ChatGPT w firmie a RODO: co się dzieje z danymi, które wpisują pracownicy

Jest takie zdanie, które łączy większość polskich biur: „wrzucę to jeszcze w czat, niech poprawi". Problem w tym, że jeśli pracownik robi to na prywatnym, darmowym koncie - w ChatGPT, Copilocie czy Gemini - dane z tego „wrzucę" mogą domyślnie zasilić trening modeli dostawcy. Nie jest to teoria spiskowa, tylko treść dokumentów, które te firmy same publikują. W płatnych planach biznesowych zasady są inne, ale granica między jednym a drugim światem przebiega w miejscu, którego mało kto szuka. Sprawdziliśmy dokumenty źródłowe, stanowiska UODO i europejskich organów - i układamy to w całość.

Najpierw skala, potem paragrafy

Zanim padnie pierwsze słowo o przepisach, jedna rzecz musi wybrzmieć: pracownicy naprawdę wklejają firmowe dane do chatbotów. Nie pojedynczy nieostrożni - zjawisko ma charakter masowy.

Cyberhaven, firma monitorująca przepływ danych u swoich klientów, przeanalizowała zachowania 1,6 miliona pracowników biurowych. Do ChatGPT coś wkleiło 8,6% z nich, a 4,7% wkleiło dane poufne. Jeszcze ciekawsza jest struktura tego strumienia: 11% wszystkiego, co ląduje w ChatGPT, to dane wrażliwe lub poufne - dane klientów, kod źródłowy, dokumenty strategiczne. W badaniu trafił się lekarz, który wpisał dane pacjenta, bo AI miało mu pomóc napisać pismo do ubezpieczyciela.

Raport Netskope, oparty na telemetrii z ponad 3,5 tysiąca firm (luty 2024 - luty 2025), dokłada drugi wymiar: 72% osób używających generatywnej AI w pracy robi to przez konta prywatne. Zjawisko doczekało się już nazwy - shadow AI. Strumień danych płynących z firm do aplikacji AI spuchł w rok trzydziestokrotnie, z ćwierci gigabajta do 7,7 GB miesięcznie na organizację. Niemal połowa wykrytych naruszeń polityk dotyczyła kodu źródłowego.

A incydent założycielski całej tej debaty zdarzył się już w kwietniu 2023 roku: inżynier Samsunga wkleił do ChatGPT fragmenty wewnętrznego kodu. Koncern zakazał pracownikom chmurowych chatbotów, a śladem poszły Amazon, JPMorgan i kilka największych banków Ameryki.

Pytanie nie brzmi więc: „czy nasi ludzie używają AI". Brzmi: „na jakich kontach i co tam wpisują". Statystyka odpowiada bezlitośnie - używają, na prywatnych, i wpisują więcej, niż się wydaje.

Dokąd trafiają dane? To zależy od typu konta

Tu docieramy do rozróżnienia, które umyka w większości dyskusji o „ChatGPT i RODO". OpenAI prowadzi w istocie dwa osobne światy przetwarzania danych, a granica między nimi biegnie nie przez technologię, lecz przez cennik.

Świat pierwszy: konta konsumenckie (Free i Plus). Polityka prywatności OpenAI mówi jasno: treści wpisywane przez użytkowników indywidualnych - prompty, wgrywane pliki - mogą być wykorzystywane do trenowania modeli. Domyślnie. Da się to wyłączyć przełącznikiem „Ulepszaj model dla wszystkich", tyle że wyłączenie działa wyłącznie w przód; tego, co już przetworzono, nikt nie cofnie. Dla firmy najistotniejsze jest jednak co innego: do konta Free/Plus nie podpiszesz umowy powierzenia przetwarzania danych. Formalnie to prywatna relacja pracownika z OpenAI. Firmy w niej nie ma - choć płyną w niej jej dane.

Świat drugi: plany biznesowe (Business, Enterprise, Edu, Healthcare) i API. Tu deklaracja brzmi wprost: „By default, we do not use your business data for training our models" - dane biznesowe domyślnie nie służą do treningu (w API: dane od 1 marca 2023). Trening wymagałby jawnej zgody klienta. Dla tych planów OpenAI oferuje DPA - umowę powierzenia w rozumieniu art. 28 RODO, w której zobowiązuje się przetwarzać dane wyłącznie według udokumentowanych instrukcji klienta. Dla klientów z EOG stroną umowy jest OpenAI Ireland Ltd. W API dane mogą poleżeć do 30 dni na potrzeby wykrywania nadużyć, po czym znikają; kwalifikujący się klienci mogą wnioskować o zerową retencję.

I teraz zestawmy to ze statystyką shadow AI. Skoro niemal trzy czwarte firmowego użycia AI idzie przez konta prywatne, to większość danych, które firmy nieświadomie oddają, płynie przez ten pierwszy, gorszy świat - tam, gdzie trening jest domyślny, a umowy nie ma żadnej.

