Sama lokalizacja danych na własnym serwerze firmy nie wystarcza do zgodności z RODO. To jeden z elementów bezpieczeństwa przetwarzania opisanego w Art. 32 rozporządzenia, ale nie zwalnia z pozostałych obowiązków — podstawy prawnej przetwarzania, rejestru czynności, umów powierzenia z każdym podmiotem przetwarzającym. Kto sprzedaje lokalny system AI jako gotowe rozwiązanie problemu RODO, obiecuje więcej, niż faktycznie daje.
To nieprzyjemna wiadomość dla kogoś, kto liczył na jedno wdrożenie zamykające temat raz na zawsze — ale uczciwiej usłyszeć to teraz niż po kontroli.
Co lokalny system realnie daje
Dane, które nie opuszczają infrastruktury firmy, są łatwiejsze do zabezpieczenia i kontrolowania niż te przetwarzane przez zewnętrznego dostawcę — to bezpośrednio wspiera wymóg Art. 32 o odpowiednich środkach technicznych i organizacyjnych. System lokalny pozwala też precyzyjnie zarządzać uprawnieniami dostępu per rola — kto widzi jakie dokumenty, kto może zadawać pytania o dane konkretnego projektu. Usunięty plik trafia do kontrolowanego, wewnętrznego mechanizmu, nie znika w nieznanym miejscu infrastruktury chmurowego dostawcy, gdzie trudno zweryfikować, czy kopia faktycznie została skasowana.
To realne korzyści — ale dotyczą jednego wymiaru zgodności, bezpieczeństwa technicznego, nie całości obowiązków, jakie nakłada rozporządzenie.
Czego RODO wymaga niezależnie od tego, gdzie stoi serwer
Art. 5 i 6 rozporządzenia wymagają, żeby przetwarzanie miało jasną podstawę prawną i trzymało się zasad takich jak minimalizacja danych czy ograniczenie celu — niezależnie od tego, czy dane leżą na serwerze w biurze, czy w chmurze. Art. 28 wymaga umowy powierzenia przetwarzania z każdym podmiotem przetwarzającym dane w imieniu firmy — a taką umowę trzeba mieć nawet z dostawcą, który tylko utrzymuje serwer. Art. 30 nakłada obowiązek prowadzenia rejestru czynności przetwarzania. Art. 35 wymaga oceny skutków dla ochrony danych, gdy przetwarzanie może powodować wysokie ryzyko — a system AI analizujący dokumentację pracowniczą czy dane klientów często się w tej kategorii mieści.
Żadnego z tych obowiązków nie załatwia sam fakt, że model działa na własnym sprzęcie.
Co firma musi zrobić sama
System lokalny nie napisze za firmę wewnętrznych procedur przetwarzania danych, nie podpisze umów powierzenia z dostawcami i nie przeszkoli zespołu, jak bezpiecznie z niego korzystać. To zostaje po stronie firmy — wdrożenie techniczne i zgodność prawna to dwa osobne zadania, które trzeba zrealizować równolegle, nie jedno zamiast drugiego.
Urząd Ochrony Danych Osobowych w swoim stanowisku podkreślił, że nowoczesna konstrukcja systemów opartych o AI nie zwalnia administratorów ani podmiotów przetwarzających z przestrzegania RODO — w zakresie podstaw przetwarzania, zasad oraz zapewnienia bezpieczeństwa. Europejska Rada Ochrony Danych przyjęła 17 grudnia 2024 opinię dotyczącą modeli AI i zasad RODO, w tym kiedy model można uznać za anonimowy i kiedy uzasadniony interes może stanowić podstawę prawną przetwarzania. Żaden z tych dokumentów nie mówi wprost, że lokalizacja danych na własnym serwerze przesądza o zgodności — mówią ogólnie, że samo wdrożenie AI, niezależnie od architektury, nie zwalnia z żadnego z tych obowiązków.
Jeśli planujecie wdrożenie AI i chcecie wiedzieć, co dokładnie trzeba dopiąć po stronie zgodności prawnej, a co realnie rozwiązuje architektura systemu — opiszcie sytuację w formularzu kontaktowym. Pełny zakres usługi wewnętrznego systemu AI znajdziesz na stronie wewnętrznego systemu AI.