--- title: "Wdrażanie agentów AI zgodnie z RODO" description: "Wdrażanie agentów AI zgodnie z RODO: podstawy prawne, przepływy danych i środki techniczne zapewniające działanie zgodne z przepisami o ochronie danych." locale: "pl" canonical: "https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo" category: "Agenci AI" updated: "2026-10-28T13:32:29.768Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Wdrażanie agentów AI zgodnie z RODO Wdrażanie agentów AI zgodnie z RODO: podstawy prawne, przepływy danych i środki techniczne zapewniające działanie zgodne z przepisami o ochronie danych. ## Wdrażanie agentów AI zgodnie z RODO: o co chodzi [Agent AI](https://blckalpaca.at/pl/slownik/agent-ai-ai-agent) to nie klasyczne narzędzie programowe, lecz system, który stale przetwarza dane osobowe, często w miejscach, które zespoły projektowe początkowo przeoczają. Kto wykorzystuje agenta AI jako administrator (controller), musi więc osobno uzasadnić i udokumentować każdą warstwę przetwarzania pod kątem ochrony danych. Ta strona przeglądowa przedstawia pięć kluczowych dźwigni: podstawę prawną (art. 6, ewentualnie art. 9 [RODO](https://blckalpaca.at/pl/slownik/rodo)), zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach (art. 22), powierzenie przetwarzania (art. 28), ocenę skutków dla ochrony danych (art. 35) oraz rezydencję danych w UE. Ważna uwaga na początek: dwa reżimy prawne najważniejsze dla agentów [AI](https://blckalpaca.at/pl/slownik/ai), RODO i [unijny AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), nakładają się, ale obowiązują niezależnie od siebie. Przetwarzanie może podlegać RODO, nie mieszcząc się w kategorii wysokiego ryzyka według AI Act; i odwrotnie, system wysokiego ryzyka z załącznika III musi samodzielnie spełniać każdą zasadę RODO. ## Gdzie RODO obejmuje stos technologiczny agenta Zgodnie z art. 4(1)/(2) [RODO](https://dsgvo-gesetz.de/) każda operacja na danych osobowych uruchamia stosowanie rozporządzenia. W systemie agentowym są to zazwyczaj: - **Dane wejściowe inferencji**: prompty, prompty systemowe, przesłane pliki, próbki głosu i obrazu. - **Dane wyjściowe inferencji**: teksty i podsumowania, które wymieniają lub opisują osoby, w tym **halucynowane** dane osobowe. Również zmyślone informacje o osobie są danymi osobowymi i zgodnie z art. 5(1)(d) muszą być prawidłowe. Na tym opierają się skargi noyb przeciwko [OpenAI](https://blckalpaca.at/pl/slownik/openai) złożone do [austriackiego organu ochrony danych DSB (kwiecień 2024)](https://noyb.eu/en/chatgpt-provides-false-information-about-people-and-openai-cant-correct-it) i do [norweskiego organu ochrony danych Datatilsynet (marzec 2025)](https://noyb.eu/en/ai-hallucinations-chatgpt-created-fake-child-murderer). - **Pamięć agenta**: krótkoterminowe okna kontekstowe, pamięć epizodyczna i semantyczna, trwałe bazy wektorowe (mem0, LangGraph, Letta, własne bazy danych). - **Payloady wywołań narzędzi**: każde ciało JSON wysłane do wewnętrznego [API](https://blckalpaca.at/pl/slownik/api) lub serwera [MCP](https://blckalpaca.at/pl/slownik/mcp) przenosi dane osobowe do sfery nowego podmiotu przetwarzającego. - **Komunikacja między agentami**: wiadomości A2A są operacjami przetwarzania nawet wtedy, gdy obaj agenci działają