Wklejasz dane klientów do ChatGPT? UODO wydał listę pytań, po której sprawdzisz, czy masz problem

Cztery dni po tym, jak zaczęły obowiązywać kolejne przepisy AI Act, Urząd Ochrony Danych Osobowych opublikował coś znacznie bardziej przyziemnego niż unijne rozporządzenie: listę pytań kontrolnych do sprawdzenia narzędzia AI. Jedna z czterech wersji jest napisana wprost dla małych i średnich firm, które korzystają z gotowych narzędzi — nie budują własnych modeli, tylko otwierają przeglądarkę i wklejają. Czyli dla Ciebie.

I zanim machniesz ręką: pierwsze pytanie z tej listy nie brzmi „czy masz inspektora ochrony danych”. Brzmi „po co Ci to w ogóle”.

Co dokładnie opublikował UODO i dlaczego akurat teraz

6 sierpnia 2026 r. UODO ogłosił materiał zatytułowany „Listy pytań inicjalnych – RODO & AI”. W jednym dokumencie znalazły się cztery osobne zestawy pytań: dla organizacji, które budują albo dotrenowują własne modele, dla sektora publicznego, wersja rozszerzona dla wszystkich — oraz wersja dla MŚP korzystających z gotowych systemów AI. To ta ostatnia Cię interesuje (komunikat UODO).

Powód powstania dokumentu jest w komunikacie podany wprost i jest dość ponury. Z badania potrzeb organizacji przeprowadzonego przez Społeczny Zespół Ekspertów przy Prezesie UODO wynika, że „od 41 do 58,5% podmiotów nie dostrzega związku między narzędziami sztucznej inteligencji (AI) a przetwarzaniem danych osobowych”, a „aż 95,9% nie uważa się za przygotowane do wdrożenia AI zgodnie z RODO”. Przekładając to na polski: prawie połowa firm nie zauważyła, że wrzucając plik do chatbota, przetwarza czyjeś dane.

Dokument jest w konsultacjach do 30 września 2026 r. — uwagi zbiera adres [email protected]. Jeśli więc któreś z pytań wydaje Ci się oderwane od realiów jednoosobowej firmy, masz sześć tygodni, żeby to urzędowi powiedzieć. Rzadka okazja, żeby przepis powstawał z udziałem tych, których dotyczy, zamiast wbrew nim.

Dwie rzeczy, które od razu obniżają ciśnienie. Po pierwsze, UODO pisze wprost: „Odpowiedzi na pytania nie trzeba przedstawiać organowi nadzorczemu”. To nie jest formularz do wysłania. Po drugie, sam urząd zastrzega, że „Pytania nie zastąpią analizy ryzyka, oceny skutków dla ochrony danych i wpływu na prawa podstawowe, ale stanowią dobry punkt wyjścia do tych analiz”. Czyli: to ściąga, nie deklaracja.

Administratorem danych jesteś Ty, nie dostawca narzędzia

Tu leży całe nieporozumienie i warto je rozbić, zanim przejdziemy do listy.

RODO definiuje administratora jako podmiot, który „samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych” (art. 4 pkt 7 rozporządzenia — pełny tekst na EUR-Lex). Podmiot przetwarzający to ktoś, kto „przetwarza dane osobowe w imieniu administratora” (art. 4 pkt 8).

Zobacz, jak to wygląda w praktyce. To Ty decydujesz, że wrzucisz do chatbota skan faktury z NIP-em, adresem i nazwiskiem kontrahenta, żeby wyciągnąć z niego kwoty. Cel wymyśliłeś Ty. Sposób wybrałeś Ty. Dostawca narzędzia tylko wykonuje operację, którą mu zleciłeś. Administratorem jesteś Ty i to Twoje nazwisko widnieje na tej odpowiedzialności — nie logo amerykańskiej spółki z doliny.

Pan Damian, trener na B2B, przez pół roku wklejał do darmowego chatbota fragmenty umów z klientem, żeby „ładniej to przeformułować”. W umowach były imiona, nazwiska, adresy i numery kont osób kontaktowych po stronie zamawiającego. Pan Damian uważał, że korzysta z narzędzia. Z punktu widzenia RODO — przekazywał dane osobowe podmiotowi trzeciemu i był za to odpowiedzialny od pierwszego wklejenia.

Pięć pytań z listy dla MŚP, na które większość JDG nie zna odpowiedzi

Lista dla małych firm liczy 26 pytań ułożonych w dziewięć sekcji: cel i system AI, dane osobowe, podstawa prawna, dostawca AI, bezpieczeństwo i naruszenia, ochrona osób, dokumentacja, ocena ryzyka oraz AI Act (dokument UODO). Nie przepiszę Ci wszystkich — pobierz je sobie, są za darmo. Wybrałam pięć, które w jednoosobowej firmie rozstrzygają najwięcej.

Pytanie 4: „Czy system przetwarza dane osobowe np. klientów, pracowników lub kontrahentów?”

