Art. 88c RODO a dane do trenowania AI: co może się zmienić w UE

Debatę o unijnym „Digital Omnibus” często sprowadza się do hasła: firmy dostaną prawo trenowania sztucznej inteligencji na danych osobowych bez zgody. To zbyt daleko idące uproszczenie.

Chodzi o proponowany art. 88c RODO. Miałby on wprost wskazać, że uzasadniony interes z art. 6 ust. 1 lit. f RODO może być podstawą przetwarzania danych osobowych, jeśli jest ono funkcjonalnie konieczne do zgodnego z prawem zaprojektowania, rozwoju lub używania systemu albo modelu AI. Nie znosiłby jednak RODO, nie legalizował automatycznie scrapingu internetu i nie eliminował zgody tam, gdzie wymagają jej inne przepisy.13

Co istotne, art. 88c należy do projektu Digital Omnibus dotyczącego danych, a nie do przyjętego już Digital Omnibus dotyczącego AI. Ten pierwszy projekt nadal przechodzi unijną procedurę legislacyjną, więc jego ostateczny kształt nie jest przesądzony.

Co w praktyce zmieniałby art. 88c

Zgodnie z proponowanym brzmieniem administrator danych lub osoba trzecia mogliby potencjalnie oprzeć przetwarzanie danych osobowych na uzasadnionym interesie na etapach cyklu życia systemu AI, jeżeli takie przetwarzanie byłoby funkcjonalnie konieczne dla jego zgodnego z prawem zaprojektowania, rozwoju lub użycia.3

Byłoby to przede wszystkim wyraźne doprecyzowanie ścieżki, która już dziś może w pewnych przypadkach wynikać z RODO. Europejska Rada Ochrony Danych (EROD) wcześniej uznała, że uzasadniony interes może czasem stanowić właściwą podstawę prawną przy rozwijaniu i wdrażaniu modeli lub systemów AI.45

Słowo „może” ma tu kluczowe znaczenie. Firma nie mogłaby po prostu ogłosić, że jej interes w budowaniu modelu AI przeważa nad prawami osób, których dane dotyczą. Nadal musiałaby:

• wskazać rzeczywisty i prawnie uzasadniony interes;
• wykazać, że przetwarzanie jest konieczne dla realizacji tego interesu;
• zważyć ten interes z prawami i wolnościami osób, których dane są wykorzystywane.15

W dalszym ciągu obowiązywałyby też przepisy unijne i krajowe, które w konkretnej sytuacji wymagają zgody. Art. 88c nie byłby więc blankietowym zezwoleniem na pobieranie wszelkich publicznych lub prywatnych danych osobowych jako materiału treningowego.1

Zabezpieczenia: to one decydują o realnym znaczeniu przepisu

Spór wokół art. 88c dotyczy nie tylko samego uzasadnionego interesu, lecz przede wszystkim warunków, które miałyby mu towarzyszyć.

W dyskusji nad przepisem pojawiają się m.in. minimalizacja danych przy wyborze źródeł i podczas treningu, środki techniczne i organizacyjne, rzeczywista przejrzystość oraz mechanizmy rozpoznające sprzeciw lub rezygnację wyrażone w formacie odczytywalnym maszynowo. Proponowane podejście obejmuje również bezwarunkowe prawo sprzeciwu wobec wskazanego przetwarzania związanego z AI.13

W praktyce te bariery są ważniejsze niż samo hasło „uzasadniony interes”. Minimalizacja danych podważa argument, że twórca modelu może zebrać wszystko tylko dlatego, że dane mogą kiedyś się przydać. Przejrzystość ma umożliwić ludziom zrozumienie, co dzieje się z ich danymi. A skuteczne prawo sprzeciwu musi oznaczać coś więcej niż ukryte głęboko w ustawieniach pole wyboru.