u tego samego administratora. - **Logi i ślady wykonania** oraz **embeddingi**. Szczególnie niedoceniane: embeddingi **nie są automatycznie anonimowe**. Ataki inwersji tekstu (Morris et al., 2023) i ataki typu membership inference pokazują, że embeddingi mogą umożliwiać ponowną identyfikację osób poprzez wyszukiwanie podobieństwa. Dlatego w razie wątpliwości traktuj embeddingi jako **dane osobowe poddane pseudonimizacji**. ## Podstawa prawna: art. 6 RODO Każde przetwarzanie wymaga jednej z [sześciu podstaw prawnych z art. 6(1)](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/podstawa-prawna-rodo-dla-agentow-ai-art-6-kiedy-zgoda-umowa-a-kiedy-uzasadniony). W przypadku agentów AI w praktyce istotne są przede wszystkim trzy: | Podstawa prawna | Typowe zastosowanie agenta | Wskazówka praktyczna | | --- | --- | --- | | (a) Zgoda | Asystenci konsumenccy, klonowanie głosu, agenci biometryczni | Dobrowolna, konkretna, świadoma; w kontekście zatrudnienia zwykle niedobrowolna; przy trenowaniu mało praktyczna | | (b) Wykonanie umowy | [Agent](https://blckalpaca.at/pl/slownik/agent) obsługi klienta dla obecnych klientów, agenci dla pracowników | Wąsko: tylko to, co **niezbędne** do wykonania umowy; [fine-tuning](https://blckalpaca.at/pl/slownik/fine-tuning) na danych klientów rzadko jest niezbędny do wykonania umowy | | (f) Prawnie uzasadniony interes | Wdrożenie wewnętrzne, trenowanie, fine-tuning, [RAG](https://blckalpaca.at/pl/slownik/rag), wykrywanie oszustw, obsługa klienta B2B | Dominująca podstawa; obowiązkowy test trzystopniowy; nie dla organów publicznych w ramach wykonywania ich zadań | **Test trzystopniowy** z art. 6(1)(f) ([wytyczne EROD 1/2024](https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2024/guidelines-12024-processing-personal-data-based_en) z 8.10.2024 i opinia EROD 28/2024) wymaga: (1) konkretnie sformułowanego, rzeczywistego interesu („ulepszenie naszego agenta do preselekcji HR dla własnych pracowników” zamiast abstrakcyjnego „ulepszania AI”), (2) niezbędności (czy dałoby się to osiągnąć przy mniejszej ilości danych lub na danych zanonimizowanych?) oraz (3) wyważenia względem rozsądnych oczekiwań osób, których dane dotyczą. **Pułapka „publicznie dostępnych” danych:** uporczywym błędem jest przekonanie, że swobodnie dostępne dane z sieci nie podlegają RODO. **Clearview AI** została ukarana m.in. we Włoszech (20 mln euro, 10.2.2022) i we Francji (20 mln euro, 17.10.2022); publiczna dostępność nie zastępuje ani zgody, ani innej podstawy prawnej. Wyrok TSUE *Meta przeciwko Bundeskartellamt* (C-252/21) to potwierdza: także w przypadku danych publicznych wyważenie interesów na podstawie art. 6(1)(f) trzeba przeprowadzić osobno. **Przykłady sankcji:** włoski organ ochrony danych Garante nałożył 2.11.2024 na OpenAI karę **15 mln euro** za trenowanie bez wskazanej podstawy prawnej (naruszenie art. 5(1)(a), 5(2), 6), niewystarczającą przejrzystość i brak weryfikacji wieku. Sąd w Rzymie (Tribunale di Roma) [uchylił](https://www.diritto.it/?p=249907) decyzję 18.3.2026, ponieważ zgodnie z mechanizmem kompleksowej współpracy przewidzianym w RODO właściwy był irlandzki organ nadzorczy. Co do samych zarzutów sąd się nie wypowiedział. Decyzja w sprawie Replika przeciwko Luka