Unia chce ułatwić firmom AI wykorzystywanie danych Europejczyków. Nazywa to "uproszczeniem". Tylko po co, skoro RODO już na to pozwala?

21 października 2026 roku Rada UE uzgodniła mandat negocjacyjny w sprawie Digital Omnibus. Dokument (ST 14756/26) zawiera propozycję nowego artykułu 88bis RODO. Przepis ma wyraźnie potwierdzić, że przetwarzanie danych osobowych w kontekście opracowywania i wykorzystywania systemów lub modeli AI może odbywać się na podstawie uzasadnionego interesu z art. 6 ust. 1 lit. f. Rada podkreśla, że chodzi o uproszczenie przy zachowaniu wysokiego poziomu ochrony. Organizacja noyb i Max Schrems nazywają ten kierunek "cyfrowym wywłaszczeniem Europejczyków".

To jeszcze nie jest obowiązujące prawo. Parlament Europejski musi przyjąć własne stanowisko, następnie odbędą się negocjacje międzyinstytucjonalne. Istniejące przepisy nadal obowiązują. Nie zmienia to jednak faktu, że kierunek jest czytelny i wart krytyki.

Po co w ogóle artykuł 88bis?

Już dziś firmy mogą w określonych przypadkach powoływać się na uzasadniony interes zamiast zgody. Wymaga to oceny celu, niezbędności przetwarzania oraz wyważenia praw obu stron. Europejska Rada Ochrony Danych i Europejski Inspektor Ochrony Danych we wspólnej opinii z lutego 2026 roku (dotyczącej pierwotnego projektu Komisji) wskazały, że osobny przepis potwierdzający tę możliwość w kontekście AI nie jest konieczny, ponieważ wynika ona już z obowiązującego RODO.

Opinia EROD i EIOD dotyczyła pierwotnego projektu Komisji, a nie stanowiska Rady z października. Rada zrezygnowała z bezpośredniej zmiany definicji danych osobowych, zachowała jednak propozycję nowych przepisów dotyczących pseudonimizacji i możliwości identyfikacji osób fizycznych. Skutki tych rozwiązań dla praktycznego zakresu ochrony danych nadal wymagają analizy. Utrzymała pomysł osobnego przepisu dotyczącego uzasadnionego interesu w AI, mimo że europejskie organy ochrony danych wcześniej kwestionowały konieczność jego wprowadzania.

Jeszcze ciekawsze jest to, co zniknęło z pierwotnej propozycji Komisji. Projektowany wcześniej art. 88c zawierał bardziej szczegółowe zabezpieczenia, w tym bezwarunkowe prawo sprzeciwu wobec przetwarzania danych w kontekście AI, a także elementy zwiększonej przejrzystości. Rada zastąpiła je ogólnym odwołaniem do odpowiednich zabezpieczeń oraz odesłaniem do już obowiązującego art. 21 RODO. Zwykłe prawo sprzeciwu z art. 21 ust. 1 nie jest bezwarunkowe – administrator może w określonych sytuacjach wykazać nadrzędne prawnie uzasadnione podstawy dalszego przetwarzania. Trudno uznać to za zwiększenie ochrony obywateli. Powstaje natomiast pytanie, dlaczego prawodawca chce wprowadzić osobny przepis dotyczący AI, a jednocześnie rezygnuje z części dodatkowych gwarancji proponowanych wcześniej przez Komisję.

To nie jest zniknięcie wszystkich ograniczeń RODO. Art. 88bis nadal odsyła do art. 6 ust. 1 lit. f i nie uchyla wprost zasady ograniczenia celu. Nie legalizuje sam z siebie reklam personalizowanych prowadzonych z naruszeniem obowiązujących wymogów ani nie uchyla odrębnych regulacji AI Act, w tym zakazów dotyczących generowania określonych realistycznych treści intymnych bez zgody, które zaczną być stosowane 2 grudnia 2026 roku. Rzeczywisty problem polega na tym, że specjalny przepis może w praktyce ułatwić administratorom danych uzasadnianie masowego wykorzystania danych historycznych i osłabić pozycję osób, których dane dotyczą, w sporach o legalność przetwarzania. Szczególnie wtedy, gdy podmiot dysponuje ogromnymi zbiorami danych zbieranymi przez lata.

Kto naprawdę na tym zyska?

Unia deklaruje cele: większą pewność prawną, uproszczenie stosowania przepisów i poprawę konkurencyjności. Można jednak zakwestionować, czy te cele uzasadniają akurat tę regulację. Największymi potencjalnymi beneficjentami mogą okazać się firmy, które już dziś dysponują ogromnymi historycznymi zbiorami danych, rozbudowaną infrastrukturą obliczeniową i kapitałem pozwalającym finansować rozwój modeli AI. Mniejsze europejskie przedsiębiorstwa takich zbiorów zwykle nie mają. Noyb podkreśla właśnie ten element asymetrii.

Porównanie z Digital Services Act ma sens jako krytyka priorytetów, nie jako dowód prawnej sprzeczności dwóch aktów. DSA nakłada na platformy obowiązki dotyczące reagowania na nielegalne treści i transparentności, a na największe z nich dodatkowo obowiązek oceny i ograniczania ryzyka systemowego. Te obowiązki generują koszty i bywają krytykowane za skutki uboczne. Tymczasem Digital Omnibus ma ułatwić powoływanie się na uzasadniony interes przy projektach AI. Jedna regulacja wymaga od platform aktywnego działania. Druga tworzy bardziej przyjazne środowisko dla wykorzystania danych w modelach, które te same lub podobne podmioty rozwijają. DSA i RODO służą różnym celom, ale skutki ich stosowania mogą się wzajemnie przenikać w sposób, który faworyzuje duże podmioty posiadające zarówno dane, jak i zasoby na compliance.

Cyber bandyterka w garniturach - na razie w wersji mandatowej

Rada mówi o utrzymaniu wysokiego poziomu ochrony. EROD i EIOD w lutym ostrzegały, że część pierwotnych propozycji może osłabiać ochronę i tworzyć niepewność prawną. Noyb mówi o cyfrowym wywłaszczeniu. Na tym etapie mamy mandat negocjacyjny, nie akt prawny. Ale dwa konkretne zarzuty pozostają trudne do odparcia: po pierwsze, osobny przepis doprecyzowujący uzasadniony interes w AI nie jest konieczny według organów ochrony danych; po drugie, Rada ograniczyła szczegółowość zabezpieczeń względem pierwotnej propozycji Komisji.

To nie wymaga przypisywania Unii jednoznacznego zamiaru oddania danych konkretnym korporacjom. Wystarczy spojrzeć na to, komu specjalny przepis realnie może ułatwić życie i które gwarancje zostały osłabione. Z zewnątrz wygląda to jak kolejny solidny mechanizm ochrony obywateli. W środku to głównie odesłanie do tego, co już było, minus część dodatkowych zabezpieczeń, plus zapewnienie, że wszystko będzie prostsze i bardziej konkurencyjne.

Parlament jeszcze nie powiedział ostatniego słowa. Jeśli proponowane rozwiązanie wejdzie w życie w obecnym kształcie, Unia będzie jednocześnie wymagać od platform przestrzegania obowiązków dotyczących moderacji treści i tworzyć korzystniejsze warunki prawne dla wykorzystywania w systemach AI danych osobowych pozyskiwanych między innymi z aktywności użytkowników tych samych platform – wszystko w garniturach, z PowerPointami i z pełnym przekonaniem, że właśnie tak wygląda ochrona praw podstawowych.