Polskie zespoły wsparcia technicznego szybko wdrażają agenty AI do obsługi zapytań klientów, jednak zbieżność przepisów RODO z działaniem agentów AI rodzi poważne pytania dotyczące zgodności z przepisami, z którymi wiele organizacji dopiero zaczyna się zmagać. Urząd Ochrony Danych Osobowych (UODO) zaostrzył swoje stanowisko w zakresie egzekwowania przepisów w ciągu 2025 r. i na początku 2026 r., a kary za niewłaściwe przetwarzanie danych osobowych w systemach zautomatyzowanych wzrosły do milionów. Jeśli Twój zespół wdraża lub rozważa wdrożenie rozwiązania wsparcia opartego na sztucznej inteligencji, zrozumienie, gdzie polskie prawo dotyczące ochrony prywatności wyznacza granice, nie jest opcjonalne: to różnica między płynnym wdrożeniem a koszmarem regulacyjnym. Niniejszy przewodnik przedstawia konkretne obszary, na które polskie zespoły wsparcia muszą zwrócić uwagę, łącząc agentów AI z obowiązkami wynikającymi z RODO.
Status prawny agentów opartych na sztucznej inteligencji w świetle RODO/RODO
RODO nie wspomina konkretnie o agentach opartych na sztucznej inteligencji, ale nie ma takiej potrzeby. Każdy system oparty na sztucznej inteligencji, który przetwarza dane osobowe, podlega bezwarunkowo obowiązującym przepisom o ochronie danych. Wyzwaniem dla zespołów obsługi klienta jest ustalenie, kto dokładnie ponosi odpowiedzialność, gdy agent oparty na sztucznej inteligencji gromadzi, przechowuje lub wykorzystuje informacje o klientach.
Rozróżnienie między odpowiedzialnością administratora a podmiotu przetwarzającego
Twoja organizacja jest niemal na pewno „administratorem” (podmiotem odpowiedzialnym za przetwarzanie danych) w przypadku wdrożenia agenta AI do obsługi klienta. To Ty określasz, dlaczego i w jaki sposób przetwarzane są dane osobowe, nawet jeśli system AI został stworzony przez zewnętrznego dostawcę. Z kolei dostawca zazwyczaj pełni rolę „podmiotu przetwarzającego”, obsługując dane zgodnie z Twoimi instrukcjami.
To rozróżnienie ma ogromne znaczenie. Jako administrator ponosisz główny ciężar prawny: podstawa prawna, przejrzystość, prawa osób, których dane dotyczą, oraz powiadamianie o naruszeniach: wszystko to spoczywa na Twoich barkach. Potrzebujesz odpowiedniej umowy o powierzeniu przetwarzania danych z dostawcą sztucznej inteligencji, która dokładnie określa, do jakich danych agent ma dostęp, jak długo są one przechowywane oraz co się stanie, jeśli coś pójdzie nie tak. Wiele gotowych narzędzi wspomagających wykorzystanie sztucznej inteligencji zawiera ogólne warunki, które nie spełniają polskich standardów RODO, dlatego należy je dokładnie przeanalizować.
Rola UODO w nadzorze nad sztuczną inteligencją
UODO coraz częściej zabiera głos w sprawie nadzoru nad sztuczną inteligencją od czasu opublikowania pod koniec 2025 r. zaktualizowanego obszaru zainteresowania dotyczącego sztucznej inteligencji i algorytmów. Urząd przeprowadził wiele dochodzeń dotyczących zautomatyzowanego podejmowania decyzji w kontekście obsługi klienta, a jego zestaw narzędzi egzekucyjnych obejmuje zarówno nakazy naprawcze, jak i wysokie grzywny.
To, co sprawia, że UODO ma szczególne znaczenie dla zespołów wsparcia, to nacisk na wytyczne dostosowane do konkretnych sektorów. Urząd jasno stwierdził, że organizacje nie mogą zasłaniać się oświadczeniami dostawców o zgodności z przepisami: wdrażając narzędzie, ponoszą za nie odpowiedzialność. UODO współpracuje również z Europejskim Urzędem ds. Sztucznej Inteligencji w ramach unijnej ustawy o sztucznej inteligencji, co stanowi kolejną warstwę regulacyjną, którą polskie zespoły będą musiały uwzględnić od 2026 r.
