Dane wrażliwe w AI: 12 pól, których nie wklejasz do modelu, i jak je zanonimizować w 5 krokach 

Do modelu językowego nie wklejasz danych osobowych, dokumentów medycznych, umów kredytowych, pełnych CV, notatek z rozmów HR i danych dzieci. Tak naprawdę lista jest dłuższa: do publicznego ChatGPT albo Claude nie trafiają też PESEL, NIP, numery dowodów, numery rachunków, loginy, które jednoznacznie wskazują człowieka, oraz opisy sytuacji na tyle szczegółowe, że zespół zgadnie o kogo chodzi. Usunięcie nazwiska często nie wystarczy, bo dane wracają do właściciela przez kontekst. Poniżej masz dwanaście konkretnych pól, których nie przenoszę do okna czatu, i procedurę anonimizacji w pięciu krokach, która działa też bez płatnych narzędzi.

Co dzieje się z tekstem, który wklejasz do okna czatu

Najczęstszy błąd polega na myśleniu o wklejeniu jak o poliznicy. To nie jest. Tekst, który wpisujesz, opuszcza Twój komputer i ląduje na serwerach dostawcy, gdzie jest przechowywany jako treść sesji, analizowany przez model i logowany przez systemy zabezpieczeń przed nadużyciami.

Chmura oznacza w praktyce cudze komputery, cudzą infrastrukturę i cudze procedury bezpieczeństwa. Masz wpływ na pewne ustawienia prywatności w panelu użytkownika, ale nie kontrolujesz fizycznej lokalizacji serwerów, mechanizmów logowania czy kopii zapasowych.

Dla RODO to nie jest detal, tylko moment, w którym dane opuszczają Twoją kontrolę. Z punktu widzenia przepisów korzystanie z ChatGPT to zawsze przekazywanie danych kolejnemu podmiotowi przetwarzającemu. Nawet jeśli usługa obiecuje, że nie trenuje na Twoich rozmowach, treści i tak przez jakiś czas leżą w logach, systemach analitycznych i zabezpieczeniach antynadużyciowych. Slogan „dane nie służą do trenowania modelu” zawęża sposób użycia, a nie oznacza, że w ogóle nie są zbierane.

Druga sprawa jest mniej wygodna: odpowiedzialność za to, co wkleiłeś, leży po Twojej stronie. Nie „po stronie dostawcy”. Z perspektywy urzędu ochrony danych to Twoja organizacja odpowiada za to, że dane trafiły do narzędzia, które nie zostało zaprojektowane jako system kadrowy, CRM czy medyczny. Kwestia dostawcy jest badana w drugiej kolejności.

12 pól, których nie wklejasz do modelu

Lista poniżej jest ułożona od najbardziej oczywistych pól do tych, które wyglądają neutralnie, ale w pakiecie identyfikują człowieka. Pierwsze cztery to identyfikatory, których nie da się zastąpić bez zmiany sensu zadania.

Identyfikatory, po których nie ma powrotu

Numer PESEL oraz numery dowodu osobistego, paszportu i prawa jazdy. To klasyczna „jednostkowa wrażliwość” - pojedynczy numer wystarczy do identyfikacji, więc nie ma czego szukać naokoło. Popularne obcięcie ostatnich cyfr nie działa: po połączeniu z datą urodzenia, miejscowością i płcią nadal trafiasz w konkretną osobę niemal jak w tarczę.

NIP firmy i numer rachunku bankowego. NIP bywa w treści niemal każdej faktury i umowy, więc to pole pojawia się w dokumentach, które wklejasz „na przykład” i które zawierają dużo więcej danych wrażliwych niż sam NIP. Numer rachunku jest problemem wtedy, gdy da się go powiązać z konkretnym człowiekiem, a w małej firmie zwykle się to udaje.

Adres e-mail w formie imię.nazwisko@firma.pl. Sama domena firmowa nie szkodzi, ale konwencja adresów w polskich firmach bywa tak jednoznaczna, że adres działu księgowości wskazuje konkretną osobę dokładnie tak dobrze jak podpis na dokumencie.

