AI trafia do firm z nieruchomości kilkoma drzwiami naraz: asystent odpowiada na zapytania o lokale, model odczytuje umowy i inne dokumenty PDF, a AI pisze szkic oferty. W każdym z tych miejsc przez system przechodzą dane osobowe najemców, właścicieli i klientów.
Dla takich wdrożeń liczą się dwa akty prawa UE. RODO (rozporządzenie 2016/679) mówi, jak wolno przetwarzać dane osobowe, także wtedy, gdy robi to model AI. AI Act (rozporządzenie 2024/1689) dokłada obowiązki związane z samą technologią, a część jego przepisów i terminów zmieniło w lipcu 2026 r. rozporządzenie Digital Omnibus 2026/1744.
Poniżej zbieramy, co z tego wynika dla zarządcy, dewelopera i agencji, stan na 21.10.2026. Jak ułożyć sam odczyt dokumentów, żeby AI proponowała, a człowiek zatwierdzał, opisaliśmy osobno w tekście o odczycie umów najmu przez AI. To nie jest porada prawna; szczegóły swojej sytuacji warto sprawdzić z prawnikiem.
Dostawca AI to podmiot przetwarzający
Gdy usługa AI przetwarza dane osobowe w imieniu Twojej firmy, na przykład odczytuje umowę najmu z danymi najemcy, jej dostawca jest w rozumieniu RODO podmiotem przetwarzającym. Art. 28 pozwala korzystać tylko z takich podmiotów, które dają wystarczające gwarancje, i wymaga umowy powierzenia przetwarzania danych.
RODO wymienia, co musi być w takiej umowie, między innymi:
- przedmiot i czas trwania przetwarzania;
- charakter i cel przetwarzania;
- rodzaj danych osobowych i kategorie osób, których dane dotyczą;
- zasadę, że dostawca przetwarza dane wyłącznie na udokumentowane polecenie administratora, także gdy chodzi o przekazanie ich do państwa trzeciego;
- zasadę, że dalszy podmiot przetwarzający, czyli podwykonawca dostawcy, może się pojawić tylko za pisemną zgodą administratora.
Przed podłączeniem usługi AI warto przeczytać jej umowę powierzenia i listę podwykonawców. Ta sama zasada dotyczy nas jako wykonawcy: jeśli przy budowie systemu mamy dostęp do danych osobowych, umowę powierzenia zawieramy przed rozpoczęciem pracy.
Dane poza Europejskim Obszarem Gospodarczym
Usługa AI może przetwarzać dane na serwerach poza Europejskim Obszarem Gospodarczym (EOG). RODO na to pozwala, ale tylko na warunkach rozdziału V:
- Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony w danym państwie (art. 45);
- albo są odpowiednie zabezpieczenia, na przykład standardowe klauzule umowne (art. 46);
- w wyjątkowych sytuacjach przekazanie może się opierać na art. 49.
Osobom, od których zbierasz dane, mówisz o tym już przy ich zbieraniu. Art. 13 wymaga informacji między innymi o odbiorcach danych, ich przekazaniu poza EOG, okresie przechowywania i prawach tej osoby. Jeśli wprowadzasz AI do obsługi klientów, przejrzyj pod tym kątem klauzulę informacyjną.
Decyzje automatyczne: gdzie musi wejść człowiek
Art. 22 RODO daje każdemu prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli wywołuje ona wobec niego skutki prawne albo w podobny sposób istotnie na niego wpływa. Są wyjątki, na przykład gdy decyzja jest niezbędna do zawarcia lub wykonania umowy albo gdy osoba wyraziła wyraźną zgodę. Wtedy administrator musi zapewnić co najmniej prawo do interwencji człowieka, do wyrażenia własnego stanowiska i do zakwestionowania decyzji.
