RODO
Mniej wysyłki treści na zewnątrz. Podstawa prawna i zakres zostają.
Zgodność
Serwer w firmie pomaga. Sam nie załatwia zgodności.
Lokalny model ogranicza wysyłkę treści do dostawcy z zewnątrz. RODO, ustawa o krajowym systemie cyberbezpieczeństwa i AI Act nadal zależą od tego, kim jesteście i co system robi. Poniżej jest opis ogólny, nie opinia prawna.
KSC / NIS2
Nie każda firma jest podmiotem kluczowym albo ważnym.
AI Act
Własna serwerownia nie wyłącza rozporządzenia.
To opis ogólny, nie porada prawna. Obowiązki zależą od roli organizacji i od aktualnego tekstu przepisów.
RODO w praktyce tego wdrożenia
Gdy prompt i dokumenty nie idą do API modelu poza organizacją, odpada jedna z dróg przekazania treści do podmiotu w innym kraju. To realna różnica wobec wklejania pism w publiczny czat.
Zostaje reszta: podstawa prawna, zasada minimalizacji, retencja, prawa osób i ocena skutków, gdy charakter przetwarzania jej wymaga. Embedding i log pytania potrafią być danymi osobowymi, nawet jeśli „to tylko wektor”.
Jeśli przy utrzymaniu mamy wgląd w te dane, potrzebna jest umowa powierzenia na konkretny zakres. Nie zakładamy jej w ciemno na stronie.
NIS2 i ustawa o KSC
Dyrektywa (UE) 2022/2555 jest w Polsce wdrażana nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. (Dz.U. z 2026 r. poz. 252). Obowiązki dotyczą podmiotów kluczowych i ważnych, nie automatycznie każdej spółki, która postawiła serwer.
Ministerstwo Cyfryzacji publikowało terminy przejściowe, w tym okno samorejestracji w wykazie oraz późniejszy okres na wdrożenie środków i korzystanie z systemu S46. Prezydent, podpisując ustawę, skierował ją też do kontroli następczej Trybunału Konstytucyjnego. Aktualny tekst i to, czy organizacja w ogóle jest w zakresie, trzeba sprawdzić u źródła urzędowego albo z własnym prawnikiem.
Od strony technicznej lokalne AI wchodzi w ten sam worek co reszta systemów: konta administratorów, kopie, łatanie, dziennik, segmentacja sieci. Nie wydajemy zaświadczeń „zgodne z NIS2”.
AI Act, bez harmonogramu na slajdzie
Rozporządzenie (UE) 2024/1689 klasyfikuje systemy według ryzyka i roli: dostawca modelu, dostawca systemu, podmiot stosujący. Uruchomienie wag na własnym serwerze nie przenosi organizacji „poza akt”.
Część obowiązków już obowiązuje, a terminy kolejnych etapów były doprecyzowywane. Nie przepisujemy tu kalendarza, bo łatwo podać datę, która następnego kwartału jest nieaktualna. Do oceny konkretnego asystenta potrzebny jest jego cel użycia, nie hasło „mamy GPU”.
Inżyniersko pomagamy w rzeczach, które i tak powinny być: informacja dla użytkownika, że odpowiada program, ograniczenie danych w promptcie, rozdział środowisk, ślad kto co zmienił w indeksie. To nie jest audyt aktu ani zastępstwo radcy.
Pytania
Czy lokalny model oznacza zgodność z RODO?
Oznacza węższy obieg treści, nie automatyczną zgodność. Nadal potrzebna jest podstawa, zakres danych, uprawnienia i decyzja, jak długo zostają logi oraz indeks. Przy dostępie serwisowym dochodzi powierzenie.
Czy NIS2 dotyczy każdej firmy, która chce lokalne AI?
Nie. O zakresie decyduje sektor, wielkość i rola w ustawie o krajowym systemie cyberbezpieczeństwa, nie sam fakt posiadania modelu. Nie rozstrzygamy tego na stronie.
Czy AI Act da się ominąć, trzymając model na własnym serwerze?
Nie. Miejsce instalacji nie zastępuje klasyfikacji systemu ani obowiązków podmiotu, który go stosuje albo dostarcza. Opis na tej stronie nie jest poradą prawną.