A Copilot i Gemini? Ten sam podział, inne nazwy

Granica konsumenckie-biznesowe nie jest osobliwością OpenAI - to standard branży. Microsoft przyznaje, że rozmowy z konsumenckim Copilotem mogą służyć do treningu modeli (ze sprzeciwem do dyspozycji użytkownika), wyłącza z niego jednak konta organizacji (Entra ID); w Microsoft 365 Copilot prompty, odpowiedzi i dane z Microsoft Graph do treningu modeli bazowych nie trafiają. Google z kolei zastrzega, że aktywność w konsumenckich aplikacjach Gemini mogą przeglądać ludzie i że służy ona ulepszaniu usług, dopóki użytkownik tego nie wyłączy - podczas gdy w Google Workspace dane klienta nie są używane do treningu poza domeną organizacji bez jej zgody.

Morał jest jeden, wspólny dla wszystkich trzech ekosystemów: o ryzyku nie decyduje logo na chatbocie, tylko typ konta. Pracownik na prywatnym koncie - obojętnie czyim - wyprowadza dane firmowe poza jakąkolwiek umowę i jakąkolwiek kontrolę.

Enterprise nie znaczy szczelnie

Jest wreszcie pułapka trzecia, najbardziej podstępna, bo zastawiona na firmy, które zrobiły wszystko „jak trzeba" i zapłaciły za plan enterprise. Kontraktowa ochrona - DPA, zakaz treningu - obejmuje prompty i odpowiedzi wewnątrz usługi. Sęk w tym, że współczesne asystenty mają funkcje dodatkowe, które poza tę granicę sięgają. I robią to bez fanfar.

Najlepiej udokumentowany przypadek to wyszukiwanie webowe w Microsoft 365 Copilot. Microsoft pisze w dokumentacji czarno na białym: zapytania webowe budowane z promptu użytkownika opuszczają granicę usługi Microsoft 365, trafiają do Binga i nie obejmuje ich ani DPA, ani EU Data Boundary - rządzi nimi konsumencka umowa Microsoft Services Agreement. W praktyce wygląda to tak: pracownik wkleja fragment raportu i prosi o analizę, Copilot uznaje, że przyda się kontekst z sieci, skleja z treści dokumentu zapytanie - i część informacji wyjeżdża poza tenant, na warunkach, których firmowy prawnik nigdy nie miał w rękach. Analogiczne „ugruntowanie" odpowiedzi wyszukiwarką i rozszerzeniami oferuje Gemini.

Widzieliśmy ten scenariusz z bliska: firmowy raport wklejony do enterprise'owego asystenta z prośbą o wykresy i opracowanie graficzne - i dane, które w intencji użytkownika miały zostać w organizacji, wysłane do zewnętrznej usługi przez „pomocną" funkcję. Bez złej woli. Bez ostrzeżenia. Bez śladu w świadomości kogokolwiek.

Wniosek praktyczny: w planach enterprise granica ochrony jest konfiguracją, a nie gwarancją. Administrator może wyłączyć wyszukiwanie webowe i przyciąć wtyczki - ale ktoś najpierw musi wiedzieć, że trzeba, a potem sprawdzić, co jeszcze „dzwoni do domu". Inwentaryzację narzędzi AI robi się więc na poziomie funkcji, nie produktów. Albo - i to też jest uczciwa opcja - wybiera się architekturę, w której nie ma czego wyłączać, bo nic nigdzie nie dzwoni.

A co z transferem danych do USA?

Dane z ChatGPT przetwarzane są między innymi na serwerach w Stanach Zjednoczonych, a RODO wymaga dla takiego transferu podstawy prawnej. Stan na lipiec 2026: OpenAI ma aktywną certyfikację w EU-US Data Privacy Framework (łatwo to sprawdzić w oficjalnej wyszukiwarce uczestników), a w umowie powierzenia opiera transfery na standardowych klauzulach umownych z 2021 roku. Sam DPF obronił się we wrześniu 2025 przed Sądem UE, choć odwołanie wciąż czeka na rozstrzygnięcie.

Co to znaczy? Podstawa transferu istnieje. Ale historia uczy pokory: Privacy Shield, poprzednik DPF, runął pod wyrokiem Schrems II, a jeszcze wcześniej ten sam los spotkał Safe Harbor. Fundament, który zawalił się już dwa razy, wolno traktować jako fundament - nie wolno jako pewnik. Firmy pracujące na danych szczególnie wrażliwych, medycznych czy finansowych, muszą mieć w analizie ryzyka scenariusz, w którym ta podstawa znika z dnia na dzień.

