Używamy plików cookie aby zapewnić działanie platformy oraz (opcjonalnie) analizować ruch. Wybierz swoje preferencje:
Kiedy wolno wkleić dane klientów do ChatGPT: umowa powierzenia, brak trenowania, region danych. Ustawienia OpenAI, Make, Zapier, n8n i polityka AI.
Dane klientów możesz przetwarzać w narzędziach AI pod trzema warunkami: masz z dostawcą umowę powierzenia (DPA), korzystasz z wersji, która nie trenuje modeli na Twoich danych, i wiesz, gdzie dane są przechowywane. Darmowe i prywatne konta ChatGPT zwykle tych warunków nie spełniają, bo nie obejmuje ich umowa powierzenia.
Ten wpis to informacja o przepisach i ustawieniach narzędzi, a nie porada prawna. Warunki dostawców AI zmieniają się kilka razy w roku, dlatego przy każdym produkcie podajemy stan na październik 2026.
RODO nie zabrania używania AI. Wymaga, żeby firma jako administrator danych miała podstawę do ich przetwarzania i powierzała je tylko podmiotom, z którymi ma umowę powierzenia. Problem nie leży w samym ChatGPT, tylko w tym, z której wersji korzysta pracownik.
| Wersja (stan na październik 2026) | Trenowanie modeli na danych | Umowa powierzenia (DPA) | Przechowywanie |
|---|---|---|---|
| ChatGPT Free, Go, Plus, Pro | tak, chyba że wyłączysz opcję „Improve the model for everyone” | brak | historia czatów; czat tymczasowy do 30 dni |
| ChatGPT Business | domyślnie nie | tak, przez formularz OpenAI | usunięte rozmowy znikają w ciągu 30 dni |
| ChatGPT Enterprise | domyślnie nie | tak | czas przechowywania ustala administrator; nowi klienci mogą wybrać przechowywanie w Europie |
| API OpenAI | domyślnie nie | tak | do 30 dni na potrzeby wykrywania nadużyć, opcja zerowej retencji dla kwalifikujących się zastosowań |
Wyłączenie trenowania na prywatnym koncie nie rozwiązuje sprawy, bo nadal nie ma umowy powierzenia. Najczęstszy scenariusz ryzyka wygląda tak: pracownik wkleja maila od klienta do prywatnego ChatGPT, żeby szybciej napisać odpowiedź. Firma nie wie, że to się dzieje, nie ma umowy z dostawcą i nie umie powiedzieć klientowi, gdzie trafiły jego dane.
Duzi dostawcy publikują DPA jako część warunków dla klientów firmowych. Stan na październik 2026:
DPA zwykle akceptujesz razem z warunkami usługi albo przez formularz, bez negocjacji. Zapisz PDF z datą akceptacji w dokumentacji RODO, dopisz dostawcę do rejestru czynności przetwarzania i do listy odbiorców danych w klauzuli informacyjnej.
OpenAI, Anthropic, Google i Microsoft to firmy amerykańskie, więc dane mogą trafić do USA. Transfer opiera się na jednej z dwóch podstaw. Pierwsza to Data Privacy Framework, decyzja Komisji Europejskiej z lipca 2023 o odpowiednim poziomie ochrony w firmach, które przystąpiły do programu. Sąd Unii Europejskiej oddalił skargę na tę decyzję 3 września 2025, a od 31 października 2025 toczy się odwołanie przed Trybunałem Sprawiedliwości UE. Druga podstawa to standardowe klauzule umowne, na przykład DPA Anthropic odwołuje się do klauzul zatwierdzonych decyzją Komisji z 4 czerwca 2021.
Jeśli wolisz, żeby dane nie wyjeżdżały z Europy, wybierz region przetwarzania tam, gdzie dostawca na to pozwala:
Tak. Jeśli scenariusz przenosi maila, imię albo numer telefonu klienta, narzędzie automatyzacji jest podmiotem przetwarzającym, tak samo jak model AI. W łańcuchu „formularz, Make, OpenAI, CRM” masz więc co najmniej dwóch dostawców do umów powierzenia, a nie jednego.
Make działa w strefach serwerów oznaczonych jako unijne i amerykańskie. Sprawdź, w której strefie założono konto Twojej firmy, i pobierz DPA z dokumentacji Make. Zapier, jak wyżej, przechowuje dane w USA.
n8n można uruchomić na własnym serwerze. Przy instalacji self-hosted na serwerze w UE dane z automatyzacji nie trafiają do firmy n8n, a podmiotem przetwarzającym jest dostawca hostingu, z którym podpisujesz DPA. To dobra opcja dla danych wrażliwych, na przykład medycznych albo finansowych. Pamiętaj jednak, że jeśli workflow w n8n wysyła tekst do API modelu, dane i tak trafiają do dostawcy modelu. Self-hosting rozwiązuje kwestię narzędzia automatyzacji, a dla modelu potrzebujesz regionu UE, anonimizacji albo modelu uruchomionego lokalnie. Wykonawców, którzy stawiają n8n na serwerach klienta, znajdziesz na stronie ekspertów n8n.
Model rzadko potrzebuje wiedzieć, jak nazywa się klient. Do streszczenia reklamacji czy szkicu odpowiedzi wystarczy treść sprawy. Dlatego w automatyzacji przed krokiem AI dodaje się krok, który podmienia dane osobowe na znaczniki:
E-maile i numery telefonów łatwo wyłapać regułami. Gorzej z imionami w swobodnym tekście i z informacjami, które identyfikują osobę pośrednio, na przykład „nasz jedyny klient z Sopotu”. Formalnie to pseudonimizacja, a nie anonimizacja: dane, które da się z powrotem przypisać do osoby, nadal są danymi osobowymi w rozumieniu RODO. Umowa powierzenia nadal jest potrzebna, ale do dostawcy trafia znacznie mniej.
Urząd Ochrony Danych Osobowych w poradniku dla małych i średnich firm z sierpnia 2026 zaleca ocenić narzędzie AI przed zakupem, przeszkolić użytkowników i spisać zasady: jakie dane wolno wprowadzać, z których aplikacji korzystać i co robić przy incydencie. Sześć zasad do skopiowania:
Sama polityka nie wystarczy, jeśli zespół nie ma firmowego narzędzia i wkleja dane do prywatnego ChatGPT, bo nie ma nic lepszego. Daj mu zatwierdzoną alternatywę, na przykład bazę wiedzy z AI działającą na Waszych dokumentach. W katalogu Qerify taki proces to baza wiedzy AI dla zespołu.
Potrzebujesz AI na danych klientów z serwerem w UE? Opisz to Concierge'owi: napisz, jakie dane przetwarzacie i gdzie mają zostać. Brief trafi do wykonawców, którzy budują takie wdrożenia, na przykład n8n self-hosted z regionem UE dla modelu.