RODO a AI w firmie — co musisz wiedzieć przed wdrożeniem [2026]
RODO i AI w firmie. Jakie dane wolno przetwarzać, jak ograniczyć ryzyko i czy ChatGPT jest zgodny z RODO?
RODO a AI w firmie — co musisz wiedzieć?
Wyobraź sobie sytuację: Twój dział obsługi klienta wdraża chatbota AI, który odpowiada na pytania klientów 24/7. Chatbot przetwarza imiona, historię zamówień i treść rozmów. Czy masz podstawę prawną do tego przetwarzania? Czy poinformowałeś klientów, że rozmawiają z AI? Czy dane trafiają na serwery poza UE?
To nie są pytania teoretyczne — to pytania, na które Prezes UODO może zażądać odpowiedzi. Kary za naruszenie RODO sięgają 4% rocznego globalnego obrotu lub 20 mln EUR (wyższa kwota). W 2025 roku UODO nałożył kilkanaście kar na polskie podmioty, a AI była czynnikiem w coraz większej liczbie postępowań.
Dobra wiadomość: zgodność AI z RODO jest osiągalna. Wymaga jednak świadomego projektowania, nie przypadkowego wdrożenia.
Dlaczego RODO i AI to skomplikowany związek?
RODO zostało uchwalone w 2018 roku — na długo przed erą generatywnej AI. Jego zasady były projektowane z myślą o tradycyjnych bazach danych i relacyjnych systemach przetwarzania. Generatywna AI wprowadza kilka zjawisk, które nie mieszczą się łatwo w ramach tych przepisów.
Problem 1 — Nieprzewidywalność przetwarzania. Tradycyjny system przetwarza dane w zdefiniowany, audytowalny sposób. Model AI przetwarza dane w sposób, którego dokładnego działania nie można w pełni wyjaśnić. Zasada „rozliczalności” RODO wymaga, by administrator wiedział, co robi z danymi — przy modelach black-box to wyzwanie.
Problem 2 — Dane treningowe. Duże modele językowe (LLM) jak GPT-4, Claude czy Gemini były trenowane na ogromnych zbiorach danych z internetu. Część tych danych mogła zawierać informacje osobowe bez wiedzy i zgody podmiotów danych. Europejskie organy nadzorcze (włoskie Garante, irlandzkie DPC) wszczęły postępowania właśnie w tym kontekście.
Problem 3 — Migracja danych poza UE. Większość dostawców modeli AI to firmy z USA. Przesyłanie danych osobowych do USA wymaga odpowiednich mechanizmów prawnych (standardowe klauzule umowne, EU-US Data Privacy Framework). Bez nich — naruszasz RODO przy każdym zapytaniu zawierającym dane osobowe.
Problem 4 — Automatyczne podejmowanie decyzji. Art. 22 RODO reguluje sytuacje, gdy decyzja dotycząca osoby jest podejmowana wyłącznie automatycznie i wywołuje skutki prawne lub podobnie istotnie ją dotyka. Przykłady: AI odrzucający kredyt, AI selekcjonujący CV, AI kwalifikujący ubezpieczenie. Takie systemy wymagają szczególnych środków ochrony.
Jakie dane przetwarza AI i dlaczego to ważne?
Kluczem do zgodności z RODO jest zrozumienie, jakie dane faktycznie przetwarzasz w systemach AI. To nie jest oczywiste — dane osobowe mogą pojawić się tam, gdzie się ich nie spodziewasz.
Typowe kategorie danych osobowych w systemach AI firmowych:
- Dane kontaktowe klientów — imię, nazwisko, e-mail, telefon w treści rozmów z chatbotem
- Dane behawioralne — historia kliknięć, ścieżki zakupowe, treść zapytań do wyszukiwarki
- Dane pracownicze — oceny rozmów rekrutacyjnych, wyniki analizy produktywności, treść e-maili
- Treść konwersacji — rozmowy z chatbotem zawierają często dane wrażliwe (problemy zdrowotne klientów apteki, dane finansowe klientów banku)
- Dane biometryczne — jeśli AI analizuje nagrania wideo lub głos (np. voicebot)
Dane wrażliwe (kategorie specjalne z art. 9 RODO) — dane o stanie zdrowia, poglądach politycznych, orientacji seksualnej, przynależności rasowej — podlegają szczególnej ochronie i wymagają wyraźnej zgody lub innej szczególnej podstawy prawnej. Ich przetwarzanie w AI bez analizy jest poważnym ryzykiem.
