RODO a ChatGPT w pracy - czego nie wolno wkleić do chatbota

Handlowiec wkleja do darmowego ChatGPT listę klientów z telefonami, “żeby AI ułożyło plan obdzwaniania”. Księgowa wrzuca skan faktury z danymi kontrahenta. Rekruterka - trzy CV do porównania. Każda z tych sytuacji zdarza się w polskich firmach codziennie i każda może być naruszeniem RODO, za które odpowiada pracodawca, nie pracownik. Ten przewodnik wyjaśnia, gdzie dokładnie przebiega granica i jak korzystać z AI w pracy bez ryzyka.

Zastrzeżenie: ten tekst ma charakter informacyjny i nie jest poradą prawną. W sprawach konkretnych wdrożeń skonsultuj się z prawnikiem lub inspektorem ochrony danych.

Dlaczego wklejenie danych do chatbota to problem prawny

RODO nie zakazuje używania AI. Zakazuje przetwarzania danych osobowych bez podstawy prawnej i bez kontroli nad tym, dokąd dane trafiają. A wklejenie danych do publicznego chatbota oznacza w praktyce trzy rzeczy naraz:

• Przekazujesz dane zewnętrznej firmie (OpenAI, Google, Anthropic), która staje się ich procesorem - a do tego RODO wymaga umowy powierzenia przetwarzania. W darmowym planie konsumenckim takiej umowy nie masz.
• Dane mogą opuścić Europejski Obszar Gospodarczy - serwery dostawców AI stoją głównie w USA. Transfer jest legalny tylko w określonych ramach (np. EU-US Data Privacy Framework), o których przeciętny użytkownik nie ma pojęcia.
• W planach konsumenckich treść rozmów może być używana do trenowania modeli - chyba że ręcznie to wyłączysz w ustawieniach. W planach biznesowych trenowanie na danych klientów jest domyślnie wyłączone i to jedna z głównych rzeczy, za które firmy płacą.

Kluczowa konsekwencja: jeśli pracownik wklei dane osobowe klientów do prywatnego czatu, administratorem tych danych nadal jest firma - i to firma odpowiada przed UODO. Kary z RODO sięgają 20 mln euro lub 4% rocznego obrotu.

Czego nie wklejać nigdy - lista praktyczna

Do publicznego, darmowego chatbota nie powinny trafić:

• Dane identyfikujące osoby: imiona i nazwiska klientów z kontekstem, numery PESEL, adresy, telefony, e-maile prywatne
• Dane szczególnych kategorii (art. 9 RODO): informacje o zdrowiu, poglądach, orientacji, karalności - np. treść zwolnienia lekarskiego pracownika czy opis sprawy sądowej klienta
• Dokumenty kadrowe: CV kandydatów, umowy o pracę, oceny pracownicze, dane płacowe
• Umowy i dokumenty objęte tajemnicą: kontrakty z klauzulami poufności, oferty przetargowe, dane finansowe kontrahentów
• Sekrety firmy: kod źródłowy objęty tajemnicą, strategie cenowe, niezgłoszone patenty, dane dostępowe

Prosta reguła kciuka, którą warto wpisać do firmowej polityki: jeśli nie opublikowałbyś tego na firmowym blogu, nie wklejaj tego do darmowego AI.

Co wolno - czyli jak używać AI bez danych osobowych

Dobra wiadomość: zdecydowana większość zastosowań AI w pracy w ogóle nie wymaga danych osobowych. Legalne i bezpieczne jest m.in.:

• pisanie i redagowanie tekstów, ofert czy postów bez danych klientów w treści
• praca na danych zanonimizowanych: “klient z branży meblowej, 50 pracowników, problem z rotacją” zamiast nazwy i NIP-u
• generowanie szablonów umów i pism (uzupełnianych danymi już poza AI)
• analiza własnych publicznych materiałów: strony www, cenników, opisów produktów
• burza mózgów, plany, strategie, research rynkowy
• nauka i tłumaczenie kodu, o ile nie zawiera sekretów i danych

Anonimizacja musi być realna. Zamiana “Jan Kowalski, Kraków, PESEL…” na “pan J.K. z Krakowa, ur. 1985” to pseudonimizacja - dane nadal mogą być osobowe, jeśli kontekst pozwala zidentyfikować osobę. Bezpieczniej jest opisywać przypadki rodzajowo, bez szczegółów jednostkowych.

Jeśli firma chce więcej: plany biznesowe i umowa powierzenia

Gdy AI ma pracować na prawdziwych danych - np. analizować zgłoszenia klientów albo wspierać rekrutację - darmowy czat odpada. Ścieżka zgodna z RODO wygląda tak:

1. Plan biznesowy lub API zamiast planu konsumenckiego. ChatGPT Business/Enterprise, Claude for Work czy Gemini w Google Workspace oferują umowę powierzenia przetwarzania danych (DPA), zobowiązanie do nietrenowania modeli na twoich danych i kontrolę administracyjną.
2. Podpisana umowa powierzenia (DPA) - u większości dostawców akceptuje się ją online; upewnij się, że obejmuje wszystkie usługi, których używacie.
3. Weryfikacja transferów poza EOG - sprawdź, czy dostawca uczestniczy w EU-US Data Privacy Framework lub stosuje standardowe klauzule umowne.
4. Wewnętrzna polityka AI - jeden-dwa strony: jakie narzędzia są dozwolone, na jakich danych, kto odpowiada. Bez tego nawet najlepszy plan Enterprise nie chroni przed pracownikiem używającym prywatnego konta.
5. Rejestr czynności przetwarzania i (przy większej skali) ocena skutków (DPIA) - szczególnie gdy AI wspiera decyzje dotyczące ludzi, np. w rekrutacji. Tu zresztą RODO spotyka się z unijnym AI Act, który systemy AI w zatrudnieniu klasyfikuje jako wysokiego ryzyka - co to oznacza w praktyce, opisujemy w przewodniku po AI Act dla małych firm.

Trzy nawyki, które załatwiają 80% ryzyka

Jeśli miałbyś zapamiętać z tego przewodnika tylko trzy rzeczy:

1. Wyłącz trenowanie na swoich danych w ustawieniach każdego narzędzia AI, którego używasz - w ChatGPT to “Ulepszaj model dla wszystkich” (wyłącz), w innych narzędziach analogiczne opcje prywatności.
2. Anonimizuj zanim wkleisz. Sekunda zastanowienia “czy z tego tekstu da się poznać konkretną osobę?” przed każdym ctrl+V.
3. Rozdziel konta. Sprawy firmowe tylko na koncie firmowym (najlepiej w planie biznesowym), prywatne na prywatnym. Historia czatu z danymi firmy na prywatnym koncie pracownika to bomba z opóźnionym zapłonem - także przy jego odejściu z pracy.

AI w pracy nie jest problemem prawnym. Problemem jest wklejanie do niego cudzych danych bez zastanowienia. Różnica między jednym a drugim to w praktyce dwie strony wewnętrznej polityki i kwadrans szkolenia zespołu - znacznie taniej niż jedno postępowanie przed UODO.