Budujesz, a może zlecasz budowę narzędzi AI. Ale czy jesteś pewien, że nie naruszasz prawa?

Wszystko, co tu znajdziesz, sprawdziłem w tekstach źródłowych przepisów — a że nie jestem prawnikiem, materiał ma charakter wyłącznie edukacyjny i nie jest poradą prawną. Na końcu znajdziesz listę kwestii, których prawo dziś jednoznacznie nie rozstrzyga.

Gdy rozmawiam z firmami o AI, jedno pytanie pada częściej niż wszystkie inne razem wzięte: „czy przetwarzanie danych narzędziami AI jest w ogóle zgodne z RODO?”. Od niego zacznę. A potem zejdziemy głębiej — do narzędzi, które nagrywają i analizują rozmowy z ludźmi, bo tam robi się naprawdę ciekawie: od formalności, przez szare strefy, po praktyki wprost zakazane.

Nie piszę z pozycji teoretyka. Sam buduję takie narzędzia i wszystko, co poniżej, sprawdzałem u źródeł — w tekstach rozporządzeń, ustaw i kodeksów, nie w cudzych streszczeniach. Każdy przywołany przepis cytuję dosłownie i znajdziesz go w wykazie z linkami na końcu artykułu. Piszę dla dwóch grup, bo sam jestem w obu rolach: dla twórców narzędzi AI (konsultantów, freelancerów, software house’ów) — bo część odpowiedzialności prawnej ląduje na nich, choć często o tym nie wiedzą; i dla firm, które takie narzędzia zamawiają lub wdrażają — bo to na nich, jako na administratorach danych, spoczywa główny ciężar obowiązków. Tam, gdzie prawo jest niejasne albo sporne, piszę to wprost, zamiast udawać pewność.

Najpierw pytanie numer jeden: czy AI w firmie jest w ogóle zgodne z RODO?

Odpowiedź brzmi: RODO — rozporządzenie (UE) 2016/679 — jest technologicznie neutralne. Nie zakazuje AI, tak jak nie zakazało wcześniej Excela ani poczty elektronicznej. Pytanie nigdy nie brzmi „czy AI jest legalne”, tylko — jak w całym tym artykule — czy Twoje konkretne przetwarzanie ma podstawę prawną, jasny cel, spełniony obowiązek informacyjny i zapewnione bezpieczeństwo danych. Narzędzie AI dokłada do tej układanki jeden nowy element: dane zwykle wychodzą z firmy do zewnętrznego dostawcy modelu, często poza Europę. I to właśnie ten element trzeba świadomie ułożyć. Z praktyki widzę trzy poziomy dojrzałości — i podejrzewam, że większość polskich firm jest dziś na pierwszym, najgroźniejszym.

Poziom 0: samopas, czyli „shadow AI”

Najwięcej ryzyka nie generują dziś firmy, które świadomie wdrożyły AI — tylko te, które „nie wdrożyły nic”, a ich pracownicy i tak używają AI na własną rękę. Handlowiec wkleja treść umowy klienta do darmowego czatbota, „żeby ją streścił”. Księgowa wrzuca listę kontrahentów z NIP-ami, „żeby posortować”. Rekruterka podsyła CV kandydata, „żeby wyciągnąć kompetencje”. To zjawisko ma już swoją nazwę — shadow AI, kuzyn znanego od lat shadow IT — i z perspektywy RODO jest podręcznikowym naruszeniem w trzech punktach naraz: dane osobowe trafiają do podmiotu, z którym firma nie ma umowy powierzenia (art. 28 RODO), często poza Europejski Obszar Gospodarczy bez podstawy transferu, a w darmowych wersjach popularnych narzędzi mogą być wykorzystywane do trenowania modeli — czyli firma traci nad nimi kontrolę bezpowrotnie. Osoby, których dane wyciekły tą drogą, nigdy nie zostały o niczym poinformowane.

Najgorsze w shadow AI jest to, że dzieje się bez żadnej decyzji zarządu — a odpowiedzialność i tak spada na firmę jako administratora. Zakazy niewiele tu dają (pracownicy i tak będą używać narzędzi, które oszczędzają im godzinę dziennie). Działa co innego: dać ludziom legalny, firmowy kanał do AI i jasną, krótką politykę użycia — czego wolno używać, z jakimi danymi, a co wrzucać wyłącznie do narzędzia firmowego.

Poziom 1: porządek w dokumentach — polityka prywatności i polityka użycia AI

Jeżeli firma przetwarza dane osobowe z użyciem AI, musi to być widoczne w jej dokumentach — przede wszystkim w polityce prywatności i klauzulach informacyjnych. Przykładowy zapis (szkielet edukacyjny — dostosuj do swojego przypadku, nazw usług i realnych okresów):

„Do analizy [nagrań rozmów / korespondencji / dokumentów] wykorzystujemy narzędzia sztucznej inteligencji dostarczane przez [nazwa dostawcy, np. Microsoft — usługa Azure OpenAI] na podstawie umowy powierzenia przetwarzania danych. Dane są przetwarzane na serwerach zlokalizowanych na terenie Europejskiego Obszaru Gospodarczego, nie są wykorzystywane do trenowania modeli AI i są usuwane po upływie [okres]. Analiza służy [cel — np. poprawie jakości obsługi]; jej wyniki nie stanowią podstawy zautomatyzowanych decyzji wywołujących wobec Państwa skutki prawne.”

Zwróć uwagę, że ten jeden akapit domyka od razu kilka obowiązków z tego artykułu: informuje o AI (art. 13 RODO), deklaruje brak transferu poza EOG, odcina trenowanie na danych i odcina zautomatyzowane decyzje (art. 22). Ale — i to ważne — taki zapis musi być prawdziwy. Jeśli napiszesz „dane w EOG, bez trenowania”, a realnie pracownicy wklejają dane do darmowego czatbota, polityka prywatności staje się dowodem przeciwko Tobie.