Zasada minimalizacji danych (art. 5(1)(c) RODO) mówi: zbieraj tylko to, co niezbędne do celu. W praktyce oznacza to: nie wklejaj do promptów AI całych baz danych klientów, gdy potrzebujesz tylko ogólnych wzorców. Anonimizuj lub pseudonimizuj dane przed przetwarzaniem w AI tam, gdzie to możliwe.
ChatGPT a RODO — czy wolno używać w firmie?
To jedno z najczęstszych pytań zadawanych przez zarządy polskich firm. Odpowiedź zależy od tego, jak używasz narzędzia i jaką wersję/plan wybrałeś.
ChatGPT Free i ChatGPT Plus (konta indywidualne) OpenAI w warunkach korzystania zastrzega, że może używać danych wprowadzanych przez użytkowników do ulepszania modeli (chyba że użytkownik wyłączy tę opcję w ustawieniach). Nie zaleca się wprowadzania danych osobowych klientów, pracowników ani partnerów biznesowych w tych planach. Brak umowy powierzenia danych (DPA) oznacza brak prawnych gwarancji przetwarzania danych.
ChatGPT Team i ChatGPT Enterprise OpenAI oferuje DPA (Data Processing Agreement), gwarantuje, że dane konwersacji nie są używane do trenowania modelu oraz zapewnia wyższy poziom bezpieczeństwa. To plany, które mogą być zgodne z RODO — pod warunkiem poprawnej konfiguracji i świadomego użytkowania.
ChatGPT Enterprise Dodatkowo oferuje: dane przetwarzane w dedykowanej infrastrukturze, możliwość wyboru regionu (US lub UE — to istotne!), zaawansowane logowanie i audyt, SSO i zarządzanie użytkownikami.
Podsumowanie dla zarządu:
| Plan | DPA dostępne | Dane do treningu | Rekomendacja |
|---|---|---|---|
| Free / Plus (indywidualny) | Nie | Domyślnie tak | Tylko ogólne zastosowania, zero danych osobowych |
| ChatGPT Team | Tak | Nie (gwarancja umowna) | Możliwe przy zachowaniu zasad minimalizacji |
| ChatGPT Enterprise | Tak + zaawansowane opcje | Nie | Odpowiednie dla większych firm z danymi klientów |
| OpenAI API (własna integracja) | Tak | Nie (dane API nie trenują modelu) | Rekomendowane przy integracjach systemowych |
Podobne rozróżnienie dotyczy Claude (Anthropic) — plan Claude for Business/Enterprise posiada DPA; plan Free/Pro — nie. Zawsze sprawdź aktualne warunki u dostawcy przed wdrożeniem.
Chatbot dla klientów a RODO — obowiązki
Wdrożenie chatbota obsługi klienta wiąże się z szeregiem konkretnych obowiązków wynikających z RODO. Poniżej lista tych najważniejszych.
1. Obowiązek informacyjny (art. 13 RODO) Klient musi wiedzieć: kto przetwarza jego dane (administrator), w jakim celu, na jakiej podstawie prawnej, jak długo i jakie ma prawa. Jeśli chatbot zbiera dane osobowe (imię, adres e-mail, treść rozmowy), przed lub na początku rozmowy należy przedstawić informację o przetwarzaniu danych. Powinna być zrozumiała i konkretna — nie kilkustronicowy regulamin.
2. Podstawa prawna przetwarzania Przetwarzanie danych w chatbocie musi mieć podstawę prawną (art. 6 RODO):
- Umowa — jeśli chatbot pomaga w realizacji zamówienia lub umowy
- Prawnie uzasadniony interes — jeśli chatbot obsługuje klientów w zakresie bezpośrednio związanym ze świadczonymi usługami (wymaga testu balansowego)
- Zgoda — dla działań marketingowych lub zbierania danych nieobowiązkowych
3. Obowiązek ujawnienia automatyzacji (art. 22 RODO) Jeśli chatbot podejmuje decyzje mające skutki prawne dla klienta (np. odmowa obsługi, przyznanie rabatu, kwalifikacja do programu) — klient ma prawo żądać interwencji ludzkiej i zaskarżyć decyzję. Musisz mu to umożliwić.
