RODO a ChatGPT: jak legalnie używać AI z danymi klientów 

ChatGPT nie jest z definicji niezgodny z RODO - to, czy jego użycie narusza przepisy, zależy niemal wyłącznie od tego, jakie dane trafiają do rozmowy i jaki plan subskrypcji z niego korzysta. Wklejenie nazwiska, adresu czy numeru zamówienia klienta do darmowej wersji ChatGPT to zupełnie inna sytuacja prawna niż korzystanie z planu biznesowego z podpisaną umową powierzenia danych - a większość firm nie zna tej różnicy, dopóki nie zapyta o nią prawnika albo nie przeczyta o kontroli UODO.

Czy ChatGPT jest zgodny z RODO?

Samo narzędzie nie jest ani zgodne, ani niezgodne z RODO - zgodność zależy od sposobu jego wykorzystania, tak samo jak w przypadku poczty elektronicznej czy arkusza kalkulacyjnego. Najważniejsze pytanie brzmi nie "czy ChatGPT jest legalny", tylko "czy to konkretne użycie ChatGPT w mojej firmie spełnia wymogi RODO". OpenAI, jako dostawca, deklaruje zgodność swoich planów biznesowych z RODO, CCPA i normami takimi jak SOC 2 Type 2 oraz ISO/IEC 27001, ale to nie zwalnia firmy korzystającej z narzędzia z własnej odpowiedzialności za to, jakie dane do niego trafiają.

Warto od razu odróżnić dwa poziomy ryzyka: samo korzystanie z ChatGPT do zadań niezawierających danych osobowych (streszczenia, tłumaczenia, generowanie tekstów marketingowych bez konkretnych osób) jest praktycznie bezproblemowe. Ryzyko pojawia się dopiero, gdy do rozmowy trafiają dane identyfikujące konkretną osobę - klienta, pracownika czy kontrahenta.

Czym różni się plan indywidualny od biznesowego w kontekście RODO?

To rozróżnienie ma fundamentalne znaczenie prawne. Przy planie indywidualnym (darmowy ChatGPT lub Plus opłacany prywatną kartą) to OpenAI pełni rolę administratora danych i samodzielnie decyduje o celach ich przetwarzania - firma nie ma realnej kontroli nad tym, co dzieje się z wklejonymi informacjami. Przy planach biznesowych (ChatGPT Team, Enterprise, Edu) firma pozostaje administratorem, a OpenAI działa jako procesor na podstawie umowy powierzenia przetwarzania danych - to zasadnicza różnica decydująca o tym, kto ponosi odpowiedzialność.

OpenAI deklaruje, że domyślnie nie wykorzystuje danych z planów ChatGPT Enterprise, ChatGPT Business, ChatGPT Edu ani platformy API do trenowania swoich modeli, a organizacje mogą same zdecydować, jak długo dane biznesowe są przechowywane. Interfejs API oferuje też opcję zerowego przechowywania danych. Nic z tego nie dotyczy jednak zwykłego konta indywidualnego, gdzie ustawienia prywatności trzeba świadomie wyłączyć samodzielnie w każdej sesji.

Jakich danych nie wolno wklejać do publicznego ChatGPT?

Do darmowej, publicznej wersji ChatGPT nie powinny trafiać: imiona i nazwiska konkretnych klientów razem z innymi danymi pozwalającymi ich zidentyfikować, adresy, numery PESEL i inne identyfikatory, treści umów i korespondencji zawierające dane stron, dane objęte tajemnicą zawodową (medyczną, bankową, adwokacką), a także dokumentacja medyczna czy socjalna. Praktyczna zasada: jeśli dany fragment tekstu pozwoliłby zidentyfikować konkretną, żyjącą osobę, powinien zostać zanonimizowany przed wklejeniem - zastąpienie imienia inicjałem, usunięcie numeru PESEL, zamazanie adresu.

Ten sam problem dotyczy dokumentów, które trafiają do automatycznego przetwarzania faktur - jeśli w procesie uczestniczy publiczne narzędzie AI bez umowy powierzenia, dane kontrahentów widoczne na fakturze (NIP, adres, czasem dane osoby kontaktowej) powinny przechodzić przez rozwiązanie objęte odpowiednią umową, a nie przez przypadkowo wklejony obraz faktury do darmowego czatu.

Czym jest umowa powierzenia danych i kiedy jest wymagana?

Umowa powierzenia przetwarzania danych osobowych (na podstawie artykułu 28 RODO) jest wymagana zawsze, gdy firma przekazuje dane osobowe klientów zewnętrznemu podmiotowi przetwarzającemu je w jej imieniu - a dokładnie to dzieje się, gdy pracownik wkleja dane klienta do narzędzia AI. Bez takiej umowy firma nie ma podstawy prawnej do przekazania danych OpenAI ani gwarancji co do tego, jak te dane będą zabezpieczone i jak długo przechowywane.

Plany biznesowe OpenAI (Enterprise, Business, Edu) obejmują standardowo taką umowę. Dodatkowym wyzwaniem jest to, że dane w ramach większości planów trafiają na serwery poza Europejskim Obszarem Gospodarczym, głównie do Stanów Zjednoczonych - to wymaga zastosowania dodatkowych mechanizmów prawnych transferu danych (standardowe klauzule umowne) i, w praktyce, oceny skutków takiego transferu, zanim dane klientów zaczną tam trafiać regularnie.

Jaka jest podstawa prawna przetwarzania danych klientów przez AI?

