Publicystyka - ngo.pl

Rejestr narzędzi AI to krótka lista wszystkich narzędzi sztucznej inteligencji, których używa zespół, z informacją, na jakim koncie, do czego i na jakich danych. Shadow AI to korzystanie z AI poza wiedzą organizacji, na przykład na prywatnym koncie w pracy. Bez rejestru nikt nie wie, czy shadow AI już działa, a badania pokazują, że zwykle tak.

Prawo.pl 16 lutego 2026 opisało Raport Strategiczny UODO: spośród 492 badanych organizacji 95,9% oceniło się jako niegotowe lub niepewne co do gotowości do stosowania przepisów RODO przy AI. Badanie jest zdominowane przez sektor publiczny, który stanowi 89,2% uczestników, więc nie pokazuje samych organizacji społecznych.

Dla sektora społecznego takich liczb nie ma, ale wzorzec się powtarza. Paulina Kotowska w badaniu 150 liderów z różnych sektorów, przeprowadzonym w 2026 roku w Akademii Leona Koźmińskiego, opisała, że 38% z nich korzysta z narzędzi AI nieformalnie. Wendy Clow, która audytuje organizacje społeczne w USA, napisała w październiku 2026, że w jednej większej organizacji pięć z przepytanych osób używało AI przez prywatne konto. W trzech jej tegorocznych audytach personel korzystał z czatów AI, zanim organizacja cokolwiek w tej sprawie ustaliła.

Dlaczego właśnie teraz? Bo pytanie o narzędzia może paść od darczyńcy, operatora albo urzędu, a od 28 października 2026 krajowy nadzór nad AI ma uprawnienia kontrolne. Co z tego wynika dla organizacji, która korzysta z gotowych narzędzi, opisuję niżej.

Ustawa o systemach sztucznej inteligencji nie nakłada na organizację korzystającą z gotowych narzędzi obowiązku prowadzenia rejestru ani nie zakazuje wklejania czegokolwiek do czatu. Czy obejmuje ją w innym zakresie, rozstrzygnie prawnik, który zna jej sytuację. Poniżej, co w ustawie jest i skąd bierze się zasada „co wolno wkleić”.

Ustawa o systemach sztucznej inteligencji z 3 lipca 2026 roku, ogłoszona 27 lipca 2026 w Dz.U. 2026 pod pozycją 1003, powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), czyli krajowy organ nadzoru nad systemami AI. Według art. 5 ust. 1, art. 6 pkt 1 i art. 48 Komisja może kontrolować przestrzeganie unijnego rozporządzenia o AI (2024/1689) i samej ustawy. Jeśli kontrola wykaże nieprawidłowości, Komisja wydaje zalecenia z terminem ich usunięcia, co do zasady nie krótszym niż 30 dni. Gdy ma uzasadnione podejrzenie naruszenia, może w toku postępowania wydać ostrzeżenie.

Ustawa weszła w życie 11 sierpnia 2026, a uprawnienia kontrolne i karne KRiBSI zaczęły działać 28 października 2026.

Ustawę stosuje się do podmiotów z art. 2 ust. 1 rozporządzenia 2024/1689, z wyłączeniem między innymi osób fizycznych, które używają systemu AI wyłącznie do celów osobistych. Samo rozporządzenie unijne ma własne wymagania wobec organizacji, które używają AI, więc pytanie o zakres zostaje do prawnika.

Zasada „co wolno wkleić” wynika z RODO, przede wszystkim z art. 28, który wymaga umowy powierzenia przetwarzania danych. Umowa powierzenia to dokument, w którym podmiot przetwarzający dane w imieniu organizacji zobowiązuje się chronić je zgodnie z jej poleceniami. Bezprawnik 21 października 2026 przedstawił opinię, że wklejenie danych osobowych do darmowego chatbota to przekazanie ich podmiotowi, z którym organizacja nie ma takiej umowy. To opinia autora, nie orzeczenie sądu, ale kierunek jest prosty: zajrzyj do warunków swojego planu i sprawdź, czy dostawca podpisuje umowę powierzenia. To pytanie istnieje niezależnie od ustawy o AI.

