AI, RODO i akt o AI: 10 punktów kontroli dla agentów nieruchomości

Biuro nieruchomości, które używa AI z danymi klientów, musi znać dwa zbiory przepisów: RODO (GDPR), które obowiązuje od 2018 roku, oraz unijny akt o sztucznej inteligencji (EU AI Act), którego przepisy o przejrzystości zaczęły obowiązywać 2 sierpnia 2026. Większość pracy to nie redagowanie dokumentów prawnych. To dziesięć kontroli, które możesz przeprowadzić w jedno popołudnie, zanim wkleisz zapytanie do czatbota, włączysz asystenta AI albo pozwolisz narzędziu pisać wiadomości do kupujących. Ten poradnik to lista kontrolna RODO i AI dla agentów nieruchomości, z przykładami i krótką sekcją dla każdego z sześciu rynków. To ogólna informacja, a nie porada prawna. Zanim oprzesz się na któryś punkt, sprawdź go z doradcą ds. ochrony danych lub z organem nadzorczym.

Jeśli dopiero decydujesz, jakie zadania w ogóle oddać AI, zacznij od AI dla agentów nieruchomości. Ta strona zakłada, że masz już zadanie na myśli i chcesz je wykonywać bezpiecznie.

Dziesięć punktów kontroli przed użyciem AI z danymi klientów

1. Nazwij zadanie i dane. Napisz jedną linijkę: "Przygotuj odpowiedź na zapytanie kupującego, używając jego imienia, numeru telefonu i nieruchomości, o którą pytał." Jeśli nie umiesz powiedzieć, jakie dane osobowe wchodzą, nie sprawdzisz niczego innego.
2. Wybierz podstawę prawną. Zgodnie z art. 6 RODO potrzebujesz podstawy prawnej dla każdego użycia. Odpowiedź na zapytanie, które ktoś Ci przysłał, zwykle opiera się na podjęciu działań na żądanie tej osoby albo na Twoim prawnie uzasadnionym interesie w odpowiedzi. Marketing do starych kontaktów wymaga osobnego spojrzenia (punkt 7). Zapisz podstawę obok zadania, aby wybór był świadomy.
3. Zaktualizuj politykę prywatności. Art. 13 i 14 wymagają, abyś informował ludzi, co robisz z ich danymi i kto je otrzymuje. Jeśli narzędzia AI przetwarzają zapytania, Twoja informacja powinna to mówić prostymi słowami, w tym jakie rodzaje dostawców otrzymują dane.
4. Podpisz umowę powierzenia z dostawcą AI. Gdy dostawca przetwarza dane osobowe w Twoim imieniu, art. 28 RODO wymaga pisemnej umowy określającej, co może z nimi robić. Poproś o umowę powierzenia przetwarzania danych, zanim wgrasz cokolwiek prawdziwego. Sprawdź, jakich podprocesorów używa, na przykład firm dostarczających podstawowe modele AI. Osobiste konto w czatbocie nie jest zamiennikiem, bo żadna umowa nie obejmuje danych klientów.
