Czy przed użyciem AI musimy zrobić ocenę skutków (DPIA)?
Krótka odpowiedź
DPIA jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko dla osób. Przy AI zwykle tak jest, gdy AI systematycznie ocenia lub profiluje osoby (np. kandydatów albo pracowników), przetwarza dane wrażliwe na dużą skalę, monitoruje pracowników albo używa nowej technologii w sposób wpływający na ludzi. DPIA opisuje przetwarzanie, jego konieczność, ryzyka i środki. Przy AI wysokiego ryzyka musisz wykorzystać informacje od dostawcy w swojej DPIA (art. 26 ust. 9 AI Act).
Typowe zastosowania AI, które wymagają DPIA
| Zastosowanie AI | DPIA? |
|---|---|
| Selekcja kandydatów | Zwykle tak |
| Ocena lub monitorowanie pracowników | Zwykle tak |
| AI na danych o zdrowiu w gabinecie | Zwykle tak |
| Ocena zdolności kredytowej klientów | Zwykle tak |
| Streszczenie zgłoszeń klientów z pseudonimami | Zwykle nie |
| Szkic newslettera bez danych osobowych | Nie |
Wzór w GoalCube
GoalCube ma szkic DPIA, który wypełnia się zastosowaniem z Twojego rejestru AI: cel, dane, ryzyko, decyzja człowieka i pseudonimizacja. Dodajesz własne oceny i zapisujesz go razem z rejestrem.
Jak to zrobić
- Opisz zastosowanie.Cel, dane, narzędzie AI, kogo to dotyczy i kto co widzi.
- Oceń konieczność i proporcjonalność.Czy AI jest potrzebna? Czy możesz użyć mniej danych?
- Znajdź ryzyka dla osób.Błędy, dyskryminacja, wyciek, przekazanie poza UE, brak wglądu.
- Opisz środki.Pseudonimizacja, decyzja człowieka, zarządzanie dostępem, logi, usuwanie.
- Porozmawiaj z inspektorem ochrony danych, jeśli go masz.A jeśli ryzyko nadal jest wysokie, skonsultuj się z Prezesem UODO.
Co mówi prawo
- RODO, art. 35 – ocena skutków dla ochrony danych
- Wymóg przy prawdopodobnym wysokim ryzyku; ust. 7 opisuje zawartość.
- RODO, art. 36 – uprzednie konsultacje
- Jeśli ryzyko nadal jest wysokie, trzeba skonsultować się z organem nadzorczym.
- AI Act, art. 26 ust. 9
- W swojej DPIA wykorzystaj informacje dostawcy o systemie AI wysokiego ryzyka.
Pytania i odpowiedzi
Czy musimy zrobić DPIA dla ChatGPT do e-maili?
Zwykle nie, jeśli nie ma istotnych danych osobowych i nikt nie jest oceniany.
Czy musimy zrobić DPIA dla AI w rekrutacji?
Zwykle tak. Systematyczna ocena kandydatów za pomocą nowej technologii to klasyczny przykład.
Czy UODO ma taką listę?
Tak, Prezes UODO opublikował wykaz rodzajów operacji przetwarzania, które wymagają DPIA. Sprawdź go dla swojego zastosowania.
Źródła
Autor redakcja GoalCube. Ostatnia aktualizacja 11 października 2026. GoalCube pomaga stosować AI Act i RODO. To nie jest porada prawna.
Bądź wśród pierwszych.
Planujemy start w listopadzie 2026. Zapisz się, a odezwiemy się, gdy będzie można zacząć.