Urząd Ochrony Danych Osobowych 6 sierpnia 2026 opublikował listy pytań inicjalnych, w tym „Praktyczną checklistę RODO dla wdrażania AI” w wersji dla małych i średnich przedsiębiorstw (MŚP), które korzystają z gotowych narzędzi. Uwagi do list zbierał do 30 września 2026. Wersja dla MŚP ma 26 pytań, a jej wypełnienie według UODO zajmuje około 30 minut. Część pytań pokrywa się z tym poradnikiem: kto odpowiada za dane wprowadzane do AI i czy są zasady, co wolno tam wprowadzać, czy jest umowa powierzenia z dostawcą, czy dostawca trenuje swoje modele na wprowadzonych danych. Adresatem są firmy, ale pytania pasują też do organizacji społecznej.

Jedno zastrzeżenie z tej listy jest ważne dla sektora. UODO pisze, że lista nie wystarczy, gdy w grę wchodzą dane wrażliwe lub dane dzieci: wtedy trzeba sięgnąć po wersję rozszerzoną albo po wsparcie specjalisty. W takiej sytuacji jest wiele organizacji, które pracują z podopiecznymi. Wypełnioną listę warto zachować, bo według UODO w razie kontroli lub skargi pokazuje, że sprawdziliście te kwestie przed wdrożeniem narzędzia. Odpowiedzi nie trzeba przesyłać do UODO.

Na wytyczne dla małych podmiotów trzeba poczekać: 23 października 2026 UODO opisał spotkanie z Izbą Gospodarczą Kobiet Biznesu, na którym Izba prosiła o rekomendacje lub wytyczne dla MŚP, a prezes UODO zadeklarował gotowość do pomocy, bez terminu.

Zamiast śledztwa zrób mapę. Potrzebujesz godziny i jednego dokumentu. Zacznij od krótkiej rozmowy z zespołem. Rozmowa musi objąć cały zespół, łącznie z zarządem, i zacząć się od obietnicy, że to nie jest kontrola z sankcjami. Darmowe konto na adres służbowy traktuj jak prywatne, bo organizacja nie ma nad nim żadnej umowy.

Pięć pytań do całego zespołu:

1. Z jakich narzędzi AI korzystasz i na jakim koncie: służbowym czy prywatnym, darmowym czy płatnym?
2. Do czego ich używasz?
3. Jakie najbardziej wrażliwe dane zdarzyło ci się tam wpisać?
4. Kto cię tego nauczył?
5. Ile za to płacisz?

Na górze kartki z pytaniami dopisz zdanie: „To nie jest kontrola osób, tylko spis narzędzi. Odpowiedzi służą do ustalenia zasad.”

Później zbuduj tabelę rejestru z kolumnami: 

• Narzędzie
• Konto i plan
• Do czego używane
• Jakie dane
• Kto odpowiada
• Decyzja (zostaje/zmiana planu/wycofane)

Odpowiedzi na pięć pytań wypełnią pierwsze cztery kolumny. Kolumny „Kto odpowiada” i „Decyzja” uzupełniasz po rozmowie. W „Decyzji” wpisz jedną z trzech rzeczy: zostaje, zmiana planu albo wycofane.

„Trzy kolory danych” to nazwa prostej zasady, którą proponuję. Rejestr mówi, jakich narzędzi używacie, a kolory mówią, co wolno do nich wpisać. Zielone, żółte i czerwone dane to trzy kategorie informacji według tego, jak łatwo z nich rozpoznać osobę i jak dużo szkody wyrządzi ich wyciek. Opieram je na podziale na zielone, żółte i czerwone, który Wendy Clow opisała w sierpniu 2026 jako politykę AI przyjętą w organizacji, w której pracuje.

Test pochodzi od niej i jest jeden: czy tożsamość tej osoby jest potrzebna do odpowiedzi na pytanie? Jeśli nie, zamień imię na „podopieczny” i usuń to, co pozwala domyślić się, kto to: nazwę szkoły, miejscowość, rzadką diagnozę. Podobnie działa test „sekretarz, nie decydent” z mojego tekstu „Sekretarz, nie decydent: kodeks etyczny AI dla organizacji społecznych”. Opisałem w nim granicę dla osób w kryzysie: AI może porządkować i szkicować, ale nie rozstrzyga.

Zielone: dowolne narzędzie z rejestru. Brak informacji o możliwej do zidentyfikowania osobie. Ogólne pytania, szkice tekstów bez nazwisk, szablony, publiczne informacje o organizacji.

Żółte: najpierw oczyść i sprawdź. Dane, z których pośrednio da się zidentyfikować osobę, także zakodowane, jeśli ktoś ma listę kodów. Najpierw oczyść z danych identyfikujących, a jeśli nie da się bez nich, używaj tylko narzędzi z umową powierzenia.