Numer telefonu przypisany do konkretnej osoby. Numer ogólnodostępny firmy jest bezpieczny, numer komórkowy pracownika już nie.

Świadectwo i dokumenty, po których nie wraca się

Numery kart płatniczych, kont bankowych i indywidualnych rachunków składkowych. Do tego pełne skany umów kredytowych, wyciągów bankowych i dokumentów komorniczych. „Wkleję PDF z umową, niech mi streści” brzmi rozsądnie, a w praktyce oddajesz na zewnątrz dochody, zobowiązania, adresy i numery identyfikacyjne - dokładnie ten zestaw, który przy zdobywaniu usiłują oszuści.

Dokumentacja medyczna: skany badań, karty informacyjne ze szpitala, zaświadczenia od lekarzy. RODO zalicza je do danych szczególnych kategorii wraz ze zdrowiem fizycznym i psychicznym, leczeniem i niepełnosprawnością. Do tej samej grupy należą orzeczenia i zaświadczenia o zdolności do pracy. Przykład, który brzmi neutralnie, a jest pełnym ujawnieniem: pracownik po zabiegu psychiatrycznym z zaświadczeniem o niezdolności do pracy do końca kwietnia.

Dane o orientacji, poglądach i światopoglądzie. RODO wymienia tu orientację seksualną, życie intymne, poglądy polityczne, przynależność partyjną, związki zawodowe, pochodzenie rasowe lub etniczne, wyznania religijne oraz dane biometryczne i genetyczne. Pojedyncza uwaga w rodzaju „nasza koleżanka z HR leczy się na depresję i ma zwolnienie do końca miesiąca” jest jednoznaczna w zespole, w którym pracuje jedna dana osoba.

Kontekst, który identyfikuje lepiej niż nazwisko

Unikalny login w małej firmie. Jeśli wszyscy wiedzą, że mkowalski to Marek Kowalski z IT, login jest informacją identyfikującą, nawet bez nazwiska w treści. To samo dotyczy numeru klienta w jednym systemie, gdy wklejasz razem opis transakcji lub działu, w którym ta osoba pracuje.

Szczegółowy opis sytuacji życiowej. „Jedyna rozwiedziona księgowa po pięćdziesiątce w naszym dziale” to w firmie z trzydziestoma osobami jednoznaczne wskazanie. RODO stosuje tu test rozsądnego prawdopodobieństwa identyfikacji: jeśli w realnych warunkach, korzystając z dostępnych informacji, da się względnie łatwo dojść do konkretnej osoby, to masz do czynienia z danymi osobowymi. W niszowej społeczności wystarczy dużo mniej niż w anonimowej bazie milionów rekordów.

Inicjały plus kontekst służbowy. Typowy przykład z praktyki: konflikt między dwoma osobami w dziale sprzedaży, opisany jako trwający kilka miesięcy, z komentarzem, że obie pracują w firmie od ponad pięciu lat i że szef działu o tym wie. W bazie nie ma nazwisk, ale w firmie są initials do odczytania w kilka sekund.

Tresci, których dotykają przepisy zawodowe

Pełne CV kandydata, skan wniosku o urlop albo zrzut ekranu z systemu CRM z widocznymi danymi klientów. Rekreacja kandydatów wygląda na bezpieczny pierwszy test wdrożenia, a na liście zrzutów jest jednym z najczęściej wklejanych materiałów - i jednocześnie najbogatszym źródłem danych wrażliwych. Screening CV w rekrutacji po AI Act opisałem osobno, razem z tym, co wolno, a co już nie.

Notatki z rozmów HR, oceny okresowe, protokoły rozmów dyscyplinujących i komentarze o wydajności konkretnych ludzi. Do tego dochodzą dane o efektywności: indywidualne wyniki sprzedażowe, liczba błędów, statystyki zwolnień lekarskich.

Treści objęte tajemnicą zawodową lub przedsiębiorstwa. Obok RODO istnieją osobne reżimy ochrony: adwokacki, lekarski, bankowy, ubezpieczeniowy oraz tajemnica przedsiębiorstwa. Wklejenie takiej treści do publicznego narzędzia jest często niezgodne z ustawą regulującą dany zawód, niezależnie od tego, czy pacjent lub klient da się zidentyfikować z perspektywy RODO. Dla kancelarii, klinik i biur rachunkowych to jest argument decydujący o tym, czy dane w ogóle opuszczają firmę; osobno rozpisałem to przy analizie umów w kancelarii i ryzykach poza nią.

