Ocena skutków dla ochrony danych (DPIA) dla agentów AI: obowiązek, progi i procedura krok po kroku

Ocena skutków dla ochrony danych (z ang. DPIA) jest obowiązkowa zgodnie z art. 35 RODO, jeżeli przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. W przypadku agentów AI jest ona w praktyce niemal zawsze wymagana, ponieważ takie systemy zwykle spełniają kilka kryteriów ryzyka jednocześnie, na przykład innowacyjna technologia w połączeniu z profilowaniem, zautomatyzowane podejmowanie decyzji lub łączenie zbiorów danych z wielu źródeł.

Ten artykuł jest częścią huba tematycznego „Wdrażanie agentów AI zgodnie z RODO” i zawiera solidną procedurę krok po kroku oraz listę kontrolną czynników wyzwalających dla administratorów z regionu DACH (Niemcy, Austria, Szwajcaria).

Szybkie odpowiedzi

• Próg: DPIA jest obowiązkowa, gdy tylko wysokie ryzyko jest prawdopodobne (art. 35 ust. 1). Art. 35 ust. 3 wymienia trzy typowe przypadki, a art. 35 ust. 4 zobowiązuje organy nadzorcze do publikowania obowiązkowych wykazów: w Niemczech jest to wykaz DSK dla sektora niepublicznego, w Austrii rozporządzenie DSFA-V organu ochrony danych. W Szwajcarii obowiązek DPIA wynika z art. 22 DSG; RODO ma tam zastosowanie tylko wtedy, gdy spełnione są przesłanki art. 3 ust. 2 RODO.
• AI w praktyce: Ze względu na profilowanie, zautomatyzowane podejmowanie decyzji i innowacyjną technologię agenci AI niemal zawsze uruchamiają obowiązek przeprowadzenia DPIA.
• Procedura: DPIA przebiega według udokumentowanego schematu: opis przetwarzania jako element obowiązkowy, następnie niezbędność/proporcjonalność, identyfikacja ryzyk, ocena ryzyk i środki zaradcze. Przy wysokim ryzyku rezydualnym następują uprzednie konsultacje zgodnie z art. 36.

Czym jest DPIA według art. 35 RODO

Art. 35 ust. 1 RODO zobowiązuje administratora do przeprowadzenia DPIA, jeżeli dany rodzaj przetwarzania, w szczególności z użyciem nowych technologii, ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. DPIA jest więc narzędziem zarządzania ryzykiem stosowanym z wyprzedzeniem: sporządza się ją przed rozpoczęciem przetwarzania i dokumentuje, czy i w jaki sposób ryzyka są kontrolowane.

Ważne: administrator (controller) pozostaje odpowiedzialny za DPIA, nawet jeśli sam nie opracował agenta AI. DSK stwierdza w swoich wytycznych „Künstliche Intelligenz und Datenschutz” (wersja 1.0, 6 maja 2024 r.), że przy stosowaniu aplikacji AI DPIA będzie często wymagana (pkt 39). Jeżeli administrator nie jest jednocześnie dostawcą systemu AI, jest w tym zakresie zdany na informacje dostawcy o sposobie działania systemu (pkt 40).

Kiedy DPIA dla agentów AI staje się obowiązkowa

Art. 35 ust. 3 wymienia trzy ustawowe typowe przypadki (domniemania):

1. Systematyczna i kompleksowa ocena czynników osobowych, w tym profilowanie, wywołująca istotne skutki.
2. Przetwarzanie na dużą skalę szczególnych kategorii danych (art. 9) lub danych dotyczących wyroków skazujących (art. 10).
3. Systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.

Ponadto art. 35 ust. 4 RODO zobowiązuje organy nadzorcze do publikowania wykazów operacji przetwarzania, dla których DPIA jest obowiązkowa. Dla prywatnych administratorów w Niemczech obowiązuje obowiązkowy wykaz DSK dla sektora niepublicznego (wersja 1.1 z 17 października 2018 r.), w Austrii rozporządzenie DSFA-V organu ochrony danych (BGBl. II Nr. 278/2018). W Szwajcarii obowiązek DPIA wynika z art. 22 DSG. RODO ma zastosowanie do szwajcarskich administratorów tylko wtedy, gdy oferują oni towary lub usługi osobom w UE lub monitorują ich zachowanie na jej terytorium (art. 3 ust. 2 RODO). W przypadku agentów AI szczególnie istotne są następujące pozycje wykazu DSK:

• Wykorzystanie AI przetwarzającej dane osobowe do sterowania interakcją z osobami, których dane dotyczą, lub do oceny czynników osobowych (poz. 11), na przykład w obsłudze klienta
• Łączenie na dużą skalę danych z wielu źródeł, jeżeli służy przygotowaniu decyzji wywołujących skutki prawne, na przykład przy scoringu (poz. 5), lub poszukiwaniu nieznanych zależności (poz. 10)
• Kompleksowe profile zainteresowań, relacji lub osobowości (poz. 9)
• Zautomatyzowana analiza nagrań wideo lub audio w celu oceny osobowości (poz. 13)
• Identyfikacja biometryczna lub dane genetyczne, jeżeli spełnione jest co najmniej jedno dodatkowe kryterium WP248 (poz. 1 i 2)
• Analiza na dużą skalę zachowań pracowników w celu oceny ich pracy (poz. 8)

Praktyczna konsekwencja: ze względu na jeden lub kilka z tych punktów agenci AI niemal zawsze uruchamiają obowiązek przeprowadzenia DPIA.

Lista kontrolna czynników wyzwalających dla agentów AI

Jeżeli przetwarzanie mieści się w typowym przypadku z art. 35 ust. 3 lub figuruje w obowiązkowym wykazie na podstawie art. 35 ust. 4, DPIA jest obowiązkowa. Dla pozostałych kryteriów wytyczne WP248 rev.01 podają praktyczną regułę: gdy spełnione są co najmniej dwa kryteria, należy przeprowadzić DPIA, a w uzasadnionych przypadkach już przy jednym. W razie wątpliwości warto przeprowadzić udokumentowaną wstępną ocenę progową („threshold assessment”), która uzasadnia, dlaczego DPIA nie byłaby potrzebna; odpowiada to na wymóg rozliczalności z art. 5 ust. 2.

Metodyka DPIA krok po kroku

Opis przetwarzania jest zgodnie z art. 35 ust. 7 lit. a RODO obowiązkowym elementem poprzedzającym każdą DPIA: to systematyczny opis agenta AI wraz z diagramem przepływu danych, który odwzorowuje każdy przeskok danych osobowych (użytkownik → środowisko uruchomieniowe agenta → API modelu → baza wektorowa → serwer MCP → backend obserwowalności → logi), a także architektura systemu z mapą podprocesorów i przypisaniem ról (administrator, współadministratorzy, podmioty przetwarzające, podprocesorzy z nieprzerwanym łańcuchem zgodnie z art. 28 ust. 4).

Na tej podstawie następują cztery kluczowe kroki wynikające z art. 35 ust. 7 lit. b–d RODO. Pokrywają się one z wytycznymi WP248 rev.01 Grupy Roboczej Art. 29, które EROD zatwierdziła. DSK Kurzpapier nr 5 umieszcza je w cyklu obejmującym przygotowanie, przeprowadzenie, wdrożenie i przegląd:

1. Niezbędność i proporcjonalność. Czy przetwarzanie jest ściśle niezbędne? Czy wystarczyłyby dane anonimowe, spseudonimizowane lub syntetyczne? Czy ilość danych i okres przechowywania zostały zminimalizowane? Konkretnie w przypadku RAG: indeksowanie spseudonimizowanych chunków i minimalizacja payloadów kontekstu.
2. Identyfikacja ryzyk. Ujęcie ryzyk specyficznych dla AI (zob. następna sekcja) w odniesieniu do poszczególnych grup osób, których dane dotyczą.
3. Ocena ryzyk. Ocena każdego ryzyka według prawdopodobieństwa razy dotkliwość.
4. Postępowanie z ryzykiem i akceptacja ryzyka rezydualnego. Środki techniczne zgodnie z art. 32 (szyfrowanie, pseudonimizacja, kontrola dostępu, logowanie, ochrona przed prompt injection), środki organizacyjne (szkolenia, governance) i środki umowne (klauzule umowy powierzenia) oraz udokumentowana akceptacja ryzyka rezydualnego.