5. Sprawdź, dokąd dane podróżują. Wiele usług AI działa na serwerach poza UE lub Wielką Brytanią. Rozdział V RODO dopuszcza takie transfery tylko przy ważnym mechanizmie, na przykład decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzulach umownych. Zapytaj dostawcę, w jakich krajach dane są przetwarzane i jaki mechanizm je obejmuje.
6. Wysyłaj mniej danych. Minimalizacja danych (art. 5 ust. 1 lit. c) oznacza, że narzędzie otrzymuje tylko to, czego potrzebuje zadanie. Aby przygotować potwierdzenie prezentacji, AI potrzebuje imienia, adresu i godziny. Nie potrzebuje dochodów kupującego, numeru dokumentu tożsamości ani uwag o zdrowiu z Twoich notatek. Usuń je przed wklejeniem albo trzymaj w polu, którego narzędzie nie może odczytać.
7. Trzymaj zgodę marketingową osobno. Wysyłanie wiadomości promocyjnych e-mailem, SMS-em lub komunikatorami podlega przepisom ePrivacy (dyrektywa 2002/58/WE), wdrożonym w każdym kraju, obok RODO. W Wielkiej Brytanii to przepisy PECR, a wytyczne ICO mówią, że zasady dotyczące marketingu pocztą elektroniczną obejmują bezpośrednie wiadomości w mediach społecznościowych lub każdą podobną wiadomość przechowywaną elektronicznie. Mówią też, że nie wolno wysyłać marketingowych e-maili ani SMS-ów do osób bez szczególnej zgody oraz że "soft opt-in" dla obecnych klientów nie obejmuje nowych kontaktów ani kupionych list. Kupujący, który napisał do Ciebie na WhatsAppie o jednym mieszkaniu, nie zgodził się na miesięczny newsletter, niezależnie od tego, czy napisał go człowiek, czy AI.
8. Ustal okres przechowywania. Ograniczenie przechowywania (art. 5 ust. 1 lit. e) oznacza, że nie trzymasz danych umożliwiających identyfikację dłużej, niż to potrzebne. Zdecyduj, jak długo żyją szkice wygenerowane przez AI, historie czatów i dane zapytań, i usuwaj je zgodnie z harmonogramem. Zapytaj dostawcę, jak długo przechowuje Twoje dane wejściowe i czy może je usunąć na żądanie.
9. Bądź gotowy na wnioski o realizację praw. Ludzie mogą żądać dostępu, sprostowania, usunięcia i sprzeciwu. Jeśli dane klientów są w narzędziu AI, musisz umieć je znaleźć i zareagować. Sprawdź to raz na fikcyjnym kontakcie. Pamiętaj też o art. 22: decyzja podjęta wyłącznie w sposób zautomatyzowany, która istotnie wpływa na kogoś, na przykład automatyczne odrzucenie najemcy, podlega dodatkowym ograniczeniom. Zachowaj w tej pętli człowieka.
10. Postaw człowieka na czele i go przeszkol. Agent czyta i zatwierdza to, co wychodzi, a jedna wyznaczona osoba odpowiada za politykę AI i szkoli zespół. Akt o AI dodaje powiązany obowiązek dotyczący kompetencji w zakresie AI w art. 4, omówiony dalej.

