Artykuły dotyczące jednego problemu operacyjnego lub rodzaju wdrożenia.
SaaS z AI podlega RODO i AI Act naraz. Wobec klientów jesteś zwykle podmiotem przetwarzającym, więc potrzebujesz umowy powierzenia i listy dalszych podmiotów, razem z dostawcą modelu. Obowiązki przejrzystości z art. 50 AI Act obowiązują od 2 sierpnia 2026 r. Przepisy dla systemów wysokiego ryzyka z załącznika III zaczną działać 2 grudnia 2027 r.
Bezpieczne wdrożenie AI z danymi klientów zaczyna się od firmowych kont z umową powierzenia i spisu danych, które trafią do narzędzia. Potem zasady dla zespołu, ograniczony dostęp, szkolenie i plan na incydent. Audyt AI Act i RODO w Syntalith od 2 900 zł netto.
Przy samej umowie powierzenia OpenAI trzyma prompty z API w logach do 30 dni i może przetwarzać je poza UE. Co zmieniają ZDR, MAM i projekt w regionie UE oraz jak to wygląda u Anthropic, Google, Microsoft i AWS.
AI Act, czyli rozporządzenie UE 2024/1689, obowiązuje w Polsce bezpośrednio i etapami. Kompetencje AI i zakazy obowiązują od 2 lutego 2025 r., przejrzystość od 2 sierpnia 2026 r., a od 28 października 2026 r. polska Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji może kontrolować firmy i nakładać kary. Firma, która używa ChatGPT, Claude albo Copilota, ma trzy zadania: kompetencje zespołu, informację przy chatbocie i przestrzeganie zakazów.
Microsoft 365 Copilot można używać zgodnie z RODO. Microsoft przetwarza prompty i odpowiedzi jako podmiot przetwarzający na podstawie Data Protection Addendum, nie trenuje na nich modeli bazowych, a dla klientów z UE Copilot jest objęty granicą danych UE. Trzy miejsca wymagają sprawdzenia: wyszukiwanie w Bing, modele Anthropic i nadmiarowe udostępnianie plików w SharePoint.
DeepSeek Harness to otwarte środowisko agenta od DeepSeek w światowym public preview, z pracą na plikach, kodem, wyszukiwaniem i zadaniami w tle oraz architekturą pluginów. Lokalna aplikacja nie określa drogi danych: model, wyszukiwanie i pluginy mogą przetwarzać pliki gdzie indziej. W próbie na 60 porównaniach dokumentów miesięcznie, po 25 minut ręcznie i 8 ze sprawdzeniem, odzyskasz 17 godzin.
Dane klientów ograniczaj przed wysłaniem do ChatGPT albo Claude, bo polecenie „najpierw zanonimizuj” przychodzi za późno. Wklejenie pełnego dokumentu z taką prośbą już przekazuje go dostawcy. Do szkicu odpowiedzi na reklamację zwykle wystarczy opis problemu i fragment regulaminu, bez nazwiska, adresu i numeru zamówienia. Usunięcie nazwiska to często pseudonimizacja, która nadal podlega RODO.
Nie przekazuj danych klientów, pracowników ani poufnych dokumentów do prywatnego konta AI, dopóki firma nie zatwierdzi sposobu użycia. Płatny abonament pracownika nie daje firmie umowy, kontroli dostępu ani możliwości odebrania konta. Przejście 10 osób na plan firmowy z zasadami i szkoleniem kosztuje w Syntalith od 4 900 zł netto i zwraca się w 2,6 miesiąca.
Shadow AI to użycie AI poza zatwierdzonym sposobem pracy: prywatne abonamenty, rozszerzenia przeglądarki, aplikacje do notatek. Celem przeglądu jest dać zespołowi zatwierdzony sposób wykonania tej samej pracy, a polityka jest tylko jego częścią. Przejście 15 osób na plan firmowy z zasadami i szkoleniem kosztuje w Syntalith 9 800 zł netto i przy godzinie oszczędności tygodniowo zwraca się w 3,5 miesiąca.
Wyłączenie treningu w ChatGPT albo Claude dotyczy jednego sposobu wykorzystania danych przez dostawcę. Nie ustala celu przetwarzania w firmie, zakresu umowy, retencji ani tego, kto otworzy załączony plik. Brak treningu nie oznacza braku przechowywania. Audyt AI pod AI Act i RODO kosztuje w Syntalith od 2 900 zł netto i kończy się rejestrem narzędzi, listą zmian w ustawieniach i planem szkolenia.
Bielik ma sens dla firmy, która chce trzymać przetwarzanie we własnym środowisku, ma dużo podobnych spraw i osobę odpowiedzialną za dane i aktualizacje. Wersje v3.0 mają licencję Apache 2.0, ale warunki użycia zabraniają przetwarzania danych osobowych, więc pierwszą próbę planuj na dokumentach bez takich danych.
