Raport UODO: 95,9 proc. organizacji niegotowych na AI zgodną z RODO
Wiele firm i urzędów nie łączy korzystania z czatbotów z przetwarzaniem danych osobowych. 28 października zaczną obowiązywać przepisy ustawy o systemach AI dotyczące kontroli i kar.
Tylko 4,1 proc. organizacji uważa się za bardzo dobrze przygotowane do stosowania RODO przy korzystaniu ze sztucznej inteligencji. Pozostałe 95,9 proc. nie czuje pełnej gotowości. Tak wynika z raportu „Badanie potrzeb organizacji w zakresie wykorzystania sztucznej inteligencji i ochrony danych osobowych”. Przygotowała go Grupa Robocza ds. Sztucznej Inteligencji w Społecznym Zespole Ekspertów przy Prezesie UODO (otwiera się w nowej karcie) (Urzędu Ochrony Danych Osobowych).
Ankietę przeprowadzono od 21 października do 24 listopada 2025 na próbie 492 organizacji. W styczniu 2026 odbył się etap jakościowy z udziałem siedmiu organizacji branżowych. Próba była zdominowana przez sektor publiczny: stanowił on 89,2 proc. badanych. Firmy prywatne i organizacje społeczne to łącznie około 11 proc. Najwięcej badanych, 44,9 proc., odpowiedziało „trudno powiedzieć”, a 25 proc. ocenia się jako „raczej przygotowane”.
Od 41 do 58,5 proc. organizacji nie widzi związku między narzędziami AI a przetwarzaniem danych osobowych. Z AI nie korzysta wcale 42,7 proc. badanych, a 16,7 proc. używa jej na co dzień. Współautor raportu, radca prawny dr hab. Dominik Lubasz, zwraca uwagę, cytowany przez Prawo.pl, na „shadow AI”. To korzystanie przez pracowników z narzędzi takich jak ChatGPT bez wiedzy pracodawcy, które naraża dane także w organizacjach formalnie niekorzystających z AI. Podobnie ocenia to Karolina Praszek-Gołębiewska, CEO Kancelarii Bezpieczeństwa, w wypowiedzi dla My Company Polska.
Najbardziej ryzykowna jest sytuacja, w której organizacja nie wie, z jakich narzędzi korzystają jej pracownicy.
6 sierpnia 2026 Prezes UODO opublikował cztery zestawy pytań kontrolnych do weryfikacji narzędzi AI przed wdrożeniem. Jeden z nich jest przeznaczony dla małych i średnich firm korzystających z gotowych systemów. Pytania nie zastępują oceny skutków dla ochrony danych (DPIA) i nie gwarantują zgodności z RODO.
28 października 2026 zaczną obowiązywać przepisy ustawy o systemach sztucznej inteligencji dotyczące kontroli, postępowań i kar. Nadzór obejmie nowa Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Dla menedżerów to sygnał, by sprawdzić, z jakich czatbotów korzysta zespół, jakie dane do nich trafiają i czy firma ma spisane zasady korzystania z AI.