Штучний інтелект (ШІ) приходить у компанії з нерухомості одразу кількома дверима: асистент відповідає на запитання про приміщення, модель читає договори оренди та інші PDF-документи, а ШІ пише чернетку пропозиції. У кожному з цих місць через систему проходять персональні дані орендарів, власників і клієнтів.
Для таких впроваджень важать два акти права ЄС. GDPR (регламент 2016/679, у Польщі його називають RODO) визначає, як можна обробляти персональні дані, зокрема тоді, коли це робить модель ШІ. AI Act (регламент 2024/1689) додає обов’язки, пов’язані із самою технологією, а частину його положень і строків у липні 2026 р. змінив регламент Digital Omnibus 2026/1744.
Нижче ми зібрали, що з цього випливає для управителя нерухомості (zarządca), забудовника й агентства в Польщі, станом на 21.10.2026. Як побудувати саме читання документів, щоб ШІ пропонував, а людина затверджувала, ми описали окремо в тексті про читання договорів оренди за допомогою ШІ. Це не юридична консультація; подробиці своєї ситуації варто перевірити з юристом.
Постачальник ШІ є обробником даних
Коли сервіс ШІ обробляє персональні дані від імені вашої компанії, наприклад читає договір оренди з даними орендаря, його постачальник за GDPR є обробником (podmiot przetwarzający). Стаття 28 дозволяє користуватися лише такими обробниками, які дають достатні гарантії, і вимагає договору доручення обробки даних (umowa powierzenia).
GDPR перелічує, що має бути в такому договорі, зокрема:
- предмет і тривалість обробки;
- характер і мета обробки;
- вид персональних даних і категорії осіб, яких вони стосуються;
- правило, що постачальник обробляє дані лише за задокументованою вказівкою адміністратора, зокрема коли йдеться про передачу до третьої країни;
- правило, що наступний обробник, тобто субпідрядник постачальника, може з’явитися лише з письмової згоди адміністратора.
Перед підключенням сервісу ШІ варто прочитати його договір доручення і список субпідрядників. Те саме правило стосується й нас як виконавця: якщо під час створення системи ми маємо доступ до персональних даних, договір доручення укладаємо до початку роботи.
Дані за межами Європейської економічної зони
Сервіс ШІ може обробляти дані на серверах за межами Європейської економічної зони (ЄЕЗ). GDPR це дозволяє, але лише на умовах розділу V:
- Європейська комісія ухвалила рішення про належний рівень захисту в цій країні (ст. 45);
- або є належні гарантії, наприклад стандартні договірні положення (ст. 46);
- у виняткових ситуаціях передача може спиратися на ст. 49.
Людям, чиї дані ви збираєте, про це треба сказати вже під час збору. Стаття 13 вимагає повідомити, серед іншого, про отримувачів даних, їхню передачу за межі ЄЕЗ, строк зберігання і права цієї особи. Якщо ви запроваджуєте ШІ в роботу з клієнтами, перегляньте під цим кутом інформаційне повідомлення.
Автоматизовані рішення: де має втрутитися людина
Стаття 22 GDPR дає кожному право не підлягати рішенню, яке ґрунтується виключно на автоматизованій обробці, якщо воно породжує для людини правові наслідки або так само істотно на неї впливає. Винятки є, наприклад коли рішення необхідне для укладення чи виконання договору або коли людина дала явну згоду. Тоді адміністратор має забезпечити щонайменше право на втручання людини, на висловлення власної позиції та на оскарження рішення.
Припустімо, що система сама оцінює заявки кандидатів в орендарі й без участі працівника відхиляє частину з них. Чи таке рішення істотно впливає на кандидата, треба оцінювати в конкретному випадку, але це саме сфера ст. 22. Простіша схема: ШІ впорядковує заявки, а вирішує працівник.
Про автоматизовані рішення також треба повідомляти. Якщо ви їх ухвалюєте, ст. 13 вимагає надати суттєву інформацію про принципи, за якими вони ухвалюються.
Оцінка впливу на захист даних (DPIA)
Якщо обробка з великою ймовірністю несе високий ризик для людей, адміністратор до її початку проводить оцінку впливу на захист даних, скорочено DPIA (ст. 35). GDPR прямо називає систематичну оцінку людей із профілюванням, на якій ґрунтуються рішення з правовими наслідками.
Зміни до GDPR, запропоновані в пакеті Digital Omnibus (процедура 2025/0360(COD)), не ухвалені: станом на 21.10.2026 проєкт чекає рішення комітету Європейського парламенту. Чинним лишається попередній текст GDPR, разом зі ст. 22.
AI Act: що діє вже сьогодні
Стаття 4 AI Act про компетентність у сфері ШІ застосовується з 2 лютого 2025 р. З 27 липня 2026 р., після зміни, яку вніс Digital Omnibus, вона говорить про заходи, що підтримують розвиток компетенцій людей, які працюють зі ШІ. Норма прямо застерігає, що йдеться не про те, щоб кожна з цих людей досягла визначеного рівня компетенцій.
Практичний початок: коротка інструкція для команди про те, що ШІ робить у системі, де помиляється і хто затверджує його результат.
Асистент ШІ в розмові з клієнтом: ст. 50
З 2 серпня 2026 р. застосовується ст. 50 AI Act про прозорість. Digital Omnibus не переніс цієї загальної дати, але додав один виняток, описаний нижче. Для галузі важать три частини статті.