Zanim dane klienta w ogóle trafią do jakiegokolwiek narzędzia AI, firma musi mieć jasność co do podstawy prawnej takiego przetwarzania z artykułu 6 RODO - najczęściej będzie to uzasadniony interes administratora (np. usprawnienie obsługi klienta) albo wykonanie umowy z klientem. Nie wystarczy założyć, że skoro dane już są w firmowym systemie, można je swobodnie przekazywać dalej do zewnętrznego narzędzia - to osobna czynność przetwarzania, wymagająca własnej podstawy prawnej i, często, aktualizacji klauzuli informacyjnej wobec klientów.

Jeśli AI ma podejmować decyzje wywołujące skutki prawne wobec klienta bez udziału człowieka (na przykład automatyczna ocena wiarygodności czy automatyczne odrzucenie reklamacji), zastosowanie mają dodatkowe zabezpieczenia z artykułu 22 RODO dotyczącego zautomatyzowanego podejmowania decyzji - to jeden z obszarów, w których nakładają się na siebie wymogi RODO i przepisy AI Act dotyczące systemów wysokiego ryzyka.

Co bada UODO w sprawie ChatGPT i OpenAI?

Polski Urząd Ochrony Danych Osobowych prowadzi postępowanie administracyjne wobec OpenAI, zainicjowane skargą osoby, wobec której ChatGPT wygenerował nieprawdziwe informacje, a firma miała nie skorygować ich mimo takiego obowiązku. Skarga dotyczy naruszenia artykułu 12 RODO (obowiązki informacyjne) oraz artykułu 5 ustęp 1 litera a (zasada rzetelności i przejrzystości przetwarzania) - zarzuty obejmują też brak informacji o źródle danych i ich odbiorcach.

Prezes UODO określił sprawę jako trudną ze względu na siedzibę OpenAI poza Unią Europejską oraz nowatorski charakter samej technologii, a Europejska Rada Ochrony Danych powołała już dedykowaną grupę roboczą zajmującą się zgodnością OpenAI z unijnymi przepisami. Na razie nie zapadła żadna decyzja ani nie wyznaczono terminu jej ogłoszenia, ale samo istnienie postępowania pokazuje, że temat traktowany jest przez regulatorów poważnie, a nie jako teoretyczne ryzyko.

Jakie ryzyka prawne wiążą się z korzystaniem z ChatGPT w firmie?

Poza ryzykiem związanym z samym RODO dochodzi ryzyko wycieku tajemnicy przedsiębiorstwa - pracownicy nierzadko wklejają do ChatGPT nie tylko dane osobowe, ale też strategie cenowe, dane finansowe czy fragmenty kodu, traktując narzędzie jak prywatny notatnik, a nie jak zewnętrzny serwis przechowujący te informacje na własnych serwerach. Ten sam problem, opisywany szerzej przy okazji najczęstszych błędów w pracy z AI, dotyczy też sytuacji, w której to nie firma świadomie decyduje o użyciu AI, tylko pracownicy robią to nieformalnie, bez wiedzy działu prawnego czy IT.

Dodatkowe ryzyko wynika z samej natury modeli językowych - ChatGPT może "halucynować", czyli generować przekonująco brzmiące, ale nieprawdziwe informacje o konkretnej osobie, co samo w sobie może naruszać zasadę rzetelności danych z RODO, niezależnie od tego, skąd te dane pierwotnie pochodziły. Firma korzystająca z takiego wyniku bez weryfikacji ponosi odpowiedzialność za jego dalsze wykorzystanie, tak samo jak za błąd popełniony przez pracownika.

Jak bezpiecznie korzystać z ChatGPT z danymi klientów krok po kroku?

Zacznij od wyboru odpowiedniego planu - jeśli w firmie regularnie pojawia się potrzeba pracy z danymi klientów, plan indywidualny opłacany prywatną kartą pracownika nie wchodzi w grę, niezależnie od tego, jak wygodny wydaje się w codziennym użyciu. Plan biznesowy z umową powierzenia danych to punkt wyjścia, a nie opcjonalne udogodnienie.

Następnie ustal jasną, spisaną listę tego, jakie dane wolno wklejać do narzędzia, a jakie wymagają wcześniejszej anonimizacji - inicjały zamiast imion i nazwisk, usunięte numery identyfikacyjne, zamazane adresy. Przeszkol zespół z tej listy konkretnie, a nie ogólnym hasłem "uważajcie na dane osobowe", bo to w praktyce nie zmienia niczyjego zachowania. Na koniec udokumentuj całą tę politykę pisemnie - w razie kontroli albo skargi klienta to właśnie brak udokumentowanej procedury, a nie samo użycie AI, bywa największym problemem prawnym.

Od czego zacząć wdrażanie zgodnego z RODO korzystania z AI w swojej firmie?

Nie zaczynaj od pełnego audytu prawnego wszystkich narzędzi AI używanych w firmie naraz. Sprawdź najpierw, z jakiego planu ChatGPT (lub innego modelu) korzysta zespół na co dzień - indywidualnego czy biznesowego - i czy ktokolwiek regularnie wkleja tam dane klientów. To jedno pytanie, zadane wprost na najbliższym spotkaniu zespołu, często ujawnia większość realnego ryzyka szybciej niż jakikolwiek formalny audyt.

Jeśli w firmie działa już chatbot obsługujący klientów na stronie albo asystent AI korzystający z własnej bazy wiedzy firmy, warto zweryfikować to samo pytanie także w tym kontekście - czy dane, na których taki system się opiera, trafiły tam zgodnie z podstawą prawną i czy dostawca tego rozwiązania zapewnia odpowiednią umowę powierzenia, zanim skala problemu urośnie wraz z rosnącą liczbą rozmów przetwarzanych automatycznie każdego dnia.