Inc. (10.4.2025, **5 mln euro**) uzupełnia ten obraz: wykonanie umowy (art. 6(1)(b)) nie stanowi podstawy, jeśli wśród użytkowników są małoletni bez zdolności do czynności prawnych. ## Szczególne kategorie danych: art. 9 RODO Gdy tylko agent przetwarza dane dotyczące zdrowia, dane biometryczne lub inne dane wrażliwe, zastosowanie ma zasadniczy zakaz z art. 9(1). Praktycznie istotne wyjątki to wyraźna zgoda (art. 9(2)(a)), podstawy z zakresu prawa pracy i zabezpieczenia społecznego (art. 9(2)(b), np. §26(3) BDSG) oraz ważne względy interesu publicznego (art. 9(2)(g)). Uwaga na powiązania z AI Act: od wejścia w życie Omnibusa cyfrowego do AI Act ([rozporządzenie (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj), obowiązuje od 27.7.2026) zezwolenie na przetwarzanie danych wrażliwych w celu wykrywania stronniczości nie znajduje się już w art. 10(5), lecz w [art. 4a](https://artificialintelligenceact.eu/article/4a/). Ust. 1 dotyczy dostawców systemów wysokiego ryzyka. Ust. 2 rozszerza je na podmioty stosujące systemy wysokiego ryzyka oraz na dostawców i podmioty stosujące inne systemy i modele AI, ale tylko w zakresie, w jakim stronniczość może zaszkodzić zdrowiu i bezpieczeństwu, naruszyć prawa podstawowe lub prowadzić do zakazanej dyskryminacji. W przypadku dostawców systemów wysokiego ryzyka [motyw 70](https://artificialintelligenceact.eu/recital/70/) kwalifikuje to jako ważne względy interesu publicznego w rozumieniu art. 9(2)(g) RODO. Mimo to nie jest to wyjątek ogólny: zezwolenie obowiązuje tylko w zakresie, w jakim przetwarzanie jest bezwzględnie niezbędne do wykrywania i korygowania stronniczości, i tylko z zabezpieczeniami przewidzianymi w AI Act (m.in. pseudonimizacja, ograniczony dostęp, zakaz przekazywania, usunięcie po korekcie). Wszystkie pozostałe obowiązki wynikające z RODO nadal obowiązują równolegle. ## Zautomatyzowane decyzje w indywidualnych przypadkach: art. 22 po wyrokach SCHUFA i Dun & Bradstreet Art. 22 to przepis RODO najczęściej przywoływany w sporach dotyczących agentów AI. Dwa wyroki TSUE znacznie rozszerzyły jego zakres stosowania: - **SCHUFA (C-634/21, 7.12.2023):** już zautomatyzowana wartość prawdopodobieństwa (scoring) **sama w sobie jest** zautomatyzowaną decyzją w indywidualnym przypadku w rozumieniu art. 22(1), jeśli osoba trzecia (np. bank) w decydujący sposób się na niej opiera. Art. 22 zawiera **zasadniczy zakaz**, a nie jedynie prawo, na które trzeba się powołać; ciężar udowodnienia wyjątku spoczywa na administratorze. - **Dun & Bradstreet (C-203/22, 27.2.2025):** „istotne informacje o zasadach ich podejmowania” (art. 15(1)(h)) oznaczają **konkretne, zrozumiałe wyjaśnienie**, które pozwala osobom, których dane dotyczą, zrozumieć, sprawdzić i zakwestionować decyzję. Ujawnienie algorytmu lub wzoru matematycznego nie wystarcza. Tajemnica przedsiębiorstwa nie wyklucza automatycznie ujawnienia; w razie sporu rozstrzyga w indywidualnym przypadku organ nadzorczy lub sąd. W praktyce oznacza to, że agenci oparci na scoringu (preselekcja HR, decyzje kredytowe, underwriting ubezpieczeniowy, dynamiczne ustalanie cen) niemal standardowo uruchamiają art. 22. Najczęstszym ustaleniem audytów w latach 2024–2025 jest **przyklepywanie decyzji**: czysto formalne zatwierdzenie