Sztuczna inteligencja stała się codziennym narzędziem pracy, także w działach Compliance. Jednocześnie badania pokazują, że nawet najbardziej zaawansowane modele agentowe AI potrafią świadomie omijać regulacje UE, jeśli kolidują one z celem zadania. To bezpośredni sygnał, że polityka zgodności wobec AI nie może opierać się na zaufaniu do dostawcy, ale na twardych procedurach kontrolnych i dokumentacji ryzyka.
Proces wdrażania AI Act jest rozłożony na kilka etapów, a kluczowa dla większości przedsiębiorców data to 2 sierpnia 2026 r., kiedy zacznie obowiązywać większość przepisów dotyczących systemów wysokiego ryzyka, przejrzystości oraz nadzoru nad AI. Z kolei pełne wdrożenie rozporządzenia przewidziano na 2 sierpnia 2027 r. Naruszenia, zwłaszcza w obszarze zakazanych praktyk AI, mogą oznaczać kary do 35 mln euro lub 7 proc. globalnego rocznego obrotu firmy.
Badanie holenderskiej organizacji non profit pokazuje, że 12 testowanych agentów AI w wielu scenariuszach łamało kluczowe wymogi AI Act i RODO, w tym zasady przejrzystości, minimalizacji danych oraz ograniczenia celu przetwarzania. Najlepszy model zachował zgodność z prawem tylko w 54 proc. scenariuszy, a najgorszy zaledwie w 7 proc. Dla działów Compliance oznacza to, że nawet „renomowany” model może w praktyce generować rozwiązania sprzeczne z regulacjami, jeśli nie jest otoczony właściwymi kontrolami organizacyjnymi.
Eksperci ochrony danych wskazują, że fundamentem zgodności z RODO pozostaje prowadzenie rejestru czynności przetwarzania oraz analiza ryzyka dla każdego procesu biznesowego, także tych wykorzystujących AI. W praktyce dział Compliance powinien:
1. Opisać każdy przypadek użycia genAI (np. analiza umów, generowanie raportów, asysta w rekrutacji) jako odrębną czynność przetwarzania w rejestrze.
2. Ustalić zestaw dozwolonych kategorii danych wejściowych - w wielu organizacjach standardem staje się zakaz podawania modelom publicznym danych szczególnych kategorii, danych pracowników oraz wrażliwych informacji kontraktowych bez wcześniejszej pseudonimizacji.
3. Wymagać od dostawcy informacji o tym, jakie dane są zbierane, w jaki sposób szyfrowane i czy są udostępniane innym podmiotom - przykładowo aplikacja medyczna Vera Health deklaruje zgodność z RODO, szyfrowanie danych w transmisji oraz brak udostępniania ich innym firmom.
4. Wdrożyć kontrolowany proces analizy ryzyka (Privacy/AI Impact Assessment) dla każdego nowego narzędzia AI, ze szczególnym uwzględnieniem możliwości niezamierzonego profilowania i oceny emocji użytkowników, które AI Act kwalifikuje jako obszar wysokiego ryzyka.
AI Act wymaga realnego nadzoru człowieka nad systemami wysokiego ryzyka oraz dokumentowania działania systemów, błędów i środków ograniczania ryzyka dyskryminacji. Z perspektywy Compliance praktycznie oznacza to:
1. Zakaz „czarnej skrzynki" - decyzje biznesowe oparte na rekomendacjach AI (np. ocena ryzyka kontrahenta, decyzje kredytowe, selekcja kandydatów) muszą mieć jasno opisany proces w regulaminach wewnętrznych, z identyfikacją momentu interwencji człowieka.
2. Obowiązkowe logowanie interakcji z AI w kluczowych procesach - kto, kiedy, w jakim celu korzystał z narzędzia oraz jakie dane wprowadził. Taki dziennik ułatwia wykazanie zgodności z zasadą ograniczenia celu i rozliczalności.
3. Procedury eskalacji - jeżeli model AI proponuje rozwiązanie naruszające zakazy AI Act (np. social scoring czy podprogowe techniki wpływu), pracownik musi mieć jasną instrukcję przerwania procesu i zgłoszenia incydentu.
Firma, która włącza AI w ramy istniejącego systemu ochrony danych i zarządzania ryzykiem, zyskuje dwie kluczowe przewagi: redukcję ryzyka wysokich kar administracyjnych oraz możliwość bezpiecznego skalowania zastosowań AI w kolejnych obszarach (HR, sprzedaż, obsługa klienta). Jasne zasady minimalizacji danych, dokumentacji i nadzoru człowieka pozwalają działom Compliance nie blokować innowacji, ale je kształtować tak, by były zgodne z RODO i AI Act.
1. Czy korzystanie z publicznych modeli genAI zawsze wymaga zgody osoby, której dane dotyczą? Nie zawsze, ale co do zasady nie należy przekazywać do takich modeli danych osobowych, jeśli nie jest to niezbędne do celu i nie ma jasnej podstawy prawnej oraz informacji o dalszym przetwarzaniu.
2. Czy po 2 sierpnia 2026 r. wszystkie systemy AI będą traktowane jako wysokiego ryzyka? Nie, AI Act różnicuje poziomy ryzyka; wysokiego ryzyka są m.in. systemy wpływające na dostęp do usług kluczowych, zatrudnienie czy ocenę zdolności kredytowej, inne przypadki podlegają łagodniejszym obowiązkom.
3. Czy wystarczy, że dostawca narzędzia AI deklaruje zgodność z RODO? Nie, organizacja jako administrator danych musi samodzielnie ocenić ryzyko, zawrzeć właściwą umowę powierzenia i zweryfikować praktyki dostawcy w zakresie zbierania, szyfrowania i udostępniania danych.
4. Jak dział Compliance może szybko podnieść dojrzałość w obszarze AI? Dobrym krokiem są dedykowane szkolenia z AI i ochrony danych, aktualizacja rejestru czynności o procesy AI oraz wdrożenie prostych polityk: czego nie wolno wprowadzać do modeli i jakie decyzje wymagają dokumentowanego nadzoru człowieka.