Urząd Ochrony Danych Osobowych opublikował listę pytań, które warto zadać przed wdrożeniem systemu AI w podmiocie publicznym. Dla bibliotek to ważny sygnał: zanim ChatGPT, Gemini lub inne narzędzie stanie się stałym elementem pracy, trzeba ustalić nie tylko, do czego ma służyć, lecz także jakie dane będą do niego trafiać, kto odpowiada za wyniki i czy sposób jego wykorzystania jest zgodny z RODO.
Sztuczna inteligencja może ułatwiać przygotowywanie postów, pism, opisów wydarzeń, materiałów edukacyjnych i analiz. Może też wspierać obsługę osób korzystających z biblioteki. Problem pojawia się wtedy, gdy do narzędzia trafiają dane osobowe, a biblioteka nie ma ustalonych zasad ich ochrony ani kontroli nad tym, co dzieje się z wprowadzonymi informacjami.
Nie chodzi więc o rezygnację z narzędzi AI, lecz o to, aby korzystać z tej technologii świadomie, w sposób dopasowany do rzeczywistych potrzeb biblioteki i możliwy do wyjaśnienia zarówno pracownikom, jak i odbiorcom usług.
Wystarczy kilka codziennych sytuacji: pracownik wkleja do czatu pełną wiadomość od czytelnika, przesyła listę uczestników, aby szybciej ją uporządkować, albo dodaje nagranie spotkania z prośbą o transkrypcję. Każde z tych zadań rzeczywiście można usprawnić dzięki AI, ale najpierw trzeba wiedzieć, czy materiał zawiera dane osobowe i co właściwie wybrane narzędzie zrobi z przekazanymi informacjami.
Co dokładnie opublikował UODO?
6 sierpnia 2026 r. Urząd Ochrony Danych Osobowych udostępnił cztery zestawy pytań dotyczących ochrony danych osobowych w systemach sztucznej inteligencji. Jeden z nich został przygotowany specjalnie dla sektora publicznego, a więc także dla samorządowych bibliotek publicznych.
Lista ma pomóc w ocenie planowanego zastosowania AI jeszcze przed wyborem narzędzia, jego zakupem lub rozpoczęciem wdrożenia. Uwzględnia między innymi zasady RODO, odpowiedzialność podmiotu publicznego, nadzór człowieka, bezpieczeństwo danych, rolę dostawcy oraz gotowość organizacyjną instytucji.
UODO wyraźnie zaznacza, że pytania nie stanowią wiążącej wykładni prawa i nie przesądzają o zgodności wdrożenia z RODO. Nie zastępują też analizy ryzyka, oceny skutków dla ochrony danych ani oceny wpływu systemu na prawa podstawowe. Odpowiedzi nie są przekazywane organowi nadzorczemu. Mają przede wszystkim pomóc instytucji przeprowadzić wstępną autodiagnozę przed podjęciem przemyślanej i udokumentowanej decyzji o korzystaniu z konkretnych narzędzi.
Pełny komunikat i materiały można znaleźć na stronie Urzędu Ochrony Danych Osobowych.
Dlaczego ta lista jest ważna dla bibliotek?
W bibliotece dane osobowe występują w wielu codziennych sytuacjach. Mogą znajdować się w wiadomościach od czytelników, formularzach zgłoszeniowych, listach uczestników, dokumentach pracowniczych, umowach, nagraniach ze spotkań, skargach i wnioskach. Dane zawiera również konto czytelnika oraz historia operacji wykonywanych w systemie bibliotecznym.
Jeżeli taki materiał zostanie wklejony do ogólnodostępnego narzędzia AI bez wcześniejszego sprawdzenia warunków usługi, biblioteka może nie wiedzieć, kto przetwarza dane, gdzie są one przechowywane, jak długo pozostają w systemie i czy mogą zostać wykorzystane do innych celów.
