Scale AI pod lupą RODO: skargi na inwigilację pracowników

Organizacja noyb, jedna z najaktywniejszych europejskich grup broniących praw cyfrowych, złożyła pięć skarg na podstawie RODO przeciwko Scale AI. Zarzuty dotyczą systemu nadzoru, jaki firma z San Francisco miałaby stosować wobec ponad 900 tysięcy freelancerów zajmujących się anotacją danych treningowych dla ChatGPT, Gemini, Grok oraz systemów AI amerykańskiego rządu. Zdaniem skarżących brakuje ku temu podstawy prawnej wymaganej przez unijne przepisy.

Skargi trafiły do organów ochrony danych we Francji, Włoszech, Holandii i Austrii. Współpracę przy nich podjęły francuska organizacja obywatelska Intérêt à Agir, laboratorium badawcze DIPLab oraz firma analityczna Reversing.Works. Sprawa otwiera Scale AI na potencjalne kary sięgające 20 milionów euro lub 4 procent globalnego rocznego obrotu — w zależności od tego, która kwota jest wyższa. Przy szacowanych przychodach firmy na poziomie około 2 miliardów dolarów w 2025 roku ten drugi wariant oznaczałby ekspozycję rzędu 80 milionów dolarów.

Czym jest Outlier i kto z niego korzysta

Scale AI działa w kluczowym ogniwie łańcucha dostaw współczesnej sztucznej inteligencji. Jej platforma Outlier rekrutuje wolnych strzelców oraz ekspertów dziedzinowych do zadań, bez których duże modele językowe nie byłyby użyteczne: pisania promptów, oceniania odpowiedzi generowanych przez AI, opisywania obrazów i korygowania błędów modeli. Lista klientów platformy czyta się jak spis najpotężniejszych graczy branży — Meta, OpenAI, Google, Anthropic, xAI oraz rząd federalny USA polegają na pracy tych ludzi przy dopracowywaniu i dostrajaniu swoich systemów.

Szczególnie istotna jest pozycja Meta. Koncern potwierdził w czerwcu 2025 roku inwestycję mniejszościową obejmującą 49 procent udziałów w Scale AI, wyceniając spółkę na ponad 29 miliardów dolarów. Oznacza to, że setki tysięcy europejskich pracowników dostarczają wiedzę ekspercką jednemu z najcenniejszych przedsiębiorstw technologicznych świata, pracując — jak twierdzą skarżący — w warunkach gromadzenia danych dalekich od wymogów unijnego prawa.

Skala jest tym, co wyróżnia tę sprawę. Ponad 900 tysięcy współpracowników czyni z Outlier jedną z największych rozproszonych sił roboczych w przemyśle technologicznym, funkcjonującą niemal całkowicie poza ochroną, jaką dają standardowe unijne stosunki zatrudnienia.

Trzy mechanizmy nadzoru i trzy zarzuty

Skargi noyb koncentrują się na trzech odrębnych sposobach gromadzenia danych, z których każdy rodzi osobne pytania natury prawnej.

Nawet 19 zewnętrznych trackerów aktywnych co kilka sekund

Najbardziej technicznie rozległy zarzut dotyczy tego, co dzieje się na urządzeniu pracownika w chwili otwarcia platformy Outlier. Analiza techniczna przeprowadzona w ramach inicjatywy badawczej AI-WORLD — kierowanej przez Intérêt à Agir i wspieranej przez European AI & Society Fund oraz Digital Freedom Fund — wykazała, że Outlier osadza na sprzęcie pracowników narzędzia śledzące pochodzące od TikToka, LinkedIna, Facebooka, platformy zbierającej opinie użytkowników Sprig oraz firmy monitorującej chmurę Datadog. Według formalnych skarg platforma wykorzystuje do 19 takich mechanizmów.

Trackery przekazują dane osobowe — adresy IP, dane kontaktowe, unikalne identyfikatory urządzeń oraz informacje o tym, nad jakim zadaniem lub na jakiej stronie pracownik aktualnie przebywa — do tych podmiotów nawet co kilka sekund. Dalsze losy tych danych nie leżą już w gestii Scale AI. Odbiorcy mają własne interesy: reklamę targetowaną, profilowanie behawioralne, analitykę sprzedażową — i własne zasady ich wykorzystania.

Tak stałe i rozległe śledzenie w trakcie pracy kłóci się z wszelkimi rozsądnymi oczekiwaniami. Dlaczego LinkedIn czy Facebook mają wiedzieć, nad jakimi zadaniami pracujesz?
Lisa Steinfeld Leiser, prawniczka ds. ochrony danych w noyb

Organizacja argumentuje, że Scale AI nie ma ważnej podstawy prawnej w rozumieniu zasady minimalizacji danych, by instalować takie oprogramowanie na urządzeniach kontrahentów bez ich wyraźnej zgody, a samo gromadzenie narusza wymóg pozyskiwania wyłącznie informacji ściśle niezbędnych do określonego celu.

