AI niedostępne w Unii Europejskiej

Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) dodało do art. 5 ust. 1 AI Act nowe punkty (ba) i (bb), zakazujące wprowadzania do obrotu, oddania do użytku i wykorzystania systemów AI, które generują lub przetwarzają realistyczne obrazy, wideo i dźwięk przedstawiające intymne części ciała możliwej do zidentyfikowania osoby albo tę osobę w czynnościach seksualnych bez jej wyraźnej zgody, a także materiały przedstawiające seksualne wykorzystywanie dzieci (CSAM). Zakaz jest już w porządku prawnym — rozporządzenie obowiązuje od 27 lipca 2026 r. — ale nie jest jeszcze stosowany: stosuje się go od 2 grudnia 2026 r. Droga legislacyjna: wstępne porozumienie w rozmowach trójstronnych 7 maja 2026 r., zatwierdzenie przez Parlament Europejski (423 głosy za, 57 przeciw, 174 wstrzymujące się), ostateczna zgoda Rady 29 czerwca 2026 r., akt z 8 lipca 2026 r. i publikacja w Dz.Urz. UE 24 lipca 2026 r. Naruszenie zakazów z art. 5 objęte jest najwyższym progiem sankcji AI Act: do 35 mln EUR albo 7% światowego obrotu.^{[1][2][3][4][5]}

Podstawa prawna

Nowe punkty (ba) i (bb) w art. 5 ust. 1 rozporządzenia (UE) 2024/1689 (AI Act), dodane rozporządzeniem (UE) 2026/1744 (Digital Omnibus on AI) z 8 lipca 2026 r., opublikowanym w Dz.Urz. UE 24 lipca 2026 r. i obowiązującym od 27 lipca 2026 r.; zakaz stosuje się od 2 grudnia 2026 r. Sankcje za praktyki zakazane z art. 5 wynikają z art. 99 ust. 3 AI Act (do 35 mln EUR albo 7% światowego obrotu) — nie weryfikowano odrębnie, czy omnibus zmienił brzmienie art. 99.

Zakres terytorialny

UE (bez EOG — AI Act nie został dotąd włączony do Porozumienia EOG, decyzja Wspólnego Komitetu EOG w toku)

Ostatnia zmiana statusu

2026-07-27

Deklarowany termin dostosowania

2026-12-02

Zakazane jest wykorzystywanie systemów zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznie dostępnej do celów ścigania przestępstw, chyba że jest to bezwzględnie konieczne dla jednego z trzech celów: ukierunkowanego poszukiwania ofiar uprowadzenia, handlu ludźmi lub wykorzystywania seksualnego oraz osób zaginionych; zapobieżenia konkretnemu, istotnemu i bezpośredniemu zagrożeniu życia lub bezpieczeństwa fizycznego albo realnemu i obecnemu bądź realnemu i przewidywalnemu zagrożeniu atakiem terrorystycznym; lokalizacji lub identyfikacji osoby podejrzanej o przestępstwo z załącznika II, zagrożone w danym państwie członkowskim karą pozbawienia wolności lub środkiem zabezpieczającym polegającym na pozbawieniu wolności, których górna granica wynosi co najmniej cztery lata. Skorzystanie z wyjątku wymaga uprzedniego zezwolenia organu sądowego lub niezależnego organu administracyjnego o wiążącej decyzji, przeprowadzenia oceny skutków dla praw podstawowych (art. 27), rejestracji w bazie UE (art. 49) oraz powiadomienia organu nadzoru rynku i krajowego organu ochrony danych; państwo członkowskie musi wprowadzić szczegółowe przepisy krajowe, a użycie ma potwierdzać tożsamość konkretnie wskazanej osoby. Zakaz nie obejmuje identyfikacji następczej (post-remote), zaklasyfikowanej jako wysokie ryzyko (załącznik III pkt 1 lit. a)), której obowiązki Digital Omnibus odroczył do 2027-12-02. Obowiązuje od 2025-02-02; sankcje do 35 mln EUR lub 7% obrotu.^{[6][7][8][9][10][11][12][13][14][15]}

Podstawa prawna

Art. 5 ust. 1 lit. h) ppkt (i)-(iii) rozporządzenia (UE) 2024/1689 (AI Act) wraz z zabezpieczeniami z art. 5 ust. 2-5 (proporcjonalność, uprzednie zezwolenie organu sądowego lub niezależnego organu administracyjnego, ocena skutków dla praw podstawowych z art. 27, rejestracja z art. 49, powiadomienie organu nadzoru rynku i organu ochrony danych, wymóg przepisów krajowych); katalog przestępstw — załącznik II; identyfikacja następcza — załącznik III pkt 1 lit. a) (wysokie ryzyko, obowiązki odroczone do 2027-12-02); stosowanie od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa); kary od 2025-08-02 (art. 113 lit. b)). Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) zmieniło art. 5 ust. 1, dodając lit. ba) i bb) oraz ust. 1a-1b, jednak nie zmieniło brzmienia lit. h) ani zabezpieczeń z ust. 2-5; oznaczenie lit. h) pozostaje bez zmian.

Zakres terytorialny

UE (tekst mający znaczenie dla EOG; inkorporacja do Porozumienia EOG niepotwierdzona, a współpraca policyjna zasadniczo leży poza zakresem tego Porozumienia)

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Zakazane są systemy AI wykorzystujące słabości osoby fizycznej lub określonej grupy osób wynikające z ich wieku, niepełnosprawności albo szczególnej sytuacji społecznej lub ekonomicznej, jeżeli celem lub skutkiem jest znacząca zmiana zachowania tej osoby lub osoby należącej do tej grupy w sposób, który wyrządza albo może racjonalnie wyrządzić znaczną szkodę tej osobie lub innej osobie. W odróżnieniu od art. 5 ust. 1 lit. a) przepis nie wymaga wykazania technik podprogowych, manipulacyjnych ani wprowadzających w błąd, ani ograniczenia zdolności do podjęcia świadomej decyzji — wystarczy wykorzystanie samej podatności. Podobnie jak przy lit. a) zamiar nie jest przesłanką (motyw 29, pod warunkiem że szkoda wynika z praktyk manipulacyjnych lub wykorzystujących słabości), a spod zakazu wyłączone są zgodne z prawem praktyki w kontekście leczenia medycznego oraz powszechne i legalne praktyki handlowe zgodne z obowiązującym prawem. Zakaz obowiązuje od 2025-02-02, a sankcje sięgają 35 mln EUR lub 7% całkowitego rocznego światowego obrotu.^{[6][7][16][9][10][11][17][18]}

Podstawa prawna

Art. 5 ust. 1 lit. b) rozporządzenia (UE) 2024/1689 (AI Act); motyw 29 (brak wymogu zamiaru, pod warunkiem że szkoda wynika z praktyk manipulacyjnych lub wykorzystujących słabości; wyłączenie praktyk leczniczych i legalnych praktyk handlowych); stosowanie od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa); kary od 2025-08-02 (art. 113 lit. b)). Rozporządzenie (UE) 2026/1744 z dnia 8 lipca 2026 r. (Digital Omnibus on AI; Dz.Urz. UE z 2026-07-24, wejście w życie 2026-07-27) zmieniło art. 5 AI Act, wstawiając do ust. 1 nowe lit. ba) i bb) oraz nowe ust. 1a i 1b, jednak lit. b) pozostawiło bez zmian; nowe ust. 1a i 1b doprecyzowują wyłącznie lit. ba) i bb) i nie wpływają na wykładnię lit. b). Uwaga redakcyjna: brzmienie polskie opisu jest parafrazą — przed cytowaniem należy je zsynchronizować z urzędową polską wersją tekstu (CELEX:32024R1689).

Zakres terytorialny

UE (27 państw członkowskich); akt oznaczony jako mający znaczenie dla EOG — stosowanie w Norwegii, Islandii i Liechtensteinie wymaga włączenia do Porozumienia EOG decyzją Wspólnego Komitetu EOG

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Zakazane są systemy AI stosujące techniki podprogowe działające poza świadomością osoby albo techniki celowo manipulacyjne lub wprowadzające w błąd, których celem lub skutkiem jest znacząca zmiana zachowania osoby lub grupy osób przez znaczne ograniczenie zdolności do podjęcia świadomej decyzji, prowadząca do decyzji, której osoba inaczej by nie podjęła, i wyrządzająca albo mogąca racjonalnie wyrządzić znaczną szkodę tej osobie, innej osobie lub grupie osób. Zamiar wyrządzenia szkody nie jest przesłanką — motyw 29 stanowi, że dostawca ani podmiot stosujący nie muszą mieć takiego zamiaru, pod warunkiem że szkoda wynika z samych praktyk manipulacyjnych lub wykorzystujących słabości. Spod zakazu wyłączone są zgodne z prawem praktyki w kontekście leczenia medycznego, takie jak psychoterapia zaburzeń psychicznych czy rehabilitacja fizyczna, oraz powszechne i legalne praktyki handlowe, na przykład w reklamie, o ile są zgodne z obowiązującym prawem. Zakaz obowiązuje od 2025-02-02, sankcje sięgają 35 mln EUR lub 7% światowego obrotu, a na mocy art. 2 obejmuje także dostawców spoza UE, jeżeli system jest wprowadzany na rynek unijny lub jego wynik jest wykorzystywany w UE.^{[6][7][16][9][10][11][19][20]}

Podstawa prawna

Art. 5 ust. 1 lit. a) rozporządzenia (UE) 2024/1689 (AI Act); motyw 29 (brak wymogu zamiaru, pod warunkiem że szkoda wynika z praktyk manipulacyjnych lub wykorzystujących słabości; wyłączenie praktyk leczniczych i legalnych praktyk handlowych); zakres podmiotowy i terytorialny — art. 2; stosowanie od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa), przy czym przepisy o karach stosuje się od 2025-08-02 (art. 113 lit. b)). Rozporządzenie (UE) 2026/1744 z dnia 8 lipca 2026 r. (Digital Omnibus on AI; Dz.Urz. UE z 2026-07-24, w mocy od 2026-07-27) zmieniło art. 5, dodając do ust. 1 nowe lit. ba) i bb) oraz nowe ust. 1a i 1b (niekonsensualne materiały intymne, CSAM), pozostawiło jednak lit. a) oraz art. 99 bez zmian.

