Sztuczna inteligencja pod lupą RODO

Justyna Krupa

doi:10.18778/2956-3747.8.04

Authors

Justyna Krupa Jagiellonian University https://orcid.org/0009-0007-5154-0049

DOI:

https://doi.org/10.18778/2956-3747.8.04

Keywords:

GDPR, AI Act, artificial intelligence, personal data protection, sensitive data, risk assessment

Abstract

The article addresses the intriguing issue of reconciling the personal data protection regulations under the GDPR with the new legal framework provided for in the AI Act. The analysis encompasses both the common points of the two acts, such as risk assessment, and the differences in regulatory objectives and addresses of obligations. Moreover, it reflects on the practical challenges associated with conducting DPIA and possible paths for integrating the requirements of both legal regimes. The article also addresses solutions leading to the reduction of duplication of procedures, the strengthening of cooperation between supervisory authorities and the development of practical AI standards.

References

Bekkum M. Van, Zuiderveen Borgesius F., Using Sensitive Data to Prevent Discrimination by Artificial Intelligence: Does the GDPR Need a New Exception?, „Computer Law & Security Review” 2022, nr 48.

Fajgielski P., Komentarz do art. 5 ustawy o ochronie danych osobowych, [w:] tegoż, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. 2, Warszawa 2022.

Lubasz D., RODO dla AI. Zgodność z zasadami godnej zaufania sztucznej inteligencji w modelu data protection by design, Warszawa 2025.

Paal B.P., Artificial Intelligence as a Challenge for Data Protection Law – and vice versa, [w:] The Cambridge Handbook of Responsible Artificial Intelligence, red. S. Voeneky, P. Kellmeyer, O. Mueller, W. Burgard, Cambridge 2022.

Rintamäki T., Golpayegani D., Lewis D., Celeste E., Pandit H.J., Impact Assessment Requirements in the GDPR vs the AI Act, 2025.

Veale M., Zuiderveen Borgesius F., Demystifying the Draft EU Artificial Intelligence Act – Analysing the Good, the Bad, and the Unclear Elements of the Proposed Approach, „Computer Law Review International” 2021, nr 22(4).

Wachter S., Mittelstadt B., Floridi L., Why a Right to Explanation of Automated Decision-Making Does Not Exist in the GDPR, „International Data Privacy Law” 2017, nr 7(2).

Winau M., Areas of Tension in the Application of AI and Data Protection Law: On the Lack of Substantive Balancing and Coordinated Legal Concretisation in the European Commission’s Proposal for a Regulation on AI, „European Data Protection Law Review” 2023, t. 9, nr 2.

Yeom S., Datta A., Fredrikson M., Hunting for Discriminatory Proxies in Linear Regression Models, [w:] Advances in Neural Information Processing Systems, red. S. Koyejo i in., 2018.

ChatGPT – Co to jest i jak z tego korzystać?, https://coderslab.pl/pl/blog/chatgpt-co-to-jest-i-jak-z-tego-korzystac (dostęp: 14.09.2025).

CNIL, Biométrie, https://www.cnil.fr/fr/biometrie (dostęp: 14.09.2025).

Co to jest Claude AI, co oznacza, jaka jest definicja pojęcia w słowniku, https://www.sempire.pl/co-to-jest-claude-ai.html (dostęp: 14.09.2025).

Co to jest Google Gemini, co oznacza, jaka jest definicja pojęcia w słowniku, https://www.sempire.pl/co-to-jest-google-gemini.html (dostęp: 14.09.2025).

EDPB, Guidelines 05/2020 on consent under Regulation 2016/679, 2020, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en (dostęp: 6.02.2026).

ICO, Guidance on AI and data protection, https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/ (dostęp: 14.09.2025).

Opinion 28/2024 on the interplay between the AI Act and the GDPR, 2024, https://edpb.europa.eu (dostęp: 14.09.2025).

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119 z 4.05.2016, s. 1 ze zm.).

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L 2024/1689 z 12.07.2024).

Wyrok TSUE z 13 maja 2014 r., C-131/12, Google Spain (ECLI:EU:C:2014:317).

Wyrok TSUE z 20 grudnia 2017 r., C-434/16, Peter Nowak przeciwko Data Protection Commissioner (ECLI:EU:C:2017:994).