Wymuszone skany biometryczne przez dostawcę z historią wycieków

Drugi zarzut dotyczy weryfikacji tożsamości. Pracownicy Outlier mają obowiązek wielokrotnego poddawania się kontroli biometrycznej za pośrednictwem firmy Persona — proces obejmuje nagrania wideo z twarzą oraz przesyłanie zdjęć dokumentów tożsamości. Zgodnie z artykułem 9 RODO dane biometryczne służące jednoznacznej identyfikacji osoby należą do kategorii szczególnej, objętej najwyższym poziomem ochrony i wymagają wyraźnej zgody lub innej konkretnej przesłanki prawnej.

Scale AI tłumaczy tę praktykę zapobieganiem oszustwom i weryfikacją kompetencji. Noyb twierdzi jednak, że rozwiązanie wykracza poza proporcje i nie ma wymaganej podstawy prawnej. Wybór dostawcy dodatkowo zaostrza wątpliwości — skargi wskazują na historię bezpieczeństwa Persony, w tym incydent z 2025 roku, w którym ujawniono około 70 tysięcy zdjęć dokumentów tożsamości. Polityki samej Persony pozwalają jej gromadzić adresy IP, informacje o urządzeniach, dane geolokalizacyjne, adresy fizyczne oraz dane kredytowe osób weryfikowanych — znacznie więcej niż wymaga kontrola tożsamości. Osobno, gdy relacje dostawcy z Discordem się psuły przed szerszym wdrożeniem weryfikacji wieku na tej platformie, Discord publicznie stwierdził, że Persona nie spełniła jego wymogów dotyczących szacowania wieku twarzy na urządzeniu.

Miesiące zignorowanych wniosków o dostęp do danych

Trzecie naruszenie ma charakter proceduralny, ale niesie własny ciężar prawny: Scale AI jest oskarżona o brak jakiejkolwiek reakcji na wnioski o dostęp do danych osobowych składane przez skarżących. Artykuł 15 RODO gwarantuje mieszkańcom UE prawo do otrzymania w ciągu miesiąca kopii przechowywanych o nich danych oraz informacji o sposobie ich wykorzystania. Według dokumentacji noyb czterech pracowników złożyło takie wnioski między grudniem 2025 a majem 2026 roku — żaden nie doczekał się odpowiedzi.

Scale AI odrzuca wszystkie zarzuty. Rzecznik firmy przekazał redakcji The Register, że twierdzenia raportu są bezpodstawne i nieścisłe, a praktyki Outlier są ujawniane współpracownikom i wymagają ich zgody. Firma deklaruje, że korzysta ze standardowych narzędzi do weryfikacji tożsamości, zapobiegania oszustwom, ochrony poufnych informacji projektowych i zapewnienia prawidłowych wypłat.

Dlaczego „uzasadniony interes” to kluczowy spór prawny

Publiczne zapewnienie Scale AI, że praktyki „wymagają zgody”, stoi w bezpośredniej sprzeczności z dokumentacją samej firmy. Opublikowana 19 sierpnia 2026 roku nota prywatności Outlier dotycząca monitorowania ekranu wprost wskazuje, że podstawą prawną jest nie zgoda, lecz „uzasadniony interes w rozumieniu artykułu 6 ust. 1 lit. f RODO” — przepis pozwalający przetwarzać dane, gdy istnieje uzasadniony cel przeważający nad prawami jednostki.

To rozróżnienie ma ogromne znaczenie w egzekwowaniu RODO. Zgoda, gdy jest rzeczywiście podstawą, daje pracownikom prawo wycofania jej w dowolnym momencie. Uzasadniony interes to natomiast test wyważenia interesów — a stanowisko noyb jest takie, że żaden uzasadniony interes nie może usprawiedliwiać przesyłania danych o bieżącym zadaniu pracownika do systemów reklamowych LinkedIna co kilka sekund. Zadaniem regulatorów w każdej z pięciu spraw będzie rozstrzygnięcie dokładnie tej kwestii: czy nadzór jest proporcjonalny do deklarowanego celu biznesowego, czy też fundamentalne prawo pracownika do ochrony danych bierze górę.

