W skrócie
- Do darmowych kont z AI nie wklejaj danych klientów, pracowników, umów, danych zdrowotnych ani numerów dokumentów.
- Pseudonimizacja nie czyni danych anonimowymi: dane nadal są osobowe, jeśli ktoś ma klucz do ich odczytania.
- Praca z danymi osobowymi wymaga planu dla firm i umowy powierzenia przetwarzania (art. 28 RODO).
- Wystarczy jednostronicowa polityka AI z kilkoma zasadami i jasną odpowiedzią, co zrobić po pomyłce.
- Po wklejeniu danych oceń ryzyko i zapisz zdarzenie; zgłoszenie do UODO ma termin 72 godzin od stwierdzenia naruszenia.
Spis treści (9)
AI a RODO to w małej firmie bardzo praktyczne pytanie: co wolno wkleić do czatu, a czego nie. Pracownik wkleja korespondencję z klientem, żeby ją „ładnie poprawić”, i nikt nie zastanawia się, gdzie ta treść trafia. Poniżej opisuję, które dane wymagają ostrożności, jak je przygotować i jak spisać zasady dla zespołu.
To tekst praktyczny, a nie porada prawna. Przy umowach, szkoleniach czy podejrzeniu naruszenia warto skonsultować się z prawnikiem albo inspektorem ochrony danych.
AI a RODO: co jest daną osobową
Daną osobową jest każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO). Liczy się też to, że osobę da się rozpoznać pośrednio, na przykład po numerze, adresie e-mail czy kombinacji kilku szczegółów.
W małej firmie danymi osobowymi są więc imię i nazwisko klienta, jego telefon, adres, numer zamówienia powiązany z nazwiskiem, nagranie rozmowy czy CV kandydata. Nawet wiadomość bez nazwiska może wskazywać konkretną osobę, jeśli opisuje „właściciela jedynego salonu w małej miejscowości”.
Osobną grupę stanowią dane szczególnych kategorii (art. 9 RODO). Ich przetwarzanie jest co do zasady zakazane, z wyjątkami. Należą do nich:
- dane o zdrowiu, także zwolnienie lekarskie czy informacja o chorobie klienta,
- dane genetyczne i biometryczne służące do identyfikacji osoby,
- dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe,
- przynależność do związków zawodowych,
- dane o seksualności lub orientacji seksualnej.
Z praktyki: Najczęściej problem nie wynika ze złej woli. Ktoś chce streścić długą korespondencję albo poprawić reklamację i wkleja ją w całości, razem z danymi, które w ogóle nie były potrzebne do zadania.
Czego nie wklejać do darmowych narzędzi
Do darmowych i konsumenckich wersji czatów nie wklejaj niczego, czego nie wysłałbyś mailem osobie spoza firmy bez umowy. Takie konta zwykle nie mają umowy dostosowanej do firmy, a zasady dotyczące historii rozmów i uczenia modeli różnią się u poszczególnych dostawców oraz planów.
Lista rzeczy, które zostawiam poza takimi narzędziami:
- dane klientów: imię, nazwisko, telefon, adres, numer zamówienia z nazwiskiem,
- dane pracowników i kandydatów: CV, oceny, wynagrodzenia, zwolnienia, sprawy dyscyplinarne,
- umowy i oferty z danymi stron oraz warunkami handlowymi,
- dane medyczne i inne z art. 9,
- numery dokumentów: PESEL, numer dowodu, rachunku bankowego, NIP osoby fizycznej,
- tajemnica przedsiębiorstwa: kalkulacje, cenniki hurtowe, kod źródłowy, hasła i klucze dostępu.
Ostatni punkt dotyczy nie tylko RODO. Informacje handlowe i techniczne chronisz z własnych powodów, niezależnie od tego, czy zawierają dane osobowe.
Anonimizacja i pseudonimizacja
Najprostszy sposób na bezpieczną pracę z AI to podanie jej tekstu, w którym nie da się rozpoznać osoby. To dwie różne rzeczy i warto je rozróżniać.
Pseudonimizacja (art. 4 pkt 5 RODO) polega na takim przetworzeniu danych, że bez dodatkowych informacji nie da się ich przypisać konkretnej osobie. Te dodatkowe informacje, na przykład tabelę „Klient A = Jan Kowalski”, trzymasz osobno i zabezpieczasz. Dane spseudonimizowane nadal są danymi osobowymi, bo ktoś ma klucz do ich odczytania. Anonimizacja to sytuacja, w której powrót do osoby nie jest już możliwy w rozsądny sposób. Osiągnięcie jej bywa trudniejsze, niż się wydaje, bo osobę mogą zdradzić nietypowe szczegóły.