Skala problemu nie jest wyłącznie teoretyczna. Według badania przywołanego przez UODO od 41 do 58,5 proc. badanych podmiotów nie dostrzega związku między narzędziami AI a przetwarzaniem danych osobowych. Aż 95,9 proc. podmiotów nie uważa się za przygotowane do wdrożenia AI zgodnie z RODO.
Najczęstszy błąd polega na tym, że kwestie prawne i organizacyjne są analizowane dopiero wtedy, gdy narzędzie jest już używane przez zespół. Tymczasem podstawowe decyzje dotyczące celu, danych i dostawcy zapadają wcześniej, czasem bez wiedzy dyrekcji lub inspektora ochrony danych.
Korzystanie z AI a wdrożenie AI – to niekoniecznie to samo
Warto odróżnić dwie sytuacje.
Pierwsza to pomocnicze korzystanie z gotowego narzędzia, na przykład przygotowanie propozycji tytułów wydarzenia na podstawie ogólnego opisu, poprawienie stylu tekstu bez danych osobowych albo stworzenie planu zajęć. Takie zastosowania zwykle wiążą się z mniejszym ryzykiem, choć nadal powinny podlegać jasnym zasadom obowiązującym w zespole.
Druga sytuacja to włączenie AI do konkretnego procesu biblioteki. Może to być np. analiza wiadomości od czytelników, automatyczne przygotowywanie odpowiedzi, transkrypcja nagrań, chatbot na stronie, ocena zgłoszeń, analiza danych o użytkownikach albo system rekomendujący treści na podstawie ich aktywności. W takich przypadkach trzeba dokładnie sprawdzić zakres danych, podstawę prawną, rolę dostawcy, sposób nadzoru i wpływ rozwiązania na osoby, których dane dotyczą. Im większy wpływ systemu na sytuację konkretnej osoby i im bardziej wrażliwe dane, tym dokładniejsza powinna być ocena przed uruchomieniem narzędzia.
Co dyrekcja biblioteki powinna sprawdzić przed wdrożeniem AI?
Lista UODO jest rozbudowana, ale jej najważniejsze elementy można przełożyć na kilka prostych pytań zarządczych. Nie jest to zadanie wyłącznie dla inspektora ochrony danych. Zgodnie z instrukcją do checklisty ocenę powinien przygotować kierownik obszaru odpowiedzialnego za dany proces, przy udziale IOD. W bibliotece to dyrekcja i osoby kierujące poszczególnymi obszarami wiedzą, po co narzędzie ma być używane, jak wygląda codzienna praca oraz jakie dokumenty mogą do niego trafiać. Inspektor pomaga natomiast ocenić konsekwencje dla ochrony danych.
1. Jaki problem ma rozwiązać AI?
Punktem wyjścia nie powinno być pytanie: „Jak możemy użyć sztucznej inteligencji?”, lecz: „Jaki konkretny problem chcemy rozwiązać?”. Może nim być czasochłonne przygotowywanie powtarzalnych materiałów, trudność w analizie dużej liczby odpowiedzi ankietowych albo potrzeba szybszego porządkowania informacji.
Warto określić oczekiwaną korzyść, na przykład oszczędność czasu, poprawę dostępności usług lub sprawniejszą obsługę. Trzeba też sprawdzić, czy tego samego celu nie można osiągnąć prostszym i bezpieczniejszym rozwiązaniem.
2. Jakie dane będą trafiać do narzędzia?
To jedno z najważniejszych pytań. Trzeba sprawdzić wszystkie informacje, które trafiają do narzędzia lub są w nim zapisywane. Dotyczy to m.in. przesyłanych dokumentów, wpisywanych zapytań oraz odpowiedzi przygotowanych przez AI.
