnej licencji otwartego oprogramowania, która pozwala na dostęp, wykorzystanie, modyfikację i dystrybucję. Ich parametry oraz informacje o architekturze i wykorzystaniu muszą być publiczne. Zwolnienie nie dotyczy modeli stwarzających ryzyko systemowe (ryzyko charakterystyczne dla zdolności dużego oddziaływania takich modeli, art. 3 pkt 65).

Wniosek 4: Zgodność wbudować w inżynierię

Art. 25 RODO wymaga uwzględnienia ochrony danych w fazie projektowania oraz domyślnej ochrony danych. Administrator (podmiot, który ustala cele i sposoby przetwarzania, art. 4 pkt 7) wdraża odpowiednie środki techniczne i organizacyjne. Robi to w czasie ustalania sposobów przetwarzania oraz w czasie samego przetwarzania (art. 25 ust. 1).

Akt o AI ustanawia wymogi projektowe dla systemów wysokiego ryzyka. Art. 12 ust. 1 wymaga, by technicznie umożliwiały automatyczne rejestrowanie zdarzeń (rejestry zdarzeń). Art. 14 ust. 1 wymaga, by osoby fizyczne mogły je skutecznie nadzorować. Art. 15 ust. 1 wymaga odpowiedniego poziomu dokładności, solidności i cyberbezpieczeństwa. System zarządzania ryzykiem działa przez cały cykl życia (art. 9 ust. 2).

Wniosek 5: Oba akty obowiązują jednocześnie

Bez uszczerbku dla art. 4a i 59 akt o AI nie wpływa na RODO (art. 2 ust. 7). System AI, który przetwarza dane osobowe, musi spełniać oba akty.

Trzy tematy występują w obu aktach. Pierwszy to decyzje zautomatyzowane i nadzór ze strony człowieka (art. 22 RODO; art. 14 aktu o AI). Drugi to przejrzystość (art. 13 i 14 RODO; art. 13 i 50 aktu o AI). Trzeci to oceny skutków. Art. 35 RODO wymaga oceny skutków dla ochrony danych osobowych, gdy przetwarzanie może powodować wysokie ryzyko. Art. 27 aktu o AI wymaga oceny wpływu na prawa podstawowe. Dotyczy podmiotów wdrażających, które są podmiotami prawa publicznego lub podmiotami prywatnymi świadczącymi usługi publiczne. Dotyczy też podmiotów wdrażających systemy, o których mowa w załączniku III pkt 5 lit. b) i c). Wyłączone są systemy z obszaru wymienionego w załączniku III pkt 2.

Wniosek 6: Oba akty uwzględniają podjęte środki przy ustalaniu kar

Art. 83 ust. 2 RODO wymienia czynniki, które organ uwzględnia przy ustalaniu kary. Należą do nich działania podjęte w celu zminimalizowania szkody, stopień odpowiedzialności z uwzględnieniem środków technicznych i organizacyjnych oraz współpraca z organem nadzorczym.

Art. 99 ust. 7 aktu o AI wymienia podobne czynniki. Należą do nich stopień współpracy (lit. f) oraz stopień odpowiedzialności z uwzględnieniem środków technicznych i organizacyjnych (lit. g). Należą do nich też sposób, w jaki naruszenie stało się znane (lit. h), oraz działania podjęte w celu złagodzenia szkody (lit. j).

Proszę prowadzić dokumentację podjętych środków

Art. 99 ust. 7 lit. g czyni techniczne i organizacyjne środki wdrożone przez operatora czynnikiem przy ustalaniu kary. Dokumentacja nie znosi obowiązku zgodności od 2 grudnia 2027 r. (załącznik III) lub 2 sierpnia 2028 r. (załącznik I). Wyłączone są produkty z sekcji B (art. 2 ust. 2).

Wniosek 7: Obowiązek prawny pozostaje przy organizacji

RODO wprowadziło obowiązki dotyczące zgody (art. 7), rejestrów czynności przetwarzania (art. 30) i ocen skutków (art. 35). Administrator pozostaje za nie odpowiedzialny (art. 24).

Akt o AI działa tak samo. Obowiązek pozostaje przy dostawcy systemu wysokiego ryzyka (art. 16) i podmiocie wdrażającym (art. 26).

RODO zaczęło obowiązywać naraz; obowiązki aktu o AI obowiązują etapami od 2025 do 2028 r.

FazaRODOAkt o AI
PrzyjętoKwiecień 2016 r.Czerwiec 2024 r.
Wejście w życieMaj 2016 r.Sierpień 2024 r.
Pierwsze obowiązki25 maja 2018 r. (wszystko naraz)2 lutego 2025 r. (zakazane praktyki i kompetencje w zakresie AI; wyjątek: art. 5 ust. 1 lit. ba i bb oraz ust. 1a i 1b, dodane rozporządzeniem (UE) 2026/1744, mają zastosowanie od 2 grudnia 2026 r.); 2 sierpnia 2025 r. (obowiązki dotyczące modeli AI ogólnego przeznaczenia i przepisy karne, z wyjątkiem art. 101); 2 sierpnia 2026 r. (kary z art. 101 dla dostawców modeli AI ogólnego przeznaczenia)
Główne obowiązki zaczynają obowiązywać (akt o AI: systemy wysokiego ryzyka)25 maja 2018 r.2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I, z wyjątkiem produktów z sekcji B; art. 2 ust. 2)
Maks. kara (% obrotu)20 mln EUR lub 4 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 ust. 5)Zakazane praktyki: 35 mln EUR lub 7 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 99 ust. 3). Obowiązki dostawców i podmiotów wdrażających systemy wysokiego ryzyka: 15 mln EUR lub 3 %, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). MŚP: niższa z tych dwóch kwot (art. 99 ust. 6). Małe spółki o średniej kapitalizacji (art. 3 pkt 14b): to samo dla kar z art. 99 ust. 4 i 5 (art. 99 ust. 6a).
Obowiązuje poza UETak (art. 3 ust. 2)Tak (art. 2 ust. 1 lit. a i c)

Powiązane lektury

Źródła i odniesienia

Często zadawane pytania

Jak wyglądało egzekwowanie RODO w praktyce?