Zakres terytorialny

UE (27 państw członkowskich); akt oznaczony jako mający znaczenie dla EOG — stosowanie w Norwegii, Islandii i Liechtensteinie wymaga włączenia do Porozumienia EOG decyzją Wspólnego Komitetu EOG

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Zakazane jest wprowadzanie do obrotu, oddawanie do użytku i wykorzystywanie systemów AI do oceny lub klasyfikacji osób fizycznych albo grup osób przez określony czas na podstawie ich zachowania społecznego lub znanych, wywnioskowanych bądź przewidywanych cech osobistych lub osobowości. Zakaz uruchamia się, gdy powstała punktacja społeczna prowadzi do którejkolwiek z dwóch alternatywnych konsekwencji: (i) krzywdzącego lub niekorzystnego traktowania w kontekstach społecznych niezwiązanych z tymi, w których dane pierwotnie zebrano, albo (ii) traktowania nieuzasadnionego lub nieproporcjonalnego wobec zachowania i jego wagi — druga przesłanka działa także wewnątrz kontekstu pierwotnego. Sam przepis nie przewiduje wyjątków i wiąże zarówno podmioty publiczne, jak i prywatne, ale stosują się do niego wyłączenia zakresowe całego rozporządzenia z art. 2 (m.in. bezpieczeństwo narodowe, cele wojskowe i obronne, działalność badawczo-rozwojowa przed wprowadzeniem do obrotu, czynności czysto osobiste o charakterze pozazawodowym). Zakaz obowiązuje od 2025-02-02; sankcje sięgają 35 mln EUR lub 7% całkowitego rocznego światowego obrotu, a dla instytucji, organów i jednostek organizacyjnych Unii — 1,5 mln EUR.^{[6][7][8][9][10][11][21][2]}

Podstawa prawna

Art. 5 ust. 1 lit. c) rozporządzenia (UE) 2024/1689 (AI Act); stosowanie od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa), a dla instytucji, organów i jednostek organizacyjnych Unii art. 100 ust. 2 — do 1 500 000 EUR nakładane przez EIOD; rozdział XII o karach stosuje się od 2025-08-02 (art. 113 lit. b)). Digital Omnibus (rozp. (UE) 2026/1744) nie zmienił brzmienia art. 5 ust. 1 lit. c) — w tekście skonsolidowanym na 2026-07-27 jest ona oznaczona jako przepis podstawowy; zmienił natomiast art. 5 przez dodanie lit. ba) i bb) oraz ust. 1a i 1b (stosowanych od 2026-12-02) i zastąpił art. 113 lit. a) bez zmiany daty 2025-02-02 dla lit. c).

Zakres terytorialny

UE (27 państw członkowskich); rozporządzenie ma adnotację „tekst mający znaczenie dla EOG", ale rozszerzenie na Norwegię, Islandię i Liechtenstein wymaga decyzji Wspólnego Komitetu EOG — jej przyjęcia nie udało się potwierdzić

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Zakazane jest wprowadzanie do obrotu, oddawanie do użytku w tym konkretnym celu oraz wykorzystywanie systemów AI wnioskujących o emocjach osoby fizycznej w miejscu pracy i w instytucjach edukacyjnych; jedyny wyjątek w treści przepisu dotyczy systemów wdrażanych lub wprowadzanych do obrotu ze względów medycznych lub bezpieczeństwa, a przykład zastosowań terapeutycznych pochodzi z motywu 44, nie z samego przepisu. Motyw 44 uzasadnia zakaz ograniczoną wiarygodnością, brakiem specyficzności i ograniczoną możliwością uogólniania takich systemów, znaczną zmiennością ekspresji emocji między kulturami i sytuacjami, ryzykiem wyników dyskryminacyjnych oraz nierównowagą władzy w relacjach pracodawca-pracownik i szkoła-uczeń. Pojęcie systemu rozpoznawania emocji nie obejmuje stanów fizycznych, takich jak ból lub zmęczenie — na przykład systemów wykrywających zmęczenie pilotów lub kierowców — ani samego wykrywania widocznych min, gestów czy ruchów, chyba że służą one wnioskowaniu o emocjach (motyw 18). Poza pracą i edukacją rozpoznawanie emocji nie jest zakazane, lecz zaklasyfikowane jako wysokie ryzyko (załącznik III pkt 1 lit. c)), a obowiązki tej kategorii Digital Omnibus odroczył do 2027-12-02; zakaz obowiązuje od 2025-02-02, sankcje do 35 mln EUR lub 7% obrotu.^{[6][7][22][9][10][11][13][23][24][25]}

Podstawa prawna

Art. 5 ust. 1 lit. f) rozporządzenia (UE) 2024/1689 (AI Act) wraz z wyjątkiem medycznym i bezpieczeństwa zawartym w tym przepisie; motyw 44 (uzasadnienie zakazu oraz przykład zastosowań terapeutycznych); motyw 18 (granica pojęcia: stany fizyczne i samo wykrywanie min, gestów lub ruchów poza zakresem); definicja systemu rozpoznawania emocji w art. 3 pkt 39; poza pracą i edukacją — załącznik III pkt 1 lit. c) (wysokie ryzyko, obowiązki odroczone do 2027-12-02); stosowanie zakazu od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa); kary od 2025-08-02 (art. 113 lit. b)). Digital Omnibus on AI (rozporządzenie (UE) 2026/1744 z 2026-07-08, Dz.U. UE z 2026-07-24) zmienił art. 5, wstawiając nowe lit. ba) i bb) oraz ust. 1a i 1b, jednak oba nowe ustępy są wyraźnie zawężone do lit. ba) i bb), a brzmienie lit. f) pozostało bez zmian.

Zakres terytorialny

UE (tekst mający znaczenie dla EOG; inkorporacja do Porozumienia EOG niepotwierdzona)

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Zakazane są systemy AI oceniające lub przewidujące ryzyko popełnienia przestępstwa przez osobę fizyczną wyłącznie na podstawie profilowania tej osoby albo oceny jej cech i właściwości osobowości; zakaz nie obejmuje systemów wspierających ludzką ocenę udziału osoby w działalności przestępczej, jeżeli ocena ta opiera się już na obiektywnych i weryfikowalnych faktach bezpośrednio powiązanych z działalnością przestępczą. Motyw 42 wyłącza analitykę ryzyka nieopartą na profilowaniu osób fizycznych — na przykład ocenę prawdopodobieństwa nadużyć finansowych po stronie przedsiębiorstw albo przewidywanie przez organy celne lokalizacji narkotyków lub nielegalnych towarów na podstawie znanych szlaków przemytu. Zakaz dotyczy osób fizycznych, nie osób prawnych, i co do zasady nie obejmuje prognozowania przestępczości w ujęciu miejsc; jeżeli jednak ocena ryzyka lokalizacji staje się elementem profilowania konkretnej osoby, na przykład przez powiązanie jej z miejscem zamieszkania w rejonie o wysokiej przestępczości, wytyczne Komisji traktują taki system jako odnoszący się do osoby i objęty zakazem (par. 212-213). Obowiązuje od 2025-02-02; sankcje do 35 mln EUR lub 7% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa.^{[6][7][26][9][10][11][27][28]}

Podstawa prawna

Art. 5 ust. 1 lit. d) rozporządzenia (UE) 2024/1689 (AI Act), z wyłączeniem wskazanym w tym samym przepisie oraz w motywie 42; wytyczne Komisji w sprawie zakazanych praktyk, sekcja 5.3.1 par. 212-213 (predykcja lokalizacyjna co do zasady poza zakazem, chyba że staje się elementem profilowania osoby); stosowanie od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa); przepisy o karach stosuje się od 2025-08-02 (art. 113 lit. b)). Digital Omnibus on AI (rozporządzenie (UE) 2026/1744 z 2026-07-08, Dz.U. UE z 2026-07-24, w mocy od 2026-07-27) zmienił art. 5, dodając nowe lit. ba) i bb) oraz ust. 1a i 1b odnoszące się wyłącznie do tych nowych liter; brzmienia ani oznaczenia lit. d) nie zmienił, nie zmienił też art. 99.

Zakres terytorialny

UE (tekst mający znaczenie dla EOG; inkorporacja do Porozumienia EOG niepotwierdzona)

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Zakazane jest wprowadzanie do obrotu, oddawanie do użytku w tym konkretnym celu oraz wykorzystywanie systemów AI, które tworzą lub rozbudowują bazy danych służące rozpoznawaniu twarzy poprzez nieukierunkowane pobieranie (scraping) wizerunków twarzy z internetu lub z nagrań telewizji przemysłowej. Sam przepis nie zawiera klauzuli wyjątkowej — inaczej niż lit. h), która przewiduje wyjątki dla ścigania przestępstw — a decydujące jest to, że pobieranie ma charakter masowy i nieukierunkowany, bez związku z konkretną osobą lub celem; zastosowanie mają natomiast ogólne wyłączenia z zakresu rozporządzenia: art. 2 ust. 6 (systemy opracowane i oddane do użytku wyłącznie w celu badań naukowych i rozwoju) oraz art. 2 ust. 3 (cele wojskowe, obronne i bezpieczeństwa narodowego). Niezależnie od AI Act praktyka ta narusza zwykle RODO, co potwierdziła m.in. decyzja włoskiego Garante wobec Clearview AI z 2022-02-10 (doc. web nr 9751362). Obowiązuje od 2025-02-02; zakaz obejmuje także dostawców spoza UE wprowadzających takie systemy do obrotu lub oddających je do użytku w Unii (art. 2 ust. 1); sankcje do 35 mln EUR lub 7% obrotu.^{[6][7][8][9][10][11][29][30][18][31][32]}

Podstawa prawna

Art. 5 ust. 1 lit. e) rozporządzenia (UE) 2024/1689 (AI Act); motyw 43; wyłączenia z zakresu rozporządzenia: art. 2 ust. 6 (wyłącznie badania naukowe i rozwój) oraz art. 2 ust. 3 (cele wojskowe, obronne i bezpieczeństwa narodowego); zakres podmiotowy obejmuje dostawców spoza UE — art. 2 ust. 1; stosowanie od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa); przepisy o karach stosuje się od 2025-08-02 (art. 113 lit. b)). Równolegle zastosowanie znajduje RODO. Digital Omnibus on AI (rozporządzenie (UE) 2026/1744 z 2026-07-08, Dz.U. UE z 2026-07-24) nie zmienił brzmienia ani oznaczenia art. 5 ust. 1 lit. e), nie zmienił art. 99 ani daty stosowania zakazów z art. 5; rozszerzył natomiast art. 5 ust. 1 o nowe lit. ba) i bb) (generowanie i manipulowanie niekonsensualnymi materiałami intymnymi oraz materiałami przedstawiającymi seksualne wykorzystywanie dzieci) i o ust. 1a-1b odnoszące się wyłącznie do tych nowych liter.

