Różności

Prawo do odszkodowania, gdy AI ujawni twoje dane – co przewiduje UE

Byadmin

Published12 listopada, 2026

Jeśli system AI bezprawnie ujawni twoje dane osobowe, możesz żądać odszkodowania na podstawie art. 82 RODO. Unijne przepisy nie gwarantują jednak wypłaty za samo stwierdzenie błędu. Trzeba wykazać naruszenie RODO, poniesioną szkodę oraz związek między nimi. Roszczenie może dotyczyć zarówno strat finansowych, jak i szkody niemajątkowej, czyli krzywdy.

Kiedy odpowiedź AI może naruszać ochronę danych?

Do ujawnienia może dojść na przykład wtedy, gdy chatbot wyświetli jednemu użytkownikowi dane innej osoby, które znalazły się w dokumentach przesłanych do usługi. Innym przypadkiem jest udostępnienie przez narzędzie AI informacji z bazy, do której pytający nie powinien mieć dostępu. Znaczenie ma nie tylko to, czy system podał nazwisko. Dane mogą identyfikować osobę również pośrednio, na przykład przez połączenie informacji o jej miejscu pracy, stanowisku i sytuacji zdrowotnej.

Nie każda niepokojąca odpowiedź AI jest jednak ujawnieniem danych osobowych. System może wygenerować informację fałszywą albo opisać osobę, której nie da się zidentyfikować. Aby ocenić sytuację, trzeba ustalić, czego dotyczyła odpowiedź, czy pozwalała rozpoznać konkretną osobę i na czym polegała niezgodność przetwarzania danych z RODO.

W praktyce istotne jest też, komu informacja została udostępniona. Dane pokazane osobie nieuprawnionej mogą stanowić naruszenie, nawet jeśli odpowiedź nie była widoczna publicznie. Z kolei samo wpisanie swoich danych do narzędzia AI nie oznacza, że operator usługi może później ujawniać je innym użytkownikom.

Co trzeba udowodnić, aby otrzymać odszkodowanie?

Art. 82 RODO obejmuje szkodę poniesioną wskutek naruszenia przepisów o ochronie danych. W dochodzeniu roszczenia liczą się zatem trzy kwestie: naruszenie, szkoda i związek przyczynowy. Samo wykazanie, że AI podało dane niewłaściwej osobie, nie przesądza jeszcze o wysokości odszkodowania ani o tym, że zostanie ono przyznane.

Szkoda majątkowa może polegać na udokumentowanych stratach lub wydatkach powstałych w następstwie ujawnienia. Szkoda niemajątkowa dotyczy krzywdy, a nie rachunku do zapłacenia. W obu przypadkach warto możliwie konkretnie opisać następstwa zdarzenia. Ogólne stwierdzenie, że ujawnienie było nieprzyjemne, daje mniej informacji niż opis tego, jakie dane trafiły do kogoś obcego i jakie skutki to wywołało.

Równie ważny jest związek przyczynowy. Jeśli po ujawnieniu danych poniesiesz określony koszt, trzeba będzie wykazać, że wynikał on z naruszenia, a nie z innej przyczyny. Nie istnieje też jedna kwota należna każdemu, czyje dane pojawiły się w odpowiedzi AI. Ocena zależy od okoliczności konkretnej sprawy.

Kto odpowiada za ujawnienie danych przez AI?

RODO wiąże odpowiedzialność przede wszystkim z rolą podmiotów przetwarzających dane, a nie z samym faktem użycia sztucznej inteligencji. Administrator decyduje o celach i sposobach przetwarzania. Może nim być na przykład firma, która wykorzystuje chatbot do obsługi klientów i zasila go ich danymi. Podmiot przetwarzający przetwarza dane w imieniu administratora, choćby jako dostawca usługi technologicznej.