Poziom 2: architektura — klasa wdrożenia robi różnicę

I tu dochodzimy do rozwiązania, które te deklaracje czyni prawdziwymi: wybór klasy wdrożenia narzędzia AI. Ten sam model językowy może być dostępny w wariancie konsumenckim (darmowy czat, dane lecą gdzie chcą) i w wariancie enterprise — a z perspektywy RODO to są dwa różne światy. Dobry przykład to modele OpenAI uruchamiane przez Microsoft Azure: firma dostaje umowę powierzenia w pakiecie umów Microsoftu, może wybrać przetwarzanie danych w regionie europejskim, a dostawca zobowiązuje się, że dane klienta nie służą do trenowania modeli. Analogiczne warianty biznesowe oferują też sami dostawcy modeli (konta API klasy enterprise z wyłączonym trenowaniem). Dla danych szczególnie wrażliwych istnieje jeszcze poziom wyżej: modele uruchamiane lokalnie, na własnym sprzęcie — dane w ogóle nie opuszczają firmy. Sam tak pracuję z dokumentami, których nie chcę wysyłać do żadnej chmury: analizuje je model działający na komputerze w moim biurze. Te trzy wzorce — firmowy kanał do AI zamiast shadow AI, wariant enterprise z umową powierzenia, modele lokalne dla danych najwrażliwszych — to zresztą dokładnie sposób, w jaki buduję narzędzia w moim ekosystemie AI w Biznesie; jeśli szukasz gotowego, zgodnego wdrożenia zamiast składania tego samemu, tam znajdziesz punkt startu.

Jedno zastrzeżenie, żeby nie sprzedać Ci fałszywej pewności: klasa wdrożenia rozwiązuje warstwę powierzenia, transferu i bezpieczeństwa — nie zwalnia z reszty. „Mamy Azure” nie oznacza „mamy zgodność z RODO”: podstawa prawna, cel, obowiązek informacyjny, DPIA (ang. Data Protection Impact Assessment – Ocena skutków dla ochrony danych) przy ocenie ludzi i cała drabina celów, przez którą za chwilę przejdziemy, obowiązują niezależnie od tego, na czyich serwerach stoi model. Azure załatwia to, ŻE dane są przetwarzane bezpiecznie i na umowie — nie to, CZY wolno je w danym celu przetwarzać.

Teraz głębiej: narzędzia, które rozmawiają z ludźmi i ich słuchają

Poziomy dojrzałości z poprzedniej sekcji dotyczą każdej firmy używającej AI. Ale prawdziwy test zgodności zaczyna się tam, gdzie narzędzie AI dotyka rozmów z ludźmi — bo do RODO dochodzą wtedy prawo pracy, prawo karne i unijny AI Act. Pokażę to na dwóch narzędziach z mojego własnego ekosystemu.

Pierwsze to Generator Leadów — system, który znajduje potencjalnych klientów i kontaktuje się z nimi mailowo, a docelowo także telefonicznie. Działa na terenie Polski i długo wydawało mi się, że jedyne, co go ogranicza, to jakość bazy kontaktów. Drugie to Trener Sprzedaży — narzędzie, które nagrywa moje własne rozmowy z klientami, robi transkrypcję i analizuje, co poszło dobrze, a co mogłem poprowadzić lepiej.

Oba narzędzia działają. I przy obu, w miarę jak je rozwijam, wraca to samo pytanie: co z tego, co robię — i co planuję — jest legalne, co jest obwarowane warunkami, a co jest zabronione?

Moment na tę rozmowę jest zresztą nieprzypadkowy. 24 lipca 2026 r. wydarzyły się dwie rzeczy naraz: prezydent podpisał polską ustawę o systemach sztucznej inteligencji (powstanie organ nadzoru — Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji), a w Dzienniku Urzędowym UE opublikowano tzw. Digital Omnibus — rozporządzenie (UE) 2026/1744, które przesuwa część terminów unijnego AI Act. Prawo wokół AI właśnie przestało być teorią „na kiedyś”.

Trzy pytania, które trzeba rozdzielić

Najczęstszy błąd, jaki widzę u firm (i jaki sam na początku popełniałem), to wrzucanie wszystkiego do jednego worka: „czy wolno nam używać AI do rozmów z klientami?”. Na tak zadane pytanie nie ma odpowiedzi, bo prawo zadaje trzy osobne pytania, każde z innej ustawy:

1. Czy w ogóle wolno się odezwać? — czy mogę zadzwonić albo napisać do tej osoby w celu handlowym. To reguluje prawo komunikacji elektronicznej, zanim jeszcze padnie pierwsze słowo.
2. Czy wolno nagrać rozmowę? — to warstwa prawa karnego i cywilnego, i tu różnice między krajami są największe, aż do poziomu „u nas legalne, za Odrą przestępstwo”.
3. Czy wolno tę rozmowę analizować systemem AI — i po co? — to warstwa RODO, Kodeksu pracy i unijnego AI Act. I tu obowiązuje zasada, którą uważam za najważniejszą myśl tego artykułu: prawo nie ocenia czynności, prawo ocenia cel.

Przejdźmy przez te warstwy po kolei — a potem złożymy z nich drabinę, na której znajdziesz swój przypadek.

Zanim zaczniemy: co naprawdę obowiązuje już dziś

Wokół AI Act narosło niebezpieczne uproszczenie. Firmy słyszą „terminy odroczone” i wnioskują: „czyli na razie wolno wszystko”. To fałsz, i to podwójny.

Po pierwsze — odroczono tylko część obowiązków. Digital Omnibus (rozporządzenie UE 2026/1744, opublikowane w Dz.Urz. UE 24.07.2026, w mocy od 27.07.2026) przesunął obowiązki dla tzw. systemów wysokiego ryzyka na 2 grudnia 2027 r. (a dla AI wbudowanego w regulowane produkty — na 2 sierpnia 2028 r.). Ale zakazy z art. 5 AI Act obowiązują od 2 lutego 2025 r. i Omnibus ich nie ruszył. Wśród nich jest jeden, który dotyczy wprost narzędzi analizujących rozmowy — wrócimy do niego, bo to najostrzejszy przepis w całym zestawie.

Po drugie — RODO i Kodeks pracy nie mają żadnego „okresu przejściowego”. Obowiązują dziś, obowiązywały wczoraj i to na ich podstawie — nie na podstawie AI Act — firma może już teraz dostać karę albo przegrać spór z pracownikiem. AI Act dołoży swoje warstwy później; fundament stoi od dawna.

Do tego dochodzi świeża polska ustawa o systemach sztucznej inteligencji (uchwalona 11.06.2026, podpisana 24.07.2026; na dzień pisania tego tekstu czeka na publikację w Dzienniku Ustaw i wejdzie w życie 14 dni po niej — przebieg procesu, druk sejmowy 2443). Ważna rzecz: ta ustawa nie tworzy nowych zakazów — AI Act jako rozporządzenie unijne obowiązuje w Polsce wprost. Ustawa tworzy za to organ, który będzie miał uprawnienia, żeby egzekwować przepisy: KRiBSI, z planowanym startem prac jesienią 2026. Reguły gry już są — właśnie zatrudniono sędziego.

Warstwa 1: czy w ogóle wolno się odezwać?