4. Rejestr czynności przetwarzania (art. 30 RODO) Chatbot = nowa czynność przetwarzania. Należy ją wpisać do rejestru: cel, kategorie danych, odbiorcy, okres retencji, zabezpieczenia.
5. Ocena skutków dla ochrony danych (DPIA, art. 35 RODO) Jeśli chatbot przetwarza dane na dużą skalę lub przetwarza kategorie specjalne danych — wymagana jest formalna ocena ryzyka (DPIA). Warto ją wykonać prewencyjnie, nawet gdy nie jest obowiązkowa — dokument ten jest dowodem staranności przy ewentualnej kontroli UODO.
Jak wdrożyć AI zgodnie z RODO? Checklist
Poniższy checklist obejmuje kluczowe kroki, które zarząd i COO powinni przejść przed uruchomieniem każdego systemu AI przetwarzającego dane osobowe:
Faza planowania:
- Zidentyfikuj wszystkie kategorie danych osobowych, które będzie przetwarzać system AI
- Określ cel przetwarzania i podstawę prawną (art. 6 RODO)
- Sprawdź, czy dane mogą być anonimizowane lub pseudonimizowane przed użyciem w AI
- Oceń, czy wymagana jest DPIA (dane wrażliwe, duża skala, profilowanie)
Wybór dostawcy:
- Czy dostawca AI posiada DPA (Data Processing Agreement)?
- Gdzie fizycznie są przetwarzane dane — UE, czy poza UE?
- Jeśli poza UE — czy istnieje odpowiedni mechanizm transferu (SCC, EU-US DPF)?
- Czy dostawca jest certyfikowany (ISO 27001, SOC 2)?
- Czy dane są używane do trenowania modelu — i jak można to wyłączyć?
Dokumentacja:
- Wpis do rejestru czynności przetwarzania (RCP)
- Aktualizacja polityki prywatności z informacją o AI
- Klauzule informacyjne dla użytkowników systemu (klientów, pracowników)
- Umowa powierzenia danych z dostawcą AI
Implementacja:
- Mechanizm realizacji praw podmiotów danych (dostęp, usunięcie, sprzeciw)
- Procedura eskalacji do człowieka przy decyzjach automatycznych
- Retencja danych — automatyczne usuwanie po określonym czasie
- Logi i audyt działania systemu AI
Po wdrożeniu:
- Regularne przeglądy zgodności (co 6–12 miesięcy)
- Szkolenia pracowników korzystających z AI
- Procedura zgłaszania naruszeń ochrony danych (art. 33 RODO — 72h na zgłoszenie do UODO)
AI Act 2025 — nowe przepisy dla europejskich firm
Oprócz RODO, od 2025 roku obowiązuje AI Act — pierwsze na świecie kompleksowe prawo regulujące sztuczną inteligencję. Dla firm wdrażających AI w Polsce oznacza nowe obowiązki, które wchodzą w życie etapami.
System klasyfikacji ryzyka:
AI Act dzieli systemy AI na cztery kategorie ryzyka:
- Niedopuszczalne ryzyko — zakazane od 2 lutego 2025. Obejmuje: systemy oceny społecznej (social scoring), manipulację podprogową, masową inwigilację biometryczną. Firmom B2B zazwyczaj nie dotyczą.
- Wysokie ryzyko — systemy AI w rekrutacji (CV screening, scoring kandydatów), zarządzanie dostępem do usług finansowych, systemy edukacyjne, infrastruktura krytyczna. Wymagają: rejestracji w bazie UE, dokumentacji technicznej, zarządzania ryzykiem, logów, nadzoru człowieka, testów przed wdrożeniem.
- Ograniczone ryzyko — chatboty wchodzące w interakcję z ludźmi. Wymagają: ujawnienia, że użytkownik rozmawia z AI (obowiązek od 2 sierpnia 2026).
- Minimalne ryzyko — filtry spamu, rekomendacje treści, AI do gier. Brak dodatkowych obowiązków.
Co to oznacza dla Twojej firmy w praktyce:
Jeśli używasz AI do rekrutacji — masz obowiązki wysokiego ryzyka. Jeśli wdrażasz chatbota dla klientów — musisz ujawnić, że to AI. Jeśli korzystasz z generatywnej AI do tworzenia treści — obowiązek oznaczania treści wygenerowanych przez AI (w niektórych kontekstach).
