Wiedza · RODO i AI Act

RODO i AI Act art. 50: checklista chatbota firmy PV

Checklista przed wdrożeniem asystenta na stronie firmy fotowoltaicznej: kto jest administratorem, od kiedy obowiązuje art. 50 AI Act, co musi być w umowie powierzenia i jaka jest prawdziwa granica danych u dostawcy modelu.

Art. 50 AI Act od 2 sierpnia 2026

Od 2 sierpnia 2026 chatbot musi poinformować, że rozmowa jest z maszyną, najpóźniej przy pierwszej interakcji, jasno i dostępnie. Dotyczy to także voicebotów. U Asystenta PV disclosure jest w pierwszej wiadomości widgetu; podtytuł panelu wskazuje asystenta AI pod marką klienta. My dajemy mechanizm , klient zobowiązuje się go nie wyłączać.

RODO: administrator vs procesor

Firma PV, która stawia czat u siebie, jest administratorem. Dostawca Asystenta PV jest podmiotem przetwarzającym (procesorem). Odpowiedzialność końcowa zostaje po stronie administratora.

Siedem elementów umowy powierzenia (art. 28)

Umowa powierzenia (DPA) musi zawierać siedem obowiązkowych elementów; brak jednego unieważnia konstrukcję. W pakiecie wdrożeniowym klient dostaje komplet papierów: DPA, klauzulę informacyjną, wykaz podprocesorów i podstawę transferu , żeby nie składać tego od zera.

Co Asystent PV robi technicznie

• Disclosure AI przy pierwszej interakcji (art. 50)
• Dziennik pytań: pytanie, kanał, tryb, data , bez adresu IP i nazwiska w opisie produktu; IP tylko jako solony skrót do limitu zapytań
• Retencja po naszej stronie: 12 miesięcy, potem kasowanie
• Widget nie dokłada ciasteczek analitycznych do witryny klienta (to produkt, nie strona sprzedażowa asystentpv.pl)

Co dzieje się z treścią pytania u dostawcy modelu

Pytanie i fragment bazy wiedzy potrzebny do odpowiedzi idą do dostawcy modelu (Groq) na czas wygenerowania odpowiedzi. Mamy włączone ZDR (zero data retention). Transfer do USA oparty jest o SCC w załączniku umowy. Nie twierdzimy, że „żadne dane nigdy nie wychodzą” , to byłoby marketingowe kłamstwo. Oferta modelu na własnej maszynie klienta istnieje jako wariant, nie jako domyślny stan kodu.

Checklista przed wdrożeniem

1. Ustalcie, że firma PV = administrator, dostawca czatu = procesor.
2. Podpiszcie DPA z siedmioma elementami i przejrzyjcie wykaz podprocesorów.
3. Włączcie i nie wyłączajcie disclosure AI przy pierwszej wiadomości.
4. Opiszcie w klauzuli informacyjnej dziennik (bez IP/nazwiska) i retencję 12 miesięcy.
5. Ujawnijcie transfer do dostawcy modelu (Groq, USA + SCC) oraz ZDR.
6. Nie obiecuje się klientom końcowym „zerowego egressu” poza tym, co jest w DPA.

Czego nie obiecujemy: i dlaczego to buduje zaufanie

Nie mówimy, że dane „nigdy nie opuszczają Polski” bez zastrzeżenia o modelu. Nie sprzedajemy wyłączności bazy OffgridKB. Nie zastępujemy Waszego prawnika. Szczerość o granicy danych jest argumentem sprzedażowym w 2026, nie drobnym drukiem.

Opublikowano: 23.09.2026 · Asystent PV