Twój regulamin nie chroni Cię przed karami? Zobacz, co musisz zmienić w zapisach o przetwarzaniu danych AI

Systematyczne aktualizowanie stanowi jedno z podstawowych zasad dbania o bezpieczeństwo Twojej organizacji. Zawartość regulaminu bywa dość różnorodna, ale można powiedzieć, że jedną z kluczowych kwestii, które porusza jest przetwarzanie danych w Twojej firmie. I nie można jedynie brać pod uwagę RODO w tworzeniu tych kluczowych zasad, gdyż w zmieniającym się prawie powstają obowiązki, które również należy spełnić. Taka sytuacja ma miejsce w wypadku AI Act, a szczególności przepisów, jakie wchodzą w życie 2 sierpnia 2026 r. Co powinieneś wiedzieć, żeby przygotować się na te zmiany i uchronić swoje przedsiębiorstwo przed ewentualnymi wysokimi karami? Podpowiada Kancelaria Adwokacka Pałucki & Szkutnik z Krakowa

Jakie przepisy AI Act związane z przetwarzaniem danych wchodzą w życie 2 sierpnia 2026 r.?

Już wkrótce wiele firm odczuje na własnej skórze zmiany wprowadzane wraz z rozporządzeniem unijnym, które w zasadzie obowiązuje już od dwóch lat. Akt o sztucznej inteligencji jednak nie wszedł w życie całości od razu i jego poszczególne działy są wprowadzane w sposób systematyczny. 

2 sierpnia zaczną działać przepisy związane z systemami wysokiego ryzyka AI (art. 6, 9-17 oraz Załącznik III AI Act; systemy z Załącznika I stosuje się od 2 sierpnia 2027 r.) oraz obowiązki transparentności z art. 50. Wszystkie firmy, które w jakimś stopniu, choćby niewielkim, używają systemów sztucznej inteligencji, powinny poddać je stosownej analizie w celu sprawdzenia czy nie są one systemami wysokiego ryzyka. Systemy wysokiego ryzyka (Załącznik III) obejmują przede wszystkim AI w rekrutacji, scoringu finansowym i ocenie pracowników. Chatboty i systemy rekomendacyjne podlegają odrębnym obowiązkom przejrzystości z art. 50 AI Act – nie są automatycznie systemami wysokiego ryzyka.

Nie możemy przy tym zapominać, że nawet jeśli przepisy AI Act oraz RODO wchodzą na ten sam teren i odnoszą się do tych samych sytuacji, to obydwa stanowią całkowicie samodzielne akty prawne, które także osobno rozliczają podmioty, a także służą do nakładania osobnych kar.

O jakich zmianach w regulaminie powinieneś przede wszystkim pamiętać?

Bardzo ważne zmiany, które powinieneś uwzględnić w kontekście przetwarzania danych, zaczynają obowiązywać właśnie 2 sierpnia. Wiążą się one zarówno z art. 50 AI Act jak i przepisami stosowania systemów wysokiego ryzyka. Te ostatnie w przeciwieństwie do systemów zakazanych można używać, jednak wiąże się to z dostosowaniem się do surowych obowiązków mających zapewnić bezpieczeństwo.

Jakie są to zatem zmiany?

• konieczne zawarcie informacji o wykorzystaniu systemów AI;
• szczegółowe zapisy o przetwarzaniu danych (zbyt ogólne będą błędem);
• stosowne odniesienie do automatycznych decyzji, jeśli takie są wykorzystywane;
• zakaz niektórych praktyk, jak te manipulacyjne i wykorzystujące wrażliwości użytkownika (uwaga: zakazy z art. 5 AI Act obowiązują od 2 lutego 2025 r., nie od 2 sierpnia 2026 r.);
• konieczne zastosowanie dodatkowych obowiązków informacyjnych i dokumentacyjnych w przypadku stosowania systemów wysokiego ryzyka;
• konieczność aktualizacji polityki prywatności o informacje dotyczące stosowania systemów AI.

Chyba jednak najważniejszą rzeczą, na którą należy zwrócić uwagę jest faktyczne odzwierciedlenie w rzeczywistości treści samego regulaminu.

W regulaminie musisz niezmiennie uwzględnić RODO

Tak jak wspomniałem RODO oraz Akt o sztucznej inteligencji stanowią dwa równoległe i samodzielne porządki prawne, pomimo że niejednokrotnie treść ich przepisów dotyczy tych samych sytuacji. Nie możesz jednak nigdy wyjść z założenia, że jeśli zadbasz w swoim regulaminie o dostosowanie do nowych obowiązków AI Act, to nie musisz aktualizować lub umieszczać przepisów związanych z przetwarzaniem danych osobowych. 

W regulaminie koniecznie musisz zawrzeć wszystkie najważniejsze aspekty dotyczące RODO, czyli, między innymi:

• informacje dotyczące podstawy przetwarzania danych osobowych na podstawie art. 6 RODO;
• podanie wszystkich danych wypełniających obowiązek informacyjny na podstawie art. 12-14 RODO;
• wszelkie informacje związane z automatycznym przetwarzaniem danych osobowych (art. 22 RODO), jeśli takie występuje;
• informacje o odbiorcach lub kategoriach odbiorców danych osobowych, w tym podmiotach przetwarzających (art. 13 ust. 1 lit. e RODO);
• podanie wszystkich praw użytkownika na podstawie art. 15-21 RODO.

Nie popełnij tego błędu, bo słono zapłacisz

Zaktualizowanie swoich regulaminów pod kątem nowych przepisów AI Act powinieneś potraktować jako swój priorytet. Wysokość kar, jakie są zapowiedziane, nie są warte zlekceważenia tematu. Sankcje za naruszenie zakazów z art. 5 AI Act są wyższe niż maksymalne kary RODO; jednak za naruszenie przepisów dotyczących systemów wysokiego ryzyka kara wynosi do 15 mln EUR lub 3% obrotu – co jest niższe od maksymalnych sankcji RODO (do 20 mln EUR lub 4% obrotu), a przypomnę, że przy nieprawidłowych zapisach o przetwarzaniu danych AI możesz dostać karę zarówno za złamanie przepisów AI Act, jak i od UODO za nieprawidłowe przetwarzanie danych.

Kary za naruszenie AI Act są zróżnicowane i zależą od kategorii naruszenia: do 35 mln EUR lub 7% obrotu za naruszenie zakazów z art. 5; do 15 mln EUR lub 3% obrotu za naruszenie przepisów dotyczących systemów wysokiego ryzyka; do 7,5 mln EUR lub 1% obrotu za podanie nieprawdziwych informacji organom nadzoru. Większość tych sankcji obowiązuje już od 2 sierpnia 2025 r. W Polsce organem nadzoru rynku ma zostać projektowana Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – jednak ustawa implementacyjna (UC71) na marzec 2026 r. nie została jeszcze uchwalona.

źródło:https://paluckiszkutnik.pl/regulamin-dla-platform-internetowych/

https://paluckiszkutnik.pl/regulaminy-i-umowy-dla-branzy-e-commerce-jak-napisac-regulamin-sklepu-internetowego/