Przejrzystość i obowiązek informacyjny zespołów wsparcia
Przejrzystość to obszar, w którym wiele zespołów wsparcia napotyka pierwsze trudności. RODO wymaga informowania osób, w jaki sposób wykorzystujesz ich dane, a agenci oparci na sztucznej inteligencji wprowadzają złożoność, której ogólne polityki prywatności rzadko uwzględniają.
Rozpoznawalność: kiedy klient musi wiedzieć, że ma do czynienia z AI?
Zgodnie z unijną ustawą o sztucznej inteligencji, która częściowo weszła w życie w 2025 r. i której stopniowe wdrażanie będzie kontynuowane do 2026 r., użytkownicy muszą być informowani, gdy wchodzą w interakcję z systemem opartym na sztucznej inteligencji. Nie jest to tylko zalecanie: to wymóg prawny. Polskie zespoły obsługi klienta muszą na początku każdej interakcji jasno poinformować klienta, że rozmawia z agentem opartym na sztucznej inteligencji.
Zazwyczaj wystarczy proste stwierdzenie „Rozmawiasz z naszym asystentem opartym na sztucznej inteligencji” na początku rozmowy. Informacja ta musi jednak być wyraźnie widoczna i jednoznaczna. Umieszczenie jej na stronie z warunkami korzystania z usługi, której nikt nie czyta, nie wystarczy. UODO wyraźnie wskazało przypadki, w których firmy sprawiały, że ich agenci oparci na sztucznej inteligencji brzmieli jak ludzie bez odpowiedniego poinformowania o tym, uznając to za naruszenie zasady przejrzystości.
Wyjaśnialność zautomatyzowanego podejmowania decyzji
Artykuł 22 RODO przyznaje osobom fizycznym prawo do tego, by nie podlegać decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, które mają na nie istotny wpływ. Jeśli Twój agent AI podejmuje decyzje dotyczące zwrotów, dostępu do konta, poziomów usług lub rozpatrywania skarg bez weryfikacji przez człowieka, wchodzisz w zakres artykułu 22.
Musisz być w stanie wyjaśnić, w jaki sposób sztuczna inteligencja podjęła decyzję, w sposób zrozumiały dla klienta. „Algorytm tak zdecydował” nie jest wyjaśnieniem. Należy udokumentować logikę stojącą za zautomatyzowanymi decyzjami, wykorzystane dane wejściowe oraz kryteria determinujące wyniki. Dla polskich zespołów wsparcia oznacza to ścisłą współpracę z dostawcą sztucznej inteligencji w celu zrozumienia ścieżek decyzyjnych modelu, a nie traktowanie go wyłącznie jako „czarnej skrzynki”.
Minimalizacja danych i ograniczenie celu w interakcjach z AI
Agenci AI są głodni danych. Działają lepiej, gdy mają więcej kontekstu, więcej historii i więcej informacji o kliencie. Jednak zasada minimalizacji danych zawarta w RODO mówi, że należy przetwarzać tylko te dane, które są absolutnie niezbędne do konkretnego celu.
Filtrowanie numerów identyfikacyjnych oraz danych wrażliwych w logach czatów
Polscy klienci czasami podają swój numer PESEL, informacje dotyczące zdrowia lub dane finansowe w czatach z obsługą klienta, nawet jeśli nie zostali o to poproszeni. Twój agent AI potrzebuje zabezpieczeń, aby sobie z tym poradzić. Najlepszą praktyką jest wdrożenie filtrowania w czasie rzeczywistym, które wykrywa i zamazuje dane wrażliwe, takie jak numery identyfikacyjne, zanim zostaną one zapisane w logach czatów lub wprowadzone do procesów szkoleniowych.
Pomocne jest tutaj kilka praktycznych kroków:
- Skonfiguruj filtry wejściowe, które rozpoznają wzorce numerów PESEL i automatycznie je maskują
- Skonfiguruj alerty na wypadek, gdy klienci udostępniają dane dotyczące zdrowia lub dane biometryczne
- Upewnij się, że Twój agent AI aktywnie zniechęca klientów do udostępniania zbędnych danych wrażliwych
- Utrzymuj oddzielną, zaszyfrowaną pamięć masową dla wszelkich danych wrażliwych, których przetwarzanie jest uzasadnione
Okresy przechowywania danych szkoleniowych i historii rozmów
Jak długo należy przechowywać transkrypcje czatów? RODO nie określa dokładnych okresów przechowywania, ale wymaga, aby dane osobowe nie były przechowywane dłużej niż to konieczne. Wiele polskich zespołów obsługi klienta domyślnie przechowuje wszystko bezterminowo „na wszelki wypadek”, co stanowi ryzyko związane z nieprzestrzeganiem przepisów.