Zacznę od generatora leadów, bo tu pierwsza pułapka czeka jeszcze przed nagraniem czegokolwiek.

W Polsce od listopada 2024 r. obowiązuje Prawo komunikacji elektronicznej (PKE). Jego art. 398 ust. 1 (Dz.U. 2024 poz. 1221) mówi wprost:

„Zakazane jest używanie: 1) automatycznych systemów wywołujących, 2) telekomunikacyjnych urządzeń końcowych, w szczególności w ramach korzystania z usług komunikacji interpersonalnej – do celów przesyłania informacji handlowej […], w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę.”

„Uprzednio” znaczy: zanim zadzwonisz, nie w trakcie rozmowy. I — to zaskakuje najwięcej osób — przepis nie robi wyjątku dla kontaktów firmowych. Dzwonienie „na zimno” do firm też wymaga wcześniejszej zgody. Kara może sięgnąć 3% rocznego przychodu.

Praktyczna konsekwencja dla mojego generatora leadów: kanał mailowy i telefoniczny to prawnie dwie różne rzeczy, a zgoda na jedno nie jest zgodą na drugie. Model „wyślę maila, a jak odpisze pozytywnie — zadzwonię” też nie działa automatycznie: zgoda musi być wyraźna i dotyczyć konkretnego kanału. Bezpieczny wzorzec jest prosty, choć mniej wygodny: dzwonić wtedy, gdy odbiorca sam o to poprosi albo sam poda numer w tym celu.

I teraz rzecz, przez którą mój generator leadów działa tylko w Polsce: za granicą ta pierwsza warstwa wygląda zupełnie inaczej. W Niemczech telemarketing reguluje ustawa o zwalczaniu nieuczciwej konkurencji (UWG), w USA — federalna ustawa TCPA plus stanowe przepisy o ochronie prywatności; w Kalifornii dochodzi CCPA, które od 2023 r. obejmuje także dane kontaktów biznesowych, więc nawet baza prospektów B2B z Kalifornii niesie obowiązki informacyjne. Nie będę tu udawał, że znam te reżimy na wylot — nie prowadzę jeszcze kampanii za granicą i dokładne wymogi UWG czy TCPA to jedna z rzeczy, które trzeba sprawdzić przed wejściem na tamte rynki, nie po. Na potrzeby tego artykułu wystarczy zapamiętać zasadę: legalność kontaktu ocenia się według prawa kraju odbiorcy, nie nadawcy.

Warstwa 2: czy wolno nagrać rozmowę?

To jest warstwa, w której czekała na mnie największa niespodzianka całego researchu. Ta sama czynność — „nagrywam swoją rozmowę z klientem” — w czterech porządkach prawnych ma cztery różne kwalifikacje, od „w porządku” po „przestępstwo zagrożone więzieniem”.

Polska. Kodeks karny — art. 267, tekst jednolity Dz.U. 2025 poz. 383 — karze podsłuchiwanie:

„§ 3. Tej samej karze [grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2] podlega, kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem.”

Kluczowe słowa: „informacji, do której nie jest uprawniony” — chodzi o nagrywanie rozmowy, w której się nie uczestniczy. Uczestnik rozmowy, który nagrywa własną rozmowę, co do zasady tego przestępstwa nie popełnia: jest adresatem wypowiedzi, więc jest „uprawniony” do informacji. To nie znaczy, że nagrywanie po cichu jest w porządku — może naruszać RODO i dobra osobiste rozmówcy, co grozi sporem cywilnym i karą administracyjną — ale nie jest to sprawa karna. Odrębny, trudniejszy przypadek to pracodawca nagrywający rozmowy, w których sam nie uczestniczy (np. wszystkie rozmowy handlowców) — tu wykładnia „uprawnienia” nie jest oczywista i uczciwie mówię: nie znalazłem jednoznacznej odpowiedzi. Bezpieczna droga prowadzi przez jawny, uregulowany monitoring, o którym za chwilę.

Niemcy. Tu jest przepaść. Niemiecki kodeks karny — § 201 StGB, oficjalny serwis gesetze-im-internet.de — stanowi (tłumaczenie robocze pod oryginałem):

„(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer unbefugt 1. das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt oder 2. eine so hergestellte Aufnahme gebraucht oder einem Dritten zugänglich macht.”

(„Karze pozbawienia wolności do lat trzech albo grzywnie podlega, kto bez upoważnienia: 1. nagrywa na nośnik dźwięku niepublicznie wypowiedziane słowo innej osoby, albo 2. używa tak sporządzonego nagrania lub udostępnia je osobie trzeciej.”) Słowa Twojego rozmówcy są zawsze słowami „innej osoby”. Wniosek: w Niemczech przestępstwem jest także nagrywanie rozmowy, w której samemu się uczestniczy, jeśli rozmówca nie wyraził zgody. Mało tego — osobnym czynem karalnym jest samo używanie takiego nagrania. Czyli wrzucenie do systemu AI nagrania zdobytego bez zgody to potencjalnie drugie przestępstwo, niezależne od pierwszego. Dlatego na niemieckich infoliniach zapowiedź nagrywania i wyraźna zgoda to nie uprzejmość, tylko warunek uniknięcia sprawy karnej.

USA. Nie ma jednej odpowiedzi — jest pięćdziesiąt. Na poziomie federalnym (18 U.S.C. § 2511(2)(d)) obowiązuje zasada „one-party consent”: wystarczy zgoda jednej strony rozmowy, a tą stroną może być sam nagrywający. Ale kilkanaście stanów poszło dalej i wymaga zgody wszystkich stron. Kalifornia — Penal Code § 632(a):

„A person who, intentionally and without the consent of all parties to a confidential communication, uses an electronic amplifying or recording device to eavesdrop upon or record the confidential communication […] shall be punished by a fine not exceeding two thousand five hundred dollars ($2,500) per violation, or imprisonment in a county jail not exceeding one year […]”

Czyli: nagranie „poufnej komunikacji” bez zgody wszystkich to przestępstwo — 2 500 dolarów kary za każde pojedyncze naruszenie albo do roku więzienia, a ustawa CIPA daje ludziom prawo do prywatnych pozwów, z których wyrosły całe fale pozwów zbiorowych. Illinois (720 ILCS 5/14-2) wymaga zgody wszystkich przy nagraniach „ukradkowych” — i dokłada drugą warstwę, o której mało kto słyszał: ustawę biometryczną BIPA (740 ILCS 14), która definiuje:

„»Biometric identifier« means a retina or iris scan, fingerprint, voiceprint, or scan of hand or face geometry.”