Zakres terytorialny

UE (tekst mający znaczenie dla EOG; inkorporacja do Porozumienia EOG niepotwierdzona)

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Zakazane jest wprowadzanie do obrotu, oddawanie do użytku w tym konkretnym celu oraz wykorzystywanie systemów kategoryzacji biometrycznej, które indywidualnie kategoryzują osoby fizyczne na podstawie ich danych biometrycznych, aby wydedukować lub wywnioskować rasę, poglądy polityczne, przynależność do związku zawodowego, przekonania religijne lub światopoglądowe, życie seksualne albo orientację seksualną; zakaz obowiązuje od 2025-02-02. Nie obejmuje on etykietowania ani filtrowania zgodnie z prawem pozyskanych zbiorów danych biometrycznych, takich jak obrazy, ani kategoryzowania danych biometrycznych w obszarze ścigania przestępstw. Katalog cech jest zamknięty i w znacznej części odpowiada kategoriom szczególnym z art. 9 RODO, nie obejmuje jednak danych o zdrowiu ani danych genetycznych. Kategoryzacja biometryczna spoza tego katalogu nie jest zakazana: jeżeli opiera się na wnioskowaniu o innych cechach wrażliwych lub chronionych, jest klasyfikowana jako wysokie ryzyko (załącznik III pkt 1 lit. b), którego obowiązki Digital Omnibus odroczył do 2027-12-02, natomiast sortowanie według cech neutralnych, na przykład koloru włosów lub oczu (motyw 30), pozostaje poza oboma reżimami.^{[6][7][8][9][10][11][19][23][33][24][29]}

Podstawa prawna

Art. 5 ust. 1 lit. g) rozporządzenia (UE) 2024/1689 (AI Act) wraz z wyłączeniem zawartym w tym przepisie (etykietowanie i filtrowanie zgodnie z prawem pozyskanych zbiorów oraz kategoryzowanie danych biometrycznych w obszarze ścigania przestępstw); motyw 30; załącznik III pkt 1 lit. b) dla kategoryzacji według innych cech wrażliwych lub chronionych; stosowanie od 2025-02-02 na mocy art. 113 lit. a); sankcje: art. 99 ust. 3 — do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu (kwota wyższa); kary od 2025-08-02 (art. 113 lit. b)). Digital Omnibus — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z dnia 8 lipca 2026 r. zmieniające rozporządzenia (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w zakresie uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji (Dz.Urz. UE z 2026-07-24, w mocy od 2026-07-27) — nie zmienił brzmienia lit. g); dodał natomiast do art. 5 nowe lit. ba) i bb) oraz ust. 1a i 1b, nie naruszając daty stosowania 2025-02-02 ani art. 99. Odroczenie obowiązków wysokiego ryzyka: załącznik III do 2027-12-02, załącznik I sekcja A do 2028-08-02.

Zakres terytorialny

UE (27 państw członkowskich); akt oznaczony jako mający znaczenie dla EOG — stosowanie w Norwegii, Islandii i Liechtensteinie wymaga włączenia do Porozumienia EOG decyzją Wspólnego Komitetu EOG

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

Clearview AI udostępniał wyszukiwanie biometryczne w bazie zdjęć twarzy pobranych z internetu — ponad 10 mld wizerunków według decyzji włoskiego Garante z 2022 r. Kary i nakazy zaprzestania przetwarzania nałożyły cztery organy: Garante 20 mln EUR (nakaz z 10.02.2022, komunikat prasowy 09.03.2022), grecki HDPA 20 mln EUR (decyzja 35/2022 z 13.07.2022), holenderski AP 30,5 mln EUR (decyzja 16.05.2024, ogłoszona 03.09.2024) wraz z czterema nakazami obwarowanymi karą do 5,1 mln EUR oraz francuski CNIL 20 mln EUR (decyzja z 17.10.2022) i 5,2 mln EUR z likwidacji kary za zwłokę (2023 r.; CNIL zdjął publikację sankcji ze swojej strony, więc wątek francuski nie ma dziś żywego źródła pierwotnego). Spółka nie wniosła sprzeciwu od decyzji holenderskiej i przez to nie może się od niej odwołać, nie wykonała nakazów i nie zapłaciła kar; we wrześniu 2024 r. AP zapowiedział zbadanie osobistej odpowiedzialności członków zarządu, publicznego rozstrzygnięcia brak. Od 02.02.2025 sama praktyka jest dodatkowo kategorycznie zakazana w UE na mocy art. 5 ust. 1 lit. e AI Act, który zabrania tworzenia lub rozbudowy baz rozpoznawania twarzy przez nieukierunkowane pobieranie wizerunków z internetu lub z nagrań CCTV; rozporządzenie 2026/1744 (Digital Omnibus, w mocy od 27.07.2026) tej przesłanki nie zmieniło.^{[34][35][36][32][7][37]}

Podstawa prawna

RODO art. 5 ust. 1 lit. a, art. 6, art. 9, art. 12, art. 14, art. 15, art. 27; AI Act (rozp. 2024/1689) art. 5 ust. 1 lit. e — zakaz stosowany od 02.02.2025

Zakres terytorialny

UE (zakaz kategorialny z AI Act); EOG — na gruncie RODO; decyzje krajowe: Włochy, Francja, Grecja, Holandia

Ostatnia zmiana statusu

2025-02-02

Deklarowany termin dostosowania

nie dotyczy

System FaceBoarding, uruchomiony przez operatora lotniska SEA S.p.A. na Milano Linate, działał od 7 maja 2024 r. do 16 września 2025 r.: Garante nakazem nr 489 z 11 września 2025 r. wprowadził tymczasowe ograniczenie przetwarzania (art. 58 ust. 2 lit. f RODO), SEA wyłączyła system 16 września (komunikat z 17 września), a dane usunęła do 8 października 2025 r. Rozstrzygnięciem z 12 marca 2026 r. urząd stwierdził niezgodność przetwarzania z prawem: wzorce biometryczne przechowywano centralnie i w postaci niezaszyfrowanej na serwerach SEA, więc pasażer nie miał wyłącznej kontroli nad własnym wzorcem; zakwestionowano też braki informacyjne, nadmierną retencję oraz przetwarzanie danych osób niekorzystających z usługi na bramkach hybrydowych — zdaniem Garante nawet przetwarzanie krótsze niż 1,5 sekundy jest przetwarzaniem danych biometrycznych, a dla danych szczególnych kategorii nie istnieje próg de minimis. Decyzja ma charakter deklaratoryjny (art. 57 ust. 1 lit. a RODO), zamyka postępowanie i nie zawiera zakazu na przyszłość ani kary pieniężnej — jeden punkt dyspozytywu jest w wersji publikowanej utajniony ([OMISSIS]) — a zgodnie z powołaną Opinią EDPB 11/2024 dopuszczalna pozostaje architektura, w której wzorzec biometryczny znajduje się wyłącznie w rękach pasażera. Na 14 sierpnia 2026 r. usługa pozostaje wyłączona: komunikat SEA o zawieszeniu jest nadal opublikowany i nie zapowiada wznowienia.^{[38][39][40][41][42]}

Podstawa prawna

RODO art. 5 ust. 1 lit. a, e i f oraz art. 6, 13, 25 i 32 — stwierdzenie niezgodności przetwarzania danych biometrycznych z prawem w trybie deklaratoryjnym z art. 57 ust. 1 lit. a RODO, bez środków naprawczych z art. 58 ust. 2; wcześniej tymczasowe ograniczenie przetwarzania (art. 58 ust. 2 lit. f RODO) nakazem nr 489 z 11 września 2025 r. Ocena oparta na Opinii EDPB 11/2024 (odrzucony scenariusz centralnego przechowywania wzorców).

Zakres terytorialny

Włochy — lotnisko Milano Linate

Ostatnia zmiana statusu

2026-03-12

Deklarowany termin dostosowania

nie dotyczy

Włoski Garante 1 października 2025 r. nakazał w trybie pilnym i ze skutkiem natychmiastowym tymczasowe ograniczenie przetwarzania danych użytkowników z Włoch przez spółkę prowadzącą Clothoff — serwis generatywnej AI tworzący fałszywe nagie zdjęcia i filmy („deep nude") z przesłanych fotografii. Urząd wskazał, że z aplikacji mógł korzystać każdy, w tym małoletni, że serwis nie stosował mechanizmu pozwalającego zweryfikować zgodę osoby przedstawionej ani nie oznaczał materiałów jako sztucznych, oraz że rodzi to wysokie ryzyko dla godności i prywatności, zwłaszcza małoletnich; równolegle wszczął szersze postępowanie wobec wszystkich aplikacji typu „nudify". Środek wiąże jednak operatora serwisu, a nie dostawców internetu, więc nie oznacza technicznej niedostępności Clothoff z terytorium Włoch. W komunikacie z 6 maja 2026 r. urząd potwierdził wcześniejszą blokadę Clothoff i ponowił wniosek o uprawnienie do bezpośredniego odcinania dostępu z Włoch do takich platform.^{[43][44][45][28][2][46]}

Podstawa prawna

RODO art. 58 ust. 2 lit. f — tymczasowe ograniczenie przetwarzania, zastosowane przez Garante w trybie pilnym (komunikat prasowy nie przytacza numeracji artykułów, powołując się na „elevati rischi" dla praw i wolności podstawowych). Od grudnia 2026 r. tego rodzaju systemy obejmie dodatkowo zakaz z art. 5 ust. 1 lit. ba) AI Act, dodany rozporządzeniem (UE) 2026/1744 (Digital Omnibus on AI; przyjęte 8 lipca 2026 r., Dz.Urz. UE z 2026-07-24, w mocy od 2026-07-27) — w nomenklaturze Komisji „Prohibition 9", obejmująca wprost aplikacje typu „nudification". Komisja podaje termin stosowania tego zakazu na poziomie miesiąca (grudzień 2026 r.); dokładny dzień nie został potwierdzony w zweryfikowanych źródłach, dlatego wpis nie podaje daty dziennej.

