AI zgodne z RODO i EU AI Act
Wdrażam systemy LLM/AI w branżach regulowanych — od współpracy z Compliance/Legal po implementację data-residency, prawa do bycia zapomnianym i wymogów EU AI Act.
RODO i AI to nie wybór
W IG Group przez 6 lat wdrażałem rozwiązania AI w środowisku regulowanym przez FCA (UK), CFTC (US), JFSA (Japonia) i kilka innych. Każdy projekt LLM przechodził przez Compliance i Legal — od automatyzacji KYC w 40+ językach po wewnętrzny knowledge base chatbot. Wiem, jak to się robi w praktyce, nie tylko z poradników.
Wraz z wejściem w życie EU AI Act i zaostrzeniem interpretacji RODO przez polski UODO, każda firma korzystająca z LLM-ów dotykających danych osobowych potrzebuje konkretnych odpowiedzi.
Co dostarczam
- Audyt zgodności LLM/AI (1–3 tygodnie) — przegląd istniejących wdrożeń pod kątem RODO, EU AI Act i regulacji branżowych (finanse, ochrona zdrowia, ubezpieczenia). Raport z konkretnymi lukami i priorytetami napraw.
- Data residency dla LLM — projektowanie architektur, w których dane osobowe nie opuszczają UE. Vertex AI europe-west1, Azure OpenAI EU, własne hostowanie Mistral/Llama, modele hybrydowe.
- Framework EU AI Act — kategoryzacja systemów (minimal/limited/high-risk/unacceptable), ocena ryzyka, dokumentacja techniczna, post-market monitoring.
- Prawo do bycia zapomnianym dla LLM — strategie usuwania danych z systemów ML/AI (ponowne uczenie vs. fine-tuning unlearning vs. wyłącznie RAG).
- DPIA dla rozwiązań AI — Data Protection Impact Assessment przygotowane pod konkretne wdrożenie, gotowe na rozmowę z UODO.
- Współpraca z Twoim Compliance/Legal — mówię ich językiem i dostarczam dokumentację, której potrzebują.
Częste pułapki
- OpenAI API z danymi osobowymi w promptcie — bez DPA, bez wypisania się z trenowania modeli, bez kontroli pod RODO. Najczęstszy błąd lat 2024–2025.
- Embeddingowanie danych osobowych w vector DB — embeddingi zawierają informacje o danych osobowych i podlegają RODO.
- Brak audit logu — przy regulacjach finansowych „nie wiemy, co model odpowiedział klientowi” = wezwanie od regulatora.
- Mylenie EU AI Act z RODO — to dwa różne reżimy z różnymi datami obowiązywania. Trzeba spełnić oba.
Komu to pasuje
- Bankom, ubezpieczycielom, fintechom, które przetwarzają dane osobowe klientów przez AI.
- Dostawcom usług medycznych planującym AI/LLM na danych pacjentów.
- HR-tech i recruiting-tech — to obszary high-risk w rozumieniu EU AI Act.
- Każdej firmie planującej LLM nad bazą wewnętrznych dokumentów (gdzie zwykle pojawiają się dane osobowe).