Odcisk głosu (voiceprint) to identyfikator biometryczny wymagający pisemnej zgody przed pobraniem, z ustawowymi odszkodowaniami 1 000–5 000 dolarów za naruszenie. Dla narzędzia AI, które rozpoznaje, kto mówi (a to standardowa funkcja przy analizie rozmów), to pytanie o być albo nie być na tamtym rynku — do dziś nie jest jednoznacznie rozstrzygnięte, w którym momencie „nagranie głosu” staje się „voiceprintem”.

Unia Europejska jako całość tej warstwy nie reguluje — prawo karne zostaje krajowe. RODO działa wszędzie tak samo, ale to, czy za nagranie idzie się do sądu karnego, zależy od kraju rozmówcy.

Zbierzmy to w jedno zdanie, bo ono robi całą robotę: ta sama rozmowa nagrana bez wiedzy rozmówcy to w Polsce problem administracyjny, w Niemczech przestępstwo zagrożone trzema latami, w Teksasie rzecz legalna, a w Kalifornii przestępstwo plus zaproszenie do pozwu zbiorowego. Firma, która „po prostu włącza nagrywanie” na jednej infolinii obsługującej kilka krajów, przekracza kilka systemów prawa naraz — zwykle o tym nie wiedząc.

Warstwa 3: czy wolno to analizować AI — i tu wchodzi drabina celów

Wracam do trenera sprzedaży, bo na nim widać najlepiej zasadę, od której zaczęliśmy: prawo nie ocenia czynności, prawo ocenia cel. Technicznie to jest ciągle to samo: nagranie, transkrypcja, analiza przez model językowy. Prawnie — w zależności od tego, PO CO to robisz i CZYJE rozmowy analizujesz — jesteś w jednym z pięciu zupełnie różnych światów. Ułożyłem je w drabinę, od najlżejszego do zakazanego. Znajdź na niej swój przypadek.

Szczebel 1: analizuję własne rozmowy

To mój dzisiejszy trener sprzedaży: nagrywam rozmowy, które sam prowadzę, i analizuję własną technikę sprzedaży. Najlżejszy prawnie przypadek — nie ma tu ani monitoringu pracownika (sam siebie nie „monitoruję” w rozumieniu Kodeksu pracy), ani oceny cudzej pracy.

Zostaje jednak druga strona słuchawki. Głos klienta to jego dane osobowe, więc RODO działa w pełni: potrzebuję podstawy prawnej przetwarzania (w praktyce najczęściej tzw. prawnie uzasadniony interes z art. 6 ust. 1 lit. f) i muszę spełnić obowiązek informacyjny z art. 13. I tu ważny detal, który wiele firm pomija: komunikat „ta rozmowa jest nagrywana” nie wystarcza. Art. 13 wymaga podania celu przetwarzania i podstawy prawnej, a przy zautomatyzowanej ocenie — więcej:

„[administrator podaje] informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.” (art. 13 ust. 2 lit. f RODO) Różnica między „nagrywamy” a „nagrywamy, analizujemy narzędziem AI w celu poprawy jakości obsługi, szczegóły w polityce prywatności pod adresem…” to różnica między naruszeniem a zgodnością.

Szczebel 2: voicebot rozmawia z klientami

Drugi przypadek z mojego podwórka (tak działa mój bot głosowy) — automat prowadzi rozmowę, nagrywa ją i analizuje. Wszystko ze szczebla 1 zostaje w mocy, a dochodzi przepis, który już obowiązuje i którego się nie odracza — art. 50 ust. 1 AI Act:

„Dostawcy zapewniają, aby systemy AI przeznaczone do wchodzenia w bezpośrednią interakcję z osobami fizycznymi projektowano i rozwijano w taki sposób, aby zainteresowane osoby fizyczne były informowane o tym, że prowadzą interakcję z systemem AI, chyba że jest to oczywiste z punktu widzenia osoby fizycznej, która jest dostatecznie poinformowana, uważna i ostrożna […]”

Krótko: człowiek musi wiedzieć, że rozmawia z AI. Voicebot, który udaje człowieka, jest wprost sprzeczny z prawem unijnym (chyba że kontekst czyni to oczywistym — ale na tę furtkę nie radzę stawiać). W praktyce: uczciwe przedstawienie się bota na początku rozmowy to nie kwestia dobrego smaku, tylko obowiązek prawny.

Szczebel 3: analizuję rozmowy i maile pracowników — pod kątem KLIENTÓW

Trzeci szczebel to moment, w którym narzędzie przestaje analizować mnie, a zaczyna analizować pracowników — ale jeszcze nie po to, żeby ich oceniać. Cel: wyciągać z rozmów i korespondencji potrzeby klientów, tematy serwisowe, pomysły na rozwój produktu. Pracownik jest na nagraniu, ale przedmiotem analizy jest klient i rynek.

W Polsce to jest prawnie wykonalne — ale przestaje być „po prostu włączam nagrywanie”. Kodeks pracy — art. 22² i 22³, tekst jednolity Dz.U. 2025 poz. 277 — traktuje nagrywanie rozmów i kontrolę poczty jako monitoring. Podstawą dla nagrań rozmów jest art. 22³ § 4:

„§ 4. Przepisy § 1–3 stosuje się odpowiednio do innych form monitoringu niż określone w § 1, jeśli ich zastosowanie jest konieczne do realizacji celów określonych w § 1.”

— gdzie cele z § 1 to „zapewnienie organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy”. A monitoring ma ustawowe warunki (art. 22² § 6–7, stosowane odpowiednio):

„§ 7. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem.”

W praktyce oznacza to:

• cel musi się mieścić w ustawowym katalogu — dla „innych form monitoringu” to zapewnienie organizacji pracy i właściwego użytkowania narzędzi (katalog jest wąski — zapamiętaj to, bo na szczeblu 4 zrobi się z tego problem);
• formalności są obowiązkowe: cele, zakres i sposób monitoringu wpisane do regulaminu pracy (albo obwieszczenia), poinformowanie pracowników co najmniej 2 tygodnie przed uruchomieniem, oznaczenie tego, co monitorowane;
• monitoring poczty nie może naruszać tajemnicy korespondencji — analiza służbowej skrzynki tak, zaglądanie w prywatne wątki nie;
• do tego RODO: obowiązek informacyjny wobec obu stron rozmowy i — przy systematycznej analizie na większą skalę — ocena skutków dla ochrony danych (DPIA), o której więcej za chwilę.