Dane dzieci i młodzieży

Szczegółowe opisy problemów wychowawczych, edukacyjnych czy psychologicznych wskazujące klasę, szkołę i miejscowość, fragmenty opinii z poradni psychologiczno-pedagogicznej, orzeczenia o potrzebie kształcenia specjalnego oraz listy dzieci z podziałem na wyniki, frekwencję i problemy zdrowotne. Nawet gdy intencją jest napisanie lepszego maila do rodzica, ryzyko ujawnienia przewyższa korzyść z podpowiedzi stylu.

Dlaczego usunięcie nazwiska to za mało

Najwięcej kłopotów rodzi przekonanie, że wystarczy wyciąć kolumnę z nazwiskiem. Nie wystarczy, i to nie jest kwestia ostrożności, tylko definicji.

Różnica między anonimizacją a pseudonimizacją wygląda następująco. Anonimizacja oznacza stan, w którym po zabiegu nie da się już zidentyfikować osoby, nawet mając dodatkowe informacje. Pseudonimizacja oznacza zamianę imienia i nazwiska na identyfikator typu U123, przy czym gdzieś istnieje tabela z mapowaniem i przy odrobinie wysiłku da się wrócić do pierwotnej osoby. W typowym biurze dominuje pseudonimizacja - inicjały zamiast nazwiska, numer pracownika zamiast imienia, „koleżanka z księgowości” zamiast pełnych danych. Dla kogoś spoza organizacji to anonim, ale dla osób wewnątrz już nie.

Reguła, która rzadko zawodzi, brzmi prosto: jeśli ty lub ktoś z twojego zespołu, mając podstawową wiedzę o ludziach z życia, jest w stanie zgadnąć, o kogo chodzi, to nie jest anonimizacja. Nawet jeśli w arkuszu nie ma ani jednego nazwiska.

Jak EDPB podchodzi do oceny anonimowości

Europejska Rada Ochrony Danych opublikowała 7 lipca 2026 roku projekt wytycznych 02/2026 w sprawie anonimizacji. Konsultacje trwają do 30 października 2026 roku, do 23:59 czasu CET, więc dokument warto traktować jako aktualne odczytanie sprawy przez Radę, a nie jako ustalenie ostateczne.

W propozycjach znalazły się trzy kryteria, które trzeba spełnić łącznie: brak izolacji rejestru, brak powiązania oraz brak wnioskowania. Przejście wszystkich trzech pozwala uznać dane za anonimowe zgodnie z definicją RODO.

Najważniejsza zmiana to podejście względne. Anonimowość nie jest własnością samych danych - zależy od tego, kto je trzyma i co realnie może z nimi zrobić. Ten sam zbiór może być danymi osobowymi dla jednej strony i danymi anonimowymi dla drugiej. W przypadku procesora decyduje perspektywa administratora: jeśli dostawca przetwarza dane w Twoim imieniu, to dla niego pozostają one danymi osobowymi, niezależnie od tego, czy sam potrafiłby kogoś zidentyfikować. W praktyce oznacza to, że wysłanie zanonimizowanego tekstu do dostawcy AI nie zdejmuje z Ciebie odpowiedzialności za ocenę, czy był on w ogóle anonimowy.

Anonimizacja w 5 krokach

Procedura wygląda tak samo niezależnie od tego, czy korzystasz z narzędzia, czy robisz to ręcznie. Różnica jest tylko w tempie.

Krok 1: oddziel dane od logiki zadania

Najskuteczniejsza metoda nie polega na czyszczeniu gotowego dokumentu, tylko na zbudowaniu takiego, w którym nie ma danych do czyszczenia. Zamiast wklejać umowę z klientem, wklejasz szablon z pustymi polami. Zamiast opisywać konkretną reklamację, opisujesz typ sytuacji. Kwoty zastępujesz przedziałami typu „wynagrodzenie w wysokości [KWOTA]”, nazwy firm neutralnymi etykietami.