Należy określić jasne harmonogramy przechowywania danych. Rozmowy z działu obsługi klienta można zasadniczo przechowywać przez 6 do 12 miesięcy w celu zapewnienia jakości, ale dane szkoleniowe pochodzące z tych rozmów wymagają odrębnego rozważenia. Jeśli wykorzystujesz interakcje z klientami do dostrajania modelu AI, musisz albo skutecznie zanonimizować dane (dane prawdziwie zanonimizowane nie wchodzą w zakres RODO), albo traktować zbiór danych szkoleniowych jako odrębną czynność przetwarzania z własną podstawą prawną i okresem przechowywania.
Prawa osób, których dane dotyczą, w środowisku zautomatyzowanym
Twoi klienci zachowują wszystkie swoje prawa wynikające z RODO, niezależnie od tego, czy mają do czynienia z człowiekiem, czy z AI. Praktycznym wyzwaniem jest zapewnienie możliwości wykonywania tych praw w środowisku zautomatyzowanym.
Prawo do interwencji człowieka w przypadku zgłoszeń do pomocy technicznej
Artykuł 22 ust. 3 RODO gwarantuje prawo do interwencji człowieka w przypadku decyzji podejmowanych w sposób zautomatyzowany. Oznacza to, że system wsparcia oparty na sztucznej inteligencji musi zawierać jasną i dostępną ścieżkę eskalacji do pracownika. Opcja „Naciśnij 0, aby porozmawiać z człowiekiem”, ukryta w piątym poziomie menu, nie spełnia tego wymogu.
Polskie sądy i UODO interpretują to prawo szeroko. Jeśli klient zażąda weryfikacji przez człowieka decyzji podjętej przez sztuczną inteligencję, musisz zapewnić taką weryfikację w rozsądnym terminie. Twój proces obsługi klienta powinien być zaprojektowany tak, aby eskalacja do konsultanta przebiegała bez przeszkód: wystarczy jedno kliknięcie, jedno zdanie lub jedna prośba. Śledź również, jak często klienci proszą o interwencję człowieka, ponieważ wysoki wskaźnik eskalacji może sygnalizować, że Twój agent oparty na sztucznej inteligencji podejmuje błędne decyzje, które wymagają naprawy.
Ułatwianie realizacji prawa do sprostowania i usunięcia danych
Gdy klient prosi o poprawienie lub usunięcie swoich danych, system AI musi zastosować się do tego we wszystkich lokalizacjach przechowywania danych. Jest to trudniejsze, niż się wydaje. Dane klientów mogą znajdować się w systemie czatu na żywo, w zarchiwizowanych logach, na pulpitach analitycznych, w zbiorach danych szkoleniowych, a potencjalnie także w wagach modelu AI, jeśli przeprowadzono jego dostrajanie.
Stwórz mapę danych, która śledzi przepływ informacji o klientach w całym stosie rozwiązań wsparcia opartych na sztucznej inteligencji. Gdy nadejdzie prośba o usunięcie danych, musisz być w stanie usunąć je ze wszystkich lokalizacji lub udokumentować, dlaczego ich zatrzymanie w konkretnym przypadku jest prawnie uzasadnione. W przypadku danych osadzonych w modelu szkoleniowym prawdziwe usunięcie może wymagać ponownego przeszkolenia modelu, dlatego wiele organizacji preferuje obecnie wykorzystywanie danych zanonimizowanych lub syntetycznych do dostrajania.
Bezpieczeństwo i międzynarodowy przepływ danych
Bezpieczeństwo i transgraniczny transfer danych to obszary, w których zapewnienie zgodności agentów AI z RODO staje się technicznie skomplikowane. Większość narzędzi wsparcia opartych na sztucznej inteligencji opiera się na infrastrukturze chmurowej i modelach językowych hostowanych poza UE.
Ryzyko związane z amerykańskimi dostawcami modeli językowych (LLM) oraz Ramy Ochrony Danych
Jeśli agent AI działa w oparciu o duży model językowy amerykańskiego dostawcy (OpenAI, Anthropic, Google), dane klientów mogą być przetwarzane na serwerach w USA. Ramy ochrony danych UE: USA (DPF), przyjęte w 2023 r., zapewniają mechanizm prawny dla takich transferów, ale ich długoterminowa stabilność pozostaje niepewna. Zostały one zakwestionowane przez obrońców prywatności, a poprzednia decyzja w sprawie adekwatności (Privacy Shield) została unieważniona przez TSUE w 2020 r.