Firma, która „po prostu podpięła AI do nagrań z centralki”, pomija zwykle co najmniej trzy obowiązki ustawowe naraz. Nie dlatego, że robi coś niemożliwego do zalegalizowania — tylko dlatego, że nikt jej nie powiedział, że legalizacja wymaga papierów i dwóch tygodni wyprzedzenia.

Szczebel 4: analizuję pracowników — żeby ich OCENIAĆ

Czwarty szczebel to zmiana celu, nie techniki: te same nagrania, ale teraz system ocenia pracownika — jego technikę rozmowy, skuteczność sprzedażową, kompetencje. Od coachingu i rozwoju po wpływ na premie i decyzje kadrowe. I tu reżim tężeje skokowo, z trzech niezależnych stron.

Strona pierwsza — Kodeks pracy. Pamiętasz wąski katalog celów monitoringu ze szczebla 3? „Organizacja pracy” i „właściwe użytkowanie narzędzi” — czy mieści się w tym scoring jakości rozmów pracownika? Nie wiadomo. Literalne odczytanie przepisu jest wąskie i oceny pracownika w nim nie widać; część praktyków broni szerszej wykładni przez ogólne władztwo organizacyjne pracodawcy, ale nie znalazłem rozstrzygnięcia, na którym można by pewnie stanąć. To jest pierwsza duża szara strefa tego tematu — i firma, która na niej buduje, powinna wiedzieć, że buduje na piasku.

Strona druga — RODO. Trzy przepisy pracują tu razem. Art. 22 ust. 1:

„Osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa.”

Premia, nagana czy zwolnienie to podręcznikowe „istotne wpływy”. Konsekwencja projektowa: ocena AI może być wkładem do decyzji człowieka, nie decyzją. I nie wystarczy człowiek-pieczątka, który klika „zatwierdź” pod każdym wynikiem algorytmu — interwencja ludzka ma być realna (gdzie dokładnie leży granica między realną oceną a klepaniem wyników — to kolejna rzecz, której prawo jednoznacznie nie rozstrzyga). Art. 35 ust. 3 lit. a wymienia wprost przypadek, w którym ocena skutków dla ochrony danych (DPIA) jest obowiązkowa — zanim system ruszy, nie po fakcie:

„[DPIA jest wymagana w szczególności w przypadku] systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną”. DPIA to udokumentowana analiza: co przetwarzamy, po co, jakie ryzyka dla ludzi i jak je ograniczamy. Nie jest to „dobra praktyka” — to obowiązek, którego brak sam w sobie jest naruszeniem. I art. 88 z polskim Kodeksem pracy w tle: dane pracownika mają w RODO status szczególnie chroniony konstrukcyjnie, bo zgoda pracownika — z powodu nierównowagi stron — jest kruchą podstawą prawną. „Pracownik podpisał zgodę” nie załatwia sprawy, jeśli realnie nie mógł odmówić.

Strona trzecia — AI Act. Załącznik III pkt 4 lit. b zalicza do systemów wysokiego ryzyka:

„systemy AI przeznaczone do wykorzystywania do celów podejmowania decyzji wpływających na warunki stosunków pracy, decyzji o awansie lub rozwiązaniu umownego stosunku pracy, przydzielania zadań w oparciu o indywidualne zachowanie lub cechy osobowości lub charakter lub do monitorowania lub oceny wydajności i zachowania osób pozostających w takich stosunkach.”

Narzędzie oceniające rozmowy handlowców trafia w tę definicję wprost. Obowiązki wysokiego ryzyka (zarządzanie ryzykiem, dokumentacja, nadzór człowieka, jakość danych) zaczną obowiązywać 2 grudnia 2027 r. — to jest właśnie ta odroczona część. Ale uwaga na pułapkę z początku artykułu: odroczenie dotyczy TYLKO tej warstwy. Kodeks pracy i RODO ze stron pierwszej i drugiej obowiązują dziś.

Szczebel 5: odczytuję emocje pracownika z głosu — ZAKAZ

Szczyt drabiny jest krótki. Art. 5 ust. 1 lit. f AI Act:

„[Zakazuje się] wprowadzania do obrotu, oddawania do użytku w tym konkretnym celu lub wykorzystywania systemów AI do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych, z wyjątkiem przypadków, w których system AI ma zostać wdrożony lub wprowadzony do obrotu ze względów medycznych lub bezpieczeństwa;” To nie jest „wysokie ryzyko z obowiązkami” — to praktyka zakazana. Obowiązuje od 2 lutego 2025 r. i Digital Omnibus jej nie odroczył.

Dla twórców narzędzi to przepis do zapamiętania na poziomie odruchu, bo „analiza sentymentu rozmowy” to jedna z najczęściej zamawianych funkcji w narzędziach do analizy call center. Gdzie dokładnie przebiega granica między dozwoloną analizą merytoryczną (czy padły obowiązkowe formuły, czy klient dostał odpowiedź na pytanie) a zakazanym wnioskowaniem o emocjach (zdenerwowanie, entuzjazm, stres w głosie pracownika) — tego organy jeszcze nie rozstrzygnęły. Wiadomo tyle: im bliżej „ton głosu pracownika wskazuje na X”, tym bliżej zakazu. Ja w trenerze sprzedaży świadomie nie buduję analizy emocji — i każdemu, kto zamawia narzędzie „badające nastawienie handlowców”, radziłbym najpierw przeczytać ten przepis.

Cztery kraje, jedna rozmowa — tabela

Zbierzmy warstwy 2 i 3 w jedną tabelę. Czynność odniesienia: firma nagrywa rozmowę handlową swojego pracownika z klientem i analizuje ją AI (transkrypcja + ocena).