Jeśli model ma Ci pomóc z redakcją, formatowaniem maili albo analizą dokumentu, w większości przypadków w ogóle nie potrzebuje wiedzieć, kto jest stroną. Dopiero tutaj pojawia się różnica między modelem ogólnym a asystentem podłączonym do Twojej bazy - jeśli szukasz wariantu, który czyta dokumenty bez ręcznego wklejania, opisałem to przy okazji trzech wariantach wdrożenia asystenta AI.

Krok 2: zamień identyfikatory na stabilne tokeny

Zamiast usuwać dane, zamień je na tokeny, które niosą tę samą informację: [OSOBA_1], [ADRES_1], [FIRMA_2]. Kluczowa jest stabilność - ten sam token oznacza zawsze tego samego adresata w całym dokumencie i w całej rozmowie. Dzięki temu model nadal widzi spójne dane, a nie zbiór różnych losowych osób, przez co analiza traci sens.

Istniejące narzędzia desktopowe robią to offline, w kilka sekund, i deklarują rozpoznanie ponad 25 kategorii polskich danych, w tym PESEL, adresy i nazwiska, również w skanach dzięki wbudowanemu OCR. Ich deklarowane ograniczenia są konkretne: limit pliku 25 MB, baza około 60 tysięcy polskich imion i nazwisk, szyfrowanie pliku klucza algorytmem AES-256-GCM z kluczem wyprowadzonym przez PBKDF2-HMAC-SHA256. Klucz pozostaje na Twoim komputerze, a aplikacja nie wymaga internetu.

Krok 3: podaj modelowi instrukcję zachowania tokenów

Ten krok pomijają wszyscy, a to najczęstsza przyczyna nieudanego odwrócenia danych. Modely mają tendencję do wymyślania nowych tokenów albo zamieniania ich na słowa typu „klient” czy „strona”, przez co powrót do prawdziwych danych przestaje być możliwy.

Instrukcja, która działa, wygląda tak: zachowaj wszystkie tokeny w nawiasach kwadratowych dokładnie tak, jak występują w dokumencie. Nie wymyślaj nowych tokenów i nie zmieniaj nawiasów. Token [OSOBA_1] zawsze odnosi się do tej samej osoby, [FIRMA_1] do tej samej firmy, a [ADRES_1] do tego samego adresu. Nie zastępuj ich określeniami „powódka”, „klient” ani „strona”.

Krok 4: prześlij do modelu i odbierz odpowiedź z zachowanymi tokenami

Do modelu wchodzi wyłącznie wersja z tokenami. Po wygenerowaniu odpowiedzi wklejasz ją z powrotem do narzędzia, które podmienia tokeny na oryginały. To jest moment, w którym warto zweryfikować wynik: przejrzyj tekst pod kątem miejsc, w których model mimo wszystko upraszczał opis, bo tam wróci zaokrąglona lub zniekształcona informacja.

Jeśli pracujesz na powtarzalnych przepływach, a nie na pojedynczych dokumentach, ten sam schemat wchodzi w n8n jako węzeł w przepływie. O tym, jak utrzymać kontrolę człowieka w pętli i nie wpaść w koszty przy błędach, pisałem osobno przy agentach AI w n8n z pamięcią narzędzi i human-in-the-loop.

Krok 5: udokumentuj i zapisz raport

Anonimizacja bez śladu to anonimizacja, którą nie da się wykazać. Narzędzia tego typu generują raport w PDF pokazujący, który oryginał został zamieniony na który token, ile razy wystąpił i w jakiej kategorii - gotową dokumentację do akt RODO. Jeśli robisz to ręcznie, zrób to samo w arkuszu: jedna tabela z oryginałem, tokenem i powodem zamiany.

Przy okazji warto przyjąć, że odwracalność to nie to samo co anonimizacja. Jeśli trzymasz klucz mapowania i możesz wrócić do pełnych danych, to z punktu widienia RODO nadal operujesz danymi pseudonimizowanymi, które podlegają przepisom. To nie jest wada procedury, ale fakt, który trzeba uczciwie nazwać w polityce wewnętrznej.