Czerwone: nie do narzędzi publicznych (darmowych czatów i kont bez umowy powierzenia). Dokumentacja podopiecznych, dane finansowe, numery identyfikacyjne, historie darczyńców, podpisane umowy, dane logowania.

Trzy pytania do dostawcy narzędzia

1. Czy dostawca będzie używał naszych danych do trenowania swoich modeli?
2. Czy podpiszecie z nami umowę powierzenia przetwarzania danych?
3. Czy administrator konta w naszej organizacji zobaczy, kto z zespołu korzysta z narzędzia i co do niego wpisuje?

Jednostronicowe zasady do wklejenia do polityki AI

1. Używamy tylko narzędzi AI wpisanych do rejestru. Rejestr przegląda osoba odpowiedzialna co kwartał.
2. Przed wklejeniem sprawdzamy kolor danych. Zielone: wolno w każdym narzędziu z rejestru.
3. Żółte oczyszczamy z danych identyfikujących i wklejamy tylko do narzędzi z umową powierzenia.
4. Czerwonych danych nie wklejamy do darmowych czatów i kont bez umowy powierzenia.
5. Konto służbowe zakładamy na adres organizacji. Darmowe konto na służbowy adres traktujemy jak prywatne.
6. AI proponuje, człowiek decyduje i odpowiada za efekt.
7. Jeśli nie wiesz, jaki to kolor, pytasz, zanim wkleisz. Pytanie nie jest powodem do wstydu.

Szerszy szablon polityki, kto czego nie wkleja, znajdziesz w moim tekście „Luka governance w AI: dlaczego 92 procent organizacji korzysta z AI, a tylko 7 procent coś dzięki temu zyskuje”.

Miałem ostatnio szkolenie dla nauczycieli akademickich i oni w zielonej umieszczali zakodowane prace zaliczeniowe. Powinny być w żółtej. Kod i lista kodów pozwalają na identyfikację, choć kod nie wygląda jak dana osobowa, taka jak numer indeksu, imię i nazwisko itd.

Kody niczego nie anonimizują: kto ma listę kodów, nie musi zgadywać. RODO nazywa to pseudonimizacją i takie dane nadal traktuje jako dane osobowe. Ta sama pułapka czeka w organizacji, która koduje podopiecznych inicjałami albo numerami spraw. Dlatego żółta lista bywa najtrudniejsza.

Rejestr i trzy kolory ułatwiają decyzję, ale o konkretnej notatce decyduje osoba, która zna sytuację podopiecznego, a nie czat ani tabela. Ten tekst nie jest opinią prawną. Listy pytań UODO nie zastępują oceny skutków dla ochrony danych (DPIA), czyli pisemnej analizy ryzyka, którą przeprowadza się, gdy przetwarzanie danych może poważnie naruszyć prawa osób.

Czy organizacja społeczna musi mieć rejestr narzędzi AI?
Ustawa o systemach sztucznej inteligencji nie nakłada takiego obowiązku na organizację korzystającą z gotowych narzędzi. Rejestr jest jednak najprostszym sposobem, by odpowiedzieć na pytanie darczyńcy, operatora lub urzędu.

Czy można wklejać dane podopiecznych do ChatGPT?
Nie do darmowych narzędzi ani kont bez umowy powierzenia. W trzech kolorach dokumentacja podopiecznych jest czerwona. Podstawą jest RODO i umowa powierzenia (art. 28), nie ustawa o AI: według opinii Bezprawnika z 21 października 2026 wklejenie danych osobowych do darmowego chatbota to przekazanie ich podmiotowi, z którym organizacja nie ma takiej umowy.

Czy KRiBSI może skontrolować fundację?
Ustawa daje KRiBSI uprawnienia kontrolne na podstawie art. 6 pkt 1 i art. 48. Czy konkretna organizacja podlega ustawie, rozstrzygnie prawnik, bo zależy to od zakresu unijnego rozporządzenia o AI (2024/1689).

Jak zrobić rejestr narzędzi AI w organizacji?
Zadaj zespołowi pięć pytań, wpisz odpowiedzi do tabeli i przy każdym narzędziu zapisz decyzję. Zajmie to około godziny.

Piotr Antoniewicz (dobryai.pl), konsultant i trener, od 20 lat pracuje z organizacjami społecznymi. Przygotowuje raporty z rezultatów i porządkuje używanie AI w zespołach.

Jeśli chcesz przejść przez rejestr i trzy kolory razem z całym zespołem, napisz do mnie przez dobryai.pl. Na stronie możesz też umówić 20 minut rozmowy. LinkedIn.