Jaki jest minimalny zestaw obowiązków z RODO, DSA i AI Act dla jednoosobowego MVP w 2026 roku?

Serwis prowadzi zespół tomekniedzwiecki.pl — szczegóły powiązania w O serwisie.

Które z trzech aktów w ogóle dotykają jednoosobowego MVP?

Wszystkie trzy, ale w różnym zakresie i w różnych datach. RODO działa od pierwszego założonego konta, bo adres e-mail użytkownika to dane osobowe. Akt o usługach cyfrowych dotyczy cię tylko wtedy, gdy twoja usługa jest „usługą pośrednią”. Akt o AI dokłada obowiązki przejrzystości od 2 sierpnia 2026 roku.

„Usługa pośrednia” to zwykły przekaz, caching albo hosting, czyli przechowywanie informacji przekazanych przez odbiorcę usługi na jego żądanie. Motyw 29 rozporządzenia wymienia jako hosting przetwarzanie w chmurze, web hosting oraz przechowywanie i udostępnianie plików. Aplikacja, w której użytkownik zapisuje własne treści, zwykle mieści się w tej definicji.

Ocena jest jednak indywidualna, bo rozporządzenie każe patrzeć wyłącznie na funkcje techniczne usługi. Wyżej stoi „platforma internetowa”, która treści nie tylko przechowuje, ale i rozpowszechnia publicznie — aplikacja bez forum, komentarzy i profili widocznych dla obcych nią nie jest.

Podstawa: rozporządzenie (UE) 2022/2065, artykuł 3 litera g oraz litera i.

W akcie o AI liczy się rola. Dostawcą jest ten, kto pod własną nazwą wprowadza system AI do obrotu, także wtedy, gdy silnikiem jest cudzy model. Podmiotem stosującym jest ten, kto używa systemu pod swoją kontrolą w działalności zawodowej. Jednoosobowe MVP z czatem bywa jednym i drugim.

Prawa do kodu to osobna sprawa, którą rozstrzyga umowa z wykonawcą: do kogo należy kod w modelu revenue share i czyj jest kod z AI i no-code.

Pełna lista: co dotyczy MVP, co ma warunek, a co odpada

Z 21 obowiązków, które przy takiej aplikacji w ogóle wchodzą w grę, 12 dotyczy jej od pierwszego dnia, 3 mają warunek, a 6 odpada z powodu progu albo wyłączenia. Kolumna z godzinami to szacunek redakcji dla scenariusza opisanego w ostatniej sekcji.

Pełne nazwy aktów: rozporządzenie (UE) 2016/679 (ogólne rozporządzenie o ochronie danych), rozporządzenie (UE) 2022/2065 (akt o usługach cyfrowych) oraz rozporządzenie (UE) 2024/1689 (akt w sprawie sztucznej inteligencji).

Przepisy: teksty rozporządzeń w Dzienniku Urzędowym Unii Europejskiej, odczyt 10 września 2026 roku.

RODO: pięć obowiązków od pierwszego konta i jeden mit o rejestrze

Pięć obowiązków RODO działa od dnia, w którym pierwszy użytkownik zakłada konto. Trzeba mieć podstawę prawną dla każdego celu, poinformować o przetwarzaniu przy zbieraniu danych, zawrzeć umowy powierzenia z dostawcami, prowadzić rejestr czynności i umieć zgłosić naruszenie w 72 godziny.

Rejestr czynności to miejsce, w którym najczęściej pada argument o zwolnieniu. Wyłączenie obejmuje podmioty zatrudniające mniej niż 250 osób, ale odpada, gdy przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko naruszenia praw albo obejmuje szczególne kategorie danych.

UODO powtarza za stanowiskiem europejskich organów z 14 maja 2018 roku, że systematyczne przetwarzanie danych pracowników albo klientów nie jest „sporadyczne” i musi trafić do rejestru. Konta użytkowników spełniają ten opis, więc jednoosobowa firma rejestr prowadzi — tylko dla tych czynności, których to dotyczy.

Ocena skutków dla ochrony danych jest warunkowa. Robisz ją, gdy operacja z dużym prawdopodobieństwem powoduje wysokie ryzyko: przy profilowaniu ze skutkami prawnymi, danych wrażliwych na dużą skalę albo monitorowaniu miejsc publicznych.

Prezes UODO ogłosił wykaz takich operacji w Monitorze Polskim 8 lipca 2019 roku. Aplikacja z kontem i newsletterem w wykazie się nie mieści; scoring, rekrutacja i dane o zdrowiu — owszem.

Podstawa: rozporządzenie (UE) 2016/679, artykuły 6, 13 oraz 28.

Rejestr, naruszenia i ocena skutków: artykuły 30 ustęp 5, 33 i 35 tego rozporządzenia.

