Czy mogę wklejać dane klientów do ChatGPT i co mówi o tym RODO?
Krótka odpowiedź
Tak, ale tylko do narzędzia, z którym masz umowę powierzenia (art. 28 RODO), w celu z podstawą prawną i z danymi ograniczonymi do niezbędnych (art. 5 ust. 1 lit. c). Do konta prywatnego lub darmowego z włączonym trenowaniem modelu danych klientów nie wklejasz: nie ma umowy powierzenia, a treść może trafić do treningu.
Na tej stronie (5)
Kiedy wolno, a kiedy nie
Imię, adres, e-mail, telefon, historia zamówień czy treść reklamacji to dane osobowe, a wklejenie ich do narzędzia opartego na modelu językowym to przetwarzanie i przekazanie ich dostawcy. Ty jesteś administratorem (art. 4 pkt 7 RODO), a dostawca, który przetwarza dane w Twoim imieniu, podmiotem przetwarzającym (art. 4 pkt 8). Rozporządzenie 2016/679 stawia warunki:
- Cel i podstawa. Dane przetwarzasz w celu, dla którego je zbierasz, np. obsługa zamówienia na podstawie umowy; inny cel wymaga własnej podstawy (art. 5 ust. 1 lit. b).
- Minimalizacja. Do narzędzia trafia tylko to, co niezbędne (art. 5 ust. 1 lit. c).
- Umowa powierzenia. Umowa z dostawcą dającym „wystarczające gwarancje” (art. 28 ust. 1 i 3); dalszy podmiot przetwarzający tylko za Twoją zgodą (ust. 2).
- Informacja i rejestr. Klauzula informacyjna (art. 13) i wpis w rejestrze czynności (art. 30).
- Ocena skutków. Przed przetwarzaniem „z użyciem nowych technologii”, które może powodować wysokie ryzyko, ocena skutków dla ochrony danych (art. 35 ust. 1).
Konto prywatne lub darmowe z włączonym trenowaniem modelu nie spełnia warunku 3, a treść rozmowy może trafić do treningu. To opis stanu prawnego, nie porada prawna. AI Act tego nie zmienia: art. 50 ust. 6 AI Act zastrzega, że obowiązki przejrzystości nie uchybiają innym obowiązkom z prawa UE: RODO stosujesz obok.
Co wklejać, a czego nie
| Wolno, gdy warunki są spełnione | Nie wklejaj |
|---|---|
| Treść sprawy bez danych identyfikujących: „klient pyta o zwrot butów po 20 dniach” | Imię, nazwisko, adres, e-mail i telefon klienta w promptcie |
| Numer zamówienia zamiast nazwiska, po usunięciu adresu i telefonu | Dane szczególne, np. o zdrowiu z treści reklamacji (art. 9) |
| Szablony odpowiedzi, regulamin, opisy produktów | Dane płatnicze i numery dokumentów |
| Zbiorcze dane sprzedażowe bez identyfikacji osób | Eksport bazy klientów albo cała skrzynka „do analizy” |
Chatbot z dostępem do zamówień (konstrukcja RAG) przetwarza dane stale: dostawca to podmiot przetwarzający z umową, a wdrożenie kandyduje do oceny skutków (art. 35). Termin PII z zasad platform reklamowych jest węższy niż dane osobowe; tu liczy się definicja z RODO. Informowanie, że klient rozmawia z AI: chatbot a AI Act.
Ustawienia dostawcy: co sprawdzić przed wklejeniem
Przykład dokumentacji jednego dostawcy (OpenAI, odczyt 22.09.2026); u innych sprawdź analogiczne dokumenty:
- Enterprise privacy at OpenAI (8.01.2026): dane z ChatGPT Business, Enterprise i API domyślnie nie służą do trenowania, chyba że klient sam to włączy; klientom biznesowym dostawca oferuje umowę powierzenia (DPA) i kontrolę retencji.
- How your data is used to improve model performance: usługi dla osób (ChatGPT) domyślnie uczą się na rozmowach, dopóki nie wyłączysz „Improve the model for everyone” w Settings → Data Controls; Temporary Chat nie trafia do historii ani treningu; ocena odpowiedzi (kciuk) może udostępnić całą rozmowę do treningu.
- Europe Terms of Use (16.01.2026): dotyczą usług dla osób; usługi biznesowe i API mają osobne Business Terms.
Lista kontrolna: rodzaj konta, status trenowania, umowa powierzenia i lista dalszych podmiotów przetwarzających, retencja rozmów, kto w zespole korzysta i z jakiego konta.