Zakres terytorialny

Włochy (dane użytkowników z Włoch)

Ostatnia zmiana statusu

2025-10-01

Deklarowany termin dostosowania

nieznany

30.01.2025 włoski Garante nałożył ograniczenie przetwarzania danych użytkowników z Włoch przez spółki Hangzhou DeepSeek i Beijing DeepSeek, uznając ich odpowiedź na żądanie informacji za całkowicie niezadowalającą; spółki twierdziły, że nie działają we Włoszech i nie podlegają prawu UE. Aplikacja została usunięta ze sklepów Apple i Google we Włoszech i pozostaje tam niedostępna (stan na styczeń 2026), choć strona internetowa jest technicznie osiągalna; postępowanie Garante trwa, nie zapadła decyzja końcowa ani kara. 27.06.2025 berlińska komisarz ochrony danych Meike Kamp zgłosiła aplikację Apple i Google jako treść nielegalną w trybie art. 16 DSA, zarzucając bezprawny transfer danych do Chin (art. 46 ust. 1 RODO), po zignorowanym wezwaniu z 06.05.2025 do dobrowolnego wycofania i w koordynacji z organami Badenii-Wirtembergii, Nadrenii-Palatynatu i Bremy oraz Bundesnetzagentur — zgłoszenie z art. 16 DSA nie ma jednak charakteru wiążącego, Apple i Google go nie wykonały, a aplikacja pozostaje dostępna w niemieckich sklepach. Postępowania lub kroki organów odnotowano także m.in. w Irlandii, Belgii, Holandii, Francji, Hiszpanii, Portugalii, Grecji, Luksemburgu, Polsce, na Litwie i w Chorwacji, a EROD rozszerzyła grupę zadaniową ChatGPT na ogólną grupę do spraw egzekwowania AI; w odrębnym wątku konsumenckim włoski AGCM decyzją nr 31784 (PS12942) z 16.12.2025, opublikowaną w biuletynie i opisaną w prasie 05.01.2026, zamknął sprawę bez stwierdzenia naruszenia, przyjmując zobowiązania DeepSeeka do ostrzegania o halucynacjach (za niewykonanie decyzji zobowiązaniowej włoski Kodeks konsumencki przewiduje karę od 10 tys. do 10 mln EUR).^{[47][48][49][50][51][52]}

Podstawa prawna

RODO art. 58 ust. 2 lit. f (ograniczenie przetwarzania), art. 44–46 (transfery do państw trzecich), art. 5, art. 6, art. 13–14; DSA (rozp. 2022/2065) art. 16 — zgłoszenie treści nielegalnej do sklepów z aplikacjami (niewiążące); włoski Kodeks konsumencki art. 27 ust. 7 — decyzja zobowiązaniowa AGCM

Zakres terytorialny

Włochy (blokada w mocy — aplikacja usunięta ze sklepów), Niemcy (zgłoszenie do sklepów bez skutku — aplikacja dostępna); postępowania i kroki organów m.in.: Irlandia, Belgia, Holandia, Francja, Hiszpania, Portugalia, Grecja, Luksemburg, Polska, Litwa, Chorwacja

Ostatnia zmiana statusu

2025-01-30

Deklarowany termin dostosowania

brak deklaracji dostawcy

2026-06-08 Apple ogłosiło, że nie udostępni nowej Siri AI użytkownikom w UE wraz z iOS 27 i iPadOS 27, powołując się na interpretację aktu o rynkach cyfrowych przez regulatorów UE, która — zdaniem Apple — wymuszałaby przyznanie dowolnemu asystentowi głosowemu bezpośredniego dostępu do prywatnych danych użytkowników. Wyłączenie obejmuje także nową aplikację do przeglądania rozmów, rozszerzoną Visual Intelligence, zintegrowane narzędzia pisarskie i tryb Siri w Aparacie oraz watchOS 27 (wymaga sparowanego iPhone'a z Siri AI); w UE Siri AI ma być dostępna na macOS 27 i visionOS 27. To jednostronna decyzja dostawcy, nie nakaz organu: Apple stwierdza, że nie ma obecnie harmonogramu udostępnienia w UE, a zaproponowany przez nie mechanizm kontrolowanego dostępu konkurencyjnych asystentów („Trusted System Agent") został według Apple odrzucony przez regulatorów. Komisja Europejska zakwestionowała to uzasadnienie — 2026-06-09 oświadczyła, że DMA nie zawiera przepisów zakazujących Apple wprowadzania nowych produktów lub usług w UE i że Apple nie przedstawiło zgodnej z DMA propozycji interoperacyjności.^{[53][54][55][56]}

Podstawa prawna

Rozporządzenie (UE) 2022/1925 (akt o rynkach cyfrowych, DMA) — obowiązki interoperacyjności strażnika dostępu; brak decyzji lub nakazu organu — wyłączenie wprowadzone jednostronnie przez dostawcę.

Zakres terytorialny

UE (27 państw członkowskich); wyłączenie dotyczy iOS 27, iPadOS 27 i zależnego watchOS 27 — nie obejmuje macOS 27 ani visionOS 27

Ostatnia zmiana statusu

2026-06-08

Deklarowany termin dostosowania

brak deklaracji dostawcy

Pierwsza generacja Sory, dostępna poza Europą od grudnia 2024, trafiła do UE, EOG i Szwajcarii 27-28.02.2025 dla abonentów ChatGPT Plus i Pro; opóźnienie wiązano z kwestiami regulacyjnymi wokół treści generowanych przez AI i ochrony danych, ale OpenAI nie podało oficjalnego uzasadnienia. Sora 2 wraz z aplikacją społecznościową, uruchomiona 30.09.2025 w USA i Kanadzie, nigdy nie została udostępniona w UE - przy premierze na Androida 04.11.2025 oficjalna lista rynków obejmowała Kanadę, Japonię, Koreę, Tajwan, Tajlandię, USA i Wietnam, bez żadnego państwa UE. OpenAI ogłosiło wygaszenie produktu 24.03.2026: aplikacja i wersja webowa zostały wyłączone globalnie 26.04.2026, natomiast modele sora-2 i sora-2-pro w Videos API działają jeszcze do zapowiedzianego wyłączenia 24.09.2026. Wpis jest historyczny - niedostępność w UE nigdy nie wynikała z nakazu organu, lecz z decyzji dostawcy, a produkt konsumencki nie działa już nigdzie.^{[57][58][59][60][61][62][63][64][65]}

Podstawa prawna

Brak nakazu organu. Pierwotnie opóźniony launch regionalny (decyzja dostawcy), następnie globalna decyzja biznesowa OpenAI o wygaszeniu produktu, uzasadniana przekierowaniem mocy obliczeniowej na narzędzia programistyczne i klientów korporacyjnych.

Zakres terytorialny

UE + EOG + Szwajcaria (historycznie); obecnie wyłączenie globalne

Ostatnia zmiana statusu

2026-04-26

Deklarowany termin dostosowania

2026-09-24

Personal Intelligence — funkcja aplikacji Gemini sięgająca do Gmaila, Kalendarza, Dysku, Zdjęć i YouTube użytkownika — ruszyła w USA 27 marca 2026, a 14 kwietnia 2026 objęła resztę świata z wyłączeniem Europejskiego Obszaru Gospodarczego, Szwajcarii i Wielkiej Brytanii; Android Police wymienia wśród wyłączonych także Nigerię i Koreę Południową, czyli jurysdykcje spoza RODO, co czyni tłumaczenie wyłączenia samymi wymogami RODO niepełnym. Funkcja jest opcjonalna i wymaga zgody użytkownika, działa tylko z prywatnymi kontami Google, a na starcie objęła abonentów planów AI Plus, Pro i Ultra z zapowiedzią rozszerzenia na użytkowników darmowych; strona produktowa Google potwierdza wykluczenie osób poniżej 18 lat oraz kont Workspace i Workspace for Education, lecz nie wymienia wyłączonych regionów. Google nie podało uzasadnienia wyłączenia EOG ani terminu udostępnienia, a ustalenie opiera się wyłącznie na zgodnych doniesieniach kilku niezależnych redakcji, bez potwierdzenia w źródle pierwotnym dostawcy. Stan na 14 sierpnia 2026 pozostaje niepotwierdzony: serwis NokiaPowerUser napisał 7 maja 2026 o starcie funkcji w Europie, ale doniesienie jest odosobnione, przytoczony w nim opis dotyczy innej funkcji (pamięci poprzednich rozmów), a redakcje relacjonujące pierwotne wyłączenie nie odnotowały jego zniesienia.^{[66][67][68][69][70][71]}

Podstawa prawna

Brak nakazu organu. Jednostronne wyłączenie regionów przez dostawcę, bez oficjalnie podanej podstawy prawnej. Kontekst regulacyjny wskazywany przez komentatorów: rozporządzenie 2016/679 (RODO) w zakresie łączenia danych z wielu usług oraz rozporządzenie 2024/1689 (AI Act); lista wyłączonych krajów wykracza jednak poza obszar obowiązywania RODO.

Zakres terytorialny

EOG + Szwajcaria + Wielka Brytania (Android Police wymienia także Nigerię i Koreę Południową)

Ostatnia zmiana statusu

2026-04-14

Deklarowany termin dostosowania

brak deklaracji dostawcy

Google Flow — narzędzie do produkcji wideo oparte na modelu Veo — jest w UE dostępne; strona pomocy Google wymienia wśród obsługiwanych krajów m.in. Niemcy, Francję, Włochy, Hiszpanię, Polskę i Holandię, a 10 lipca 2025 usługę rozszerzono o 76 kolejnych krajów, do ponad 140 rynków. Ograniczenie ma charakter funkcjonalny, nie krajowy: funkcja Avatars pozostaje niedostępna w EOG, Szwajcarii i Wielkiej Brytanii, a edycja wgranych przez użytkownika filmów — w EOG, Szwajcarii, Wielkiej Brytanii i niektórych stanach USA, co pokazuje, że to drugie ograniczenie nie jest wyłącznie europejskie. Google nie podaje przy nich podstawy prawnej ani terminu zniesienia, a daty ich wprowadzenia nie ustalono; wersje językowe strony pomocy nie są zsynchronizowane — akapit o funkcji Avatars występuje tylko w wersji angielskiej, a „Niektóre stany w USA" wymieniają wersje polska i niemiecka, ale nie angielska. Część publikacji opisuje Flow jako niedostępny w UE; są to najprawdopodobniej opisy wcześniejszego etapu udostępniania — weryfikacja na stronie pomocy Google 14 sierpnia 2026 wskazuje, że usługa w państwach UE działa, więc to przypadek częściowy: ograniczenie funkcji, nie blokada narzędzia.^{[72][73][74][75][76]}

Podstawa prawna

Brak nakazu organu. Ograniczenia funkcjonalne wprowadzone jednostronnie przez dostawcę, bez podanej podstawy prawnej; oba dostępne źródła należą do Google, potwierdzenia spoza dostawcy nie uzyskano. Kontekst regulacyjny: rozporządzenie 2016/679 (RODO) oraz art. 50 rozporządzenia 2024/1689 (AI Act) — obowiązek oznaczania treści syntetycznych, obowiązujący od 2026-08-02.