Należą do tego wymagane dowody konsultacji: opinia inspektora ochrony danych (art. 35 ust. 2), udział rady zakładowej lub reprezentacji pracowników, jeśli ma to zastosowanie (§ 87 BetrVG, austriacka ArbVG, szwajcarskie przepisy o partycypacji pracowników), a także, jeśli to wykonalne, wysłuchanie grup osób, których dane dotyczą (art. 35 ust. 9).

Ryzyka specyficzne dla AI w rejestrze ryzyk

W przypadku agentów AI katalog ryzyk jest znacznie szerszy niż przy klasycznym przetwarzaniu danych. DPIA musi uwzględniać co najmniej:

• Halucynacje: zmyślone, ale wiarygodne dane osobowe; jednocześnie nieprawidłowe (art. 5 ust. 1 lit. d) i stwarzające ryzyko reidentyfikacji
• Stronniczość i dyskryminacja w wynikach scoringu i rankingów
• Prompt injection, w tym ataki między klientami (cross-tenant), które wydobywają cudze dane
• Wycieki pamięci między sesjami przez współdzieloną pamięć lub prompty systemowe
• Regurgitacja w odpowiedziach danych osobowych z danych treningowych
• Rozszerzanie zakresu (scope creep) i nieuprawnione wnioskowanie
• Eksfiltracja danych przez wywołania narzędzi do nieudokumentowanych podprocesorów
• Reidentyfikacja poprzez inwersję embeddingów: embeddingi nie są automatycznie anonimowe i uznaje się je za spseudonimizowane dane osobowe
• Ryzyko w łańcuchu dostaw wynikające z pięcio- do ośmiopoziomowego stosu podprocesorów

Wytyczne DSK dotyczące RAG (2025) dodają dwa ryzyka specyficzne dla RAG: ataki typu membership inference i zatruwanie danych (data poisoning). Publikacja DSK „Datenschutzrechtliche Anforderungen an KI-Systeme” (17 czerwca 2025 r.) zapewnia dodatkowo operacyjne przyporządkowanie do Standardowego Modelu Ochrony Danych (SDM).

Konkretny przykład z liczbami: agent obsługi klienta

Średniej wielkości firma (800 pracowników) w Austrii planuje wdrożenie agenta obsługi klienta opartego na Azure OpenAI. Miesięcznie agent przetwarza około 40 000 rozmów, z czego szacunkowo 30 procent (czyli około 12 000) zawiera w promptach dane identyfikujące klientów. Decyzje o eskalacji są początkowo przygotowywane automatycznie.

W DPIA ryzyko „regurgitacja w odpowiedziach danych osobowych z danych treningowych” oceniono następująco: prawdopodobieństwo „średnie”, dotkliwość „wysoka”. Środki zaradcze: filtry wyjściowe, test red team pod kątem zapamiętywania, udokumentowane ważenie interesów. W przypadku ryzyka „wycieki pamięci między sesjami” ścisła izolacja klientów obniża prawdopodobieństwo ze „średniego” do „niskiego”. Przechowywanie promptów we własnym systemie ogranicza się do 30 dni, z maskowaniem danych przed trwałym zapisem. Do tego dochodzi monitorowanie nadużyć przez Microsoft: uprawnieni pracownicy Microsoftu mogą sprawdzać oznaczone prompty i odpowiedzi, a przy wdrożeniach w EOG pracownicy ci znajdują się w EOG. Po zatwierdzeniu „Modified Abuse Monitoring” ta weryfikacja przez człowieka odpada. Ponieważ każda istotna decyzja jest eskalowana do człowieka, a agent przygotowuje decyzje zamiast je podejmować, ryzyko rezydualne w zakresie art. 22 spada do akceptowalnego poziomu. Wynik: uprzednie konsultacje na podstawie art. 36 nie są wymagane.

Uprzednie konsultacje na podstawie art. 36

Jeżeli po wdrożeniu wszystkich środków pozostaje wysokie ryzyko rezydualne, przed rozpoczęciem przetwarzania należy skonsultować się z organem nadzorczym zgodnie z art. 36. W kontekście agentów AI zdarza się to rzadko, ale jest prawdopodobne w przypadku agentów do preselekcji kandydatów o istotnych skutkach dla osób ubiegających się o pracę, autonomicznych agentów do triażu medycznego i agentów do oceny ryzyka ubezpieczeniowego. Jeżeli organ uzna, że przetwarzanie nie jest zgodne z RODO, w terminie do ośmiu tygodni przedstawia pisemne zalecenia; w przypadku złożonych operacji przetwarzania może przedłużyć ten termin o sześć tygodni (art. 36 ust. 2 RODO). W prawie szwajcarskim obowiązuje art. 23 DSG: EDÖB przekazuje swoje zastrzeżenia w ciągu dwóch miesięcy, a w przypadku złożonych operacji przetwarzania w ciągu trzech.

