Wdrażanie agentów AI zgodnie z RODO

Wdrażanie agentów AI zgodnie z RODO: o co chodzi

Agent AI to nie klasyczne narzędzie programowe, lecz system, który stale przetwarza dane osobowe, często w miejscach, które zespoły projektowe początkowo przeoczają. Kto wykorzystuje agenta AI jako administrator (controller), musi więc osobno uzasadnić i udokumentować każdą warstwę przetwarzania pod kątem ochrony danych. Ta strona przeglądowa przedstawia pięć kluczowych dźwigni: podstawę prawną (art. 6, ewentualnie art. 9 RODO), zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach (art. 22), powierzenie przetwarzania (art. 28), ocenę skutków dla ochrony danych (art. 35) oraz rezydencję danych w UE.

Ważna uwaga na początek: dwa reżimy prawne najważniejsze dla agentów AI, RODO i unijny AI Act, nakładają się, ale obowiązują niezależnie od siebie. Przetwarzanie może podlegać RODO, nie mieszcząc się w kategorii wysokiego ryzyka według AI Act; i odwrotnie, system wysokiego ryzyka z załącznika III musi samodzielnie spełniać każdą zasadę RODO.

Gdzie RODO obejmuje stos technologiczny agenta

Zgodnie z art. 4(1)/(2) RODO każda operacja na danych osobowych uruchamia stosowanie rozporządzenia. W systemie agentowym są to zazwyczaj:

• Dane wejściowe inferencji: prompty, prompty systemowe, przesłane pliki, próbki głosu i obrazu.
• Dane wyjściowe inferencji: teksty i podsumowania, które wymieniają lub opisują osoby, w tym halucynowane dane osobowe. Również zmyślone informacje o osobie są danymi osobowymi i zgodnie z art. 5(1)(d) muszą być prawidłowe. Na tym opierają się skargi noyb przeciwko OpenAI złożone do austriackiego organu ochrony danych DSB (kwiecień 2024) i do norweskiego organu ochrony danych Datatilsynet (marzec 2025).
• Pamięć agenta: krótkoterminowe okna kontekstowe, pamięć epizodyczna i semantyczna, trwałe bazy wektorowe (mem0, LangGraph, Letta, własne bazy danych).
• Payloady wywołań narzędzi: każde ciało JSON wysłane do wewnętrznego API lub serwera MCP przenosi dane osobowe do sfery nowego podmiotu przetwarzającego.
• Komunikacja między agentami: wiadomości A2A są operacjami przetwarzania nawet wtedy, gdy obaj agenci działają u tego samego administratora.
• Logi i ślady wykonania oraz embeddingi.

Szczególnie niedoceniane: embeddingi nie są automatycznie anonimowe. Ataki inwersji tekstu (Morris et al., 2023) i ataki typu membership inference pokazują, że embeddingi mogą umożliwiać ponowną identyfikację osób poprzez wyszukiwanie podobieństwa. Dlatego w razie wątpliwości traktuj embeddingi jako dane osobowe poddane pseudonimizacji.

Podstawa prawna: art. 6 RODO

Każde przetwarzanie wymaga jednej z sześciu podstaw prawnych z art. 6(1). W przypadku agentów AI w praktyce istotne są przede wszystkim trzy:

Test trzystopniowy z art. 6(1)(f) (wytyczne EROD 1/2024 z 8.10.2024 i opinia EROD 28/2024) wymaga: (1) konkretnie sformułowanego, rzeczywistego interesu („ulepszenie naszego agenta do preselekcji HR dla własnych pracowników” zamiast abstrakcyjnego „ulepszania AI”), (2) niezbędności (czy dałoby się to osiągnąć przy mniejszej ilości danych lub na danych zanonimizowanych?) oraz (3) wyważenia względem rozsądnych oczekiwań osób, których dane dotyczą.