Zakres terytorialny

EOG + Szwajcaria + Wielka Brytania (funkcja Avatars); EOG + Szwajcaria + Wielka Brytania + niektóre stany USA (edycja wgranych filmów); sama usługa dostępna w państwach UE

Ostatnia zmiana statusu

2025-07-10

Deklarowany termin dostosowania

brak deklaracji dostawcy

Zasady dopuszczalnego użycia (Acceptable Use Policy) Llama 4 wyłączają osoby zamieszkałe w UE oraz firmy mające w UE główne miejsce prowadzenia działalności z praw przyznanych w sekcji 1(a) umowy licencyjnej; ograniczenie nie dotyczy użytkowników końcowych produktów i usług wykorzystujących te modele, więc firma spoza UE może świadczyć usługi oparte na Llama 4 klientom z UE. Klauzula pojawiła się przy Llama 3.2 we wrześniu 2024 i została przeniesiona do Llama 4 (kwiecień 2025); Meta uzasadniała ją nieprzewidywalnością europejskiego otoczenia regulacyjnego. Oba wydane modele Llama 4 (Scout i Maverick) są natywnie multimodalne, więc ograniczenie obejmuje całość wydanej rodziny, a Behemoth pozostał modelem-nauczycielem i nie został publicznie udostępniony. Ograniczenie jest specyficzne dla modalności i generacji — nie obejmuje Llamy 3.1 i wcześniejszych ani tekstowych Llama 3.2 1B/3B — i nie jest zakazem dystrybucji produktów w UE, lecz wyłączeniem z zakresu udzielonej licencji; klauzulę zweryfikowano jako obowiązującą 14 sierpnia 2026 w źródle pierwotnym Mety.^{[77][78][79][80][81]}

Podstawa prawna

Brak nakazu organu. Klauzula umowna w Llama 4 Acceptable Use Policy, włączonej do umowy przez odesłanie w sekcji 1.b.iv Llama 4 Community License Agreement; wyłącza ona prawa przyznane w sekcji 1(a) tej umowy. Sam tekst umowy licencyjnej nie zawiera wyłączenia UE (jedyna wzmianka o EOG wskazuje, która spółka Mety jest stroną umowy). Meta powołuje się na niepewność regulacyjną związaną z rozporządzeniem 2024/1689 (AI Act) i wcześniej z rozporządzeniem 2016/679 (RODO).

Zakres terytorialny

UE (27 państw członkowskich); ograniczenie licencyjne dla licencjobiorców, nie dla użytkowników końcowych

Ostatnia zmiana statusu

2025-04-05

Deklarowany termin dostosowania

brak deklaracji dostawcy

GEMA pozwała Suno 2025-01-21 przed Sądem Krajowym w Monachium I, a wyrokiem z 2026-07-31 (sygn. 42 O 763/25) 42. izba cywilna w przeważającej części uwzględniła roszczenia o zaniechanie, o udzielenie informacji oraz o ustalenie obowiązku odszkodowawczego, którego wysokość ma zostać określona po wykonaniu obowiązku informacyjnego o przychodach. Sąd ustalił, że sześć spornych utworów (m.in. „Atemlos durch die Nacht", „Rasputin", „Forever Young", „Daddy Cool") jest odtwarzalnych w modelach v3.5 i v4 wskutek memoryzacji danych treningowych nieobjętej wyjątkiem na eksplorację tekstów i danych z § 44b UrhG, uznał, że już samo oferowanie modelu narusza nienazwane prawo publicznego udostępniania z § 15 ust. 2 UrhG, i odrzucił obronę opartą na amerykańskim fair use, ponieważ wszystkie przesłanki z 17 U.S.C. § 107 przemawiały przeciw pozwanej (outputy istotnie podobne do oryginałów, generowane z nieswoistych promptów). Wyrok nie jest prawomocny, Suno nie potwierdziło publicznie, czy wniesie apelację, a usługa pozostaje w Niemczech dostępna — orzeczenie nie jest zakazem jej świadczenia; 2026-08-06 Suno zapowiedziało wprowadzenie znaków wodnych i fingerprintingu oraz współpracę z Audible Magic i Musixmatch, nie odnosząc się w komunikacie do wyroku. Niska pewność wynika z nieprawomocności wyroku i z tego, że pełne brzmienie sentencji, w tym zasięg nakazu zaniechania, nie zostało opublikowane.^{[82][83][84][85][86][87][88][89]}

Podstawa prawna

Niemiecka ustawa o prawie autorskim (UrhG) — prawo zwielokrotniania oraz nienazwane prawo publicznego udostępniania (§ 15 ust. 2); sporny zakres wyjątku na eksplorację tekstów i danych (§ 44b UrhG, art. 4 dyrektywy 2019/790); wyrok Sądu Krajowego w Monachium I, sygn. 42 O 763/25 z 2026-07-31, nieprawomocny.

Zakres terytorialny

Niemcy (skutek wyroku); znaczenie precedensowe poza Niemcami niepewne — w państwach o szerszym wyjątku TDM rozstrzygnięcie mogłoby wypaść inaczej, a zasięg terytorialny może być badany w apelacji

Ostatnia zmiana statusu

2026-07-31

Deklarowany termin dostosowania

nieznany

Włoski Garante decyzją nr 10269571 z 03.07.2026, ogłoszoną 09.07.2026, nałożył na Character Technologies Inc. karę 158 tys. EUR (ok. 180,5 tys. USD) za braki w informacji o przetwarzaniu danych, spóźnioną ocenę skutków dla ochrony danych (DPIA), spóźnione wyznaczenie przedstawiciela w UE oraz nieskuteczną weryfikację wieku i niedostateczne zabezpieczenia dla małoletnich. Organ nakazał zapewnienie działającej weryfikacji wieku, okres karencji uniemożliwiający zablokowanym małoletnim natychmiastową ponowną rejestrację oraz domyślnie prywatne profile nieletnich; spółka ma 120 dni od DORĘCZENIA decyzji na raport o wdrożonych środkach - licząc od daty decyzji wypada to ok. 31.10.2026, lecz data doręczenia nie jest publiczna, więc faktyczny termin może być późniejszy. Usługa nie została zablokowana ani ograniczona i pozostaje dostępna we Włoszech oraz w całej UE, dlatego wpis ma status postępowania (żywy nakaz naprawczy z otwartym terminem), a nie zablokowania. Niezależnie od decyzji Garante spółka - zgodnie z zapowiedzią z 29.10.2025 - od 24.11.2025 wycofuje otwarty czat dla kont poniżej 18 lat, począwszy od USA, z pozostałymi rynkami w dalszej kolejności, i wdraża wielowarstwową weryfikację wieku z udziałem dostawcy zewnętrznego (Persona).^{[90][91][92][93][94][95]}

Podstawa prawna

RODO art. 5 ust. 2 (rozliczalność), art. 12 ust. 1, art. 13 ust. 1-2, art. 14 ust. 1-2 (przejrzystość), art. 24 ust. 1, art. 25 ust. 2 (domyślna ochrona danych), art. 27 ust. 1 (przedstawiciel w UE), art. 35 ust. 1 (DPIA), art. 57, art. 58 ust. 2 lit. d oraz i, art. 83 (nakazy i kara pieniężna). Art. 8 RODO w decyzji nie występuje.

Zakres terytorialny

Włochy (decyzja Garante); usługa dostępna w całej UE

Ostatnia zmiana statusu

2026-07-03

Deklarowany termin dostosowania

2026-10-31

Garante rozstrzygnięciem nr 342 z 14 maja 2026 r. zakwestionował wtyczkę Myndoor do Slacka i Microsoft Teams, która metodą sentiment analysis szacowała poziom stresu i stany emocjonalne pracowników na podstawie treści ich służbowych wiadomości. Urząd działał jako organ nadzorczy RODO i przywołał posiłkowo art. 5 ust. 1 lit. f AI Act, zakazujący systemów AI wnioskujących o emocjach w miejscu pracy, nie stwierdzając wprost naruszenia AI Act; uznał, że deklarowany cel „medycyny prewencyjnej, diagnozy i opieki" jest dla pracodawcy radykalnie wykluczony, a udostępnianie pracodawcy wywnioskowanych przez AI informacji o jego personelu ma zostać uniemożliwione środkami technicznymi i organizacyjnymi. To jedno z pierwszych znanych rozstrzygnięć europejskiego organu ochrony danych powołujących ten zakaz, ale zastosowanym instrumentem było ostrzeżenie z art. 58 ust. 2 lit. a RODO — bez kary, bez terminu i bez nakazu wycofania, zaskarżalne w 30 dni — a narzędzie pozostaje na rynku, dlatego wpis ma status „postępowanie", nie „zakazane". Spółka w piśmie z 24 grudnia 2025 r. oświadczyła, że po optymalizacji infrastruktury architektura systemu nie przewiduje już pozyskiwania danych osobowych; Garante mimo to wydał ostrzeżenie, a rozstrzygnięcie upubliczniono w bazie docweb na początku czerwca 2026 r.^{[96][97][98][99]}

Podstawa prawna

RODO art. 5, 6, 9, 24, 25 i 88; zastosowany środek: ostrzeżenie z art. 58 ust. 2 lit. a RODO w zw. z art. 154 ust. 1 lit. f włoskiego Kodeksu ochrony danych (ponadto art. 2-ter i 113 Kodeksu). Posiłkowo przywołany art. 5 ust. 1 lit. f rozporządzenia (UE) 2024/1689 (AI Act) — zakaz systemów AI wnioskujących o emocjach w miejscu pracy, obowiązujący od 2 lutego 2025 r.