- Частина 1. Постачальник системи ШІ, яка безпосередньо спілкується з людьми, проєктує її так, щоб людина знала, що розмовляє зі ШІ, якщо це не очевидно. Інформацію треба надати щонайпізніше під час першої взаємодії (частина 5). Це обов’язок постачальника системи, а не компанії, яка нею лише користується.
- Частина 2. Постачальник генеративного ШІ позначає його результат у машинозчитуваному форматі як створений або змінений ШІ. Виняток становить допоміжна функція стандартного редагування. Постачальники генеративного ШІ, випущеного на ринок до 2 серпня 2026 р., мають на це час до 2 грудня 2026 р.
- Частина 4. Компанія, що застосовує ШІ, розкриває, що діпфейк створено або змінено ШІ. Те саме стосується тексту про питання суспільного інтересу, хіба що він пройшов перевірку людиною чи редакційний контроль і хтось несе за нього редакційну відповідальність.
Якщо ми створюємо для вас асистента, який відповідає орендарям або клієнтам агентства, перше ж його повідомлення прямо каже, що це асистент ШІ. Хто в такій схемі є постачальником у розумінні AI Act, варто оцінити з юристом. Погоджений розподіл обов’язків потім варто записати в договорі на впровадження.
Орендарі, скоринг і системи високого ризику
Найбільше запитань викликає відбір орендарів. Додаток III до AI Act, тобто перелік сфер високого ризику, не згадує оренди житла. Житло з’являється лише в пункті преамбули (мотиві) 58, як приклад базової послуги, доступ до якої може залежати від скорингу.
Натомість до високого ризику належать системи ШІ для оцінки кредитоспроможності фізичних осіб або визначення їхнього кредитного скорингу, крім виявлення фінансового шахрайства (додаток III, пункт 5, літера b). Якщо ваша система фактично оцінює кредитоспроможність чи скоринг кандидата, який є фізичною особою, це саме цей пункт, хоч би як функція називалася.
Строки для систем високого ризику перенесено: вимоги до систем із додатка III застосовуються з 2 грудня 2027 р., а до продуктів із додатка I з 2 серпня 2028 р. Спочатку це були 2 серпня 2026 р. і 2 серпня 2027 р. Перенесення не стосується GDPR: ст. 22 та оцінка впливу діють уже тепер.
Контрольний список перед впровадженням ШІ
- Випишіть, де ШІ торкається персональних даних: асистент, читання документів, чернетки пропозицій, звіти.
- Для кожного сервісу ШІ перевірте договір доручення і правила щодо субпідрядників.
- З’ясуйте, де постачальник обробляє дані. Якщо за межами ЄЕЗ, перевірте, на якій підставі з розділу V GDPR.
- Перегляньте інформаційне повідомлення: отримувачі, передача за межі ЄЕЗ, строк зберігання, автоматизовані рішення.
- Побудуйте процес так, щоб рішення, істотні для людини, ухвалював працівник, а система записувала, хто і коли їх затвердив.
- Оцініть, чи потрібна оцінка впливу (DPIA), і проведіть її до запуску.
- Якщо у вас є асистент ШІ, перевірте, чи він уже в першому повідомленні каже, що він ШІ.
- Якщо якась функція оцінює кредитоспроможність або скоринг фізичної особи, розглядайте її як систему з додатка III, пункт 5, літера b, і порадьтеся з юристом.
- Надсилайте до сервісу ШІ лише ті дані, які справді потрібні для конкретного завдання.
Як ми підходимо до цього в системах на замовлення
Ми користуємося готовими моделями ШІ й не навчаємо власних. Якими сервісами ШІ користується система і які дані до них потрапляють, погоджуємо з вами до впровадження. ШІ може помилитися, тому його результат спершу перевіряє людина.
Модуль обробки PDF-документів за допомогою ШІ ми збудували в системі для управління портфелем комерційної нерухомості: 11 тижнів роботи, чотири етапи, кожен закритий протоколом приймання. Асистент, що спілкується з клієнтами, і читання договорів оренди поки що є нашою пропозицією, а не завершеним проєктом.
Якщо ви плануєте ШІ у своїй компанії і хочете від початку побудувати його відповідно до GDPR та AI Act, опишіть нам кількома реченнями, що він має робити. Ми відповімо, з чого варто почати, і домовимося про безкоштовну консультацію. Орієнтовну вартість модулів ШІ можна скласти в конструкторі орієнтовної ціни; це орієнтовно, ціну визначаємо індивідуально.
Джерела
- Регламент (ЄС) 2016/679 (GDPR, RODO), ст. 13, 22, 28, 35, 44, 45, 46 і 49, текст польською, перевірено 21.10.2026
- Регламент (ЄС) 2024/1689 (AI Act), ст. 4, 50 і 113, додаток III, мотив 58, текст польською, перевірено 21.10.2026
- Регламент (ЄС) 2026/1744 (Digital Omnibus), Офіційний вісник ЄС (Dz.Urz. UE) L 2026/1744 від 24.07.2026, текст польською, перевірено 21.10.2026
- Європейський парламент, Legislative Observatory, процедура 2025/0360(COD), перевірено 21.10.2026
