Wyciek danych przez odpowiedzi systemu sztucznej inteligencji (AI) może prowadzić do nieuprawnionego ujawnienia danych osobowych, tajemnicy przedsiębiorstwa lub informacji poufnych. Jeżeli ujawnienie danych osobowych wynika z naruszenia bezpieczeństwa, może stanowić naruszenie ochrony danych osobowych w rozumieniu RODO i powodować obowiązek zgłoszenia incydentu Prezesowi UODO, a także odpowiedzialność administracyjną lub cywilną. Jakie zagrożenia wiążą się z korzystaniem z dużych modeli językowych (LLM), kto odpowiada za wyciek danych przez system AI i jakie obowiązki mają administrator oraz dostawca technologii? Wyjaśniamy, kiedy stosuje się przepisy RODO i AI Act, jakie mogą być konsekwencje prawne wycieku oraz jak ograniczyć ryzyko ujawnienia danych przez odpowiedzi generowane przez sztuczną inteligencję.

Nieuprawnione wykorzystanie danych przez dostawcę AI może prowadzić do odpowiedzialności na gruncie RODO, AI Act, prawa cywilnego, karnego i autorskiego. Dotyczy to m.in. trenowania modeli sztucznej inteligencji na danych klientów bez odpowiedniej podstawy prawnej, przekazywania danych osobowych osobom trzecim oraz przetwarzania informacji poza zakresem umowy powierzenia. Kiedy dostawca AI staje się administratorem danych? Kto odpowiada za naruszenie RODO – dostawca czy jego klient? Jakie kary i roszczenia grożą za bezprawne wykorzystanie danych? Wyjaśniamy zasady odpowiedzialności oraz obowiązki przedsiębiorców korzystających z systemów AI.

Wykorzystanie sztucznej inteligencji (AI) w rekrutacji i zarządzaniu pracownikami wiąże się z obowiązkami wynikającymi z AI Act, RODO i Kodeksu pracy. Systemy AI służące do oceny kandydatów, selekcji CV czy monitorowania pracowników mogą zostać zakwalifikowane jako systemy wysokiego ryzyka. Choć stosowanie części obowiązków wynikających z AI Act przesunięto na 2 grudnia 2027 r., pracodawcy już dziś muszą przestrzegać przepisów dotyczących ochrony danych osobowych, zautomatyzowanego podejmowania decyzji, przejrzystości i zakazu dyskryminacji. Jakie wymagania powinien uwzględnić inspektor ochrony danych (IOD) podczas oceny narzędzi AI wykorzystywanych w HR i rekrutacji? Które obowiązki już obowiązują, a na jakie trzeba przygotować organizację?

Wyciek danych z Fakturowni może oznaczać obowiązki nie tylko dla dostawcy systemu, ale również dla przedsiębiorców korzystających z usługi. Jeżeli w systemie znajdowały się dane osobowe kontrahentów, pracowników lub innych osób fizycznych, użytkownik Fakturowni powinien ustalić swoją rolę na gruncie RODO, ocenić ryzyko naruszenia oraz sprawdzić, czy musi zgłosić incydent Prezesowi UODO w ciągu 72 godzin i zawiadomić osoby, których dane dotyczą. Samo zgłoszenie wycieku przez Fakturownię nie zastępuje indywidualnej oceny obowiązków administratora danych. 

Do 3 października 2026 r. podmioty, które spełniały kryteria podmiotu kluczowego lub ważnego i nie zostały wpisane do Wykazu KSC z urzędu, muszą złożyć elektroniczny wniosek o wpis. Sprawdź, jak przeprowadzić samoidentyfikację zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa i NIS2, jakie dane przygotować do Wykazu KSC, kto podpisuje wniosek oraz jakie obowiązki w zakresie cyberbezpieczeństwa trzeba wdrożyć po wpisie.

Od 11 września 2026 r. stosowany jest art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847, czyli aktu o cyberodporności (Cyber Resilience Act, CRA). Przepis dotyczy produktów z elementami cyfrowymi, takich jak aplikacje mobilne, urządzenia internetu rzeczy czy systemy IT instalowane na lokalnej infrastrukturze. Nakłada na producentów m.in. obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów bezpieczeństwa. Jak wskazuje Prezes UODO Mirosław Wróblewski, nowe regulacje mogą wzmocnić bezpieczeństwo systemów oraz ochronę danych, w tym danych osobowych.

Wyciek danych z systemów MyDr, który może dotyczyć blisko 19 mln osób, rodzi pytania o odszkodowania i możliwość wniesienia pozwu zbiorowego. Artykuł 82 RODO pozwala osobom, które poniosły szkodę wskutek naruszenia danych osobowych, dochodzić odszkodowania. Przy tak masowym incydencie kluczowe będzie jednak ustalenie, czy roszczenia poszkodowanych są na tyle podobne, aby mogły być dochodzone w postępowaniu grupowym, a także kto – administrator danych czy podmiot przetwarzający – może ponosić odpowiedzialność.

Od 2 sierpnia 2026 r. zaczęły obowiązywać kolejne przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, powszechnie określanego jako AI Act. Wśród nich znalazły się regulacje dotyczące transparentności określonych systemów sztucznej inteligencji. Nie oznacza to jednak, że ustawodawca nałożył powszechny obowiązek oznaczania każdej grafiki stworzonej przez AI, każdego tekstu przygotowanego przy pomocy ChatGPT czy każdej prezentacji wygenerowanej z wykorzystaniem narzędzi opartych na sztucznej inteligencji.

Jeszcze niedawno technologia deepfake była postrzegana przede wszystkim jako ciekawostka technologiczna i efekt dynamicznego rozwoju narzędzi opartych na sztucznej inteligencji. Dziś sytuacja wygląda zupełnie inaczej. Generatywna AI umożliwia stworzenie w ciągu kilku minut realistycznego nagrania wideo lub głosu, które dla przeciętnego odbiorcy może być niemal niemożliwe do odróżnienia od autentycznego materiału. Fałszywe wypowiedzi polityków, celebrytów, przedsiębiorców czy influencerów coraz częściej pojawiają się w mediach społecznościowych, a stale rosnąca dostępność narzędzi AI sprawia, że tworzenie tego rodzaju treści nie wymaga już specjalistycznej wiedzy ani zaawansowanego zaplecza technicznego.

Powierzenie danych dostawcy IT, operatorowi SaaS czy dostawcy chmury nie oznacza automatycznego przeniesienia odpowiedzialności za ich bezpieczeństwo. Cyberatak na zewnętrzny system może więc rodzić obowiązki nie tylko po stronie dostawcy technologii, ale również administratora danych. Wyjaśniamy, co w takich sytuacjach wynika z RODO, na co zwrócić uwagę w umowie z dostawcą IT i dlaczego outsourcing technologii nie oznacza outsourcingu całego ryzyka prawnego.