Zakres terytorialny

Włochy (rozstrzygnięcie krajowe); sam zakaz z art. 5 ust. 1 lit. f AI Act obowiązuje w całej UE

Ostatnia zmiana statusu

2026-05-14

Deklarowany termin dostosowania

nie dotyczy

PimEyes prowadzi wyszukiwarkę twarzy opartą na miliardach zdjęć pobranych z publicznego internetu; usługa pozostaje dostępna dla użytkowników z UE i nie objęto jej żadnym nakazem blokady (dostęp sprawdzony 14.08.2026). Hamburski organ ochrony danych (HmbBfDI) 07.11.2025 — ponad pięć lat po skardze z lipca 2020 — stwierdził, że firma działa bezprawnie i nie odpowiada na żądania dostępu i usunięcia danych, ale odstąpił od egzekucji, powołując się na przeniesienie spółki do Dubaju; wątek polskiej właściwości zamknięto negatywnie, bo noyb poinformował organ w lipcu 2021, że UODO nie prowadzi sprawy, a sam HmbBfDI podważał później właściwość Polski. 30.04.2026 noyb zaskarżył bezczynność organu do sądu administracyjnego w Hamburgu, wskazując, że RODO obowiązuje eksterytorialnie i że organ mógł sięgnąć po zamrożenie środków w Europie, odpowiedzialność kierownictwa albo nakaz usunięcia danych skierowany do dostawców usług PimEyes, jak w sprawie Clearview AI; wyroku na sierpień 2026 brak. W aktualizacji z 08.07.2026 noyb podał, że obecny operator zgłosił się do organizacji i oświadczył, iż nabył produkt PimEyes od poprzednich właścicieli dopiero w 2022 r. Praktyka PimEyes odpowiada opisowi z art. 5 ust. 1 lit. e AI Act, ale żaden organ nadzoru rynku dotąd tego przepisu wobec spółki nie zastosował, więc status pozostaje „pod postępowaniem”, a nie „zakazane”.^{[100][101][102][103][104][105][106][107]}

Podstawa prawna

RODO art. 3 ust. 2 lit. b (zakres eksterytorialny — kwalifikacja redakcyjna; źródła niemieckie opisują to jako Marktortprinzip), art. 9 (dane biometryczne), art. 12, art. 15, art. 17, art. 57–58 (obowiązki organu nadzorczego); skarga na bezczynność organu do sądu administracyjnego w Hamburgu

Zakres terytorialny

UE (usługa dostępna, brak blokady); postępowanie sądowe w Niemczech (Hamburg), wcześniej zamknięty wątek właściwości w Polsce (UODO)

Ostatnia zmiana statusu

2026-04-30

Deklarowany termin dostosowania

brak deklaracji dostawcy

Hiszpańska AEPD w marcu 2024 r. nakazała Tools for Humanity wstrzymanie zbierania i przetwarzania danych biometrycznych tęczówki, oczu i twarzy w Hiszpanii oraz zablokowanie danych już pozyskanych — był to środek tymczasowy z art. 66 ust. 1 RODO na trzy miesiące, a powodem było pozyskiwanie danych w centrach handlowych za wynagrodzenie w kryptowalucie, brak weryfikacji wieku (dane osób od 14. roku życia) oraz wątpliwości co do informacji i ważności zgody; 26.03.2024 portugalska CNPD zawiesiła zbieranie danych na 90 dni. 04.06.2024 spółka zobowiązała się prawnie nie wznawiać działalności w Hiszpanii do końca 2024 r. albo, jeśli nastąpi to wcześniej, do zakończenia postępowania bawarskiego BayLDA, które zamknięto decyzją z 19.12.2024 nakazującą usunięcie bezprawnie zebranych kodów tęczówki i wdrożenie procedury usuwania do 19.01.2025 (spółka się odwołała) — zobowiązanie hiszpańskie tym samym wygasło. W październiku 2025 r. administratorem danych dla operacji Orb wobec użytkowników w Hiszpanii została Tools for Humanity GmbH w trybie art. 56 RODO, 12.02.2026 World wznowił działalność i otworzył lokalizacje w Barcelonie, a 13.02.2026 AEPD wydała wobec tego jedynie apercibimiento, czyli ostrzeżenie prewencyjne (akta EXP202602591), bez sankcji i bez zakazu, wskazując, że World ID to prawdopodobnie przetwarzanie danych biometrycznych z art. 9 RODO wymagające mocniejszej podstawy prawnej i rzetelniejszej oceny skutków; 16.02.2026 Tools for Humanity sama zawiesiła operacje w Hiszpanii. 30.06.2026 Audiencia Nacional wyrokiem 304/2026 (ECLI:ES:AN:2026:2957) oddaliła skargę spółki, potwierdzając retrospektywnie legalność wygasłego już środka z 2024 r. i obciążając ją kosztami; wyrok podlega skardze kasacyjnej, World App pozostaje dostępna w UE, żadnego wykonalnego nakazu organu obecnie nie ma, a redakcja nie ustaliła, czy między lutym a sierpniem 2026 r. skanowanie Orbami w Hiszpanii wznowiono.^{[108][109][110][111][112][113][114][115][116][117]}

Podstawa prawna

RODO art. 66 ust. 1 (środki tymczasowe w trybie pilnym — dotyczy wyłącznie wygasłego środka AEPD z 2024 r.), art. 5 ust. 1 lit. a, art. 6, art. 9 (dane biometryczne), art. 8 (dzieci), art. 17 (usunięcie danych — nakaz BayLDA), art. 58 ust. 2 lit. b (ostrzeżenie AEPD z 13.02.2026), art. 56 (mechanizm kompleksowej współpracy — TfH GmbH jako administrator od 10.2025)

Zakres terytorialny

Hiszpania (środek z 2024 r. wygasł; legalność potwierdzona sądowo 30.06.2026; skanowanie Orbami wstrzymane decyzją spółki od 02.2026), Portugalia (zawieszenie na 90 dni w 2024 r.), Niemcy (nakaz usunięcia danych BayLDA, spółka się odwołała). World App pozostaje dostępna w UE

Ostatnia zmiana statusu

2026-02-16

Deklarowany termin dostosowania

brak deklaracji dostawcy

Litewska Państwowa Inspekcja Ochrony Danych (VDAI) prowadzi postępowanie wobec UAB Whitebridge ai, wileńskiej spółki sprzedającej generowane przez AI „raporty reputacyjne" o osobach, tworzone z danych zeskrobanych z internetu i mediów społecznościowych. Sprawa ruszyła po skardze administracyjnej noyb z 29 września 2025 r. (nie pozwie): organizacja zarzuca brak zgodności z prawem i nieprawidłowość danych, przetwarzanie danych szczególnych kategorii, wadliwy tryb realizacji praw — spółka żądała kwalifikowanego podpisu elektronicznego przy żądaniach dostępu — oraz model biznesowy nakłaniający ludzi do płacenia za wgląd we własne dane, w tym w treści wygenerowane przez AI i nieprawdziwe. VDAI publicznie potwierdziła prowadzenie sprawy 23 października 2025 r., a usługa pozostaje czynna i bez ograniczeń w UE (stan sprawdzony 14 sierpnia 2026 r.). W rejestrze decyzji VDAI za 2026 r. figurują dwie decyzje z 15 maja 2026 r. dotyczące spółki — nr 3R-882 (2.13-1.E), gdzie stwierdzono naruszenie prawa dostępu, i nr 3R-886 (2.13-1.E), gdzie naruszenia nie stwierdzono — ale ich treści nie udało się odczytać, bo serwis organu blokuje dostęp automatyczny i stawia CAPTCHA; wymagają ręcznego potwierdzenia, dlatego pewność oznaczono jako niską, a data zmiany statusu pozostaje przy publicznym potwierdzeniu postępowania.^{[118][119][120][121][122][123]}

Podstawa prawna

RODO — art. 5 (zgodność z prawem i prawidłowość danych), art. 9 (dane szczególnych kategorii), art. 12 (tryb realizacji praw osób, których dane dotyczą), art. 16 (sprostowanie) — zakres zarzutów skargi noyb; postępowanie prowadzi litewski organ nadzorczy VDAI na podstawie art. 57–58 RODO. Niezweryfikowane decyzje VDAI z 15 maja 2026 r. dotyczyły art. 15 i 17 RODO.

Zakres terytorialny

Litwa (postępowanie organu); usługa oferowana w UE

Ostatnia zmiana statusu

2025-10-23

Deklarowany termin dostosowania

nie dotyczy

Włoski Garante 02.02.2023 nałożył w trybie pilnym ograniczenie przetwarzania danych użytkowników z Włoch przez Luka Inc. (brak weryfikacji wieku, ryzyko dla małoletnich i osób w kryzysie emocjonalnym), a 22.06.2023 zawiesił to ograniczenie ze skutkiem od wykonania nakazów - zaktualizowana informacja o prywatności, bramka wieku przy rejestracji, okres karencji blokujący poprawianie daty urodzenia - po czym usługa wróciła do Włoch. Decyzją z 10.04.2025, ogłoszoną 19.05.2025, organ zakończył postępowanie karą 5 mln EUR: do 02.02.2023 spółka w ogóle nie wskazała podstawy prawnej przetwarzania, informacja o prywatności była nieadekwatna, a wdrożony później mechanizm weryfikacji wieku nadal jest wadliwy (data urodzenia edytowalna w profilu bez weryfikacji, karencja obchodzona przez tryb incognito i zmianę adresu e-mail). W tej samej decyzji Garante zastrzegł zbadanie legalności przetwarzania na całym cyklu życia modelu generatywnego stojącego za Repliką w odrębnym, autonomicznym postępowaniu. Na 14.08.2026 usługa jest we Włoszech dostępna, a żadne źródło z 2026 r. nie potwierdza, czy odrębne postępowanie zostało formalnie wszczęte ani jaki jest los ewentualnego odwołania od kary - stąd pewność niska.^{[124][125][126][127][128][129][130]}

Podstawa prawna

RODO art. 58 ust. 2 lit. f w zw. z art. 5 ust. 8 Regulaminu Garante nr 1/2000 (tymczasowe ograniczenie z 02.02.2023); art. 58 ust. 2 lit. d (nakazy z 22.06.2023). Naruszenia stwierdzone decyzją z 10.04.2025: art. 5 ust. 1 lit. a i c, art. 6, art. 12, art. 13, art. 24 oraz art. 25 ust. 1 RODO. Art. 8 i art. 9 RODO występowały wyłącznie jako naruszenia podejrzewane w środku tymczasowym z 2023 r. i nie zostały potwierdzone.

Zakres terytorialny

Włochy

Ostatnia zmiana statusu

2025-05-19

Deklarowany termin dostosowania

brak deklaracji dostawcy

8 sierpnia 2024 DPC wniósł sprawę do irlandzkiego High Court w trybie sekcji 134 ustawy o ochronie danych z 2018 — po raz pierwszy jako organ wiodący dla całego UE/EOG; X zobowiązał się zawiesić przetwarzanie publicznych postów użytkowników z UE/EOG z okresu 7 maja–1 sierpnia 2024 do trenowania Groka i usunąć te dane, a 4 września 2024 postępowanie sądowe umorzono po uczynieniu zobowiązania trwałym. 11 kwietnia 2025 DPC wszczął odrębne formalne postępowanie w trybie sekcji 110 tej samej ustawy, badając legalność i przejrzystość przetwarzania publicznych postów użytkowników UE/EOG do trenowania modeli Grok; podmiotem odpowiedzialnym jest X Internet Unlimited Company, która 25 marca 2025 zawiadomiła organ o zmianie nazwy z Twitter International Unlimited Company z dniem 1 kwietnia 2025. 17 lutego 2026 DPC wszczął wobec tej samej spółki drugie, odrębne postępowanie z sekcji 110 — dotyczy ono generowania i publikowania na platformie X niekonsensualnych, intymnych lub zseksualizowanych wizerunków osób z UE/EOG, w tym dzieci, przy użyciu Groka, a więc innego przedmiotu przetwarzania niż trening na postach. Do sierpnia 2026 DPC nie opublikował decyzji końcowej w żadnej z tych spraw; platforma X i Grok pozostają dostępne w UE.^{[131][132][133][134][135]}

Podstawa prawna

Sekcja 110 irlandzkiej ustawy o ochronie danych z 2018 (podstawa wszczęcia postępowań z 11.04.2025 i 17.02.2026) oraz sekcja 134 tej ustawy (tryb sądowy zastosowany w 2024 r.). W komunikacie z 11.04.2025 DPC mówi ogólnie o kluczowych przepisach RODO, w tym o legalności i przejrzystości przetwarzania (art. 5 i 6; wskazanie art. 12–14 to kwalifikacja redakcji, nie wyliczenie organu). W postępowaniu z 17.02.2026 DPC wskazuje art. 5, 6, 25 i 35 RODO.