Pytanie	Unia Europejska	Polska	Niemcy	USA
Nagranie własnej rozmowy bez wiedzy rozmówcy — przestępstwo?	poza zakresem UE (prawo karne jest krajowe)	NIE dla uczestnika rozmowy (art. 267 KK karze podsłuch cudzej rozmowy)	TAK — do 3 lat (§ 201 StGB, także dla uczestnika; karalne też samo użycie nagrania)	federalnie NIE (one-party consent); TAK w stanach all-party (Kalifornia: 2 500 USD za naruszenie lub rok więzienia; Illinois)
Czy wolno jawnie nagrywać rozmowy handlowe pracowników?	tak: podstawa z RODO + pełna informacja + zwykle DPIA	tak, jako monitoring (art. 22³ KP): wąski cel + regulamin + 2 tygodnie uprzedzenia	tak, ale: zgoda rozmówcy (cień § 201) + zgoda rady zakładowej + surowa wykładnia zgody pracownika	tak; w stanach all-party — za zgodą wszystkich (standardowy komunikat na infolinii)
Czy AI może OCENIAĆ pracownika z nagrań?	wysokie ryzyko wg AI Act (obowiązki od 2.12.2027); decyzja wyłącznie automatyczna — co do zasady zakaz (art. 22 RODO)	cel z art. 22³ KP sporny dla scoringu (szara strefa)	jak UE + praktycznie niemożliwe bez porozumienia z radą zakładową	brak zakazu federalnego; Illinois od 2026: obowiązek powiadomienia; Nowy Jork: audyt stronniczości narzędzi rekrutacyjnych
Czy AI może czytać EMOCJE pracownika z głosu?	ZAKAZ, obowiązuje od 2.02.2025 (art. 5 AI Act)	zakaz unijny wprost	zakaz unijny wprost	brak odpowiednika; pośrednio: biometria (BIPA) i prawo antydyskryminacyjne
Głos jako biometria — osobny reżim?	tak, gdy służy identyfikacji (art. 9 RODO — szczególna kategoria)	jak UE	jak UE	Illinois BIPA: voiceprint = biometria; pisemna zgoda przed pobraniem; pozwy 1 000–5 000 USD za naruszenie
Kto to egzekwuje?	organy ochrony danych + organy nadzoru AI	UODO + nowa KRiBSI	organy ochrony danych + sądy karne + rada zakładowa	prokuratorzy stanowi + prywatne pozwy i pozwy zbiorowe

Dwie obserwacje z tej tabeli, istotne jeśli myślisz o ekspansji zagranicznej.

Niemcy są surowsze nie tam, gdzie się spodziewałem. Nie chodzi o to, że niemieckie RODO jest ostrzejsze — RODO jest wszędzie takie samo. Chodzi o trzy rzeczy obok RODO: prawo karne (§ 201), współdecydowanie rady zakładowej (w firmie z radą zakładową wdrożenie systemu monitorującego pracowników bez jej zgody jest bezskuteczne — to nie konsultacja, to współdecyzja) i bardzo surową wykładnię dobrowolności zgody pracownika. Sprzedaż narzędzia analizy rozmów niemieckiemu klientowi to nie „ten sam produkt, inny język” — to projekt negocjowany z radą zakładową.

Ameryka ma odwrotną filozofię egzekwowania. Mniej obowiązków na starcie, brak federalnego odpowiednika AI Act — ale za to prywatne pozwy z ustawowymi odszkodowaniami, mnożonymi przez liczbę naruszeń. W Europie ryzykiem jest kara od organu; w USA ryzykiem jest kancelaria, która zbierze pozew zbiorowy z tysiąca nagranych rozmów. Dla dostawcy narzędzia to drugie bywa groźniejsze.

Scenariusz transgraniczny: nie liczy się, gdzie stoi serwer

Najczęstsze pytanie, jakie słyszę przy tym temacie: „ale nasz system działa w Polsce, na polskich serwerach — to chyba polskie prawo?”. Nie. Liczy się, gdzie siedzi rozmówca.

Polski handlowiec dzwoni z Warszawy do klienta w Monachium — i wchodzi w zakres niemieckiego prawa karnego (niemiecka jurysdykcja może objąć czyn, którego skutek nastąpił w Niemczech; dokładne granice tej jurysdykcji to materia, w którą nie będę tu wchodził, bo wykracza poza mój research). Ten sam handlowiec dzwoni do Los Angeles — i kalifornijskie sądy stosują swoje wymogi zgody wszystkich stron także do rozmów przychodzących spoza stanu. Jedna infolinia obsługująca Polskę, Niemcy i USA musi więc albo spełniać najsurowszy wspólny mianownik, albo różnicować proces per kraj.

Z praktyki budowy takich narzędzi podpowiem wzorzec, który jest brutalnie prosty i skuteczny: wykluczenie jurysdykcji w kodzie. Jeśli narzędzie nie jest gotowe na reżim danego kraju, nie powinno móc tam zadzwonić — numer kierunkowy +49 blokowany na poziomie systemu, nie polityki w PDF-ie, o której handlowiec zapomni. Mój generator leadów działa tylko na Polskę nie dlatego, że nie umiałbym dodać innych krajów technicznie — tylko dlatego, że każdy nowy kraj to nowy audyt prawny, i tabela wyżej pokazuje dlaczego.

Druga praktyczna zasada: zapowiedź nagrywania na początku rozmowy to najtańsza polisa, jaka istnieje. W Polsce domyka obowiązek informacyjny, w Niemczech chroni przed sprawą karną, w Kalifornii — przed pozwem. Jeden komunikat, trzy systemy prawa. Jeżeli z tego artykułu miałbyś wdrożyć jedną rzecz, wdroż tę.

Kto za co odpowiada — twórca kontra zlecający

Teraz część, którą piszę z perspektywy obu krzeseł, bo na obu siedzę: buduję narzędzia dla innych i wdrażam własne. Kiedy firma zamawia u konsultanta narzędzie do analizy rozmów, powstaje układ trzech ról — i większość sporów (oraz kar) bierze się z tego, że nikt na starcie nie ustalił, kto jest kim.

Rola 1: zlecający (firma wdrażająca) — główny adresat obowiązków

W języku RODO firma, która decyduje po co i czyje dane są przetwarzane, jest administratorem danych. W języku AI Act — podmiotem stosującym. Z tych dwóch etykiet wynika główny pakiet obowiązków:

• legalność samego użycia: podstawy prawne, zgody, obowiązki informacyjne wobec klientów i pracowników;
• formalności prawa pracy: regulamin, uprzedzenie, konsultacje;
• DPIA przed startem, gdy system ocenia ludzi;
• nadzór człowieka nad systemem i informowanie pracowników o jego użyciu (to akurat z AI Act, od końca 2027);
• oraz — co umyka najczęściej — odpowiedzialność za to, jak narzędzie jest faktycznie używane, niezależnie od tego, kto je zbudował.

Jeśli prowadzisz firmę i zamawiasz takie narzędzie: „kupiłem od profesjonalisty” nie jest linią obrony. To Ty decydujesz o celach — to na Tobie wisi legalność użycia.

Rola 2: twórca (konsultant, software house) — mniej obowiązków, ale osobistych

Twórca działający na danych klienta jest w języku RODO podmiotem przetwarzającym (procesorem). I tu niespodzianka dla kolegów po fachu: RODO nakłada na procesora bezpośrednią odpowiedzialność — art. 82 przewiduje, że osoba poszkodowana może dochodzić odszkodowania także od procesora, jeśli ten nie dopełnił swoich obowiązków. „To klient jest administratorem, ja tylko koduję” chroni słabiej, niż się wydaje.