PLLuM ma sens, gdy firma potrzebuje polskiego modelu w kontrolowanym środowisku i ma powtarzalne zadanie o dużym wolumenie. Pliki modelu są bezpłatne, ale serwer GPU z obsługą to około 1 466 zł miesięcznie. Przy sprawie po 3 000 tokenów wejścia i 500 wyjścia API Claude Sonnet 5.5 kosztuje 0,043 zł, więc własny serwer wygrywa ceną dopiero od około 34 259 spraw miesięcznie.
Polski model lokalny, na przykład Bielik albo PLLuM, wybierasz, gdy dokumenty muszą zostać w firmie, a wolumen jest stały. API wybierasz przy zmiennym wolumenie i braku zespołu do utrzymania serwera. W naszym rachunku serwer GPU za 934 zł miesięcznie wyrównuje się z Claude Sonnet 5.5 przy około 27 tys. spraw miesięcznie.
PLLuM i Bielik to dwie rodziny polskich modeli, które można uruchomić we własnym środowisku. O wyborze decyduje konkretny wariant: jego licencja, warunki użycia, pamięć GPU i wynik na 50 do 100 sprawach z procesu firmy. W badaniach z 2026 r. raz wygrywa Bielik, raz PLLuM, zależnie od korpusu i metody.
Bielik 11B albo PLLuM 12B w kwantyzacji 4-bit zajmuje około 7 GB pamięci GPU, więc mieści się na najtańszym serwerze GPU Hetznera z 24 GB. Kosztuje on 214 € miesięcznie netto, a z 8 godzinami obsługi około 1 466 zł. Przy dokumentach po 3 000 tokenów wejścia i 1 000 wyjścia API Claude Sonnet 5.5 jest tańsze do około 23 553 dokumentów miesięcznie.
Tak, jeśli zespół pracuje na planie Team, Enterprise albo przez API. Anthropic Ireland jest wtedy podmiotem przetwarzającym. Umowa powierzenia obejmuje standardowe klauzule umowne na przekazanie danych do USA, gdzie Anthropic je przechowuje. Przetwarzanie tylko w UE daje Claude przez Amazon Bedrock albo Google Cloud z regionem europejskim. Na prywatne konto pracownika danych klientów nie wklejaj.
RAG z uprawnieniami sprawdza dostęp, zanim model zobaczy dokument: wyszukiwanie filtruje grupy pracownika, a PostgreSQL ponownie egzekwuje regułę dostępu do wiersza. Aplikacja AI na dokumentach firmy kosztuje w Syntalith od 12 500 zł netto. Przy 400 pytaniach miesięcznie po 10 minut szukania zwraca się w 3,3 miesiąca.
Rejestr systemów AI to lista używanych systemów z właścicielem, rolą firmy, statusem ryzyka i brakującą dokumentacją. Reguły rejestru działają przed modelem, a klasyfikację ryzyka zatwierdza człowiek. Obowiązki przejrzystości z art. 50 AI Act stosuje się od 2 sierpnia 2026 r. Aplikacja kosztuje w Syntalith od 12 500 zł netto i przy 40 wpisach do rejestru miesięcznie po 90 minut zwraca się w 4,5 miesiąca.
Agent AI do tłumaczeń ma sens, gdy przekłady tworzą powtarzalny strumień: setki opisów produktów w kilku językach z firmowym glosariuszem, tonem marki i zapisem w systemach. Pojedynczy tekst przetłumaczy gotowe narzędzie, a umowy weryfikuje człowiek. Automatyzacja kosztuje w Syntalith od 12 500 zł netto i przy 1 500 tłumaczeniach opisów miesięcznie po 8 minut zwraca się w 1,5 miesiąca.
Tak, jeśli zespół pracuje na ChatGPT Business, Enterprise albo przez API z umową powierzenia. Stroną umowy jest OpenAI Ireland, które przekazuje dane poza EOG na podstawie standardowych klauzul umownych albo decyzji Komisji. Nowa przestrzeń Business może przechowywać dane w Europie. Kopia zapytań do kontroli nadużyć zostaje w USA. Na prywatne konto pracownika danych klientów nie wklejaj.
Audyt AI Act i RODO
W jednym audycie przeglądamy konta, ustawienia i umowy powierzenia, przygotowujemy politykę AI i szkolenie z art. 4.
Terminy zobaczysz w swojej strefie czasowej.
Zobacz audyt AI Act i RODOOpenAI robi ChatGPT, a Anthropic robi Claude. Należymy do programów partnerskich obu firm, więc pracujemy z ich narzędziami na co dzień i uczymy się od samych twórców.
Claude Partner NetworkUdział w programach nie oznacza, że OpenAI albo Anthropic polecają nasze usługi.