Czego akt o AI wymaga od biura nieruchomości

Akt o AI (rozporządzenie (UE) 2024/1689) reguluje głównie firmy, które budują systemy AI. Biuro nieruchomości używające gotowego narzędzia jest "podmiotem stosującym" (deployer), a obowiązki są lżejsze. Punkt obsługi Komisji Europejskiej podaje daty: kompetencje w zakresie AI i zakazy obowiązywały od 2 lutego 2025, zasady przejrzystości z art. 50 od 2 sierpnia 2026, a do 2 grudnia 2026 trwa okres przejściowy dla niektórych dostawców, których systemy generujące treści syntetyczne były już na rynku. Digital Omnibus on AI, który według Komisji obowiązuje od 27 lipca 2026, przesunął przepisy o wysokim ryzyku dla systemów z załącznika III na 2 grudnia 2027. Nie przesunął daty rozpoczęcia art. 50, czyli 2 sierpnia 2026. Daty bywają zmieniane, więc potwierdź je na stronie Komisji o akcie o AI, zanim na którejś się oprzesz.

• Art. 4, kompetencje w zakresie AI. Dostawcy i podmioty stosujące muszą podjąć środki wspierające kompetencje w zakresie AI swojego personelu i innych osób obsługujących systemy AI w ich imieniu, uwzględniając ich wiedzę, doświadczenie i kontekst. Zmieniony tekst dodaje, że nie wymaga to zagwarantowania określonego poziomu kompetencji żadnej osobie. W praktyce: krótka pisemna zasada, co personel może wklejać do narzędzi AI, plus zapis, że omówiłeś ją z zespołem.
• Art. 50, przejrzystość. Systemy przeznaczone do bezpośredniej interakcji z ludźmi muszą być zaprojektowane tak, aby ludzie wiedzieli, że mają do czynienia z AI, chyba że jest to oczywiste. Ten obowiązek spoczywa głównie na dostawcy, ale biuro, które umieszcza czatbota na swojej stronie lub linii WhatsApp, powinno sprawdzić, czy ujawnienie się pojawia. Podmioty stosujące systemy generujące lub manipulujące obrazem, dźwiękiem lub wideo stanowiącym deepfake muszą ujawnić, że jest sztuczny, a tekst wygenerowany przez AI i opublikowany w celu informowania opinii publicznej wymaga ujawnienia, chyba że człowiek go zweryfikował i ponosi odpowiedzialność redakcyjną. Obraz z wirtualnego urządzenia lub syntetyczne wideo nieruchomości to przypadek, na który trzeba uważać. To, czy dany obraz się liczy, jest pytaniem prawnym, więc oznaczaj obrazy AI wyraźnie. Zasady dla wizualizacji nieruchomości na poszczególnych rynkach są w naszym poradniku o wirtualnym home stagingu i wideo nieruchomości z AI.
• Zastosowania wysokiego ryzyka. Narzędzia oceniające ludzi, takie jak weryfikacja najemców, mogą wpadać w kategorie wysokiego ryzyka. Zasięgnij porady, zanim jakiegoś użyjesz.

Akt o AI nie zastępuje RODO. Obowiązują oba, a organ ochrony danych pozostaje Twoim pierwszym kontaktem w pytaniach o dane osobowe.

Rynek po rynku

Polska: UODO

UODO opublikował 6 sierpnia 2026 materiał "Zanim wdrożysz narzędzie AI, sprawdź, czy spełnia zasady RODO". Zawiera cztery zestawy pytań, z których pierwszy jest przeznaczony dla małych i średnich firm korzystających z gotowych systemów AI. UODO zaznacza, że pytania nie przesądzają o zgodności i nie trzeba ich przekazywać organowi. Tworzą dobry plan rozmowy z dostawcą.

Niemcy: organy krajowe i DSK

Firmy prywatne, takie jak biura nieruchomości, nadzoruje organ ochrony danych danego kraju związkowego (Land), na podstawie § 40 federalnej ustawy o ochronie danych, a nie federalny komisarz (BfDI). Organy koordynują się w Datenschutzkonferenz (DSK), która 6 maja 2024 opublikowała "Orientierungshilfe" o sztucznej inteligencji i ochronie danych. To wytyczne (Orientierungshilfe), a nie wiążące prawo.

Francja: CNIL

CNIL opublikował 7 lutego 2025 dwa zalecenia o AI i RODO. Mówią one, że gdy dane osobowe służą do trenowania modelu i mogą być zapamiętane, ludzie muszą zostać poinformowani, a ogólna informacja może wystarczyć, gdy bezpośredni kontakt jest niemożliwy. Dla biura praktyczna lekcja to zapytać dostawców, czy dane Waszych klientów są używane do trenowania ich modeli.

Hiszpania: AEPD

AEPD opublikowała 13 lutego 2020 przewodnik o dostosowaniu przetwarzania z użyciem AI do RODO. Obejmuje podstawę prawną, przejrzystość, prawa, decyzje zautomatyzowane, minimalizację danych i to, czy narzędzia AI wiążą się z transferami międzynarodowymi. Powstał przed aktem o AI, więc używaj go tylko do pytań o RODO.

Włochy: Garante

Garante prowadzi dedykowaną stronę o AI, która gromadzi jej wytyczne i decyzje, w tym wytyczne o ochronie danych osobowych przed web scrapingiem, obok tekstu aktu o AI i materiałów EDPB. Opinia EDPB 28/2024 z 18 grudnia 2024, której zażądał irlandzki organ, dotyczy aspektów ochrony danych w modelach AI i warto ją przeczytać, jeśli wybierasz między dostawcami.