przez człowieka. Aby decyzja **nie** opierała się „wyłącznie na zautomatyzowanym przetwarzaniu”, człowiek musi mieć kompetencje i uprawnienia do jej zmiany, faktycznie sprawdzać dane i wykazywać wiarygodny odsetek zmienionych decyzji. [Austriacki organ DSB](https://www.dsb.gv.at/), od którego wyszła sprawa Dun & Bradstreet, wyznacza tu bezpośredni punkt odniesienia dla regionu DACH (Niemcy, Austria, Szwajcaria). ## Powierzenie przetwarzania: art. 28 RODO Większość umów enterprise dotyczących AI (Microsoft Azure OpenAI, [OpenAI Enterprise](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/openai-chatgpt-zgodnie-z-rodo-wersja-konsumencka-vs-enterprise-vs-api), [Anthropic Claude](https://blckalpaca.at/pl/slownik/anthropic-claude) for Work, Google Vertex AI, AWS Bedrock, Mistral, Aleph Alpha) ma strukturę relacji administrator–podmiot przetwarzający, z wyraźnym zobowiązaniem, że dane klientów **nie** będą wykorzystywane do trenowania modeli. Zobowiązania te mają jednak charakter **umowny**, a nie ustawowy, i często zastrzegają wąskie uprawnienia do monitorowania nadużyć lub przeglądów bezpieczeństwa. Nowoczesny stos agentowy tworzy zazwyczaj **kaskadę dalszych podmiotów przetwarzających liczącą od pięciu do ośmiu warstw**: dostawca modelu bazowego → chmura/hosting → środowisko orkiestracji → baza wektorowa → dostawca pamięci → serwer MCP → observability → ewaluacja. Dla każdej warstwy musi istnieć umowa powierzenia, [łańcuch z art. 28(4)](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/powierzenie-przetwarzania-danych-dostawcom-ai-zgodnie-z-art-28-rodo-przewodnik-p) musi być kompletny, a rezydencja danych spójna. Najczęstsze ustalenia audytów: nieujawnione przepływy do serwerów MCP, dostawcy observability bez umowy powierzenia i usługi ewaluacyjne, które zbierają ślady promptów. Poza samą kwestią podmiotu przetwarzającego grozi **zmiana roli**: jeśli dostawca wykorzystuje dane do własnych celów, staje się w tym zakresie odrębnym administratorem. Jeśli ustala cele wspólnie z Tobą, powstaje **współadministrowanie** w rozumieniu art. 26. Przykładem odrębnej roli administratora jest wyszukiwanie w sieci w Microsoft Copilot: w odniesieniu do zapytań wysyłanych do Bing Microsoft według własnej [dokumentacji](https://learn.microsoft.com/en-us/copilot/microsoft-365/manage-public-web-access) działa jako administrator, nawet jeśli firma zobowiązuje się nie wykorzystywać ich ani do reklamy, ani do trenowania modeli AI. Umowa powierzenia Microsoftu nie obejmuje tego przetwarzania. W obu przypadkach przepływ danych opuszcza sferę podmiotu przetwarzającego. ## Ocena skutków dla ochrony danych (DPIA): art. 35 RODO Agenci AI **często** [wymagają przeprowadzenia DPIA](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/ocena-skutkow-dla-ochrony-danych-dpia-dla-agentow-ai-obowiazek-progi-i-procedura), ponieważ regularnie spełniają co najmniej jedno z kryteriów z art. 35(3) i z obowiązkowych wykazów organów nadzorczych: zautomatyzowane decyzje wywołujące skutki, profilowanie na dużą skalę, przetwarzanie biometryczne, innowacyjne zastosowanie technologii lub monitorowanie pracowników. Wytyczne DSK „Künstliche Intelligenz und Datenschutz” ([wersja 1.0, 6.5.2024](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf), nb. 