DSA: co zostaje mikrofirmie, a co odpada przez wyłączenia

Z aktu o usługach cyfrowych zostaje jednoosobowej aplikacji pięć rzeczy i żadna nie wymaga zespołu. To dwa punkty kontaktowe, regulamin opisujący ograniczenia i moderację, mechanizm zgłaszania nielegalnych treści oraz uzasadnienie, gdy usuwasz treść albo blokujesz konto.

Reszta odpada przez wyłączenia dla mikroprzedsiębiorstw i małych przedsiębiorstw. Roczne sprawozdanie o moderacji ich nie obejmuje. Cała sekcja o platformach — odwołania, pozasądowe spory, zaufane podmioty sygnalizujące, rejestr reklam — również nie, poza podaniem liczby odbiorców na żądanie organu.

Wyłączenie ma próg liczbowy. Mikroprzedsiębiorstwo to mniej niż 10 osób i obrót do 2 mln euro, małe przedsiębiorstwo — mniej niż 50 osób i obrót do 10 mln euro. Po utracie statusu wyłączenie działa jeszcze dwanaście miesięcy.

Przedstawiciel prawny w Unii dotyczy tylko dostawców spoza Unii, więc polską działalność omija. Nadzór sprawuje koordynator do spraw usług cyfrowych; funkcję powierzono tymczasowo Prezesowi UKE uchwałą, która weszła w życie 15 maja 2025 roku.

Podstawa: rozporządzenie (UE) 2022/2065, artykuły 11, 12, 14, 16 i 17, a wyłączenia — artykuł 15 ustęp 2 oraz artykuły 19 i 29.

Akt o AI: co obowiązuje od 2 sierpnia 2026 roku, a co dopiero od grudnia 2027

Jednoosobowe MVP z czatem ma z aktu o AI dwa obowiązki, nie dwadzieścia. Pierwszy działa od 2 lutego 2025 roku: dostawcy i podmioty stosujące zapewniają odpowiedni poziom kompetencji w zakresie AI u osób, które obsługują system w ich imieniu.

Drugi to informacja, że użytkownik prowadzi interakcję z systemem AI, i obowiązuje od 2 sierpnia 2026 roku. Wyjątek jest wąski: odpada tylko wtedy, gdy jest to oczywiste dla osoby dostatecznie poinformowanej, uważnej i ostrożnej.

Dwa dalsze obowiązki mają warunek. Maszynowe oznaczanie treści syntetycznych obciąża dostawcę systemu generującego dźwięk, obraz, wideo lub tekst; dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 roku termin dostosowania mija 2 grudnia 2026 roku.

Ujawnienie treści deepfake obciąża podmiot stosujący i dotyczy materiałów przypominających istniejące osoby, miejsca albo zdarzenia. Oddzielnie traktowany jest tekst publikowany po to, by informować społeczeństwo o sprawach w interesie publicznym; opis produktu w sklepie nim nie jest.

Reżim wysokiego ryzyka to inna liga i inna data. Obejmuje między innymi filtrowanie zgłoszeń kandydatów do pracy, ocenę zdolności kredytowej, decyzje o przyjęciu do szkoły i biometrię, a stosuje się od 2 grudnia 2027 roku po zmianie terminów z lipca 2026 roku.

Kalendarz wszystkich dat rozkłada zestawienie terminów aktu o AI. Nadzór w Polsce sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, a przepisy o kontroli i karach wchodzą 28 października 2026 roku.

Podstawa: rozporządzenie (UE) 2024/1689, artykuły 4, 50 i 113, zmienione rozporządzeniem (UE) 2026/1744, oraz ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji (Dziennik Ustaw z 2026 roku, pozycja 1003).

Zestaw startowy: 28 godzin pracy, policzone krok po kroku

Rachunek poniżej dotyczy jednego scenariusza, a jego założenia podajemy wprost, żeby dało się go podważyć albo przeliczyć na własny przypadek.

• jednoosobowa działalność w Polsce, bez pracowników;
• konta użytkowników: e-mail, hasło, profil, wgrywane pliki;
• płatności u zewnętrznego operatora, hosting i poczta w Unii;
• czat na modelu zewnętrznego dostawcy, pod własną marką;
• brak forum, komentarzy, publicznych profili i danych o zdrowiu;
• dokumenty pisze właściciel na szablonach, bez zlecania kancelarii.

Suma to 28 godzin pracy właściciela, czyli siedem dni roboczych po cztery godziny — mniej niż sprint na jeden ekran aplikacji.

Czego w tym scenariuszu nie trzeba: inspektora ochrony danych, rocznego sprawozdania o moderacji, procedury odwoławczej z sekcji o platformach ani rejestracji systemu AI w unijnej bazie. Mit działa też w drugą stronę — zwolnienie z rejestru czynności dla firm poniżej 250 osób nie obejmuje obsługi kont użytkowników.

To nie jest porada prawna, tylko przegląd redakcji, stan na 10 września 2026 roku.