Co robi UODO i jakie są kary
Za naruszenie zasad z art. 5, podstaw przetwarzania, danych szczególnych (art. 9), praw osób i zasad przekazywania do państw trzecich grozi kara do 20 000 000 EUR lub 4% światowego obrotu (art. 83 ust. 5); za naruszenie art. 28 i 35 do 10 000 000 EUR lub 2% (ust. 4). UODO rozpatruje od 2023 r. skargę na OpenAI o nieprawdziwe informacje wygenerowane przez ChatGPT o skarżącym (komunikat UODO, 20.09.2023); wynik postępowania sprawdź na uodo.gov.pl. Na 30.09.2026 UODO zapowiedziało webinarium „Od AI Act do krajowych regulacji” o ocenie ryzyka według obu aktów i pytaniach przed wdrożeniem AI (zapowiedź UODO, 4.09.2026).
Na co uważać
- „Bez nazwiska to już anonimowe”. E-mail, telefon albo adres identyfikują osobę tak samo; usuń je, nie tylko nazwisko.
- „Wyłączyłem trenowanie, więc mogę wklejać”. Wyłączenie treningu nie jest umową powierzenia z art. 28.
- „AI Act załatwia RODO”. Art. 50 ust. 6 AI Act: obowiązki z RODO obowiązują obok.
- „To tylko wtyczka do panelu”. Chatbot z dostępem do zamówień to stałe powierzenie danych: umowa i ocena skutków.
Stan prawny na 22 września 2026 roku.
Podstawa prawna
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 4 pkt 7–8, art. 5 ust. 1 lit. b–c, art. 9, art. 13, art. 28 ust. 1–3, art. 30, art. 35 ust. 1, art. 83 ust. 4–5, CELEX 32016R0679, stan na
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 w sprawie sztucznej inteligencji (AI Act), art. 50 ust. 6, CELEX 32024R1689, stan na
Źródła
- Rozporządzenie (UE) 2016/679 (RODO), tekst w EUR-Lex, odczyt
- Rozporządzenie (UE) 2024/1689 (AI Act), tekst w EUR-Lex, odczyt
- Artykuł 50 AI Act: Obowiązki w zakresie przejrzystości, AI Act Service Desk Komisji Europejskiej (PL), odczyt
- Technologia musi być zgodna z RODO, komunikat UODO 20.09.2023, odczyt
- Od AI Act do krajowych regulacji. Nowe wyzwania dla ochrony danych osobowych, zapowiedź webinarium UODO 30.09.2026 (4.09.2026), odczyt
- Enterprise privacy at OpenAI (aktualizacja 8.01.2026), odczyt
- How your data is used to improve model performance, OpenAI Help Center, odczyt
- Europe Terms of Use, OpenAI (aktualizacja 16.01.2026), odczyt
Pojęcia z tej odpowiedzi
Powiązane pytania
- Czy muszę informować klienta, że rozmawia z chatbotem (AI Act)?Tak. Według art. 50 ust. 1 AI Act osoba rozmawiająca z systemem AI ma być o tym informowana, chyba że jest to oczywiste dla uważnej i ostrożnej osoby, najpóźniej przy pierwszej interakcji (ust. 5). Obowiązek stosuje się od 2 sierpnia 2026 r. i Digital Omnibus go nie przesunął.
- Chatbot podał klientowi błędną informację: kto za to odpowiada?Sklep, nie narzędzie. Publiczne zapewnienie w reklamie lub opisie wiąże sprzedawcę (art. 43b ustawy o prawach konsumenta), a nieprawdziwa informacja jest praktyką wprowadzającą w błąd (art. 5 UPNPR), niezależnie od tego, czy napisał ją pracownik, czy bot. Ryzyko ograniczasz danymi, regułami i kontrolą rozmów.
- Czy opisy produktów z AI szkodzą pozycjonowaniu i jak je pisać masowo?Same z siebie nie szkodzą: Google ocenia przydatność treści, nie sposób powstania, a karze masowe strony bez wartości niezależnie od narzędzia. Szkodzą, gdy z jednego promptu powstają tysiące podobnych tekstów z wymyślonymi parametrami. Generuj z własnych danych produktowych, publikuj jako szkice i sprawdzaj próbkę.
Na blogu
Agent AI w sklepie: co oddać w tym kwartale, czego nie, i skąd biorą się ciche błędy
Agent to nie chatbot: dostaje zadanie, narzędzia i działa, dopóki nie skończy. Dzielę pracę w sklepie na to, co oddaję agentowi w tym kwartale (opisy z danych, sortowanie zgłoszeń, tygodniowy raport, szkice odpowiedzi na opinie, kontrola spójności feedu), to, czego nie oddam (ceny, prawo, budżet), i pokazuję, jak pisać instrukcje, żeby błąd nie był cichy.
Automatyzacja obsługi klienta w e-commerce: chatboty, makra, AI assist — kiedy ma sens, a kiedy denerwuje klientów
Chatbot, który nie umie się przedstawić, kosztuje cię klientów. Dobrze wdrożona automatyzacja — odpowiednio przemyślana, z jasnym fallbackiem do człowieka — może zwolnić twój zespół na 30-50% i podnieść NPS. Pokazuję, kiedy AI w obsłudze ma sens, kiedy szkodzi, jakie narzędzia testowaliśmy i co kosztuje wdrożenie per skala sklepu.