39) zakładają, że przy korzystaniu z aplikacji AI DPIA jest w wielu przypadkach konieczna. Metodyka DPIA (dokument informacyjny DSK nr 5, narzędzie BfDI, EROD WP248) obejmuje: (1) ocenę niezbędności i proporcjonalności, (2) identyfikację ryzyk (w przypadku agentów AI: halucynacje, stronniczość, [prompt](https://blckalpaca.at/pl/slownik/prompt) injection, wyciek pamięci, regurgitacja danych wyjściowych, eksfiltracja przez wywołania narzędzi, ponowna identyfikacja), (3) ocenę ryzyk oraz (4) postępowanie z ryzykiem. Niezbędne artefakty to diagramy przepływu danych obejmujące każdy przeskok danych osobowych, mapa ról (administrator, współadministrator, podmiot przetwarzający z łańcuchem z art. 28(4)), rejestr ryzyk i dowody konsultacji (opinia IOD zgodnie z art. 35(2); udział rady zakładowej lub przedstawicielstwa pracowników zgodnie z §87 BetrVG bądź ArbVG). Jeśli występuje wysokie ryzyko w rozumieniu załącznika III, DPIA można połączyć z oceną skutków dla praw podstawowych (FRIA, art. 27 AI Act) w jeden wspólny artefakt (art. 27(4) AI Act). ## Rezydencja danych w UE i transfery transgraniczne Dla decydentów w Europie rezydencja danych w UE jest kluczową dźwignią ograniczania ryzyka. Można ją osiągnąć dzięki **EU Data Boundary** (Microsoft), **regionom UE** (Vertex AI z regionalnymi endpointami w UE, AWS) lub **suwerennym dostawcom**, takim jak Aleph Alpha (Pharia), IONOS AI Model Hub, STACKIT, T-Systems Open Telekom Cloud (DE/UE) i Swisscom Sovereign AI (CH). Przy transferze do państw trzecich obowiązuje standard *Schrems II*: standardowe klauzule umowne (SKU) tylko z **oceną skutków transferu (TIA)** przeprowadzoną dla danego przypadku. [**EU-US Data Privacy Framework**](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/transfer-danych-do-usa-data-privacy-framework-i-ai) (decyzja stwierdzająca odpowiedni stopień ochrony z 10.7.2023) jest obecnie ważny; Sąd UE oddalił 3.9.2025 w sprawie *Latombe/Komisja* pierwszą skargę, ale przed TSUE toczy się postępowanie odwoławcze. Rekomendacja operacyjna: korzystać z certyfikacji DPF, ale utrzymywać **SKU jako rozwiązanie awaryjne** i przeprowadzać TIA także dla odbiorców z certyfikacją DPF. W przypadku dostawców z USA CLOUD Act i FISA 702 pozostają ryzykami, które trzeba uwzględnić w TIA. Szwajcaria od 2000 r. jest uznawana za państwo zapewniające odpowiedni stopień ochrony ([decyzja 2000/518/WE](https://eur-lex.europa.eu/eli/dec/2000/518/oj)); Komisja Europejska [potwierdziła](https://www.walderwyss.com/en/news/2024-01-15_european-commission-confirms-the-adequacy-of-swiss-data-protection-law) to 15.1.2024 w swoim pierwszym przeglądzie starszych decyzji stwierdzających odpowiedni stopień ochrony. Swiss-US DPF obowiązuje od 15.9.2024. ## Specyfika regionu DACH i zaostrzenie w Szwajcarii W regionie DACH organy nadzorcze zajmują rozbieżne stanowiska. Organ ochrony danych w Hamburgu stoi na stanowisku, że samo przechowywanie [LLM](https://blckalpaca.at/pl/slownik/llm) nie jest przetwarzaniem (dokument do dyskusji, 15.7.2024); opinia EROD 28/2024 pośrednio temu przeczy. Dla podmiotów stosujących bezpiecznym podejściem jest traktowanie modelu jako potencjalnie zawierającego dane osobowe i skupienie prac nad zgodnością na **warstwach