Zakres terytorialny

UE + EOG

Ostatnia zmiana statusu

2025-04-11

Deklarowany termin dostosowania

nieznany

2024-09-12 irlandzki DPC wszczął z urzędu transgraniczne postępowanie w trybie sekcji 110 ustawy o ochronie danych z 2018 wobec Google Ireland Ltd. Jego jedynym przedmiotem jest pytanie, czy Google dopełnił ewentualnego obowiązku przeprowadzenia oceny skutków dla ochrony danych (DPIA) z art. 35 RODO przed przetwarzaniem danych osobowych osób z UE i EOG w toku tworzenia modelu fundamentowego PaLM 2; postępowanie nie kwestionuje dostępności usług Google w UE, a model i usługi na nim oparte pozostają dostępne. Zawiadomienie o wszczęciu z zestawem pytań doręczono Google we wrześniu 2024, wyjaśnienia spółki wpłynęły w październiku 2024, a faza zbierania informacji trwała na koniec 2024 roku; w kompletnej tabeli dziesięciu decyzji końcowych DPC za 2025 rok Google nie występuje, a komunikaty organu z 2026 roku nie zawierają rozstrzygnięcia w tej sprawie. Pewność średnia, bo ostatnie pozytywne potwierdzenie biegu sprawy pochodzi z końca 2024 roku, a za lata 2025–2026 dysponujemy jedynie potwierdzeniem braku decyzji końcowej — brak wzmianki o PaLM 2 w raporcie za 2025 nie jest dowodem zamknięcia, ponieważ opisowa sekcja tego raportu obejmuje wyłącznie wybrane postępowania, które osiągnęły kluczowy etap w 2025 roku.^{[136][137][138][139][140]}

Podstawa prawna

RODO art. 35 (obowiązek przeprowadzenia oceny skutków dla ochrony danych); sekcja 110 irlandzkiej ustawy o ochronie danych z 2018 jako podstawa wszczęcia postępowania; art. 60 RODO — rola DPC jako organu wiodącego w sprawie transgranicznej.

Zakres terytorialny

UE + EOG

Ostatnia zmiana statusu

2024-09-12

Deklarowany termin dostosowania

nieznany

Grok 4.5 zadebiutował 08.07.2026 z pominięciem całej Unii Europejskiej - model nie działał ani w produktach dostawcy, ani w konsoli API; dostawcą jest SpaceXAI, spółka działająca pod tą nazwą od ok. 6-7.07.2026, po przejęciu xAI przez SpaceX 02.02.2026. Formalnego powodu wyłączenia UE nie podano, zapowiedziano jedynie dostępność w połowie lipca, a austriacka i niemiecka prasa branżowa wiązała blokadę z obowiązkami AI Act wobec modeli ogólnego przeznaczenia o ryzyku systemowym. Noty wydawnicze dostawcy potwierdzają otwarcie konsoli API dla użytkowników z UE, datowane przez źródła wtórne na 17.07.2026, a komunikat dostawcy z 22.07.2026 ogłasza działanie modelu na grok.com, w serwisie X oraz w aplikacjach iOS i Android - tym razem bez wyłączenia dla UE. Na 14.08.2026 Grok 4.5 jest w UE dostępny; wcześniejsze doniesienia o "47 krajach" startu oraz o miejscu przetwarzania danych nie mają pokrycia w źródłach pierwotnych i zostały z opisu usunięte.^{[141][142][143][144][145][146][147][148][149]}

Podstawa prawna

Brak nakazu organu. Jednostronne opóźnienie regionalne po stronie dostawcy, wiązane przez prasę branżową z obowiązkami rozporządzenia 2024/1689 (AI Act) dla modeli GPAI, obowiązującymi od 2025-08-02. SpaceXAI nie podało oficjalnie podstawy prawnej wyłączenia UE.

Zakres terytorialny

UE (27 państw członkowskich)

Ostatnia zmiana statusu

2026-07-17

Deklarowany termin dostosowania

2026-07-22

We wrześniu 2024 LinkedIn oświadczył, że nie włącza trenowania modeli generatywnych na danych członków z EOG, Szwajcarii i Wielkiej Brytanii — w przypadku Wielkiej Brytanii wstrzymał te plany po interwencji brytyjskiego ICO. W marcu 2025 zgłosił irlandzkiemu DPC zamiar uruchomienia treningu na danych członków z UE i EOG od początku listopada 2025; po zaleceniach organu wprowadził zmiany: rozszerzone informacje o przetwarzaniu i prawie sprzeciwu, ograniczenie zakresu i okresu wykorzystywanych danych, wyłączenie danych osób poniżej 18 lat, filtry wykluczające dane szczególnych kategorii (m.in. o przynależności związkowej) oraz oceny ryzyka. Trening ruszył 2025-11-03 na zasadzie opt-out dla członków z UE, EOG, Szwajcarii, Wielkiej Brytanii, Kanady i Hongkongu — w Wielkiej Brytanii to samo ustawienie obejmuje również udostępnianie danych podmiotowi powiązanemu Microsoft na potrzeby jego własnego trenowania modeli. DPC, którego oświadczenie z 2025-11-07 dotyczy wyłącznie członków z UE i EOG, zaznaczył, że nie zatwierdził tej praktyki ani nie uznał jej za zgodną z prawem, i zobowiązał LinkedIn do raportu zgodności w ciągu pięciu miesięcy; termin upłynął około 2026-04-03, a do sierpnia 2026 organ nie opublikował wyniku oceny tego raportu.^{[150][151][152][153]}

Podstawa prawna

RODO art. 6 ust. 1 lit. f (prawnie uzasadniony interes) oraz art. 21 (prawo sprzeciwu); art. 9 RODO w zakresie wyłączenia danych szczególnych kategorii; nadzór DPC jako organu wiodącego wg art. 56 RODO.

Zakres terytorialny

UE + EOG + Szwajcaria (poza UE także Wielka Brytania, Kanada i Hongkong)

Ostatnia zmiana statusu

2025-11-03

Deklarowany termin dostosowania

nie dotyczy

Recall — funkcja komputerów Copilot+ PC zapisująca zrzuty ekranu i pozwalająca przeszukiwać je językiem naturalnym — po fali krytyki prywatnościowej z 2024 r. została przeprojektowana i weszła w ogólną dostępność 25 kwietnia 2025 z wyłączeniem Europejskiego Obszaru Gospodarczego; w komunikacie o tym wdrożeniu Microsoft zapowiedział wejście do EOG później w 2025 r., nie podając przyczyny opóźnienia. Funkcja ruszyła w EOG 30 lipca 2025 w kanale Release Preview dla Windows 11 24H2, a szeroką dostępność zapowiedziano na sierpniową aktualizację; dokumentacja Microsoftu w stanie na luty 2026 nadal opisuje Recall jako wersję zapoznawczą. Dla EOG dodano mechanizm nieobecny w innych regionach: eksport własnych zrzutów do zaufanych aplikacji i witryn przy użyciu 32-znakowego szesnastkowego kodu pokazywanego podczas konfiguracji Recall, którego utrata wymusza reset funkcji i kasuje zrzuty; dokumentacja administracyjna potwierdza, że polityka eksportu dotyczy wyłącznie urządzeń w EOG, natomiast dokumentacja deweloperska zaktualizowana 7 stycznia 2026 zawęża eksport do urządzeń w EOG z najnowszą kompilacją zapoznawczą Windows Insider — rozbieżność nie została rozstrzygnięta. Recall jest domyślnie wyłączony, wymaga zgody użytkownika i uwierzytelnienia Windows Hello, a na urządzeniach zarządzanych przez dział IT jest domyślnie usuwany.^{[154][155][156][157][158][159][160][161]}

Podstawa prawna

Brak nakazu organu. Opóźnienie wdrożenia globalnego wynikało z krytyki prywatnościowej i przeglądu bezpieczeństwa, a dla dodatkowego opóźnienia w EOG Microsoft nie podał powodu. Mechanizm eksportu wprowadzono wyłącznie dla urządzeń w EOG — Microsoft nie wskazuje podstawy prawnej; kontekst interpretacyjny redakcji, nie wskazanie dostawcy: rozporządzenie 2022/1925 (DMA), w tym art. 6 ust. 9 o przenoszalności danych użytkownika końcowego, oraz rozporządzenie 2016/679 (RODO).

Zakres terytorialny

EOG

Ostatnia zmiana statusu

2025-07-30

Deklarowany termin dostosowania

nie dotyczy

Operator, ogłoszony 23 stycznia 2025 i udostępniony abonentom ChatGPT Pro 1 lutego 2025 wyłącznie w Stanach Zjednoczonych, został otwarty dla UE, Szwajcarii, Norwegii, Islandii i Liechtensteinu 13 marca 2025 dla użytkowników powyżej 18 lat, a 31 sierpnia 2025 wygaszony po premierze ChatGPT agent. Następca — ChatGPT agent z 17 lipca 2025 — początkowo nie obejmował Europejskiego Obszaru Gospodarczego ani Szwajcarii; 23 lipca 2025 OpenAI ogłosiło pełne wdrożenie dla użytkowników Pro w EOG i Szwajcarii oraz start wdrożenia dla planu Plus. Centrum pomocy OpenAI jeszcze 26 lipca 2025 wyświetlało nieaktualną notkę z 17 lipca o niedostępności funkcji w EOG i Szwajcarii, mimo doniesień o cichym udostępnianiu jej na kontach Plus i Team we Włoszech, Hiszpanii, Niemczech i Holandii. Na 14 sierpnia 2026 funkcja działa w UE jako tryb agenta w ChatGPT i jest dostępna wyłącznie w planach płatnych, z limitami miesięcznymi.^{[162][163][164][165][166]}

Podstawa prawna

Brak nakazu organu. Opóźnienie regionalne po stronie dostawcy, bez oficjalnie podanej podstawy prawnej; kontekst regulacyjny: rozporządzenie 2016/679 (RODO) oraz przygotowania do rozporządzenia 2024/1689 (AI Act).