Wielka Brytania: ICO

Unijny akt o AI jest rozporządzeniem UE i nie obowiązuje w samej Wielkiej Brytanii. W Wielkiej Brytanii obowiązują UK GDPR i Data Protection Act 2018, pod nadzorem Information Commissioner's Office (ICO). Brytyjskie zasady marketingu zawiera PECR, jak w punkcie 7. Wytyczne ICO o AI i ochronie danych zostały ostatnio zaktualizowane w marcu 2023 i są w przeglądzie po Data (Use and Access) Act. Rozdział o przejrzystości odsyła do osobnego produktu ICO o wyjaśnianiu decyzji wspieranych przez AI. Zacznij tam, jeśli dostawca nie potrafi wyjaśnić, jak jego narzędzie dochodzi do wyniku.

Przykład: szkic follow-upu na WhatsAppie

Agent chce, aby AI przygotowywała odpowiedzi na zapytania z portali i wysyłała je na WhatsAppie. Przeprowadź dziesięć kontroli. Zadanie: odpowiedź na zapytania z imieniem, numerem i nieruchomością. Podstawa: działania na żądanie kupującego. Informacja: zaktualizowana o wzmiankę o narzędziach AI. Dostawca: umowa powierzenia podpisana, podprocesorzy i kraje sprawdzone. Minimalizacja: pole notatek z danymi o finansowaniu kupującego jest wyłączone. Marketing: odpowiedzi na zapytania wychodzą, newslettery nie, chyba że kupujący się zgodził. Przechowywanie: szkice usuwane po 90 dniach. Prawa: fikcyjny kontakt odnaleziony i usunięty. Człowiek: agent zatwierdza każdą wiadomość. Sam proces follow-upu opisuje AI do obsługi leadów na WhatsAppie. Jeśli łączysz asystenta ze swoim CRM, te same kontrole dotyczą tego, co może on czytać, jak opisuje ChatGPT i Claude dla agentów nieruchomości.

Co robi Formule, a czego nie twierdzi

Dostawcą usługi self-serve Formule jest Formule Labs Limited, spółka zarejestrowana w Irlandii (CRO 815470), zgodnie z decyzją z 10 października 2026. Jej polityka prywatności wskazuje ją jako administratora i podaje privacy@formule.io dla pytań i wniosków o dane. Polityka wymienia też usługi stojące za funkcjami AI, więc widać, którzy dostawcy są zaangażowani.

Really, agent AI Formule, przygotowuje, a agent zatwierdza. Według dokumentacji Formule nic nie jest wysyłane z WhatsAppa, dopóki agent tego nie zatwierdzi, a zmiany Really w Twoich danych czekają na zatwierdzenie agenta. Podłączenie WhatsAppa wymaga kroku zgody, w którym agent zgadza się, aby asystent czytał rozmowy z leadami. Czaty w aplikacji z Really są widoczne tylko dla użytkownika, nie dla kierownika.

Ten artykuł nie twierdzi nic o certyfikatach, regionach hostingu ani umowach powierzenia przetwarzania danych. O ile możemy zweryfikować, publiczna polityka prywatności i dokumentacja Formule ich nie podają, więc poproś privacy@formule.io o umowę powierzenia i informację o lokalizacji danych, zanim wprowadzisz dane klientów, jak przy każdym dostawcy. Zobacz, jak Formule działa na Twoim rynku, na stronie Formule, albo zacznij za darmo.

Prowadź jednostronicowy zapis

Zapisz dziesięć odpowiedzi na jednej datowanej stronie na każde zadanie AI i przeglądaj ją za każdym razem, gdy zmienia się narzędzie lub prawo. To dokument, który pokażesz klientowi lub organowi nadzorczemu, gdy zapyta, jak używasz AI.