Dane wrażliwe nie miałyby stać się materiałem „bez ograniczeń”

W dokumentach Rady UE omawiających powiązane odstępstwo dotyczące danych szczególnej kategorii podkreślono węższy przypadek: ich przetwarzanie incydentalne i szczątkowe. Chodzi o sytuację, w której administrator nie zamierzał przetwarzać danych wrażliwych, lecz pojawiają się one nieuchronnie w ramach głównej operacji przetwarzania. To co innego niż celowe gromadzenie danych np. o zdrowiu, poglądach politycznych czy biometrii jako zbioru treningowego.2

Dlaczego EROD i EIOD zgłosiły zastrzeżenia

EROD oraz Europejski Inspektor Ochrony Danych (EIOD) nie kwestionowały, że uzasadniony interes może w pewnych sytuacjach wspierać przetwarzanie związane z AI. Ich główny argument był inny: odrębny art. 88c nie jest konieczny, ponieważ obecne ramy RODO już pozwalają dojść do takiego wniosku w odpowiednich przypadkach.45

Obawa ma wymiar zarówno prawny, jak i praktyczny. Nowy przepis specyficzny dla AI mógłby zostać odczytany szerzej niż zwykłe wyjaśnienie istniejących zasad, a przez to wprowadzić niepewność co do utrwalonych gwarancji ochrony danych. Stanowisko regulatorów nie jest wiążące dla prawodawców, ale ma znaczenie w negocjacjach.5

Czy art. 88c wrócił do projektu? Status nadal jest niepewny

Dostępne materiały legislacyjne pokazują, że prace w Radzie UE były sporne. Planowane głosowanie COREPER-u nad mandatem negocjacyjnym Rady odwołano, ponieważ nie osiągnięto porozumienia w otwartych kwestiach. Następnie prace kontynuowano podczas irlandzkiej prezydencji w Radzie UE.

Program irlandzkiej prezydencji zakłada dążenie do porozumienia z Parlamentem Europejskim w sprawie pakietu Digital Omnibus do końca 2026 r. Dostępne oficjalne materiały nie potwierdzają jednak niezależnie, że art. 88c został definitywnie przywrócony w ostatecznym stanowisku Rady.

Najostrożniejszy opis brzmi zatem: art. 88c pozostaje politycznie sporny i negocjowalny. Nie jest dziś obowiązującą podstawą prawną, na której firmy mogłyby polegać zamiast spełniać obecne wymogi RODO.

Nie mylmy dwóch pakietów Digital Omnibus

Część zamieszania bierze się z tego, że inny akt — Digital Omnibus dotyczący AI — został już przyjęty jako rozporządzenie (UE) 2026/1744.

Ten akt zmienia harmonogram wdrażania części AI Act. Obowiązki dla samodzielnych systemów AI wysokiego ryzyka wymienionych w załączniku III zaczną obowiązywać od 2 grudnia 2027 r. Systemy wysokiego ryzyka będące elementami regulowanych produktów mają odrębny, późniejszy termin.1920

Gdy wymogi załącznika III zaczną obowiązywać, będą obejmować m.in. ocenę i ograniczanie ryzyka, wysoką jakość zbiorów danych ograniczającą ryzyko dyskryminacji, rejestrowanie działań i identyfikowalność, dokumentację, informacje dla podmiotów stosujących system, nadzór człowieka, odporność oraz cyberbezpieczeństwo.20

To osobna kwestia od odpowiedzi na pytanie, czy dane osobowe można przetwarzać do trenowania AI na gruncie RODO. Przesunięcie terminu obowiązków dla systemów wysokiego ryzyka nie oznacza uchwalenia art. 88c.

Co to oznacza dla firm i użytkowników

Dla twórców AI art. 88c mógłby dać większą jasność w tekście przepisów, ale nie byłby skrótem przez obowiązki zgodności. Nadal potrzebne byłyby udokumentowana ocena konieczności i równowagi interesów, ograniczanie danych do niezbędnego zakresu, przejrzysta komunikacja oraz realne procedury obsługi sprzeciwów.

Dla osób, których dane mogą trafić do procesów rozwoju AI, najważniejsze będzie to, czy końcowy tekst zachowa rzeczywiste granice: czy użycie danych będzie faktycznie konieczne, czy dane wrażliwe pozostaną ściśle chronione oraz czy sprzeciw będzie technicznie skuteczny, a nie wyłącznie symboliczny.

Szerszy obraz nie wskazuje na porzucenie przez Europę prewencyjnego podejścia do regulacji AI. Przyjęty pakiet AI przesuwa część obowiązków dla systemów wysokiego ryzyka, a osobny projekt dotyczący danych rozważa jaśniejszą drogę dla niektórych operacji przetwarzania danych związanych z AI. Ostateczna równowaga zależeć będzie od negocjacji Rady z Parlamentem Europejskim oraz od późniejszej interpretacji i egzekwowania przyjętych przepisów.19