Czego tu nie ma - jest wpływ pseudonimizacji na sytuację (potencjalnego) procesora (zob. wyrok TSUE z 4 września 2025 r. w sprawie C-413/23 P), (ewentualnie) transfer danych do państw trzecich, zasada minimalizacji danych, zmiana celu przetwarzania (w tym badanie kompatybilności nowego celu z celem pierwotnym), prawa podmiotów danych (w tym prawo sprzeciwu wobec marketingu bezpośredniego), sposób realizacji tych praw, retencja, decyzje opierające się wyłącznie na zautomatyzowanym przetwarzaniu, profilowanie, prawidłowość danych (co jeśli model AI halucynuje?), zapewnienie "wyjaśnialności zautomatyzowanej decyzji", privacy by design, DPIA,  mapowanie procesów (dane źródłowe, dane po pseudonimizacji, wyniki analiz, opcjonalnie - dane dotyczące czynników ryzyka, dane dotyczące decyzji rabatowych).

Kazus.

Administrator świadczy w Polsce usługi abonamentowe w zakresie dostępu do telewizji kablowej dla osób fizycznych (ok. 200 tys. klientów). Dane klientów (dane identyfikacyjne, historia płatności, sposób korzystania z usług, historia reklamacji i kontaktów z obsługą) zostały zebrane w związku z świadczeniem ww. usług (podstawa: art. 6 ust. 1 lit. b RODO).

Planowane działania administratora:

Administrator postanawia wykorzystać zewnętrzną, komercyjną usługę AI (opartą na jednym z modeli Claude) do analizy danych klientów pod kątem prawdopodobieństwo rezygnacji z usług. Przed przekazaniem danych dostawcy usługi AI administrator dokonuje ich pseudonimizacji (usuwa bezpośrednie identyfikatory klientów i zastępuje je losowymi identyfikatorami). Plik pozwalający na powiązanie identyfikatorów z konkretnymi klientami pozostaje wyłącznie u administratora i nie jest przekazywany dostawcy usługi AI.

Model AI będzie analizować dane i przypisywać poszczególnym identyfikatorom prawdopodobieństwo rezygnacji z usług. Wyniki będą następnie zwracane administratorowi, który połączy je ponownie z konkretnymi klientami i wykorzysta do automatycznego różnicowania ofert retencyjnych.

Pytania dla IOD dotyczące planowanych działań administratora:

1. Jaka powinna być podstawa prawna planowanych działań administratora?
2. Czy wykorzystanie danych do analizy przez model AI oraz późniejsze przypisywanie klientom prawdopodobieństwa rezygnacji z usług stanowi profilowanie w rozumieniu art. 4 pkt 4 RODO?
3. Czy wymagane jest przeprowadzenie DPIA, a jeśli tak – jakie elementy planowanego przetwarzania przesądzają o jej przeprowadzeniu?
4. Jaka jest rola dostawcy usługi AI w tym procesie i jakie konsekwencje się z nią wiążą dla każdej ze stron?
5. Jakie znaczenie w planowanych działaniach administratora ma pseudonimizacja danych?
6. Czy i na jakich warunkach dostawca AI może wykorzystywać przekazane dane lub treść zapytań do własnych celów, np. ulepszania, testowania lub trenowania swoich modeli? Jakie byłyby skutki takich działań na gruncie RODO?
7. Czy korzystanie z usługi AI może prowadzić do przekazywania danych do państwa trzeciego w rozumieniu rozdziału V RODO? Jeśli tak, to jakie kwestie administrator powinien zweryfikować przed rozpoczęciem przetwarzania?
8. Czy planowane działania administratora w części dotyczącej automatycznego różnicowania ofert retencyjnych mogą być uznane za decyzję, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu? W szczególności: czy i w jakich przypadkach różnica w wysokości lub warunkach przyznanego rabatu może być uznana za decyzję istotnie wpływającą na osobę, której decyzja dotyczy? Jeśli odpowiedź na obydwa pytania jest pozytywna, to czy administrator może bez zgody klienta zastosować to rozwiązanie?
9. Jakie obowiązki informacyjne wobec klientów powstaną w związku z planowanymi działaniami administratora? Czy administrator powinien informować także o wykorzystaniu AI, logice działania systemu oraz przewidywanych konsekwencjach profilowania?
10. Czy administrator może wykorzystać wszystkie wskazane kategorie danych – historię płatności, korzystania z usług, reklamacji i kontaktów z obsługą – tylko dlatego, że mogą zwiększyć trafność modelu?
11. Jak należy ocenić sytuację, w której model AI wywnioskuje z przekazanych danych nowe informacje o kliencie, np. prawdopodobieństwo występowania problemów finansowych? Czy taka informacja jest daną osobową i czy jej wytworzenie wymaga odrębnej oceny zgodności z RODO?
12. Jakie prawa przysługują klientowi, którego dane będą podlegać planowanym działaniom administratora?
13. Jeśli planowane działania administratora stanowią profilowanie w rozumieniu art. 4 pkt 4 RODO to czy klient ma prawo sprzeciwić się takiemu profilowaniu, i jakie byłyby skutki skutecznego sprzeciwu?
14. Jak należy zapewnić realizację praw osób, których dane dotyczą, w szczególności prawa dostępu do danych, w sytuacji gdy część informacji o kliencie może dopiero zostać wywnioskowana przez model AI?
15. Czy administrator powinien określić odrębne okresy retencji dla danych przekazywanych do usługi AI, wyników analizy oraz profili ryzyka rezygnacji z usług? 
16. Jakie znaczenie ma fakt, że system AI użyty do analizy nie jest systemem wysokiego ryzyka w rozumieniu AI Act?
17. Jakie obowiązki z zakresu privacy by design i privacy by default powinien zrealizować administrator przed uruchomieniem procesu, poza samą pseudonimizacją danych?
18. Czy administrator powinien zweryfikować możliwość osiągnięcia tego samego celu za pomocą rozwiązania mniej ingerującego w prywatność, np. z wykorzystaniem mniejszej liczby kategorii danych albo modelu działającego wyłącznie w jego własnym (tj. administratora) środowisku?
19. Jaką rolę powinien odegrać IOD przed wdrożeniem takiego rozwiązania i w toku jego funkcjonowania?
20. Jaką rolę powinien odegrać IOD przed wdrożeniem takiego rozwiązania i w toku jego funkcjonowania?