Polskie zespoły wsparcia powinny traktować DPF jako punkt odniesienia, a nie gwarancję. Należy je uzupełnić o standardowe klauzule umowne (SCC), szyfrowanie danych w trakcie przesyłania i w spoczynku oraz zobowiązania umowne dostawcy dotyczące miejsca przetwarzania danych. Jeszcze lepszym rozwiązaniem jest rozważenie alternatywnych rozwiązań AI hostowanych w Europie lub wdrożeń lokalnych, tam gdzie to możliwe. UODO zasygnalizowało, że w 2026 r. będzie dokładniej analizować międzynarodowe transfery danych związane z systemami AI.
Znaczenie oceny skutków dla ochrony danych (DPIA)
Przeprowadzenie oceny skutków dla ochrony danych (DPIA) jest obowiązkowe na mocy art. 35 RODO, gdy przetwarzanie danych może wiązać się z wysokim ryzykiem dla osób fizycznych. Obsługa klienta oparta na sztucznej inteligencji niemal zawsze spełnia ten warunek, zwłaszcza gdy wiąże się z profilowaniem, zautomatyzowanym podejmowaniem decyzji lub przetwarzaniem danych osobowych na dużą skalę.
Ocena DPIA powinna obejmować:
- konkretne kategorie danych osobowych przetwarzanych przez agenta opartego na sztucznej inteligencji
- podstawę prawną każdej czynności przetwarzania
- zagrożenia dla osób, których dane dotyczą, w tym stronniczość, błędy i nieuprawniony dostęp
- środki techniczne i organizacyjne mające na celu ograniczenie tych zagrożeń
- ocenę przekazywania danych poza EOG
- uwagi inspektora ochrony danych (Inspector Ochrony Danych)
Nie traktuj DPIA jako jednorazowego zadania. Powracaj do niej za każdym razem, gdy aktualizujesz model sztucznej inteligencji, zmieniasz dostawców lub rozszerzasz możliwości agenta.
Praktyczne kroki w kierunku wdrożenia sztucznej inteligencji zgodnego z przepisami o ochronie danych
Zapewnienie zgodności agentów AI z RODO nie polega na osiągnięciu perfekcji od pierwszego dnia: chodzi o stworzenie odpowiednich procesów i ich utrzymywanie. Polskie zespoły wsparcia, które podchodzą do tego systematycznie, zazwyczaj unikają bolesnych działań egzekucyjnych, które dotykają organizacje działające na chybił trafił.
Zacznij od przeprowadzenia audytu obecnej konfiguracji wsparcia opartego na sztucznej inteligencji pod kątem obszarów omówionych powyżej. Zmapuj przepływy danych, przejrzyj umowy z dostawcami i upewnij się, że informacje dotyczące przejrzystości są dokładne i widoczne. Wyznacz jasną osobę odpowiedzialną: ktoś z Twojego zespołu musi być odpowiedzialny za bieżącą zgodność agentów AI z przepisami o ochronie prywatności, a nie tylko za początkową konfigurację.
Przeszkol pracowników obsługi klienta w zakresie sposobu przetwarzania danych przez agenta AI oraz postępowania w sytuacji, gdy klienci korzystają ze swoich praw. Przeprowadzaj regularne testy, aby sprawdzić, czy wnioski o usunięcie danych faktycznie działają we wszystkich systemach. Aktualizuj swoją ocenę skutków dla ochrony danych (DPIA) i angażuj inspektora ochrony danych (DPO) w każdą istotną zmianę w systemie AI.
Organizacje, które traktują zgodność z RODO w zakresie sztucznej inteligencji w obsłudze klienta jako stałą praktykę, a nie jako projekt, zazwyczaj budują większe zaufanie wśród klientów i borykają się ze znacznie mniejszymi problemami regulacyjnymi. Polskie zespoły obsługi klienta, które już teraz zwracają uwagę na te wymagania, będą miały dobrą pozycję, gdy egzekwowanie przepisów nasili się, a oczekiwania klientów dotyczące przejrzystości sztucznej inteligencji będą nadal rosły.