Praca platformowa wydaje się podatnym gruntem dla całkowicie nowego typu nadzoru w miejscu pracy. W żadnej innej formie zatrudnienia w Unii Europejskiej uznano by to za nieakceptowalne. System ten prosperuje wyłącznie dzięki celowemu brakowi przejrzystości.
Thomas Le Bonniec, badacz socjologii w DIPLab

Kontekst pracy platformowej i oczekiwania wobec regulatorów

Skarga noyb pojawia się w momencie, gdy strukturalna wrażliwość pracowników platformowych — tego samego modelu, z którego korzystają Uber, Deliveroo czy wycofany już Mechanical Turk Amazona — stała się żywym tematem politycznym w całej UE. Według danych Rady UE ponad 40 milionów osób w Unii ma pracę organizowaną przez platformy cyfrowe. Liczba ta gwałtownie rosła wraz z rozwojem branż intensywnie wykorzystujących AI, które polegają na ludzkiej anotacji na dużą skalę.

Pracownicy platformowi są zazwyczaj klasyfikowani jako niezależni kontrahenci, a nie etatowi, co historycznie wyłączało ich z ochrony pracowniczej. Zasięg RODO nie zależy jednak od statusu zatrudnienia — stosuje się do każdego podmiotu przetwarzającego dane osobowe mieszkańców UE, niezależnie od kategorii pracownika czy siedziby firmy.

Praktyczny wpływ tej klasyfikacji na system nadzoru Outlier widać w projektowaniu zachęt. Badania DIPLab wykazały, że platforma oferowała premie za ukończenie zadań w wysokości od 100 do 200 euro za wykonanie 200 zadań w ciągu 24 godzin. Ta struktura grywalizacji — jak powiedział Le Bonniec agencji Reuters — działa w praktyce jak mechanizm kontroli tempa, popychając ludzi ku szybszemu wykonywaniu zadań, podczas gdy system śledzenia monitoruje każdy ruch myszy i każdą interakcję ze stroną. Skargi noyb proszą regulatorów o zbadanie nie tylko praktyk dotyczących danych, ale też sposobu działania algorytmicznego systemu przydzielania zadań.

Naruszenia wskazane w skargach przeciw Scale AI jasno pokazują, że boom na AI opiera się na ogromnej rzeszy pracowników, których prywatność jest zagrożona. Organy ochrony danych muszą teraz potraktować te kwestie poważnie i zastosować surowe środki egzekwowania.
Baptiste Delmas, koordynator projektu w Intérêt à Agir

W każdej z pięciu skarg noyb wnioskuje, by właściwy krajowy organ — francuska CNIL, włoska Garante, holenderska Autoriteit Persoonsgegevens oraz austriacka DSB (wymieniona w dwóch odrębnych skargach) — przeprowadził pełne dochodzenie w sprawie przetwarzania danych przez Scale AI i nałożył kary administracyjne tam, gdzie naruszenia zostaną potwierdzone. W górnym przedziale kar RODO, obejmującym niezgodne z prawem przetwarzanie i ignorowanie praw osób, grzywny mogą sięgnąć 20 milionów euro lub 4 procent globalnego rocznego obrotu. Dla Scale AI oznaczałoby to maksymalnie około 80 milionów dolarów — istotną ekspozycję dla firmy, która według doniesień przygotowuje się do oferty publicznej.

Skargi zaprojektowano też tak, by zapobiec „turystyce jurysdykcyjnej”, która utrudniała dotąd egzekwowanie unijnych przepisów prywatności wobec amerykańskich firm. Składając je równocześnie w czterech państwach członkowskich zamiast kierować wszystko przez jeden organ, noyb uniemożliwia Scale AI skupienie ryzyka regulacyjnego w potencjalnie łagodniejszej jurysdykcji. Na tym etapie nie stwierdzono żadnego naruszenia RODO — skargi otwierają postępowanie wyjaśniające, które w poważnych sprawach może trwać miesiące lub lata.

Co ta sprawa oznacza dla trenowania AI w Europie

Konsekwencje wykraczają poza samą Scale AI. Gdyby europejskie organy ochrony danych dopatrzyły się naruszeń, wynikające z tego wytyczne i nakazy egzekwowania wyznaczyłyby swoisty minimalny standard traktowania unijnych pracowników przez każdą platformę treningową — nie tylko Outlier. Sprawa rozstrzygnie, czy osadzanie trackerów na urządzeniach pracowników wymaga wyraźnej zgody, czy powtarzane kontrole biometryczne spełniają test proporcjonalności RODO oraz czy firmy platformowe mogą powoływać się na „uzasadniony interes”, by monitorować wolnych strzelców w sposób niedopuszczalny wobec pracowników etatowych.

To precedens, któremu cała branża AI ma powód się przyglądać. Niewidzialna siła robocza, która szlifuje duże modele językowe, jest rozproszona po Europie i globalnym Południu. Warunki prawne jej pracy — oraz dane, które ta praca generuje — pozostają niemal całkowicie nieuregulowane. Jeśli regulatorzy zajmą w tej sprawie zdecydowane stanowisko, może to wymusić głęboką zmianę w sposobie, w jaki przemysł AI traktuje ludzi stojących za jego sukcesem.