W praktyce wystarczy zamienić nazwiska na oznaczenia, usunąć telefony, adresy i numery, a daty i kwoty uogólnić, gdy nie są potrzebne. Zanim wkleisz tekst, przeczytaj go jeszcze raz oczami kogoś obcego: czy po tym opisie da się wskazać, o kogo chodzi?
Tabela: rodzaj danych, wklejanie, przygotowanie
Poniższa tabela to punkt wyjścia, który dopasujesz do swojej firmy. Zasada ogólna: im bardziej wrażliwe dane, tym mocniejsze narzędzie i umowa albo brak AI w ogóle.
| Rodzaj danych | Czy można wkleić do darmowego czatu | Jak przygotować |
|---|---|---|
| Treść bez danych osobowych (opis usługi, szkic posta) | Tak | Sprawdź, czy nie ma nazwisk i numerów |
| Korespondencja z klientem | Po zmianach | Usuń nazwisko, telefon, adres, numer zamówienia |
| Dane pracowników, CV | Nie | Opisz sytuację ogólnie, bez cech identyfikujących |
| Umowa z kontrahentem | Nie, chyba że wzór | Pracuj na wzorze lub na samych klauzulach |
| Dane o zdrowiu i inne z art. 9 | Nie | Nie przetwarzaj w AI bez oceny prawnej |
| Numery dokumentów, PESEL, rachunki | Nie | Usuń całkowicie |
| Kalkulacje, kod, hasła | Nie | Zostaw poza narzędziem, hasła nigdy |
Plan firmowy, umowa powierzenia i ustawienia
Jeśli zespół ma pracować z danymi osobowymi, potrzebne jest narzędzie w planie dla firm, z którym masz właściwą umowę. Gdy dostawca przetwarza dane w Twoim imieniu, mówimy o powierzeniu przetwarzania, a art. 28 RODO wymaga wtedy umowy lub innego instrumentu prawnego określającego zasady. Dostawca powinien przetwarzać dane tylko na Twoje udokumentowane polecenie.
Co sprawdzić przed wyborem planu:
- czy dostawca oferuje umowę powierzenia (zwykle jako aneks do regulaminu lub „data processing addendum”),
- czy dane z planu firmowego są używane do trenowania modeli, i jak to wyłączyć,
- gdzie dane są przetwarzane i czy dostawca korzysta z podwykonawców,
- jak długo przechowywana jest historia rozmów i kto ma do niej dostęp.
W wielu narzędziach da się wyłączyć zapisywanie historii lub używanie rozmów do trenowania. Nazwy i domyślne wartości tych ustawień zmieniają się, dlatego sprawdź je w panelu i w aktualnej dokumentacji dostawcy, zamiast polegać na pamięci. Porównanie narzędzi znajdziesz we wpisie ChatGPT, Claude czy Gemini w firmie.
Z praktyki: Firmy często kupują plan dla firm, ale zespół dalej korzysta z prywatnych kont, bo są wygodniejsze. Sama umowa nic nie daje, jeśli nikt nie ustalił, w którym narzędziu się pracuje.
Prosta polityka AI w firmie
Polityka nie musi być długa. Jedna strona, którą każdy przeczyta, działa lepiej niż regulamin, którego nikt nie otwiera. Oto sześć zasad, które możesz przepisać i dostosować:
- Do pracy używamy wyłącznie narzędzi zatwierdzonych przez właściciela, na kontach firmowych.
- Do darmowych i prywatnych kont nie wklejamy danych klientów, pracowników, umów ani tajemnic firmy.
- Dane osobowe przed wklejeniem usuwamy lub zamieniamy na oznaczenia.
- Dane szczególnych kategorii, w tym zdrowotne, nie trafiają do AI bez zgody właściciela i oceny prawnej.
- Wynik pracy AI sprawdza człowiek, zanim trafi do klienta lub na stronę.
- Każdy, kto wkleił coś niedozwolonego, zgłasza to od razu, bez konsekwencji za samo zgłoszenie.
Warto dopisać, kto w firmie może czego używać: inne narzędzia dla marketingu, inne dla księgowości. Dobrym uzupełnieniem jest lista zadań, w których AI pomaga bez ryzyka, opisana w tekście AI w małej firmie: 10 zadań. Do tego dochodzi obowiązek z art. 4 rozporządzenia o sztucznej inteligencji (AI Act): firmy używające systemów AI mają dbać o kompetencje osób, które z nich korzystają. Obowiązuje od 2 lutego 2025, więc krótkie szkolenie zespołu z tej polityki jest dobrym początkiem.