Pułapka „publicznie dostępnych” danych: uporczywym błędem jest przekonanie, że swobodnie dostępne dane z sieci nie podlegają RODO. Clearview AI została ukarana m.in. we Włoszech (20 mln euro, 10.2.2022) i we Francji (20 mln euro, 17.10.2022); publiczna dostępność nie zastępuje ani zgody, ani innej podstawy prawnej. Wyrok TSUE Meta przeciwko Bundeskartellamt (C-252/21) to potwierdza: także w przypadku danych publicznych wyważenie interesów na podstawie art. 6(1)(f) trzeba przeprowadzić osobno.

Przykłady sankcji: włoski organ ochrony danych Garante nałożył 2.11.2024 na OpenAI karę 15 mln euro za trenowanie bez wskazanej podstawy prawnej (naruszenie art. 5(1)(a), 5(2), 6), niewystarczającą przejrzystość i brak weryfikacji wieku. Sąd w Rzymie (Tribunale di Roma) uchylił decyzję 18.3.2026, ponieważ zgodnie z mechanizmem kompleksowej współpracy przewidzianym w RODO właściwy był irlandzki organ nadzorczy. Co do samych zarzutów sąd się nie wypowiedział. Decyzja w sprawie Replika przeciwko Luka Inc. (10.4.2025, 5 mln euro) uzupełnia ten obraz: wykonanie umowy (art. 6(1)(b)) nie stanowi podstawy, jeśli wśród użytkowników są małoletni bez zdolności do czynności prawnych.

Szczególne kategorie danych: art. 9 RODO

Gdy tylko agent przetwarza dane dotyczące zdrowia, dane biometryczne lub inne dane wrażliwe, zastosowanie ma zasadniczy zakaz z art. 9(1). Praktycznie istotne wyjątki to wyraźna zgoda (art. 9(2)(a)), podstawy z zakresu prawa pracy i zabezpieczenia społecznego (art. 9(2)(b), np. §26(3) BDSG) oraz ważne względy interesu publicznego (art. 9(2)(g)). Uwaga na powiązania z AI Act: od wejścia w życie Omnibusa cyfrowego do AI Act (rozporządzenie (UE) 2026/1744, obowiązuje od 27.7.2026) zezwolenie na przetwarzanie danych wrażliwych w celu wykrywania stronniczości nie znajduje się już w art. 10(5), lecz w art. 4a. Ust. 1 dotyczy dostawców systemów wysokiego ryzyka. Ust. 2 rozszerza je na podmioty stosujące systemy wysokiego ryzyka oraz na dostawców i podmioty stosujące inne systemy i modele AI, ale tylko w zakresie, w jakim stronniczość może zaszkodzić zdrowiu i bezpieczeństwu, naruszyć prawa podstawowe lub prowadzić do zakazanej dyskryminacji. W przypadku dostawców systemów wysokiego ryzyka motyw 70 kwalifikuje to jako ważne względy interesu publicznego w rozumieniu art. 9(2)(g) RODO. Mimo to nie jest to wyjątek ogólny: zezwolenie obowiązuje tylko w zakresie, w jakim przetwarzanie jest bezwzględnie niezbędne do wykrywania i korygowania stronniczości, i tylko z zabezpieczeniami przewidzianymi w AI Act (m.in. pseudonimizacja, ograniczony dostęp, zakaz przekazywania, usunięcie po korekcie). Wszystkie pozostałe obowiązki wynikające z RODO nadal obowiązują równolegle.

Zautomatyzowane decyzje w indywidualnych przypadkach: art. 22 po wyrokach SCHUFA i Dun & Bradstreet

Art. 22 to przepis RODO najczęściej przywoływany w sporach dotyczących agentów AI. Dwa wyroki TSUE znacznie rozszerzyły jego zakres stosowania:

• SCHUFA (C-634/21, 7.12.2023): już zautomatyzowana wartość prawdopodobieństwa (scoring) sama w sobie jest zautomatyzowaną decyzją w indywidualnym przypadku w rozumieniu art. 22(1), jeśli osoba trzecia (np. bank) w decydujący sposób się na niej opiera. Art. 22 zawiera zasadniczy zakaz, a nie jedynie prawo, na które trzeba się powołać; ciężar udowodnienia wyjątku spoczywa na administratorze.
• Dun & Bradstreet (C-203/22, 27.2.2025): „istotne informacje o zasadach ich podejmowania” (art. 15(1)(h)) oznaczają konkretne, zrozumiałe wyjaśnienie, które pozwala osobom, których dane dotyczą, zrozumieć, sprawdzić i zakwestionować decyzję. Ujawnienie algorytmu lub wzoru matematycznego nie wystarcza. Tajemnica przedsiębiorstwa nie wyklucza automatycznie ujawnienia; w razie sporu rozstrzyga w indywidualnym przypadku organ nadzorczy lub sąd.

W praktyce oznacza to, że agenci oparci na scoringu (preselekcja HR, decyzje kredytowe, underwriting ubezpieczeniowy, dynamiczne ustalanie cen) niemal standardowo uruchamiają art. 22. Najczęstszym ustaleniem audytów w latach 2024–2025 jest przyklepywanie decyzji: czysto formalne zatwierdzenie przez człowieka. Aby decyzja nie opierała się „wyłącznie na zautomatyzowanym przetwarzaniu”, człowiek musi mieć kompetencje i uprawnienia do jej zmiany, faktycznie sprawdzać dane i wykazywać wiarygodny odsetek zmienionych decyzji. Austriacki organ DSB, od którego wyszła sprawa Dun & Bradstreet, wyznacza tu bezpośredni punkt odniesienia dla regionu DACH (Niemcy, Austria, Szwajcaria).

Powierzenie przetwarzania: art. 28 RODO

Większość umów enterprise dotyczących AI (Microsoft Azure OpenAI, OpenAI Enterprise, Anthropic Claude for Work, Google Vertex AI, AWS Bedrock, Mistral, Aleph Alpha) ma strukturę relacji administrator–podmiot przetwarzający, z wyraźnym zobowiązaniem, że dane klientów nie będą wykorzystywane do trenowania modeli. Zobowiązania te mają jednak charakter umowny, a nie ustawowy, i często zastrzegają wąskie uprawnienia do monitorowania nadużyć lub przeglądów bezpieczeństwa.

Nowoczesny stos agentowy tworzy zazwyczaj kaskadę dalszych podmiotów przetwarzających liczącą od pięciu do ośmiu warstw: dostawca modelu bazowego → chmura/hosting → środowisko orkiestracji → baza wektorowa → dostawca pamięci → serwer MCP → observability → ewaluacja. Dla każdej warstwy musi istnieć umowa powierzenia, łańcuch z art. 28(4) musi być kompletny, a rezydencja danych spójna. Najczęstsze ustalenia audytów: nieujawnione przepływy do serwerów MCP, dostawcy observability bez umowy powierzenia i usługi ewaluacyjne, które zbierają ślady promptów. Poza samą kwestią podmiotu przetwarzającego grozi zmiana roli: jeśli dostawca wykorzystuje dane do własnych celów, staje się w tym zakresie odrębnym administratorem. Jeśli ustala cele wspólnie z Tobą, powstaje współadministrowanie w rozumieniu art. 26. Przykładem odrębnej roli administratora jest wyszukiwanie w sieci w Microsoft Copilot: w odniesieniu do zapytań wysyłanych do Bing Microsoft według własnej dokumentacji działa jako administrator, nawet jeśli firma zobowiązuje się nie wykorzystywać ich ani do reklamy, ani do trenowania modeli AI. Umowa powierzenia Microsoftu nie obejmuje tego przetwarzania. W obu przypadkach przepływ danych opuszcza sferę podmiotu przetwarzającego.