To jest bramka. Jeśli odpowiedź brzmi „nie” — bo generujesz opisy produktów albo prosisz o pomysł na nazwę usługi — reszta listy Cię nie dotyczy i możesz spokojnie zamknąć tę zakładkę. Jeśli „tak”, idziesz dalej. I zanim odpowiesz odruchowo „przecież nie”, policz: imię i nazwisko klienta na fakturze to dane osobowe. NIP jednoosobowej działalności też, bo identyfikuje konkretną osobę fizyczną.

Pytanie 9: „Czy mamy umowę powierzenia przetwarzania danych z dostawcą AI (art. 28)?”

RODO przewiduje, że przetwarzanie przez podmiot przetwarzający „powinno być regulowane umową lub innym instrumentem prawnym” (art. 28 ust. 3). W praktyce oznacza to, że przy narzędziach biznesowych szukasz u dostawcy dokumentu nazwanego DPA albo „umowa powierzenia” i akceptujesz go — zwykle w ustawieniach konta, czasem trzeba o niego poprosić. Przy darmowym koncie konsumenckim takiego dokumentu najczęściej po prostu nie ma. To nie jest formalność do odhaczenia na później, tylko pytanie o to, czy w ogóle wolno Ci tego narzędzia używać do pracy z cudzymi danymi.

Pytanie 12: „Czy dane, które wprowadzamy do narzędzia, mogą być wykorzystywane przez dostawcę do trenowania jego modeli i czy można to wyłączyć?”

Najbardziej praktyczne pytanie z całej listy i jedyne, na które odpowiedź znajdziesz w pięć minut. Wejdź w ustawienia prywatności swojego narzędzia i sprawdź, czy jest tam przełącznik dotyczący uczenia modelu na Twoich treściach. Bywa domyślnie włączony. Bywa dostępny wyłącznie w planach płatnych. To jest różnica między „mój plik poszedł na serwer i został przetworzony” a „mój plik poszedł na serwer i zamieszkał tam na stałe”.

Pytanie 17: „Czy wynik działania AI jest sprawdzany przez pracownika, zanim zostanie wykorzystany wobec osoby (np. przy rekrutacji, ocenie pracownika, odmowie usługi)?”

Wygląda na pytanie dla korporacji z działem HR, ale nie jest. Pani Gosia prowadzi salon kosmetyczny i rekrutuje jedną osobę na recepcję. Jeśli wrzuci dwadzieścia CV do narzędzia i poprosi o wybranie trzech najlepszych, a potem odrzuci pozostałe siedemnaście bez zaglądania — to nie jest „pomoc narzędzia”, tylko decyzja podjęta przez algorytm wobec konkretnych ludzi. Człowiek ma zostać w tym łańcuchu, nie obok niego.

Pytanie 20: „Czy oceniliśmy, czy wymagana jest DPIA (art. 35)?”

DPIA to ocena skutków dla ochrony danych — dokument, w którym opisujesz, co może pójść nie tak i jak temu zapobiegasz. Zgodnie z art. 35 RODO administrator dokonuje takiej oceny, gdy dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. Materiał UODO wskazuje, że w kontekście AI sygnałem alarmowym są między innymi profilowanie, dane szczególnych kategorii przetwarzane na dużą skalę oraz zastosowanie innowacyjnej technologii. Typowa JDG wklejająca fakturę do chatbota raczej w te przesłanki nie wchodzi. JDG budująca system oceniający zdolność kredytową klientów — jak najbardziej.

Czego z tej listy nie musisz robić

Bo dokument urzędowy zawsze wygląda groźniej, niż jest.

Nie musisz zatrudniać inspektora ochrony danych tylko dlatego, że używasz chatbota. Nie musisz wysyłać odpowiedzi do UODO — urząd napisał to wprost. Nie musisz przechodzić przez wszystkie 26 pytań, jeśli na pytaniu 4 odpowiedziałeś „nie”. Nie musisz też rezygnować z narzędzi AI. Cały sens tego dokumentu jest odwrotny: UODO chce, żebyś ich używał świadomie, a nie żebyś przestał.

Warto natomiast rozdzielić dwie rzeczy, które łatwo pomylić. RODO pilnuje danych osobowych — kto je przetwarza, na jakiej podstawie i co się z nimi dzieje. AI Act pilnuje samych systemów AI: ich klasyfikacji ryzyka, przejrzystości i tego, czy oznaczasz treści generowane przez sztuczną inteligencję. To dwa różne reżimy, dwa różne organy i dwa różne zestawy obowiązków. Lista UODO celuje w pierwszy z nich, a AI Act traktuje sygnalizacyjnie — stąd te trzy ostatnie pytania.

Przy okazji: równolegle działa już polska ustawa o systemach sztucznej inteligencji, która tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Dla mikrofirm ma jeden zapis wart zapamiętania — Ministerstwo Cyfryzacji podaje, że „mikro-, mali i średni przedsiębiorcy będą mogli uczestniczyć w piaskownicy regulacyjnej nieodpłatnie”, czyli przetestować rozwiązanie pod okiem regulatora, zamiast zgadywać (gov.pl).