Zakres terytorialny

UE + EOG + Szwajcaria

Ostatnia zmiana statusu

2025-07-23

Deklarowany termin dostosowania

nie dotyczy

W marcu 2024 Meta zgłosiła irlandzkiemu DPC zamiar trenowania modeli językowych na publicznych treściach dorosłych użytkowników z UE/EOG; po zastrzeżeniach organu wstrzymała trening w czerwcu 2024 i nie udostępniła wówczas Meta AI w Europie — nie było formalnego nakazu, lecz wstrzymanie na wniosek DPC działającego w imieniu europejskich organów. Po opinii EROD nr 28/2024, przyjętej 17 grudnia 2024, i po wprowadzeniu zmian (powiadomienia w aplikacji i mailem, uproszczony formularz sprzeciwu działający we wszystkich jurysdykcjach, deidentyfikacja, filtrowanie zbiorów i wyników) Meta wznowiła trening 27 maja 2025; sam asystent Meta AI ruszył w Europie wcześniej, w marcu 2025. DPC nie wydał formalnej zgody — odstąpił od dalszej interwencji i zażądał raportu ewaluacyjnego na październik 2025, którego wynik nie został podany do wiadomości publicznej; organ nie opublikował w tej sprawie żadnego nowego komunikatu po 21 maja 2025 (stan na 14 sierpnia 2026). Podstawę prawną kwestionuje noyb, który 6 czerwca 2024 złożył skargi w 11 państwach, a 14 maja 2025 wysłał Meta wezwanie do zaniechania; odrębnie wystąpiła organizacja konsumencka Verbraucherzentrale NRW, która po własnym wezwaniu z 6 maja 2025 złożyła wniosek o zabezpieczenie oparty na zarzutach naruszenia RODO i DMA — Wyższy Sąd Krajowy w Kolonii oddalił go 23 maja 2025 (sygn. 15 UKl 2/25), uznając powołanie się na prawnie uzasadniony interes za dopuszczalne.^{[167][168][169][170][171][172][173][153]}

Podstawa prawna

RODO art. 6 ust. 1 lit. f (prawnie uzasadniony interes) oraz art. 21 (prawo sprzeciwu); nadzór DPC jako organu wiodącego wg art. 56 RODO; opinia EROD nr 28/2024 z 17 grudnia 2024 w sprawie przetwarzania danych osobowych w kontekście modeli AI. W postępowaniu Verbraucherzentrale NRW przed OLG Köln podniesiono dodatkowo naruszenie rozporządzenia 2022/1925 (DMA).

Zakres terytorialny

UE + EOG

Ostatnia zmiana statusu

2025-05-27

Deklarowany termin dostosowania

nie dotyczy

W czerwcu 2024 Apple ogłosiło, że nie udostępni Apple Intelligence użytkownikom iPhone'ów i iPadów w UE wraz z premierą w innych regionach, powołując się na wymogi interoperacyjności aktu o rynkach cyfrowych (DMA); ograniczenie nie objęło Maków i nie wynikało z nakazu żadnego organu — była to decyzja dostawcy, czyli geoblokada. 2025-02-21 Apple zapowiedziało udostępnienie funkcji w UE, a trafiły one na iPhone'y i iPady wraz z iOS 18.4 i iPadOS 18.4 wydanymi 2025-03-31, co zniosło pierwotną geoblokadę; funkcje te pozostają w UE dostępne. 2026-06-08 Apple zapowiedziało jednak, że wraz z iOS 27 nie udostępni w UE nowej aplikacji Siri, rozszerzonej Visual Intelligence, zintegrowanych narzędzi pisarskich ani trybu Siri w Aparacie — to odrębna, wciąż trwająca geoblokada, opisana we wpisie apple-siri-ai-ue.^{[174][175][176][54][177]}

Podstawa prawna

Rozporządzenie (UE) 2022/1925 (akt o rynkach cyfrowych, DMA) — obowiązki interoperacyjności strażnika dostępu, w szczególności art. 6 ust. 7; brak decyzji lub nakazu organu — ograniczenie wprowadzone i zniesione przez dostawcę.

Zakres terytorialny

UE (27 państw członkowskich); pierwotne ograniczenie dotyczyło iOS i iPadOS, nie macOS

Ostatnia zmiana statusu

2025-03-31

Deklarowany termin dostosowania

nie dotyczy

Meta AI ruszyła w 41 krajach Europy, w tym we wszystkich państwach UE, oraz w 21 terytoriach zamorskich w marcu 2025 — ponad rok po premierze w USA, co Meta tłumaczyła złożonością europejskiego systemu regulacyjnego. Europejska wersja wystartowała okrojona: sam czat tekstowy w sześciu językach, bez pamięci i bez generowania obrazów w narzędziu Imagine, co uzasadniano zgodnością z RODO, a udostępniony wtedy w UE model nie był trenowany na danych użytkowników z UE. Stan ten się zmienił: po oświadczeniu irlandzkiego DPC z 21 maja 2025 Meta rozpoczęła 27 maja 2025 trenowanie modeli na publicznych treściach dorosłych użytkowników z UE (z możliwością sprzeciwu), a 6 listopada 2025 udostępniła w Europie samodzielną aplikację Meta AI z kanałem Vibes, generowaniem i animowaniem obrazów oraz krótkimi materiałami wideo. Nie udało się ustalić, czy funkcja pamięci jest dostępna w UE; odrębna sprawa — wszczęte 4 grudnia 2025 postępowanie antymonopolowe Komisji Europejskiej wobec polityki Mety ograniczającej konkurencyjnym dostawcom AI dostęp do WhatsApp — nie dotyczy dostępności samego Meta AI.^{[178][179][170][167][180][181][182]}

Podstawa prawna

Brak nakazu organu wobec dostępności Meta AI. Opóźnienie i ograniczenia funkcjonalne uzasadniane przez Metę złożonością europejskiego otoczenia regulacyjnego oraz zgodnością z rozporządzeniem 2016/679 (RODO); trening na publicznych treściach użytkowników z UE rozpoczęto po uzgodnieniu zabezpieczeń z irlandzkim DPC. Odrębnie Komisja Europejska prowadzi postępowanie antymonopolowe dotyczące dostępu konkurencyjnych dostawców AI do WhatsApp (zakres EOG).

Zakres terytorialny

41 krajów Europy, w tym wszystkie 27 państw UE, oraz 21 terytoriów zamorskich

Ostatnia zmiana statusu

2025-03-20

Deklarowany termin dostosowania

nie dotyczy

Start Barda w UE planowany na połowę czerwca 2023 został wstrzymany po nieformalnej interwencji irlandzkiego DPC — zastępca komisarza Graham Doyle wskazał, że organ nie otrzymał szczegółowego briefingu ani oceny skutków dla ochrony danych (DPIA) czy dokumentacji uzupełniającej. Nie był to nakaz ani decyzja administracyjna: Google samo wstrzymało wdrożenie, a przed premierą wprowadziło zmiany, w tym większą przejrzystość, Bard Privacy Hub oraz kontrolę retencji aktywności Barda (domyślnie 18 miesięcy, do wyboru 3 lub 36 miesięcy albo wyłączenie zapisywania rozmów); sam DPC ujął to węziej jako zwiększoną przejrzystość i zmiany w ustawieniach dla użytkowników. Bard ruszył w UE 2023-07-13, a Google zobowiązało się wobec DPC do przeglądu i przekazania organowi raportu po trzech miesiącach od uruchomienia, organ zaś zapowiedział dalsze zaangażowanie — sprawa nie zamknęła się w dniu premiery. Następca usługi, Gemini, jest dostępny w UE i EOG bez ograniczeń wynikających z tej sprawy; odrębne postępowanie DPC wszczęte 2024-09-12 dotyczy modelu PaLM 2 i art. 35 RODO i nie ogranicza dostępności usług.^{[183][184][185][186][187][136]}

Podstawa prawna

RODO art. 35 (ocena skutków dla ochrony danych) oraz art. 12–14 (obowiązki informacyjne i przejrzystość); nieformalna interwencja DPC jako organu wiodącego wg art. 56 RODO — bez decyzji administracyjnej.

Zakres terytorialny

UE (Gemini obecnie dostępne także w EOG)

Ostatnia zmiana statusu

2023-07-13

Deklarowany termin dostosowania

nie dotyczy

Prowizją z 2023-03-30 (komunikat z 2023-03-31) włoski Garante nałożył czasowe ograniczenie przetwarzania danych włoskich użytkowników, zarzucając brak informacji, brak podstawy prawnej dla masowego zbierania danych do trenowania algorytmów, nieprawidłowość danych oraz brak weryfikacji wieku; ChatGPT był niedostępny we Włoszech. Prowizją z 2023-04-11 organ wskazał dziewięć środków naprawczych, z których siedem miało zostać wdrożonych do 2023-04-30, a 2023-04-28 OpenAI przywrócił usługę. Postępowanie zamknęła prowizja nr 755 z 2024-11-02, ogłoszona komunikatem z 2024-12-20: kara 15 mln EUR oraz nakaz sześciomiesięcznej kampanii informacyjnej w radiu, telewizji, prasie i internecie; w marcu 2025 Sąd w Rzymie zawiesił wykonanie kary w trybie zabezpieczenia. Wyrokiem nr 4153/2026 z 2026-03-18 ten sąd uchylił karę i nakaz, uwzględniając pierwszy z dziesięciu zarzutów OpenAI — brak kompetencji Garante wobec przetwarzania transgranicznego po ustanowieniu jedynej siedziby w Irlandii 2024-02-15, co przenosi sprawę do mechanizmu kompleksowej współpracy; sąd nie rozstrzygnął meritum zarzutów RODO, a do sierpnia 2026 nie potwierdzono zaskarżenia wyroku przez Garante.^{[188][189][190][191][192][193]}

Podstawa prawna

RODO art. 58 ust. 2 lit. f (czasowe ograniczenie przetwarzania) — podstawa blokady w 2023 r.; RODO art. 5, 6, 12–14 i 33 — zarzuty decyzji z 2024 r.; art. 166 ust. 7 włoskiego kodeksu ochrony danych — nakaz kampanii informacyjnej; RODO art. 55, 56 i 60 (mechanizm kompleksowej współpracy) — podstawa uchylenia w 2026 r.

Zakres terytorialny

Włochy

Ostatnia zmiana statusu

2023-04-28

Deklarowany termin dostosowania

nie dotyczy