Co na to organy? UODO, EDPB i pouczająca historia włoskiej kary

W Polsce UODO od września 2023 roku prowadzi postępowanie w sprawie OpenAI - po skardze zarzucającej między innymi naruszenie zasad zgodności z prawem i przejrzystości (art. 5 ust. 1 lit. a i art. 12 RODO) oraz brak sprostowania nieprawdziwych informacji, które ChatGPT wygenerował o skarżącym (art. 16). Finalnej decyzji nie ma do dziś, ale stanowisko urzędu jest czytelne: systemy AI przetwarzają dane osobowe, podlegają więc RODO w całości. Urząd ostrzegał też publicznie przed innymi chmurowymi asystentami, choćby przed DeepSeek.

W Europie grupa robocza EDPB do spraw ChatGPT zostawiła w raporcie z maja 2024 roku dwa ustalenia, które firmy powinny znać. Pierwsze: OpenAI wskazuje jako podstawę treningu uzasadniony interes z art. 6 ust. 1 lit. f - i ta podstawa jest przedmiotem oceny organów. Drugie zasługuje na dosłowność:

OpenAI nie może przerzucić odpowiedzialności za zgodność z RODO na użytkowników zapisem w regulaminie w stylu „nie wpisuj danych osobowych". Jeśli dane osobowe trafiają do systemu, obowiązki z RODO istnieją niezależnie od tego, co podpisał użytkownik.

I sprawa włoska - o której niemal wszyscy piszą źle. W grudniu 2024 roku tamtejszy organ ochrony danych, Garante, nałożył na OpenAI głośną karę 15 milionów euro, między innymi za trening na danych bez uprzednio ustalonej podstawy prawnej, i dorzucił obowiązek półrocznej kampanii informacyjnej w mediach. Ta kara do dziś krąży po polskich blogach jako koronny „dowód", że ChatGPT łamie RODO. Tymczasem 18 marca 2026 roku Sąd w Rzymie decyzję Garante uchylił (wykonanie kary zawieszono zresztą już rok wcześniej). I szczegół, który zmienia wymowę całej sprawy: sąd uchylił karę z powodów czysto jurysdykcyjnych - od lutego 2024 organem wiodącym dla OpenAI jest irlandzki DPC, więc włoski urząd stracił kompetencję - a meritum zarzutów w ogóle nie badał. Piszemy o tym nie po to, żeby bronić OpenAI. Piszemy, bo rzetelność obowiązuje w obie strony: na dziś żaden europejski organ nie dysponuje prawomocną decyzją stwierdzającą naruszenie RODO przez ChatGPT, postępowania trwają, a pewności nie ma nikt.

Obowiązki polskiej firmy

Niezależnie od tego, jak skończą się postępowania przeciwko OpenAI, polska firma ma własne obowiązki - i własną odpowiedzialność. Gdy pracownik wpisuje dane klienta do chatbota, za tę operację odpowiada firma jako administrator danych, nie pracownik i nie OpenAI.

Porządki zaczynają się od inwentaryzacji rzeczywistego użycia - statystyki shadow AI podpowiadają, że wynik zaskoczy - a zaraz po niej od krótkiej, jasnej polityki: jakie narzędzia są dozwolone, na jakich kontach, jakich danych nie wpisuje się nigdy. Jeśli firma zostaje przy chmurze, jedyną konfiguracją do obronienia jest plan biznesowy z umową powierzenia; konto Free/Plus w zastosowaniach służbowych to przetwarzanie danych bez DPA, którego przy kontroli nie obroni nikt.

Do tego dochodzi DPIA. Prezes UODO przypomniał w komunikacie z 31 marca 2025 roku, kiedy ocena skutków dla ochrony danych jest wymagana, a „innowacyjne wykorzystanie rozwiązań technologicznych" figuruje wprost w wykazie operacji wymagających DPIA (M.P. 2019 poz. 666) - generatywna AI na danych klientów spełnia zwykle kilka kryteriów wysokiego ryzyka naraz. Resztę załatwia szkolenie zespołu - bo większość incydentów to nie złośliwość, tylko wygoda - oraz lektura DPA dostawcy: gdzie dane są przetwarzane, jak długo leżą i na jakiej podstawie wyjeżdżają poza EOG.

Kiedy chmura - nawet biznesowa - to za mało

Plan biznesowy z DPA rozwiązuje sporo problemów. Nie rozwiązuje wszystkich. Dane wciąż opuszczają firmową infrastrukturę, transfery wciąż wiszą na trwałości DPF i klauzul, funkcje dodatkowe wciąż potrafią wymknąć się poza granicę usługi, a analiza ryzyka dla danych szczególnych kategorii wciąż musi obejmować dostawcę zza oceanu i jego podprocesorów.

Dlatego coraz więcej firm wybiera trzecią drogę: modele językowe na własnych serwerach. W danych Netskope odsetek organizacji uruchamiających generatywną AI lokalnie skoczył w rok z niespełna 1% do 54%. Trudno się dziwić - przy AI on-premise większość tej analizy po prostu znika. Nie ma transferu poza EOG. Nie ma podmiotu przetwarzającego po stronie modelu. Dane nie opuszczają organizacji.