Czy można wklejać dane klientów do ChatGPT? Zasady dla firm

To jedno z pytań, które słyszę na każdym szkoleniu. Ktoś w zespole wkleił do czatu maila od klienta, żeby szybciej odpisać, i nagle pojawia się wątpliwość: czy to było w porządku? Krótka odpowiedź: dane klientów w ChatGPT i innych narzędziach AI mogą się znaleźć, ale tylko na określonych warunkach. W większości firm te warunki dziś nie są spełnione, bo ludzie korzystają z prywatnych kont.

Artykuł porządkuje zasady na potrzeby praktyki i nie zastępuje porady prawnej ani opinii inspektora ochrony danych.

Kiedy wolno przekazać dane klientów do narzędzia AI?

Gdy dane osobowe trafiają do zewnętrznego narzędzia AI, dostawca tego narzędzia przetwarza je w imieniu Twojej firmy. RODO stosuje się tak samo jak przy systemie CRM czy poczcie w chmurze. Żeby było to zgodne z prawem, potrzebujesz trzech rzeczy:

Firmowej wersji usługi z warunkami dla biznesu, w której dostawca deklaruje, że nie trenuje modeli na Twoich danych.
Umowy powierzenia przetwarzania danych (DPA) z dostawcą. W wersjach firmowych zwykle jest częścią warunków, ale trzeba ją zaakceptować i sprawdzić, gdzie przetwarzane są dane.
Podstawy prawnej i celu, z którymi klient się zgodził lub których może się spodziewać, np. obsługa jego zapytania. Wklejenie danych „żeby zobaczyć, co AI wymyśli” takiej podstawy nie ma.

Do tego dochodzi zasada minimalizacji: przekazujesz tylko te dane, które są naprawdę potrzebne do zadania.

Dlaczego prywatne konta to największe ryzyko?

W wielu wersjach indywidualnych i bezpłatnych narzędzi AI rozmowy mogą być wykorzystywane do ulepszania modeli, chyba że użytkownik to wyłączy. Firma nie ma umowy z dostawcą, nie wie, co pracownik wkleił, i nie może tych danych usunąć. Z perspektywy RODO to przekazanie danych podmiotowi, z którym firma nie ma żadnej umowy.

Zakaz korzystania z AI rzadko działa, bo ludzie i tak sięgają po nią z telefonu. Skuteczniej jest dać zespołowi firmowe narzędzie i jasne zasady.

Co wolno wpisać do AI, a czego nie?

Prosta tabela, którą można powiesić w biurze albo wkleić do regulaminu:

Rodzaj informacji	Prywatne lub bezpłatne konto	Firmowa wersja z umową powierzenia
Treści publiczne, np. opis oferty ze strony	tak	tak
Szkic maila bez danych klienta	tak	tak
Dane kontaktowe klienta (imię, e-mail, telefon)	nie	tak, jeśli jest cel i podstawa
Treść umowy z klientem	nie	z ostrożnością, po usunięciu zbędnych danych
Dane wrażliwe, np. zdrowie, dane dzieci	nie	tylko po ocenie prawnej
Tajemnica przedsiębiorstwa: ceny zakupu, marże, strategia	nie	zgodnie z wewnętrzną polityką firmy
Hasła, numery kont, dane dostępowe	nie	nie

Na naszej stronie jest krótki sprawdzian „Co można wpisać do AI?”, który dobrze nadaje się na rozgrzewkę przed rozmową z zespołem.

Jak bezpiecznie pracować na danych klientów z AI?

Najprostszy nawyk, który rozwiązuje większość problemów: zanim wkleisz tekst, usuń lub zastąp dane identyfikujące. Zamiast „Jan Kowalski z firmy Kowalski Transport, tel. …” piszesz „klient z branży transportowej”. AI zrobi dokładnie to samo zadanie, a dane nie opuszczą firmy.

Kilka innych praktyk:

Pseudonimizacja przy większych plikach. Zamieniasz nazwiska i firmy na kody (Klient A, Klient B), a klucz zostaje u Ciebie. Pamiętaj, że dane spseudonimizowane nadal są danymi osobowymi, ale ryzyko jest dużo mniejsze.
Asystenci na firmowych dokumentach. Zamiast wklejać dokumenty do czatu za każdym razem, lepiej zbudować asystenta w firmowym narzędziu, który ma dostęp do zatwierdzonych plików, np. procedur czy cennika.
Człowiek sprawdza wynik. Odpowiedź AI do klienta zawsze przechodzi przez pracownika, który za nią odpowiada.

Urząd Ochrony Danych Osobowych udostępnia też checklistę RODO dla wdrażania AI w wersji dla MŚP, którą warto przejść przed wdrożeniem nowego narzędzia.

Jak wprowadzić zasady w zespole?

Wystarczą trzy kroki:

Wybierz jedno firmowe narzędzie AI i daj do niego dostęp osobom, które z AI korzystają.
Spisz zasady na jednej stronie: z czego korzystamy, czego nie wpisujemy, kto sprawdza wynik. Tabela z tego artykułu to dobry punkt startu.
Przeszkol zespół na przykładach z jego pracy. Zasady zostają w głowie, gdy ludzie sami przećwiczą, jak zanonimizować prawdziwy mail czy umowę.

Takie działania pomagają też spełnić obowiązek z art. 4 AI Act, o którym piszę w artykule AI Act a szkolenie pracowników.

Najczęstsze pytania

Czy ChatGPT jest zgodny z RODO?

Samo narzędzie nie jest „zgodne” albo „niezgodne”. Zgodny z RODO może być sposób, w jaki Twoja firma z niego korzysta: wersja firmowa, umowa powierzenia, cel i podstawa prawna, minimalizacja danych.

Czy mogę wkleić do AI maila od klienta, żeby przygotować odpowiedź?

Na prywatnym koncie usuń najpierw imię, nazwisko, firmę i dane kontaktowe. W firmowej wersji z umową powierzenia możesz pracować na pełnej treści, jeśli jest to potrzebne do obsługi zapytania.

Co zrobić, jeśli pracownik już wkleił dane klienta do prywatnego czatu?

Usuń rozmowę, sprawdź ustawienia konta dotyczące wykorzystania danych i oceń z osobą odpowiedzialną za ochronę danych, czy doszło do naruszenia, które trzeba zgłosić. Potem wprowadź zasady, żeby sytuacja się nie powtórzyła.

Czy dane spseudonimizowane można wpisywać bez ograniczeń?

Nie. Dane spseudonimizowane nadal są danymi osobowymi w rozumieniu RODO. Ryzyko jest mniejsze, ale zasady dotyczące narzędzia i umowy powierzenia nadal obowiązują.