Z praktyki — trzy mechanizmy, które twórca powinien mieć w umowie i w produkcie:

1. Zgodność wbudowana w projekt (compliance by design). Narzędzie ma być tak zbudowane, żeby MOGŁO być używane legalnie: bramki zgód, zapowiedź nagrywania, ograniczenia retencji, pseudonimizacja przed wysłaniem danych do modelu, wykluczenia jurysdykcji w kodzie. Tego nie da się dokleić na końcu — to decyzje architektoniczne.
2. Obowiązek ostrzeżenia. RODO (art. 28) wprost przewiduje, że procesor informuje administratora, gdy polecenie narusza jego zdaniem przepisy. W umowie warto to wzmocnić: ostrzegam na piśmie, a jeśli klient podtrzymuje polecenie mimo ostrzeżenia — odpowiedzialność przechodzi na niego. Poleceń jawnie bezprawnych po prostu się nie wykonuje.
3. Pułapka limitu odpowiedzialności. Standardowa umowa ma limit odpowiedzialności wykonawcy (np. do wysokości wynagrodzenia) — i standardowo ma też wyjątek: „limit nie dotyczy roszczeń osób trzecich”. A teraz uwaga: naruszenia ochrony danych to prawie zawsze właśnie roszczenia osób trzecich — pozywa nagrany klient albo oceniany pracownik, nie strona umowy. Czyli w najbardziej prawdopodobnym scenariuszu sporu limit, na którym polegasz, nie działa. Sprawdź swój wzór umowy, zanim zrobi to za Ciebie cudzy pełnomocnik.

Rola 3: pułapka trzecia — kto jest „dostawcą” wg AI Act?

AI Act rozróżnia dostawcę systemu (tego, kto oddaje system do użytku pod własną nazwą) i podmiot stosujący (tego, kto go używa). Przy pudełkowym sofcie sprawa jest prosta. Ale przy narzędziu szytym na miarę — zbudowanym na zlecenie, z przeniesieniem praw autorskich, wdrożonym pod marką klienta — granica się rozmywa: firma, która wdraża u siebie narzędzie zbudowane przez konsultanta, może wejść w buty dostawcy z pełnym pakietem obowiązków wysokiego ryzyka. Kto tym dostawcą jest w konkretnym układzie zleceniodawca–wykonawca, trzeba rozstrzygnąć w umowie, zanim obowiązki wysokiego ryzyka wejdą w życie (grudzień 2027) — bo po fakcie będzie to rozstrzygał organ, a żadna ze stron nie będzie zadowolona z wyniku.

Checklista dla zlecającego: 13 pytań, zanim wdrożysz analizę rozmów

1. Czy mam podstawę prawną przetwarzania dla każdej grupy osób na nagraniach (klienci osobno, pracownicy osobno)?
2. Czy mój komunikat spełnia pełny obowiązek informacyjny (cel + podstawa + informacja o analizie AI), a nie tylko „rozmowa jest nagrywana”?
3. Jeśli dzwonimy „na zimno”: czy mam uprzednią zgodę na sam kontakt (PKE — także B2B)?
4. Czy cel monitoringu pracowników mieści się w katalogu z art. 22³ Kodeksu pracy — a jeśli celem jest ocena pracowników, czy wiem, że to szara strefa?
5. Czy monitoring jest wpisany do regulaminu pracy i czy pracownicy dostali informację min. 2 tygodnie przed startem?
6. Czy zrobiłem DPIA przed uruchomieniem systemu oceniającego ludzi?
7. Czy decyzje o pracownikach (premie, oceny, zwolnienia) podejmuje człowiek, a wynik AI jest tylko wkładem — i czy ta interwencja człowieka jest realna, nie rytualna?
8. Czy system nie wnioskuje o emocjach pracowników (zakaz od 2.02.2025)?
9. Czy voicebot przedstawia się jako AI na początku rozmowy?
10. Czy wiem, w jakich krajach siedzą moi rozmówcy — i czy system blokuje kierunki, na które nie jesteśmy prawnie gotowi?
11. Czy każdy zewnętrzny system w łańcuchu (telefonia, transkrypcja, model AI, CRM) ma umowę powierzenia danych, a transfery poza EOG — podstawę prawną? Czy konta API mają wyłączone trenowanie na moich danych?
12. Czy w umowie z wykonawcą narzędzia jest jasne, kto jest administratorem, kto procesorem i kto dostawcą wg AI Act?
13. Czy wiem, jakich narzędzi AI pracownicy używają na własną rękę (shadow AI) — i czy zamiast zakazu dałem im firmowy, bezpieczny kanał + krótką politykę użycia AI?

Checklista dla twórcy: 12 pytań, zanim przyjmiesz zlecenie

1. Czy wiem, do czego naprawdę klient będzie używał narzędzia (deklarowany cel vs realny)? To jego cel określa reżim prawny — i moje ryzyko.
2. Czy w umowie jestem jasno umocowany jako procesor z określonym zakresem poleceń — i czy mam umowę powierzenia (DPA), a nie tylko NDA?
3. Czy mam w umowie obowiązek ostrzeżenia + przejście odpowiedzialności, gdy klient podtrzyma polecenie mimo ostrzeżenia?
4. Czy mój limit odpowiedzialności obejmuje roszczenia osób trzecich — czy właśnie je wyłącza (najczęstsza dziura)?
5. Czy rozstrzygnęliśmy, kto jest „dostawcą” wg AI Act dla narzędzia szytego na miarę?
6. Czy narzędzie ma compliance wbudowane w architekturę: bramki zgód, zapowiedź nagrywania, retencję, pseudonimizację przed modelem, wykluczenia jurysdykcji w kodzie?
7. Czy funkcje, o które prosi klient, nie wpadają w zakazaną analizę emocji — i czy umiem odmówić, gdy wpadają?
8. Czy rozwój prowadzę na danych fikcyjnych/testowych, a produkcja działa na infrastrukturze i kontach klienta (czysty podział odpowiedzialności operacyjnej)?
9. Czy każdy podwykonawca w moim stacku (API modeli, transkrypcja, hosting) jest formalnie podpowierzony i czy klient o nim wie?
10. Czy dane wychodzące poza EOG (większość API modeli AI!) mają podstawę transferu?
11. Czy mam ślad dokumentacyjny: kto kazał, co ostrzegłem, co odradziłem? W sporze to jest moja polisa.
12. Czy powiedziałem klientowi uczciwie o szarych strefach — czy sprzedaję mu pewność, której prawo nie daje?

