Co mówią przepisy
Agent, który czyta maile i dokumenty, przetwarza dane osobowe: potrzebuje podstawy z art. 6 RODO. Jeśli dostawca modelu albo platformy przetwarza te dane w imieniu firmy, czyli jest podmiotem przetwarzającym, potrzebna jest umowa powierzenia z art. 28; rolę dostawcy ustala się dla konkretnej usługi i jej warunków. Decyzja oparta wyłącznie na zautomatyzowanym przetwarzaniu, która istotnie wpływa na klienta albo pracownika, podlega ograniczeniom art. 22 RODO. Od 2 lutego 2025 r. stosuje się art. 4 AI Act o kompetencjach w zakresie AI. W brzmieniu obowiązującym od 27 lipca 2026 r. firma używająca agenta ma podejmować środki, które te kompetencje w zespole wspierają, bez obowiązku osiągnięcia określonego poziomu przez każdą osobę. Agent, który przydziela zadania według zachowania pracowników albo ocenia ich wydajność, może być systemem wysokiego ryzyka (załącznik III pkt 4 lit. b), a obowiązki dla takich systemów stosuje się od 2 grudnia 2027 r. (art. 113 lit. c).
Jak to rozwiązujemy w projekcie
- Wąski zakres dostępu. Agent widzi tylko wskazane zasoby: jedną skrzynkę do odczytu, wybrane foldery do zapisu. Niczego nie kasuje.
- Człowiek zatwierdza to, co dotyczy klienta. Oferta, korekta kwoty i odpowiedź na reklamację kończą się wersją roboczą dla osoby odpowiedzialnej. Tak działa automat opinii Google w FTB Rolety.
- Dziennik od pierwszego dnia. Każdy przebieg zostaje zapisany. Sprawa spoza scenariusza zatrzymuje agenta i trafia do człowieka.
- Ustalenia w umowie. Hosting w Polsce lub UE, role dostępu, kopie zapasowe i umowę powierzenia zapisujemy w umowie. Opisujemy to na stronie jak pracujemy.
Szerzej o rolach, umowach i terminach piszemy w tekście RODO i AI Act przy wdrożeniu agenta AI — co musi zrobić firma.
To nie jest porada prawna — ocenę dla konkretnego wdrożenia robi prawnik lub inspektor ochrony danych.