Załóżmy, że system sam ocenia zgłoszenia kandydatów na najemców i bez udziału pracownika odrzuca część z nich. Czy taka decyzja istotnie wpływa na kandydata, trzeba ocenić w konkretnym przypadku, ale to dokładnie obszar art. 22. Prostszy projekt: AI porządkuje zgłoszenia, a decyduje pracownik.
O zautomatyzowanych decyzjach trzeba też poinformować. Jeśli je podejmujesz, art. 13 wymaga podania istotnych informacji o zasadach ich podejmowania.
Ocena skutków dla ochrony danych (DPIA)
Jeśli przetwarzanie z dużym prawdopodobieństwem niesie wysokie ryzyko dla osób, administrator przed jego rozpoczęciem przeprowadza ocenę skutków dla ochrony danych, w skrócie DPIA (art. 35). RODO wymienia wprost systematyczną ocenę osób z profilowaniem, na której opierają się decyzje wywołujące skutki prawne.
Zmiany w RODO zaproponowane w pakiecie Digital Omnibus (procedura 2025/0360(COD)) nie zostały przyjęte: stan na 21.10.2026, projekt czeka na decyzję komisji Parlamentu Europejskiego. Obowiązuje dotychczasowy tekst RODO, w tym art. 22.
AI Act: co obowiązuje już dziś
Art. 4 AI Act, o kompetencjach w zakresie AI, stosuje się od 2 lutego 2025 r. Od 27 lipca 2026 r., po zmianie wprowadzonej przez Digital Omnibus, mówi on o środkach, które wspierają rozwój kompetencji osób pracujących z AI. Przepis zastrzega przy tym, że nie chodzi o zapewnienie, by każda z tych osób osiągnęła określony poziom kompetencji.
Praktyczny początek: krótka instrukcja dla zespołu, co AI w systemie robi, gdzie się myli i kto zatwierdza jej wynik.
Asystent AI w rozmowie z klientem: art. 50
Od 2 sierpnia 2026 r. stosuje się art. 50 AI Act o przejrzystości. Digital Omnibus nie przesunął tej ogólnej daty, ale dodał jeden wyjątek opisany niżej. Liczą się trzy ustępy.
- Ust. 1. Dostawca systemu AI, który rozmawia bezpośrednio z ludźmi, projektuje go tak, by człowiek wiedział, że rozmawia z AI, chyba że jest to oczywiste. Informacja ma paść najpóźniej przy pierwszej interakcji (ust. 5). To obowiązek dostawcy systemu, a nie firmy, która z niego tylko korzysta.
- Ust. 2. Dostawca generatywnej AI oznacza jej wynik w formacie nadającym się do odczytu maszynowego jako wygenerowany lub zmieniony przez AI. Wyjątkiem jest funkcja pomocnicza standardowej edycji. Dostawcy generatywnej AI wprowadzonej na rynek przed 2 sierpnia 2026 r. mają na to czas do 2 grudnia 2026 r.
- Ust. 4. Firma stosująca AI ujawnia, że deepfake został wygenerowany lub zmieniony przez AI. To samo dotyczy tekstu o sprawach interesu publicznego, chyba że przeszedł weryfikację człowieka lub kontrolę redakcyjną i ktoś ponosi za niego odpowiedzialność redakcyjną.
Jeśli budujemy dla Ciebie asystenta, który odpowiada najemcom albo klientom agencji, pierwsza wiadomość mówi wprost, że to asystent AI. Kto w takim układzie jest dostawcą w rozumieniu AI Act, warto ocenić z prawnikiem. Uzgodniony podział obowiązków dobrze potem zapisać w umowie wdrożeniowej.
Najemcy, scoring i systemy wysokiego ryzyka
Najwięcej pytań budzi selekcja najemców. Załącznik III AI Act, czyli lista obszarów wysokiego ryzyka, nie wymienia najmu mieszkań. Mieszkalnictwo pojawia się tylko w motywie 58, jako przykład podstawowej usługi, o dostępie do której może decydować scoring.
