Skip to main content

Rozporządzenie AI vs RODO: różnice i pokrywanie się

Czym różnią się rozporządzenie AI i RODO pod względem zakresu, obowiązków, kar i egzekwowania oraz gdzie się pokrywają.

Dostawcy i podmioty wdrażające systemy AI, które przetwarzają dane osobowe w UE, muszą przestrzegać rozporządzenia AI i RODO. Bez uszczerbku dla art. 4a i 59 rozporządzenie AI nie wpływa na RODO (art. 2 ust. 7).

RODO obowiązuje od 25 maja 2018. Rozporządzenie AI stosuje się etapami od 2 lutego 2025. Kary z rozporządzenia AI sięgają 35 mln EUR lub 7 % całkowitego rocznego światowego obrotu. Obowiązuje wyższa kwota (art. 99 ust. 3). Kary z RODO sięgają 20 mln EUR lub 4 %, według tej samej zasady (art. 83 ust. 5). Następny krok: przypisz role każdego systemu AI w obu aktach.

Oba akty różnią się zakresem, podejściem do ryzyka, obowiązkami, karami i egzekwowaniem

TematEU AI ActRODO
ZakresSystemy AI wprowadzane do obrotu lub oddawane do użytku w UE, modele GPAI wprowadzane do obrotu w UE, podmioty wdrażające z siedzibą lub miejscem w UE oraz dostawcy i podmioty wdrażające spoza UE, których wyniki działania systemu są wykorzystywane w UE (art. 2 ust. 1)Przetwarzanie danych osobowych w związku z działalnością jednostki organizacyjnej administratora lub podmiotu przetwarzającego w UE oraz przetwarzanie danych osób znajdujących się w UE przez inne podmioty, które oferują im towary lub usługi albo monitorują ich zachowanie w UE (art. 3)
Podejście do ryzykaZasady zależne od ryzyka: zakazane praktyki (art. 5), systemy AI wysokiego ryzyka (art. 6) i obowiązki w zakresie przejrzystości (art. 50) oraz odrębne przepisy o modelach GPAIObowiązki rosną wraz z ryzykiem. Dla przetwarzania, które może powodować wysokie ryzyko, wymagana jest ocena skutków dla ochrony danych (DPIA) (art. 35)
Główne obowiązkiDla systemów AI wysokiego ryzyka: zarządzanie ryzykiem, zarządzanie danymi, dokumentacja techniczna, rejestrowanie zdarzeń, przejrzystość, nadzór ludzki, dokładność, solidność i cyberbezpieczeństwo (art. 9–15)Podstawa prawna, ograniczenie celu, minimalizacja danych i prawa osób, których dane dotyczą (art. 5, 6 i 12–22)
Maksymalne karyDo 35 mln EUR lub 7 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 99 ust. 3)Do 20 mln EUR lub 4 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 ust. 5)
EgzekwowanieKrajowe organy nadzoru rynku. Urząd ds. AI Komisji ma wyłączną właściwość w odniesieniu do modeli GPAI i niektórych systemów AI: opartych na modelu GPAI przez tego samego dostawcę (z wyjątkami) oraz zintegrowanych z bardzo dużymi platformami internetowymi lub bardzo dużymi wyszukiwarkami internetowymi (art. 75 i 88)Krajowe organy ochrony danych (organy nadzorcze) (art. 51)
Data stosowaniaEtapami od 2 lutego 2025 do 2 sierpnia 2028, z niektórymi terminami do 2 sierpnia 2030 (art. 113)Od 25 maja 2018 (art. 99 ust. 2)

Te obszary się pokrywają i w każdym obowiązują oba akty

  • Zautomatyzowane decyzje

    Art. 22 RODO daje osobom prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, która wywołuje skutki prawne lub w podobny sposób istotnie na nie wpływa, z zastrzeżeniem wyjątków z art. 22 ust. 2. Rozporządzenie AI wymaga, by systemy wysokiego ryzyka umożliwiały skuteczny nadzór ludzki (art. 14). Daje też osobie, której dotyczy decyzja podmiotu wdrażającego oparta na wynikach systemu wysokiego ryzyka z załącznika III (z wyjątkiem infrastruktury krytycznej), prawo do wyjaśnienia, gdy decyzja wywołuje skutki prawne lub w podobny sposób istotnie na nią wpływa, a osoba ta uważa, że ma ona negatywny wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe. Dotyczy to tylko tego zakresu, w jakim prawo Unii nie przewiduje już takiego prawa (art. 86).