Co zrobić w poniedziałek

Jeśli dotarłeś tutaj i myślisz „u nas część z tego działa bez tych papierów” — spokojnie. Większość z tego da się uporządkować szybciej, niż się wydaje, i lepiej zrobić to teraz, po swojemu, niż później, po kontroli. Kolejność, którą sam bym przyjął:

1. Zinwentaryzuj, co nagrywasz i analizujesz — wszystkie miejsca, gdzie rozmowy albo korespondencja trafiają do jakiegokolwiek systemu AI. Zwykle wychodzi więcej, niż firma pamięta.
2. Dla każdego przypadku nazwij CEL — i znajdź go na drabinie z tego artykułu. To jedna kartka, a porządkuje wszystko: inny szczebel, inny zestaw obowiązków.
3. Napraw komunikaty — pełna informacja zamiast „rozmowa jest nagrywana”; voicebot przedstawia się jako AI. To najtańsze poprawki o największym efekcie.
4. Uzupełnij formalności monitoringu, jeśli analizujesz rozmowy pracowników: regulamin, dwutygodniowe uprzedzenie, oznaczenia.
5. Zrób DPIA, jeśli system ocenia ludzi — a decyzje kadrowe przeprojektuj tak, by AI był wkładem, nie decydentem.
6. Wyłącz albo nie zamawiaj analizy emocji. Ten jeden przepis już obowiązuje i nie ma wokół niego sporu co do zasady — jest tylko szara granica, od której lepiej trzymać się z daleka.
7. Uporządkuj umowy: administrator–procesor–dostawca, obowiązek ostrzeżenia, limit odpowiedzialności, podpowierzenia i transfery poza EOG.
8. Jeśli działasz za granicę — audyt per kraj PRZED otwarciem kierunku, a do tego czasu wykluczenia w kodzie.

Czego ten artykuł nie rozstrzyga — szare strefy, o których warto wiedzieć

Obiecałem uczciwość, więc na koniec lista rzeczy, których na dziś nie wiadomo na pewno — nie dlatego, że słabo szukałem, tylko dlatego, że prawo jeszcze tego nie rozstrzygnęło. Traktuj je jako mapę ryzyka, nie jako dziury do zignorowania:

• Czy ocena/scoring pracowników mieści się w celach monitoringu z art. 22³ Kodeksu pracy — najważniejsza szara strefa dla całego tematu oceny handlowców w Polsce.
• Gdzie kończy się „realna interwencja człowieka” przy decyzjach wspieranych przez AI (art. 22 RODO), a zaczyna klepanie wyników algorytmu.
• Granica między analizą merytoryczną rozmowy a zakazanym wnioskowaniem o emocjach (art. 5 AI Act) — zwłaszcza dla funkcji typu „analiza sentymentu”.
• Kiedy nagranie głosu staje się biometrycznym „voiceprintem” (identyfikacja mówiącego, diaryzacja) — kluczowe dla rynku USA (Illinois BIPA) i dla art. 9 RODO.
• Dokładny zasięg niemieckiego prawa karnego i kalifornijskich wymogów dla rozmów transgranicznych prowadzonych z Polski.
• Kto jest „dostawcą” wg AI Act przy narzędziach budowanych na zlecenie — do rozstrzygnięcia umownie, bo praktyki organów jeszcze nie ma.
• Pozycja pracodawcy nagrywającego rozmowy, w których sam nie uczestniczy, na gruncie art. 267 Kodeksu karnego.

Każdą z tych rzeczy da się zaadresować projektowo — konserwatywnym ustawieniem narzędzia, uczciwym komunikatem, zapisem w umowie. Nie da się jednej: udawania, że problemu nie ma.

Wykaz aktów prawnych (wszystkie linki prowadzą do oficjalnych publikatorów)

Unia Europejska

• RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 (ogólne rozporządzenie o ochronie danych): EUR-Lex, tekst polski
• AI Act — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.06.2024 w sprawie sztucznej inteligencji: EUR-Lex, tekst polski
• Digital Omnibus on AI — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8.07.2026, zmieniające AI Act (opublikowane w Dz.Urz. UE 24.07.2026): EUR-Lex

Polska

• Kodeks pracy (art. 22² — monitoring wizyjny, art. 22³ — inne formy monitoringu) — tekst jednolity: Dz.U. 2025 poz. 277
• Kodeks karny (art. 267 — bezprawne uzyskanie informacji) — tekst jednolity: Dz.U. 2025 poz. 383 (ISAP)
• Prawo komunikacji elektronicznej (art. 398 — zgoda na marketing bezpośredni): Dz.U. 2024 poz. 1221
• Ustawa o systemach sztucznej inteligencji (uchwalona 11.06.2026, podpisana 24.07.2026; w chwili publikacji tego artykułu oczekuje na ogłoszenie w Dzienniku Ustaw): przebieg procesu legislacyjnego, druk sejmowy 2443
• Stanowiska UODO dot. monitoringu i nagrań: uodo.gov.pl

Niemcy

• StGB § 201 (naruszenie poufności słowa — przestępstwo nagrywania): gesetze-im-internet.de
• BDSG § 26 (dane osobowe zatrudnionych): gesetze-im-internet.de
• BetrVG § 87 (współdecydowanie rady zakładowej, pkt 6 — systemy monitorujące): gesetze-im-internet.de

USA

• 18 U.S.C. § 2511 (federalna zasada one-party consent — § 2511(2)(d)): Cornell Law School, Legal Information Institute
• Kalifornia — Penal Code § 632 (all-party consent, CIPA): leginfo.legislature.ca.gov
• Illinois — 720 ILCS 5/14-2 (eavesdropping, all-party): ilga.gov
• Illinois — BIPA, 740 ILCS 14 (biometria, w tym voiceprint): ilga.gov

---

Wszystkie cytaty w tym artykule pochodzą wprost z tekstów aktów prawnych wymienionych w wykazie powyżej (pobranych z oficjalnych publikatorów w lipcu 2026; skróty w cytatach oznaczone […]). Stan prawny: 26 lipca 2026. To materiał edukacyjny — opisuje przepisy i praktykę ich stosowania, ale nie zastępuje oceny prawnej Twojego konkretnego przypadku.

Jeśli budujesz albo wdrażasz narzędzia AI dotykające rozmów z ludźmi i chcesz przejść przez tę drabinę na swoim przypadku — odezwij się, chętnie pokażę, jak to układamy w praktyce. Rozwiązania opisane w tym artykule — od Generatora Leadów, przez Trenera Sprzedaży, po Boty głosowe — oferuję jako gotowe produkty: pełen przegląd znajdziesz na aiwbiznesie.online/produkty.