Ocena skutków dla ochrony danych (DPIA): art. 35 RODO

Agenci AI często wymagają przeprowadzenia DPIA, ponieważ regularnie spełniają co najmniej jedno z kryteriów z art. 35(3) i z obowiązkowych wykazów organów nadzorczych: zautomatyzowane decyzje wywołujące skutki, profilowanie na dużą skalę, przetwarzanie biometryczne, innowacyjne zastosowanie technologii lub monitorowanie pracowników. Wytyczne DSK „Künstliche Intelligenz und Datenschutz” (wersja 1.0, 6.5.2024, nb. 39) zakładają, że przy korzystaniu z aplikacji AI DPIA jest w wielu przypadkach konieczna.

Metodyka DPIA (dokument informacyjny DSK nr 5, narzędzie BfDI, EROD WP248) obejmuje: (1) ocenę niezbędności i proporcjonalności, (2) identyfikację ryzyk (w przypadku agentów AI: halucynacje, stronniczość, prompt injection, wyciek pamięci, regurgitacja danych wyjściowych, eksfiltracja przez wywołania narzędzi, ponowna identyfikacja), (3) ocenę ryzyk oraz (4) postępowanie z ryzykiem. Niezbędne artefakty to diagramy przepływu danych obejmujące każdy przeskok danych osobowych, mapa ról (administrator, współadministrator, podmiot przetwarzający z łańcuchem z art. 28(4)), rejestr ryzyk i dowody konsultacji (opinia IOD zgodnie z art. 35(2); udział rady zakładowej lub przedstawicielstwa pracowników zgodnie z §87 BetrVG bądź ArbVG). Jeśli występuje wysokie ryzyko w rozumieniu załącznika III, DPIA można połączyć z oceną skutków dla praw podstawowych (FRIA, art. 27 AI Act) w jeden wspólny artefakt (art. 27(4) AI Act).

Rezydencja danych w UE i transfery transgraniczne

Dla decydentów w Europie rezydencja danych w UE jest kluczową dźwignią ograniczania ryzyka. Można ją osiągnąć dzięki EU Data Boundary (Microsoft), regionom UE (Vertex AI z regionalnymi endpointami w UE, AWS) lub suwerennym dostawcom, takim jak Aleph Alpha (Pharia), IONOS AI Model Hub, STACKIT, T-Systems Open Telekom Cloud (DE/UE) i Swisscom Sovereign AI (CH).

Przy transferze do państw trzecich obowiązuje standard Schrems II: standardowe klauzule umowne (SKU) tylko z oceną skutków transferu (TIA) przeprowadzoną dla danego przypadku. EU-US Data Privacy Framework (decyzja stwierdzająca odpowiedni stopień ochrony z 10.7.2023) jest obecnie ważny; Sąd UE oddalił 3.9.2025 w sprawie Latombe/Komisja pierwszą skargę, ale przed TSUE toczy się postępowanie odwoławcze. Rekomendacja operacyjna: korzystać z certyfikacji DPF, ale utrzymywać SKU jako rozwiązanie awaryjne i przeprowadzać TIA także dla odbiorców z certyfikacją DPF. W przypadku dostawców z USA CLOUD Act i FISA 702 pozostają ryzykami, które trzeba uwzględnić w TIA. Szwajcaria od 2000 r. jest uznawana za państwo zapewniające odpowiedni stopień ochrony (decyzja 2000/518/WE); Komisja Europejska potwierdziła to 15.1.2024 w swoim pierwszym przeglądzie starszych decyzji stwierdzających odpowiedni stopień ochrony. Swiss-US DPF obowiązuje od 15.9.2024.

Specyfika regionu DACH i zaostrzenie w Szwajcarii

W regionie DACH organy nadzorcze zajmują rozbieżne stanowiska. Organ ochrony danych w Hamburgu stoi na stanowisku, że samo przechowywanie LLM nie jest przetwarzaniem (dokument do dyskusji, 15.7.2024); opinia EROD 28/2024 pośrednio temu przeczy. Dla podmiotów stosujących bezpiecznym podejściem jest traktowanie modelu jako potencjalnie zawierającego dane osobowe i skupienie prac nad zgodnością na warstwach kontrolowanych przez podmiot stosujący (indeksy RAG, pamięć, logi), gdzie usunięcie danych jest technicznie możliwe.