  • Przejrzystość

    RODO nakłada na administratorów obowiązek informowania osób o przetwarzaniu ich danych (art. 13 i 14). Rozporządzenie AI nakłada na dostawców obowiązek przekazania podmiotom wdrażającym instrukcji obsługi systemów wysokiego ryzyka (art. 13) i wymaga informowania osób w przypadku niektórych systemów (art. 50). Oba obowiązki mogą dotyczyć tego samego systemu.

  • Jakość danych i uprzedzenia

    Art. 5 ust. 1 lit. d) RODO wymaga, by dane osobowe były prawidłowe. Rozporządzenie AI wymaga, by dane treningowe, walidacyjne i testowe systemów wysokiego ryzyka spełniały kryteria jakości, w tym badanie pod kątem możliwych uprzedzeń (art. 10). Dostawcy mogą wyjątkowo przetwarzać szczególne kategorie danych osobowych w celu wykrywania i korygowania uprzedzeń, na ścisłych warunkach (art. 4a).

  • Oceny skutków

    W stosownych przypadkach podmioty wdrażające systemy wysokiego ryzyka wykorzystują informacje dostawcy z art. 13 do swojej oceny skutków dla ochrony danych na podstawie RODO (art. 26 ust. 9). Ocena skutków dla praw podstawowych na podstawie art. 27 może odsyłać do tej oceny (art. 27 ust. 4).

Te różnice decydują o tym, co musisz zrobić na gruncie każdego aktu

  • Co jest regulowane

    RODO reguluje przetwarzanie danych osobowych. Rozporządzenie AI reguluje systemy AI i modele AI ogólnego przeznaczenia, niezależnie od tego, czy przetwarzają dane osobowe.

  • Kto ponosi obowiązki

    RODO jest skierowane do administratorów i podmiotów przetwarzających. Rozporządzenie AI jest skierowane do dostawców, podmiotów wdrażających, importerów, dystrybutorów i innych operatorów. Role nie odpowiadają sobie jeden do jednego, dlatego sprawdź definicje w każdym akcie (rozporządzenie AI art. 3, RODO art. 4).

  • Wymogi dokumentacyjne

    RODO wymaga rejestru czynności przetwarzania (art. 30) i ocen skutków dla ochrony danych (art. 35). Rozporządzenie AI wymaga dokumentacji technicznej (art. 11), oceny zgodności (art. 43) i, dla niektórych podmiotów wdrażających, oceny skutków dla praw podstawowych (art. 27). Jedno nie zastępuje drugiego.

Najczęściej zadawane pytania

Czy przestrzeganie RODO wystarczy, by spełnić rozporządzenie AI?

Nie. Rozporządzenie AI ustanawia odrębne obowiązki, takie jak zarządzanie ryzykiem w systemach wysokiego ryzyka (art. 9) i dokumentacja techniczna (art. 11). Bez uszczerbku dla art. 4a i 59 nie wpływa na RODO (art. 2 ust. 7), więc obowiązują oba akty.

Czy dwa organy mogą działać wobec tego samego systemu AI?

Tak. Organ ochrony danych egzekwuje RODO, a organ nadzoru rynku rozporządzenie AI, każdy w ramach własnego aktu. Gdy organ ustala karę na podstawie rozporządzenia AI, uwzględnia kary, które inne organy już nałożyły za tę samą działalność (art. 99 ust. 7 lit. c)).

Powiązane przewodniki

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.