Wysokie ryzyko obejmuje natomiast systemy AI do oceny zdolności kredytowej osób fizycznych lub ustalania ich scoringu kredytowego, z wyjątkiem wykrywania oszustw finansowych (załącznik III pkt 5 lit. b). Jeśli Twój system faktycznie ocenia zdolność kredytową albo scoring kandydata, który jest osobą fizyczną, to jest właśnie ten punkt, niezależnie od nazwy funkcji.
Terminy dla systemów wysokiego ryzyka zostały przesunięte: wymagania dla systemów z załącznika III stosuje się od 2 grudnia 2027 r., a dla produktów z załącznika I od 2 sierpnia 2028 r. Pierwotnie były to 2 sierpnia 2026 r. i 2 sierpnia 2027 r. Przesunięcie nie dotyczy RODO: art. 22 i ocena skutków obowiązują już teraz.
Lista kontrolna przed wdrożeniem AI
- Spisz, gdzie AI dotyka danych osobowych: asystent, odczyt dokumentów, szkice ofert, raporty.
- Dla każdej usługi AI sprawdź umowę powierzenia i zasady dotyczące podwykonawców.
- Ustal, gdzie dostawca przetwarza dane. Jeśli poza EOG, sprawdź, na jakiej podstawie z rozdziału V RODO.
- Przejrzyj klauzulę informacyjną: odbiorcy, przekazanie poza EOG, okres przechowywania, decyzje automatyczne.
- Ułóż proces tak, by decyzje istotne dla człowieka podejmował pracownik, a system zapisywał, kto i kiedy je zatwierdził.
- Oceń, czy potrzebna jest ocena skutków (DPIA), i przeprowadź ją przed startem.
- Jeśli masz asystenta AI, sprawdź, czy już w pierwszej wiadomości mówi, że jest AI.
- Jeśli jakakolwiek funkcja ocenia zdolność kredytową lub scoring osoby fizycznej, potraktuj ją jak system z załącznika III pkt 5 lit. b i skonsultuj to z prawnikiem.
- Wysyłaj do usługi AI tylko te dane, których naprawdę potrzebuje konkretne zadanie.
Jak podchodzimy do tego w systemach na zamówienie
Korzystamy z gotowych modeli AI, nie trenujemy własnych. Z jakich usług AI korzysta system i jakie dane do nich trafiają, ustalamy z Tobą przed wdrożeniem. AI może się pomylić, więc jej wynik najpierw sprawdza człowiek.
Moduł przetwarzający dokumenty PDF z wykorzystaniem AI zbudowaliśmy w systemie do zarządzania portfelem nieruchomości komercyjnych: 11 tygodni pracy, cztery etapy, każdy zamknięty protokołem odbioru. Asystent rozmawiający z klientami i odczyt umów najmu to na razie nasza propozycja, a nie zrealizowany projekt.
Jeśli planujesz AI w swojej firmie i chcesz od początku ułożyć ją zgodnie z RODO i AI Act, opisz nam w kilku zdaniach, co ma robić. Odpowiemy, od czego warto zacząć, i umówimy bezpłatną konsultację. Orientacyjny koszt modułów AI złożysz w konstruktorze orientacyjnej ceny; to orientacyjnie, wycena jest indywidualna.
Źródła
- Rozporządzenie (UE) 2016/679 (RODO), art. 13, 22, 28, 35, 44, 45, 46 i 49, sprawdzono 21.10.2026
- Rozporządzenie (UE) 2024/1689 (AI Act), art. 4, 50 i 113, załącznik III, motyw 58, sprawdzono 21.10.2026
- Rozporządzenie (UE) 2026/1744 (Digital Omnibus), Dz.Urz. UE L 2026/1744 z 24.07.2026, sprawdzono 21.10.2026
- Parlament Europejski, Legislative Observatory, procedura 2025/0360(COD), sprawdzono 21.10.2026