W Szwajcarii art. 21 revDSG reguluje zautomatyzowane decyzje w indywidualnych przypadkach inaczej niż art. 22 RODO: nie zakazuje ich, ale wymaga, aby administrator poinformował osobę, której dane dotyczą, na jej wniosek dał jej możliwość przedstawienia swojego stanowiska i na jej żądanie zlecił weryfikację decyzji osobie fizycznej. Zaostrzenie dotyczy osobistej odpowiedzialności karnej: kto umyślnie narusza obowiązek informacyjny, może zgodnie z art. 60 revDSG zostać ukarany na wniosek grzywną do 250 000 CHF, i to jako osoba fizyczna, na przykład członek zarządu lub IOD. W przypadku dostawców usług finansowych nadzorowanych przez FINMA dochodzą notyfikacje outsourcingu i analizy tajemnicy bankowej, które popychają wiele podmiotów stosujących w stronę suwerennej chmury.

Co się teraz zmienia

19.11.2025 Komisja Europejska przedstawiła projekt Digital Omnibus. Natomiast zaproponowany równolegle Omnibus cyfrowy do AI Act obowiązuje od 27.7.2026 (rozporządzenie (UE) 2026/1744, zob. sekcja o art. 9). Część ogólnego pakietu Digital Omnibus dotycząca ochrony danych przesunęłaby właśnie dźwignie opisane na tej stronie: względne pojęcie danych osobowych w art. 4(1), wyraźnie uregulowany prawnie uzasadniony interes w zakresie rozwoju i eksploatacji AI (nowy art. 88c), wyjątek dla danych wrażliwych, które przypadkowo trafiają do danych treningowych (art. 9), oraz nowe brzmienie art. 22 jako zamkniętego katalogu dozwolonych przypadków. Nic z tego nie zostało przyjęte. Według stanu na 12.10.2026 Rada wciąż nie miała mandatu negocjacyjnego: głosowanie w Komitecie Stałych Przedstawicieli przełożono 7.10., a 11.10. tekstu kompromisowego ani nie omówiono, ani nie poddano pod głosowanie. W Parlamencie głosowanie w komisji nad projektem sprawozdania jeszcze się wtedy nie odbyło. Do czasu przyjęcia decyzji RODO obowiązuje bez zmian.

TSUE orzekł już w sprawie danych pseudonimizowanych. W wyroku EIOD/SRB (C-413/23 P, 4.9.2025) stwierdził, że dla odbiorcy, który nie jest w stanie ponownie zidentyfikować osób przy użyciu rozsądnie dostępnych środków, dane pseudonimizowane nie są danymi osobowymi. U administratora, który może przypisać dane do osób, pozostają one danymi osobowymi i ponownie się nimi stają, gdy tylko otrzyma je ktoś dysponujący środkami umożliwiającymi ponowną identyfikację. Dla embeddingów oznacza to: kto przechowuje teksty źródłowe lub przypisanie do osób, przetwarza dane osobowe.

Perspektywa praktyczna

Zgodność agentów AI z RODO to nie jednorazowy dokument, lecz zasada architektoniczna: oddziel warstwę inferencji (zarządzane API z umową powierzenia „bez trenowania”) od warstw kontrolowanych przez podmiot stosujący, które muszą pozostać w pełni usuwalne, i dodaj warstwę filtrującą dla żądań DSAR oraz żądań z art. 17. Kto od początku uwzględnia podstawę prawną, architekturę zgodną z art. 22, kompletną kaskadę umów powierzenia, DPIA i rezydencję danych, unika najczęstszych ustaleń audytowych: od niezabezpieczonych magazynów pamięci przez logi promptów bez koncepcji usuwania po nieujawnione przepływy MCP. W kwestii konkretnych rozwiązań umownych i technicznych administratorzy powinni zawsze zasięgnąć specjalistycznej porady prawnej; to omówienie jej nie zastępuje.