Co zrobić, gdy ktoś wkleił dane
Najpierw zatrzymaj sprawę i ustal fakty. Wklejenie danych osobowych do niewłaściwego narzędzia może być naruszeniem ochrony danych, ale nie zawsze trzeba je zgłaszać organowi nadzorczemu.
Kolejne kroki:
- Ustal, co dokładnie zostało wklejone, kiedy, na jakim koncie i czyich dotyczy danych.
- Usuń rozmowę i sprawdź ustawienia konta, w tym zapisywanie historii.
- Oceń ryzyko dla osób: czy mogą spotkać je realne skutki, na przykład ujawnienie danych zdrowotnych.
- Zapisz zdarzenie i swoją ocenę, nawet jeśli uznasz, że zgłoszenie nie jest potrzebne.
- Jeśli istnieje ryzyko naruszenia praw lub wolności osób, zgłoś naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 RODO). Przy wysokim ryzyku trzeba też zawiadomić osoby, których dane dotyczą.
Szczegóły i formularz opisuje UODO na stronie o zgłaszaniu naruszeń, linkowanej w źródłach. W razie wątpliwości zapytaj prawnika lub inspektora ochrony danych, bo termin biegnie szybko.
Od czego zacząć w swojej firmie
Zacznij od inwentaryzacji, a nie od zakazów. Zapytaj zespół, z jakich narzędzi AI już korzysta i do czego. Wynik bywa zaskakujący, a bez niego polityka będzie pisana na ślepo.
Plan na najbliższe dwa tygodnie:
- Zbierz informacje, kto czego używa i na jakich kontach.
- Wybierz jedno lub dwa narzędzia w planie dla firm i sprawdź warunki umowy powierzenia.
- Spisz politykę na jednej stronie na bazie sześciu zasad powyżej.
- Przeprowadź krótkie spotkanie z zespołem i pokaż przykład anonimizacji.
- Ustal, kto przyjmuje zgłoszenia o błędach i jak wygląda ocena naruszenia.
Jeśli chcesz, pomogę przygotować te zasady i dobrać narzędzia pod Twoją firmę. Zakres współpracy opisuję w ofercie AI dla firm, a pytania możesz wysłać przez formularz kontaktowy.
Najczęstsze pytania
Czy mogę wkleić do ChatGPT treść maila od klienta?
Tylko po usunięciu danych, po których da się rozpoznać osobę, czyli nazwiska, telefonu, adresu i numerów. Najlepiej robić to na koncie firmowym z odpowiednimi ustawieniami. Jeśli mail dotyczy zdrowia lub spraw wrażliwych, nie wklejaj go wcale.
Czy zanonimizowane dane przestają podlegać RODO?
Tak, ale tylko przy prawdziwej anonimizacji, gdy nie da się wrócić do osoby. Zamiana nazwiska na „Klient A” przy zachowaniu tabeli z kluczem to pseudonimizacja i dane nadal są osobowe. Nietypowe szczegóły też mogą zdradzić osobę.
Czy mała firma potrzebuje umowy powierzenia z dostawcą AI?
Jeśli dostawca przetwarza dane osobowe w Twoim imieniu, art. 28 RODO wymaga takiej umowy lub innego instrumentu prawnego. Sprawdź ofertę dla firm danego dostawcy. W razie wątpliwości zapytaj prawnika.
Czy mogę zakazać pracownikom używania AI?
Możesz ustalić, z jakich narzędzi wolno korzystać i do czego. Sam zakaz bywa mało skuteczny, bo ludzie sięgają po prywatne konta. Lepiej wskazać zatwierdzone narzędzie i jasne zasady.
Kto ponosi odpowiedzialność, gdy pracownik wklei dane klienta?
Administratorem danych jest zwykle firma, więc to ona odpowiada za zapewnienie bezpieczeństwa danych. Szczegóły zależą od okoliczności, dlatego sprawę oceń z prawnikiem.
Źródła
Autor
Piotr Babczyński
Pomagam firmom ze Szczecina i całej Polski zdobywać klientów z internetu: SEO, reklamy Google i Meta, automatyzacje i wdrożenia AI. Piszę o tym, co sprawdzam na realnych projektach.
- 30 lat w IT
- SEO i Google Ads
- Wdrożenia AI
- #RODO
- #AI
- #bezpieczeństwo danych