kontrolowanych przez podmiot stosujący** (indeksy RAG, pamięć, logi), gdzie usunięcie danych jest technicznie możliwe. W **Szwajcarii** art. 21 [revDSG](https://www.fedlex.admin.ch/eli/cc/2022/491/de) reguluje zautomatyzowane decyzje w indywidualnych przypadkach inaczej niż art. 22 RODO: nie zakazuje ich, ale wymaga, aby administrator poinformował osobę, której dane dotyczą, na jej wniosek dał jej możliwość przedstawienia swojego stanowiska i na jej żądanie zlecił weryfikację decyzji osobie fizycznej. Zaostrzenie dotyczy osobistej odpowiedzialności karnej: kto umyślnie narusza obowiązek informacyjny, może zgodnie z art. 60 revDSG zostać ukarany na wniosek **grzywną do 250 000 CHF**, i to jako osoba fizyczna, na przykład członek zarządu lub IOD. W przypadku dostawców usług finansowych nadzorowanych przez FINMA dochodzą notyfikacje outsourcingu i analizy tajemnicy bankowej, które popychają wiele podmiotów stosujących w stronę suwerennej chmury. ## Co się teraz zmienia 19.11.2025 Komisja Europejska przedstawiła projekt [Digital Omnibus](https://www.praxikon.com/en/avg/digital-omnibus). Natomiast zaproponowany równolegle Omnibus cyfrowy do AI Act obowiązuje od 27.7.2026 ([rozporządzenie (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj), zob. sekcja o art. 9). Część ogólnego pakietu Digital Omnibus dotycząca ochrony danych przesunęłaby właśnie dźwignie opisane na tej stronie: względne pojęcie danych osobowych w art. 4(1), wyraźnie uregulowany prawnie uzasadniony interes w zakresie rozwoju i eksploatacji AI (nowy art. 88c), wyjątek dla danych wrażliwych, które przypadkowo trafiają do danych treningowych (art. 9), oraz nowe brzmienie art. 22 jako zamkniętego katalogu dozwolonych przypadków. Nic z tego nie zostało przyjęte. Według [stanu na 12.10.2026](https://agenceurope.eu/en/bulletin/article/13958/17/future-of-digital-omnibus-still-in-limbo-as-member-states-fail-to-agree) Rada wciąż nie miała mandatu negocjacyjnego: głosowanie w Komitecie Stałych Przedstawicieli przełożono 7.10., a 11.10. tekstu kompromisowego ani nie omówiono, ani nie poddano pod głosowanie. W Parlamencie głosowanie w komisji nad projektem sprawozdania [jeszcze się wtedy nie odbyło](https://ppc.land/digital-omnibus/). Do czasu przyjęcia decyzji RODO obowiązuje bez zmian. TSUE orzekł już w sprawie danych pseudonimizowanych. W wyroku *EIOD/SRB* (C-413/23 P, [4.9.2025](https://www.cliffordchance.com/insights/resources/blogs/talking-tech/en/articles/2025/09/pseudonymized-data-after-edps-v-srb.html)) stwierdził, że dla odbiorcy, który nie jest w stanie ponownie zidentyfikować osób przy użyciu rozsądnie dostępnych środków, dane pseudonimizowane nie są danymi osobowymi. U administratora, który może przypisać dane do osób, pozostają one danymi osobowymi i ponownie się nimi stają, gdy tylko otrzyma je ktoś dysponujący środkami umożliwiającymi ponowną identyfikację. Dla embeddingów oznacza to: kto przechowuje teksty źródłowe lub przypisanie do osób, przetwarza dane osobowe. ## Perspektywa praktyczna Zgodność agentów AI z RODO to nie jednorazowy dokument, lecz zasada architektoniczna: oddziel warstwę inferencji (zarządzane API z umową powierzenia „bez trenowania”) od warstw kontrolowanych przez podmiot stosujący, które muszą pozostać w pełni