Ogólne rozporządzenie o ochronie danych (RODO) obowiązuje od 25 maja 2018 r. Pojawiły się następujące kary. Google, 50 mln EUR (francuski organ ochrony danych CNIL, styczeń 2019 r.). Conseil d’État utrzymał karę w czerwcu 2020 r. Amazon, 746 mln EUR (luksemburski organ ochrony danych CNPD, lipiec 2021 r.). 12 marca 2026 r. luksemburska Cour administrative uchyliła tę decyzję i przekazała sprawę z powrotem CNPD. Sąd uznał, że CNPD nie ocenił winy i nie wybrał właściwie środka naprawczego. Sąd w dużej mierze potwierdził naruszenia stwierdzone przez CNPD. WhatsApp, 225 mln EUR (irlandzka Komisja Ochrony Danych, DPC, sierpień 2021 r.). Strona DPC z karami (zaktualizowana 21 września 2026 r.) podaje status kary jako „Pending Appeal” (odwołanie w toku). Meta, 1,2 mld EUR (irlandzki DPC, maj 2023 r.). Strona DPC z karami (zaktualizowana 21 września 2026 r.) podaje status kary jako „Pending Appeal” (odwołanie w toku). Stan na 26 października 2026 r.; źródła są wymienione na tej stronie.

Czy akt o AI zastępuje RODO?

Nie. Bez uszczerbku dla art. 4a i 59 akt o AI nie wpływa na RODO (art. 2 ust. 7). RODO reguluje przetwarzanie danych osobowych. Akt o AI reguluje systemy AI i modele AI ogólnego przeznaczenia. System AI, który przetwarza dane osobowe, musi spełniać oba akty.

Jak podobne są procesy zapewniania zgodności z RODO i z aktem o AI?

Pokrywają się w zakresie ocen skutków. W stosownych przypadkach podmiot wdrażający system wysokiego ryzyka musi wykorzystać informacje dostawcy z art. 13. Wykorzystuje je do swojej oceny skutków dla ochrony danych (art. 35 RODO; art. 26 ust. 9 aktu o AI). Każdy obowiązek z art. 27 może być już spełniony przez ocenę skutków dla ochrony danych. Wtedy podmiot wdrażający może się do niej odwołać lub włączyć jej części do oceny skutków dla praw podstawowych (art. 27 ust. 4).

Ile jest czasu, zanim zaczną obowiązywać przepisy aktu o AI?

Obowiązki dla systemów wysokiego ryzyka z załącznika III (art. 8–27) mają zastosowanie od 2 grudnia 2027 r. Dla systemów z załącznika I mają zastosowanie od 2 sierpnia 2028 r. (art. 113). Rozporządzenie (UE) 2026/1744 przesunęło te terminy; wcześniejsze terminy to 2 sierpnia 2026 r. i 2 sierpnia 2027 r. Sekcja B załącznika I wymienia inne unijne prawodawstwo harmonizacyjne. W przypadku systemów wysokiego ryzyka związanych z tymi produktami mają zastosowanie tylko art. 6 ust. 1, art. 60a i art. 102–112 (art. 2 ust. 2). Art. 57, 58 i 59 mają zastosowanie tylko w zakresie, w jakim wymogi dla systemów wysokiego ryzyka zostały włączone do tego prawodawstwa.

Kto egzekwuje akt o AI?

Krajowe organy nadzoru rynku egzekwują akt o AI (art. 70 i 74). Są to organy krajowe działające na podstawie rozporządzenia (UE) 2019/1020 (art. 3 pkt 26 aktu o AI). Komisja ma wyłączne uprawnienia do nadzoru i egzekwowania przepisów dotyczących modeli AI ogólnego przeznaczenia. Powierza te zadania Urzędowi ds. AI (art. 88 ust. 1). Urząd ds. AI ma też wyłączną właściwość w odniesieniu do systemów AI opartych na modelu AI ogólnego przeznaczenia. Dotyczy to sytuacji, gdy ten sam dostawca lub dostawcy należący do tego samego przedsiębiorstwa opracowali model i system. Art. 75 ust. 1 lit. a w brzmieniu nadanym rozporządzeniem (UE) 2026/1744 wymienia cztery wyjątki. Urząd ds. AI jest też wyłącznie właściwy w odniesieniu do drugiej grupy systemów AI (art. 75 ust. 1 lit. b). Są to systemy AI, które stanowią bardzo dużą platformę internetową lub bardzo dużą wyszukiwarkę internetową albo są w nie zintegrowane. Platforma lub wyszukiwarka musi zostać wyznaczona na podstawie rozporządzenia (UE) 2022/2065. Państwa członkowskie decydują, w jaki sposób kary mają zastosowanie do organów publicznych (art. 99 ust. 8).

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.