W praktyce bibliotecznej szczególnej ostrożności wymagają między innymi:
- dane identyfikujące czytelników i uczestników wydarzeń,
- treść korespondencji, skarg, wniosków i zapytań,
- dane dzieci oraz innych osób wymagających szczególnej ochrony,
- informacje o zdrowiu, niepełnosprawności lub szczególnych potrzebach,
- dokumenty kadrowe, umowy i dane finansowe,
- wizerunek oraz głos utrwalony na zdjęciach i nagraniach.
Samo usunięcie imienia i nazwiska nie zawsze wystarcza. Osobę można czasem rozpoznać na podstawie stanowiska, opisu sytuacji, nazwy miejscowości lub połączenia kilku informacji. Dlatego zasady anonimizacji powinny być konkretne i dostosowane do dokumentów, z którymi pracuje biblioteka.
3. Czy biblioteka ma podstawę prawną do przetwarzania danych?
W podmiocie publicznym nie wystarczy uznać, że zastosowanie AI jest wygodne lub nowoczesne. Trzeba ustalić podstawę prawną przetwarzania danych oraz sprawdzić, czy wykorzystanie narzędzia jest dopuszczalne w danym procesie. W codziennej pracy oznacza to, że każdy materiał przygotowany z pomocą AI, np. odpowiedź na wiadomość, tekst pisma lub analiza ankiety, powinien zostać sprawdzony przez pracownika. To człowiek odpowiada za treść wysłaną lub opublikowaną przez bibliotekę.
4. Co dostawca robi z powierzonymi informacjami?
Popularność narzędzia nie jest dowodem, że można bezpiecznie wprowadzać do niego dane z dokumentacji biblioteki. Przed wyborem rozwiązania trzeba sprawdzić między innymi:
- kto jest dostawcą i jaką pełni rolę w świetle RODO,
- czy konieczna jest umowa powierzenia przetwarzania danych,
- gdzie dane są przechowywane i czy opuszczają Europejski Obszar Gospodarczy,
- jak długo przechowywane są zapytania, odpowiedzi i logi,
- czy dane mogą służyć do rozwijania lub trenowania modelu,
- jak można usunąć dane i historię aktywności,
- jakie zabezpieczenia, uprawnienia i możliwości audytu zapewnia dostawca.
Odpowiedzi powinny wynikać z dokumentacji usługi, warunków umowy i ustawień konkretnego planu, a nie wyłącznie z opisu marketingowego na stronie narzędzia.
5. Czy wynik AI zawsze sprawdzi człowiek?
AI może tworzyć odpowiedzi brzmiące przekonująco, ale nieprawdziwe, niepełne albo oparte na błędnych założeniach. Dlatego trzeba ustalić, kto weryfikuje wynik, na jakiej podstawie i w jakich sytuacjach ma obowiązek go odrzucić. Kontrola człowieka powinna mieć realne znaczenie. Nie może sprowadzać się do automatycznego zaakceptowania tekstu lub kliknięcia przycisku „Opublikuj”. Osoba odpowiedzialna musi mieć czas, wiedzę i uprawnienia potrzebne do sprawdzenia rezultatu.
6. Czy osoby korzystające z biblioteki wiedzą o użyciu AI?
Jeżeli system przetwarza dane osobowe, trzeba sprawdzić obowiązki informacyjne wynikające z RODO. Gdy biblioteka wdraża chatbota lub inne rozwiązanie prowadzące bezpośrednią rozmowę z odbiorcą (np. na stronie internetowej) znaczenie mają także wymogi przejrzystości przewidziane w AI Act. Osobnym zagadnieniem jest oznaczanie tekstów, obrazów, nagrań i filmów wygenerowanych lub zmodyfikowanych przez sztuczną inteligencję. Zasady te opisaliśmy w artykule „Nowe zasady oznaczania treści AI. Poradnik dla bibliotek”.