Art. 82 RODO przewiduje odpowiedzialność administratora za szkodę spowodowaną przetwarzaniem niezgodnym z przepisami. Odpowiedzialność podmiotu przetwarzającego zależy od warunków wskazanych w tym artykule, między innymi od tego, czy naruszył obowiązki skierowane bezpośrednio do niego albo działał poza zgodnymi z prawem instrukcjami administratora lub wbrew nim. Podmiot może uwolnić się od odpowiedzialności, jeśli wykaże, że w żaden sposób nie odpowiada za zdarzenie, które spowodowało szkodę.

Dlatego nie zawsze wystarczy wskazać firmę, której logo widnieje przy oknie rozmowy. Jeśli organizacja korzysta z zewnętrznego modelu AI, znaczenie mają jej własne decyzje o wykorzystaniu danych, sposób działania dostawcy oraz okoliczności konkretnego ujawnienia. Ustalenie tych ról pomaga skierować roszczenie do właściwego podmiotu.

Czy dane zapisane w modelu AI są anonimowe?

To, że danych nie widać w zwykłej bazie lub dokumencie, nie oznacza jeszcze, że przestały być danymi osobowymi. Europejska Rada Ochrony Danych wskazuje, że przy ocenie anonimowości modelu trzeba brać pod uwagę między innymi możliwość identyfikacji osób oraz wydobycia informacji o nich za pomocą zapytań. Jeżeli takie ryzyko jest realne, nie można po prostu założyć, że model jest anonimowy.

EROD zwraca również uwagę, że opracowanie modelu przy użyciu danych przetwarzanych niezgodnie z prawem może wpływać na legalność jego późniejszego wykorzystania. Znaczenie ma przy tym to, czy model został należycie zanonimizowany. Jest to osobna kwestia od odszkodowania: ocena legalności działania modelu nie zastępuje wykazania indywidualnej szkody przez osobę, która dochodzi roszczenia.

Co zrobić, gdy AI wyświetliło twoje dane komuś innemu?

Najpierw zabezpiecz informacje o zdarzeniu. Odpowiedzi generowane przez AI mogą się zmieniać, a późniejsze odtworzenie rozmowy bywa trudne. Przydatne mogą być następujące działania:

Zapisz treść odpowiedzi, datę, adres usługi oraz zapytanie, które doprowadziło do ujawnienia. Jeśli możesz, wykonaj zrzuty ekranu pokazujące kontekst rozmowy.
Skontaktuj się z podmiotem odpowiedzialnym za usługę. Wskaż ujawnione dane, opisz, kto mógł je zobaczyć, i poproś o wyjaśnienie incydentu oraz działania ograniczające dalsze udostępnianie.
Dokumentuj skutki. Zachowaj korespondencję, potwierdzenia wydatków i inne materiały, które pomogą wykazać szkodę oraz jej związek z ujawnieniem.
Jeśli uważasz, że doszło do naruszenia RODO, rozważ skargę do Prezesa Urzędu Ochrony Danych Osobowych. Odszkodowania dochodzi się odrębnie — skarga do UODO sama w sobie nie oznacza wypłaty.

Rozróżnienie między skargą a odszkodowaniem ma znaczenie. Organ nadzorczy bada przestrzeganie przepisów i może stosować przewidziane prawem środki wobec podmiotów przetwarzających dane. Nie przyznaje jednak poszkodowanemu pieniędzy tylko dlatego, że nałożył karę administracyjną. Dla porównania: w 2024 r. UODO otrzymał 14 842 zgłoszenia naruszeń ochrony danych osobowych, a wśród częstych przyczyn wymieniano udostępnienie danych niewłaściwemu odbiorcy. Statystyka dotyczy wszystkich zgłoszonych naruszeń, nie tylko systemów AI.

Jeżeli używasz narzędzi AI do pracy z dokumentami, ograniczaj przekazywane im dane do tego, co jest potrzebne. Szczególnej ostrożności wymagają informacje o zdrowiu, numery dokumentów, hasła i poufne dane zawodowe. Taka ostrożność nie odbiera ci prawa do dochodzenia roszczeń, gdy dojdzie do naruszenia, ale może zmniejszyć ryzyko i zakres ewentualnego ujawnienia.

Insert Wiadomości

Recent Posts