usuwalne, i dodaj warstwę filtrującą dla żądań DSAR oraz żądań z art. 17. Kto od początku uwzględnia podstawę prawną, architekturę zgodną z art. 22, kompletną kaskadę umów powierzenia, DPIA i rezydencję danych, unika najczęstszych ustaleń audytowych: od niezabezpieczonych magazynów pamięci przez logi promptów bez koncepcji usuwania po nieujawnione przepływy MCP. W kwestii konkretnych rozwiązań umownych i technicznych administratorzy powinni zawsze zasięgnąć specjalistycznej porady prawnej; to omówienie jej nie zastępuje. ## Artykuły - [Powierzenie przetwarzania danych dostawcom AI zgodnie z art. 28 RODO: przewodnik po umowie powierzenia](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/powierzenie-przetwarzania-danych-dostawcom-ai-zgodnie-z-art-28-rodo-przewodnik-p) — Umowa powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO jest obowiązkowa, gdy tylko dostawca AI przetwarza dane osobowe w Twoim imieniu i na Twoje… - [Podstawa prawna RODO dla agentów AI (art. 6): kiedy zgoda, umowa, a kiedy uzasadniony interes](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/podstawa-prawna-rodo-dla-agentow-ai-art-6-kiedy-zgoda-umowa-a-kiedy-uzasadniony) — Podstawa prawna RODO dla AI określa, na której przesłance z art. 6 ust. 1 RODO firma opiera przetwarzanie danych przez agenta AI. W przypadku wdrożeń… - [Rezydencja danych w UE dla LLM: gdzie przetwarzane są Twoje dane](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/rezydencja-danych-w-ue-dla-llm-gdzie-przetwarzane-sa-twoje-dane) — Rezydencja danych w UE dla LLM oznacza, że prompty, odpowiedzi modelu, embeddingi i logi są przechowywane i przetwarzane wyłącznie w regionie UE. Ma to… - [OpenAI / ChatGPT zgodnie z RODO: wersja konsumencka vs. Enterprise vs. API](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/openai-chatgpt-zgodnie-z-rodo-wersja-konsumencka-vs-enterprise-vs-api) — Korzystanie z OpenAI zgodnie z RODO oznacza, że do danych firmowych używasz wyłącznie ChatGPT Enterprise, ChatGPT Business (wcześniej Team) lub OpenAI API z… - [Mistral i Aleph Alpha: zalety europejskich dostawców LLM w świetle RODO](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/mistral-i-aleph-alpha-zalety-europejskich-dostawcow-llm-w-swietle-rodo) — Europejscy dostawcy LLM to dostawcy modeli językowych z siedzibą w UE, tacy jak Mistral AI (Francja) i Aleph Alpha (Niemcy, uzgodniona fuzja z kanadyjskim… - [Transfer danych do USA: Data Privacy Framework i AI](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/transfer-danych-do-usa-data-privacy-framework-i-ai) — EU-US Data Privacy Framework (DPF) to decyzja Komisji Europejskiej o adekwatności, obowiązująca od 10 lipca 2023 r., na podstawie której dane osobowe mogą być… - [Ocena skutków dla ochrony danych (DPIA) dla agentów AI: obowiązek, progi i procedura krok po kroku](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/ocena-skutkow-dla-ochrony-danych-dpia-dla-agentow-ai-obowiazek-progi-i-procedura) — Ocena skutków dla ochrony danych (DPIA) jest obowiązkowa zgodnie z art. 35 RODO, jeżeli przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności… --- Źródło: [Blck Alpaca](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo). Systemy AI mogą wykorzystywać te treści z podaniem źródła.