7. Co stanie się w razie błędu lub wycieku?
Procedura reagowania na naruszenia powinna obejmować również zdarzenia związane z AI. Biblioteka powinna wiedzieć, jak zareagować, gdy pracownik wprowadzi do narzędzia dane, których nie powinien udostępnić, ktoś uzyska dostęp do historii zapytań albo system ujawni informacje dotyczące konkretnej osób. Potrzebne są też zasady zarządzania dostępem, silne uwierzytelnianie, kontrola kont służbowych oraz regularny przegląd ustawień.
9. Czy zespół zna zasady bezpiecznej pracy?
Nawet dobrze wybrane narzędzie nie rozwiąże problemu, jeśli każda osoba korzysta z niego inaczej. Biblioteka potrzebuje prostych zasad odpowiadających na codzienne pytania:
- z jakich narzędzi można korzystać służbowo,
- jakich danych nie wolno wprowadzać,
- kiedy materiał trzeba zanonimizować,
- kto sprawdza i zatwierdza rezultat,
- jak oznaczać treści przygotowane z pomocą AI,
- gdzie zgłosić błąd, wątpliwość lub incydent.
Szkolenia pracowników nie powinny więc ograniczać się do prezentacji funkcji ChatGPT lub Gemini. Zespół musi również rozumieć granice bezpiecznego zastosowania tych narzędzi w realnych sytuacjach bibliotecznych.
Od czego zacząć porządkowanie AI w bibliotece?
Najlepszym pierwszym krokiem jest krótka inwentaryzacja. Dyrekcja powinna ustalić, z jakich narzędzi AI zespół już korzysta, w jakich zadaniach są używane i czy trafiają do nich dane osobowe lub informacje poufne.
Następnie warto:
- wybrać dozwolone narzędzia i zastosowania,
- określić dane i dokumenty, których nie wolno do nich wprowadzać,
- skonsultować zasady z inspektorem ochrony danych,
- wyznaczyć osoby odpowiedzialne za weryfikację wyników,
- przyjąć prostą procedurę pracy z AI i reagowania na incydenty,
- przeszkolić zespół na przykładach pochodzących z codziennej pracy biblioteki,
- regularnie sprawdzać, czy narzędzia, ustawienia i sposób ich wykorzystania nie uległy zmianie.
Największym ryzykiem nie jest samo korzystanie ze sztucznej inteligencji. Jest nim korzystanie bez wiedzy, jakie informacje opuszczają bibliotekę, na jakich zasadach są przetwarzane i kto odpowiada za rezultat.
Bezpieczne i zgodne z prawem wykorzystanie AI w bibliotece
Prowadzimy szkolenia dla dyrektorów i kierowników bibliotek publicznych, którzy chcą uporządkować zasady korzystania z AI, ograniczyć ryzyko i przygotować zespół do odpowiedzialnej pracy z nowymi narzędziami.
Podczas szkolenia uczestnicy dowiadują się między innymi:
- jak rozpoznać zastosowania AI wymagające szczególnej ostrożności,
- jak chronić dane czytelników, uczestników wydarzeń i pracowników,
- jak oceniać narzędzia i warunki oferowane przez ich dostawców,
- jak podzielić odpowiedzialność między dyrekcję, zespół i inspektora ochrony danych,
- jak przygotować praktyczne zasady używania AI w bibliotece,
- jak połączyć wymagania RODO i AI Act z codzienną pracą instytucji.
Program i przykłady dopasowujemy do realiów bibliotek publicznych, także mniejszych instytucji, które nie mają osobnego działu prawnego lub informatycznego.
Artykuł ma charakter informacyjny i edukacyjny. Nie stanowi indywidualnej porady prawnej. Zakres obowiązków konkretnej biblioteki zależy między innymi od rodzaju narzędzia, celu jego wykorzystania, kategorii przetwarzanych danych oraz roli instytucji i dostawcy w danym procesie.
Źródła i podstawa prawna
- UODO: „Zanim wdrożysz narzędzie AI, sprawdź czy jest ono zgodne z zasadami RODO”
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, RODO
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, AI Act