Ile danych zostaje u dostawcy po wklejeniu

Dobra wiadomość: w przypadku API OpenAI od 1 marca 2023 roku dane nie są używane do trenowania ani ulepszania modeli, chyba że wyraźnie się na to zgodzisz. Zła wiadomość: treści nadal trafiają do logów monitorujących nadużycia, gdzie domyślnie są przechowywane do 30 dni, chyba że dłuższy okres jest wymagany prawem lub potrzebny do ochrony usług i osób trzecich.

Wyłączenie tego mechanizmu istnieje. Klienci zakwalifikowani do programu mogą uzyskać zatwierdzenie dla Zero Data Retention albo zmodyfikowanego monitorowania, co wyłącza zawartość z logów. Nie jest to jednak opcja, którą włączasz sam: wymaga wcześniejszej zgody OpenAI i przyjęcia dodatkowych wymogów. Po zatwierdzeniu ustawienia pojawiają się w panelu organizacji, na poziomie całej organizacji albo osobno dla każdego projektu. Zero Data Retention dodatkowo wymusza, żeby parametr zapisu rozmów był zawsze traktowany jako wyłączony, nawet jeśli żądanie API prosi o odwrotne.

Warto wiedzieć o jednym wyjątku: pliki i obrazy przechodzą skanowanie treści zabronionych. Jeśli klasyfikator wykryje potencjalnie nielegalną zawartość, materiał jest zatrzymywany do ręcznej weryfikacji nawet przy włączonym Zero Data Retention.

Kontrast jest pouczający, bo pokazuje, że deklaracja „nie trenujemy” i deklaracja „nie przechowujemy” to dwie różne rzeczy. Polityka prywatności DeepL mówi wprost o wykorzystywaniu tekstów do trenowania i ulepszania sieci neuronowych w wariancie darmowym, a jednocześnie zakazuje używania usługi do tłumaczenia i parafrazowania tekstów zawierających jakiekolwiek dane osobowe. Dwa zdania obok siebie, dwa zupełnie różne zobowiązania. Przy wyborze narzędzia do pracy z treściami firmowymi warto sprawdzać nie tylko pytanie o trening, ale też o retencję logów i podstawy przetwarzania. Ten sam problem wraca przy pytaniu o modele z otwartymi wagami - opisałem go szerzej przy DeepSeek po polsku i zaufaniu do danych firmowych.

Kto odpowiada, gdy dane wyciekną

Rozkład odpowiedzialności jest prosty i bywa zaskakujący dla administratora. Administratorem danych pozostaje Twoja firma - to tam zapada decyzja, że do obsługi klienta albo rekrutacji używasz modelu językowego. Dostawca narzędzia jest podmiotem przetwarzającym, jeśli są zawarte odpowiednie umowy i narzędzie jest formalnie włączone w proces przetwarzania. Pracownik, który „na własną rękę” wkleja dane, których nie powinien przenosić poza organizację, łamie politykę wewnętrzną.

Umowa powierzenia, czyli DPA, jest wymagana tylko wtedy, gdy dostawca przetwarza dane na Twoje polecenie. Firma, która sama decyduje, dlaczego wykorzystuje dane, jest odrębnym administratorem i umowa powierzenia z nią nie ma sensu, bo dokumentuje związek, który nie istnieje. Dlatego przed podpisywaniem czegokolwiek uporządkuj listę dostawców według ról, a dopiero potem ścigaj podpisy.

Przy naruszeniu liczy się też czas reakcji, nie tylko sama wola naprawienia. Administrator, który dowiaduje się o incydencie z tygodniowego newsa, zawsze jest w gorszej sytuacji niż ten, który ma procedurę i zgłasza od razu. O tym, jak zorganizować reakcję na incydent po stronie AI, napisałem przy cyberbezpieczeństwie napędzanym przez AI.

Kiedy anonimizacja nie wystarczy i potrzebujesz innego podejścia

Są sytuacje, w których maskowanie jest dokładnie tym, czego nie chcesz robić. Dane, które mają pozostać powiązane z konkretną osobą - choćby po to, żeby robot przypisał fakturę do właściwego klienta. Wtedy problemem nie jest widoczność danych, tylko to, kto i na jakich warunkach ma do nich dostęp, oraz jak długo są przechowywane.