Jak to poukładać w jednoosobowej firmie w pół godziny

Bez inspektorów, bez konsultantów, bez procedury na czterdzieści stron.

Zacznij od spisania, czego faktycznie używasz. Chatbot do maili, narzędzie do transkrypcji spotkań, wtyczka do księgowości, generator grafik — wszystko. Przy każdej pozycji dopisz jedno słowo: czy trafiają tam cudze dane osobowe.

Dla tych z „tak” zrób trzy ruchy. Sprawdź w ustawieniach przełącznik trenowania modelu i wyłącz go, jeśli się da. Poszukaj u dostawcy umowy powierzenia i zaakceptuj ją. Zastanów się, czy naprawdę potrzebujesz wklejać cały dokument — RODO wymaga, by dane były „adekwatne, stosowne i ograniczone do tego, co niezbędne” (art. 5 ust. 1 lit. c), a zamazanie nazwiska i adresu przed wklejeniem to najtańsza zgodność z przepisami, jaką kupisz.

Na koniec zapisz gdziekolwiek, co ustaliłeś, i opatrz datą. Jedna strona w notatniku wystarczy. Nie dlatego, że ktoś tego zażąda — dlatego, że za rok nie będziesz pamiętał, który przełącznik przestawiłeś i dlaczego.

To samo dotyczy narzędzi, których używasz do dokumentów firmowych. Faktury wystawiane w systemie KSeF też zawierają dane osobowe kontrahentów, a jeśli podpinasz do nich jakąkolwiek warstwę AI, obowiązuje ta sama logika. Wydatek na narzędzie rozliczysz zresztą tak, jak każdy inny zakup na firmę — decyduje związek z przychodem, nie nazwa technologii.

FAQ

Czy mogę wkleić fakturę klienta do ChatGPT?

Technicznie tak, prawnie zależy. Faktura zawiera dane osobowe, więc stajesz się administratorem tych danych wobec dostawcy narzędzia. Sprawdź trzy rzeczy: czy masz z dostawcą umowę powierzenia (art. 28 RODO), czy wyłączyłeś uczenie modelu na Twoich treściach i czy nie da się przed wklejeniem usunąć części danych, które nie są potrzebne do zadania.

Czy jednoosobowa działalność podlega RODO?

Tak, jeśli przetwarza dane osobowe innych osób — klientów, kontrahentów, zleceniobiorców. Brak pracowników niczego nie zmienia. RODO wiąże administratora, a administratorem jest ten, kto określa cele i sposoby przetwarzania (art. 4 pkt 7).

Czy muszę mieć umowę powierzenia z dostawcą narzędzia AI?

RODO przewiduje, że przetwarzanie danych przez podmiot przetwarzający ma być uregulowane umową lub innym instrumentem prawnym (art. 28 ust. 3). Jeśli narzędzie przetwarza dane osobowe w Twoim imieniu, taki dokument jest potrzebny. Przy planach biznesowych dostawcy zwykle go udostępniają; przy darmowych kontach konsumenckich najczęściej nie.

Czy odpowiedzi na listę pytań UODO trzeba gdzieś wysłać?

Nie. UODO napisał w komunikacie wprost: „Odpowiedzi na pytania nie trzeba przedstawiać organowi nadzorczemu”. To materiał pomocniczy do użytku wewnętrznego.

Do kiedy można zgłaszać uwagi do dokumentu UODO?

Do 30 września 2026 r., na adres [email protected].

Czym różni się RODO od AI Act?

RODO chroni dane osobowe i pyta, kto je przetwarza oraz na jakiej podstawie. AI Act reguluje same systemy sztucznej inteligencji — klasyfikuje je według ryzyka i nakłada obowiązki dotyczące przejrzystości, w tym oznaczania treści. Jedno narzędzie może podlegać obu reżimom naraz.

---

Prawie połowa firm nie zauważyła, że korzystając z AI, przetwarza czyjeś dane. Nie dlatego, że są nieodpowiedzialne — dlatego, że nikt im tego nie powiedział prostym językiem. UODO właśnie to zrobił i rozdaje ściągę za darmo, co w kontaktach z urzędami zdarza się rzadziej niż zaćmienie.

Zrób te trzydzieści minut. Twoje dane wrócą do Ciebie w takim stanie, w jakim je wypuściłeś — a Twoje wymówki, tak jak Twoje łzy, nie stanowią kosztu uzyskania przychodu.

Jeśli wolisz, żeby dokumenty Twojej firmy nie wędrowały po przypadkowych serwerach, sprawdź, jak mojaKsięgowa.ai chroni dane swoich użytkowników.

Merytorycznie zweryfikował: Piotr Gloger

Newsletter od Klary — co tydzień na maila

Krótkie podsumowanie zmian w przepisach, terminów i poradników. Zero spamu, można się wypisać jednym kliknięciem.

Zapisz mnie

Zapisując się akceptujesz politykę prywatności.