AI Act nakłada obowiązki na „deployer’ów” (firmy wdrażające AI) — czyli Ciebie, nie tylko na dostawców technologii. Ignorowanie przepisów grozi karami do 3% rocznego globalnego obrotu.
Wdrożenie AI zgodne zarówno z RODO, jak i AI Act, wymaga zaplanowanego podejścia. Nie jest to powód do odkładania AI na później — jest powodem do tego, by zrobić to właściwie od początku.
FAQ
Czy muszę informować klientów, że chatbot jest AI?
Tak — od 2 sierpnia 2026 roku jest to obowiązek wynikający z AI Act. Użytkownik musi być poinformowany na początku interakcji, że rozmawia z systemem AI, chyba że jest to oczywiste z kontekstu. Rekomendujemy wdrożenie tego obowiązku już dziś — to dobra praktyka budowania zaufania i nie wymaga żadnych dodatkowych kosztów.
Co grozi firmie za używanie ChatGPT bez DPA do przetwarzania danych klientów?
Brak DPA z dostawcą oznacza przetwarzanie danych bez odpowiedniej umowy powierzenia — naruszenie art. 28 RODO. Kara może sięgnąć 10 mln EUR lub 2% rocznego obrotu (wyższa kwota). W praktyce UODO nakłada kary proporcjonalne do skali naruszenia i dobrej woli wykazanej przez podmiot. Ryzyko rośnie, jeśli dojdzie do incydentu lub skargi klienta.
Czy RODO zabrania używania AI do rekrutacji?
Nie zabrania, ale nakłada ograniczenia. Automatyczna selekcja CV, scoring kandydatów i wszelkie decyzje oparte wyłącznie na AI podlegają art. 22 RODO — kandydatowi przysługuje prawo do interwencji człowieka, wyjaśnienia decyzji i sprzeciwu. AI Act dodatkowo klasyfikuje rekrutacyjne systemy AI jako wysokiego ryzyka, nakładając obowiązki rejestracji i dokumentacji. W praktyce: AI może wspomagać rekrutację, ale decyzja o odrzuceniu lub zaproszeniu kandydata powinna być zatwierdzona przez człowieka.
Czy można przetwarzać dane pracowników przez AI bez ich zgody?
Zgoda pracownika jako podstawa prawna przetwarzania danych przez AI jest problematyczna — ze względu na nierównowagę sił w stosunku pracy, zgoda pracownika rzadko jest „dobrowolna” w rozumieniu RODO. Lepszą podstawą jest prawnie uzasadniony interes pracodawcy lub wykonanie umowy — ale wymaga to testu balansowego i nie obejmuje celów, których pracownik nie mógłby racjonalnie oczekiwać (np. analiza nastroju z e-maili).
Jak długo można przechowywać dane z rozmów chatbota?
RODO wymaga ograniczenia przechowywania danych do czasu niezbędnego do realizacji celu (zasada ograniczenia przechowywania, art. 5(1)(e)). Dla chatbota obsługi klienta typowe okresy to: dane transakcyjne — do 5 lat (wymogi podatkowe), logi rozmów bez transakcji — 3–12 miesięcy. Każdy okres retencji powinien być uzasadniony celem i wpisany do RCP oraz polityki prywatności.
Wdrożenie AI zgodne z RODO — zrób to właściwie od początku
Błędy w zakresie RODO i AI są kosztowne — nie tylko finansowo, ale też wizerunkowo. Klienci i partnerzy biznesowi coraz częściej pytają o to, jak firmy chronią dane w systemach AI. Zgodność staje się przewagą konkurencyjną, nie tylko wymogiem prawnym.
Audyt Inteligencji Procesowej QA10 obejmuje analizę zgodności planowanych wdrożeń AI z wymogami RODO i AI Act. W ramach audytu:
- identyfikujemy, które procesy AI wymagają szczególnej uwagi prawnej,
- wskazujemy lukę między stanem obecnym a wymogami compliance,
- rekomendujemy konkretne działania z priorytetami i harmonogramem.
Bez lęku przed regulacjami — ze świadomością, że właściwe przygotowanie to mniej ryzyka i więcej przestrzeni do szybkiego działania.