W takich wypadkach część firm w ogóle rezygnuje z zewnętrznego API i stawia model na własnym serwerze. To zupełnie inna klasa kosztów i inny model odpowiedzialności, ale przy danych regulowanych często się opłaca. Zestawienie kosztów i realnych konsekwencji opisałem przy self-hosted AI i prywatności w erze chmury. Tam, gdzie regulacja wymaga określonego rytmu i terminów, dochodzi do tego kalendarz obowiązków - rozpisałem go przy AI Act po polsku wraz z kalendarzem obowiązków.

Druga sytuacja to tzw. dane wewnętrznie wrażliwe. Szczegółowe informacje o konfliktach w zespole, dane o efektywności pracowników, fragmenty rozmów z HR nie są klasycznie danymi wrażliwymi w rozumieniu RODO, bo nie dotyczą zdrowia ani poglądów. W połączeniu z modelem językowym robi się to jednak kłopotliwe, bo przy małych zespołach identyfikacja pozostaje możliwa. Warto traktować te treści ostrożniej, niż wynikałoby z samego RODO - i pisać prompty o sytuacjach zamiast o ludziach.

Co można wklejać bez ryzka

Zielona strefa to nie „wszystko wolno”, tylko obszar, w którym przy kilku prostych regułach nie wchodzisz w poważny konflikt z przepisami. Do bezpiecznych należą:

• teksty marketingowe, opisy produktów, specyfikacje techniczne,
• procedury i regulaminy wewnętrzne po usunięciu nazwisk i danych kontaktowych,
• fragmenty dokumentów, w których dane osobowe zastąpiono neutralnymi placeholderami typu [IMIĘ] albo [NAZWA FIRMY],
• fikcyjne scenariusze złożone z kilku prawdziwych sytuacji, po zmianie branży, skali i lokalizacji,
• treści już publiczne: opisy usług z oficjalnych stron firm, artykuły, raporty.

Ostatnia pozycja ma jeden haczyk: publiczny profil na LinkedIn konkretnej osoby to nie jest wolna ameryka. To, że ktoś sam coś opublikował, nie oznacza, że możesz swobodnie łączyć te treści z innymi informacjami o tej osobie i masowo przetwarzać je w narzędziach AI, szczególnie w ramach działalności zawodowej.

Dane testowe też wymagają ostrożności. Jeśli tabela testowa jest lekko przemalowanym zbiorem produkcyjnym, to nie jest anonimizacja, tylko jej pozorna forma. Naprawdę bezpieczna tabela jest wygenerowana losowo, bez mapowania jeden do jednego na prawdziwe rekordy, z adresami i identyfikatorami, którym nie odpowiadają realne osoby, i bez odtwarzania rozkładu klientów w poszczególnych miastach.

Polityka, która działa lepiej niż zakaz

Standardowa rada compliance brzmi: zablokować pracownikom dostęp do ChatGPT. W podmiotach przetwarzających dane wrażliwe na dużą skalę, czyli w klinikach i kancelariach, to często ma sens. W wielu innych miejscach kończy się masowym obchodzeniem blokad na prywatnych telefonach.

Zamiast ślepego zakazu skuteczniejsze jest połączenie ograniczeń technicznych z jasnymi zasadami: co wolno, czego nie i dlaczego. Minimalna polityka to lista czerwonych linii z tego artykułu, wskazane narzędzia, których możesz używać, oraz instrukcja anonimizacji, którą dostajesz w pierwszym dniu pracy. Reszta to kwestia konkretnego procesu, a nie ogólnej deklaracji.

Jeśli chcesz to przejrzeć na konkretnych przykładach, a nie tylko teoretycznie, mogę zrobić audyt Twoich obecnych przepływów w n8n i pokazać, które w miejscach wklejania promptów wymagają maski, a które da się przestawić na dane testowe albo na model postawiony u Ciebie. Zakres i wycenę ustalamy na piśmie, po jednej rozmowie.