Integracja z FRIA z unijnego AI Act

W przypadku podmiotów stosujących systemy wysokiego ryzyka z załącznika III, które są podmiotami publicznymi lub prywatnymi podmiotami świadczącymi usługi publiczne albo działają w określonych dziedzinach, art. 27 unijnego AI Act wymaga przeprowadzenia oceny skutków w zakresie praw podstawowych (FRIA). Dla systemów z załącznika III obowiązek ten ma zastosowanie dopiero od 2 grudnia 2027 r.: omnibus AI (rozporządzenie (UE) 2026/1744) przesunął na tę datę z 2 sierpnia 2026 r. obowiązki dotyczące wysokiego ryzyka z sekcji 1–3 rozdziału III, do których należy art. 27. Art. 27 ust. 4 wprost dopuszcza, by FRIA uzupełniała DPIA na gruncie RODO i wykorzystywała pokrywające się treści. Zalecany przebieg:

• Przeprowadzić najpierw DPIA (lub równolegle) zgodnie z metodyką RODO.
• Rozszerzyć ją o elementy specyficzne dla FRIA: wpływ na prawa podstawowe wykraczający poza ochronę danych (niedyskryminacja, godność, wolność wypowiedzi, prawo do skutecznego środka prawnego), grupy osób, na które system oddziałuje, szkody, nadzór, mechanizmy składania skarg.
• Sporządzić jeden połączony dokument z odesłaniami do art. 35 RODO i art. 27 AI Act.

Uwaga dotycząca wzajemnych zależności: prawo do uzyskania wyjaśnienia na temat podejmowania decyzji w indywidualnych przypadkach z art. 86 unijnego AI Act przysługuje osobom, na które decyzja podjęta na podstawie systemu AI wysokiego ryzyka z załącznika III (z wyjątkiem pkt 2, infrastruktura krytyczna) wywiera skutki prawne lub w podobny sposób istotnie na nie wpływa. Ma ono zastosowanie tylko w zakresie, w jakim prawo Unii, na przykład RODO, nie przewiduje odpowiedniego prawa (art. 86 ust. 3). Art. 86 nie znajduje się w rozdziale III; omnibus AI nie przesunął daty rozpoczęcia jego stosowania, czyli 2 sierpnia 2026 r. Prawo to wiąże się jednak z systemami wysokiego ryzyka z załącznika III, a ich klasyfikacja na podstawie art. 6 ust. 2 obowiązuje dopiero od 2 grudnia 2027 r. (art. 113 AI Act w brzmieniu nadanym przez omnibus AI). Otwarte pozostaje, czy art. 86 zacznie w praktyce działać wcześniej.

Dla agencji i B2B

Agencje marketingowe i dostawcy B2B, którzy wdrażają agentów AI dla klientów, często są podmiotami przetwarzającymi. Wówczas obowiązek DPIA spoczywa na kliencie jako administratorze, ale agencja musi dostarczyć rzetelny opis przetwarzania i mapę podprocesorów. Często się to lekceważy. Jeżeli agencja i klient są współadministratorami w rozumieniu art. 26 RODO, agencja współodpowiada za DPIA. Kto już na etapie oferty przedstawia szablon DPIA, diagram przepływu danych i sprawdzony katalog środków, znacznie skraca cykle akceptacji i ogranicza najczęstsze zastrzeżenie podczas audytów: wdrożenie Copilota lub agentów bez DPIA i bez konsultacji z radą zakładową. Blck Alpaca pomaga firmom w całej Europie przeprowadzić DPIA, od oceny progowej po połączony dokument DPIA/FRIA.

Zastrzeżenie prawne: ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Aby uzyskać wiążącą ocenę konkretnego przetwarzania z udziałem agentów AI, skorzystaj z pomocy wykwalifikowanego prawnika i zwróć się do właściwego dla Ciebie organu nadzorczego.