RODO i AI: co wolno wpisywać do ChatGPT i innych narzędzi AI

RODO i AI

Pracownicy w Twojej firmie używają ChatGPT do pisania maili, briefów, analiz. Czasem wklejają dane klienta, kontrakt, listę pracowników. Czy to jest legalne? Co na to RODO? I jak chronić firmę przed karami?

Czy używanie ChatGPT z danymi klientów łamie RODO?

Krótka odpowiedź: tak, najczęściej łamie. Długa odpowiedź jest niuansowana, ale dla przeciętnej firmy: jeśli pracownik wkleja dane osobowe klientów (imię, nazwisko, email, telefon, numer umowy, historia zamówień) do publicznego ChatGPT, jest to przekazanie danych do przetwarzania przez podmiot trzeci (OpenAI) bez podstawy prawnej i bez informowania klienta.

Co dokładnie zabrania RODO

RODO wymaga, żeby przetwarzanie danych osobowych miało:

• Podstawę prawną (zgoda, umowa, prawnie uzasadniony interes)
• Określone cele (nie „do wszystkiego”)
• Bezpieczeństwo (szyfrowanie, kontrola dostępu)
• Umowy powierzenia z podwykonawcami przetwarzania
• Transparentność wobec klientów (informacja, gdzie ich dane są przetwarzane)

Wklejenie danych do ChatGPT zazwyczaj narusza wszystkie pięć punktów.

Co konkretnie wolno wpisywać do ChatGPT

BEZPIECZNIE (zielona strefa)

• Pytania ogólne (jak coś napisać, jak coś sformułować)
• Anonimowe dane (zamiast „Klient Jan Kowalski” pisz „Klient”)
• Pytania o wiedzę publiczną (przepisy, definicje, jak działa coś)
• Własna twórczość (wiersze, opisy produktów ogólnych)
• Streszczenia tekstów publicznych (artykuły, dokumenty publiczne)

UWAŻAJ (żółta strefa)

• Dane firmowe (nazwy klientów, kwoty kontraktów): zależy od wrażliwości
• Kod aplikacji (mogą zawierać sekrety, dane wrażliwe)
• Maile od klientów (zawierają dane osobowe)

ZAKAZ (czerwona strefa)

• Dane osobowe klientów (PESEL, adres, telefon, e-mail)
• Dane wrażliwe (medyczne, prawne, finansowe konkretnych osób)
• Hasła, klucze API, tokeny
• Dane pracowników firmy (umowy, wynagrodzenia)
• Tajemnice handlowe, kontrakty z klauzulami poufności

Jak bezpiecznie używać AI w firmie zgodnie z RODO

Opcja 1: ChatGPT Team / Business / Enterprise

OpenAI ma komercyjne wersje, w których dane nie są używane do treningu modelu i istnieje umowa powierzenia (DPA). Koszt: od 25 EUR/użytkownik/mc. Wciąż dane idą do USA, więc dla wrażliwych danych nadal nie jest to optimum.

Opcja 2: Claude (Anthropic) Enterprise

Podobnie jak OpenAI: komercyjne wersje z DPA, dane nie są używane do treningu. Często postrzegane jako bezpieczniejsze dla wrażliwych przypadków, bo Anthropic ma mocniejsze guardraily.

Opcja 3: AI prywatne (on-premise / VPC)

Modele open-source (Llama, Mistral) wdrażane w Twojej własnej infrastrukturze. Dane nigdy nie opuszczają Twojej firmy. Standard dla sektora finansowego, prawnego, medycznego. Wdrożenie: 30-80 tys. PLN.

Opcja 4: Polityka firmowa + szkolenie

Podstawowy krok: spisz politykę AI w firmie (1-2 strony), przeszkoluj zespół (1-2 godziny), monitoruj zgodność. Tania (od 0 PLN), ale wymaga dyscypliny.

Kary za naruszenia

Kary RODO: do 20 mln EUR lub 4% globalnego rocznego obrotu. Kary AI Act (od sierpnia 2026): do 35 mln EUR lub 7% obrotu. W praktyce UODO ostatnio aktywnie kontroluje firmy używające AI. Dla średniej polskiej firmy realna kara: 50 tys. do 2 mln PLN za poważne naruszenie.

Co zrobić w ciągu najbliższego tygodnia

1. Zapytaj zespół: kto, jak i do czego używa AI
2. Zrób mini-audyt: lista narzędzi AI w firmie
3. Przygotuj politykę firmową AI (1-2 strony)
4. Przeszkól zespół (2 godziny wystarczą)
5. Wdróż wersje komercyjne tam, gdzie używacie ChatGPT/Claude do poważnej roboty

Profesjonalny audyt AI obejmuje także analizę zgodności z RODO i AI Act, plus polityka firmowa i szkolenie. Koszt: od 4500 PLN.

Podsumowanie

Bezmyślne używanie publicznego ChatGPT z danymi klientów to dziś jedno z największych ryzyk regulacyjnych w polskich firmach. Naprawienie tego nie jest trudne: polityka + szkolenie + ewentualnie komercyjna wersja AI. Inwestycja kilku tysięcy złotych chroni przed potencjalnymi karami liczonymi w milionach.