Nagrywasz spotkania botem AI? Zgoda, regulamin, retencja

Zbieramy tu doświadczenia z wdrożeń i dajemy je za darmo — nie zastąpią spojrzenia prawnika ani księgowej na Twoją indywidualną sprawę. Typowa sytuacja w spółce na 40 osób: dział sprzedaży od trzech miesięcy trzyma włączoną transkrypcję w Teams, HR dokupił notatnik AI do rekrutacji zdalnych, a serwis nagrywa rozmowy z klientami, żeby nie gubić ustaleń. Nikt nie podpisał ani jednego dokumentu, nikt nie sprawdził, gdzie leżą pliki, a handlowcy wklejają streszczenia do CRM razem z uwagami o rozmówcach. Problem nie jest teoretyczny: wystarczy jedna skarga kandydata, który nie dostał pracy, albo kontrahent, który zażąda dostępu do swoich danych i kopii nagrania. Wtedy pytanie „czy mieliśmy podstawę" zadaje już nie zarząd, a organ nadzorczy.

Krok 1: wybierz podstawę osobno dla kontrahenta, kandydata i pracownika

Spotkanie B2B z kontrahentem opiera się w praktyce najczęściej na prawnie uzasadnionym interesie — art. 6 ust. 1 lit. f RODO, czyli dokumentowaniu uzgodnień handlowych i jakości obsługi. Zgoda bywa tu kłopotliwa: wycofana po dwóch miesiącach każe usunąć nagranie i transkrypt również wtedy, gdy są potrzebne w sporze o zakres wdrożenia. Wariant z lit. f zwykle domyka się trzema rzeczami: testem równowagi spisanym na jednej stronie, informacją podaną przed rozpoczęciem nagrywania i uszanowaniem sprzeciwu z art. 21 RODO — gdy ktoś mówi „nie", bot wychodzi ze spotkania, a handlowiec notuje ręcznie. Rozmowa rekrutacyjna układa się odwrotnie: nagranie całego wywiadu wychodzi poza katalog danych z art. 22(1) Kodeksu pracy, więc sięga się po zgodę kandydata (art. 6 ust. 1 lit. a) — dobrowolną, czyli z realną alternatywą i bez wpływu na ocenę. Rozmowa wewnętrzna zespołu to osobna ścieżka, opisana niżej. Który wariant pasuje akurat do Twojej firmy, przesądzi ktoś, kto zna Wasze umowy i procesy; my pokazujemy, jak to zwykle bywa poukładane.

Formuła do wypowiedzenia na starcie spotkania handlowego (30 sekund): „Zanim zaczniemy — do rozmowy dołączony jest nasz asystent, który nagrywa dźwięk i przygotowuje notatkę z ustaleń. Nagranie usuwamy po 14 dniach, notatka zostaje do zamknięcia tematu, treść nie jest wykorzystywana do uczenia modeli dostawcy. Administratorem danych jest [nazwa spółki], pełna informacja jest w opisie zaproszenia. Jeśli ktoś woli bez nagrania — wyłączam teraz i notuję ręcznie." Wersja do stopki zaproszenia w kalendarzu: „W spotkaniu uczestniczy asystent AI [nazwa narzędzia], który nagrywa dźwięk oraz tworzy transkrypcję i notatkę z ustaleń. Podstawa: art. 6 ust. 1 lit. f RODO (dokumentowanie uzgodnień). Nagranie: 14 dni. Sprzeciw i pytania: rodo@[domena].pl. Klauzula informacyjna: [link]." W rekrutacji stopka brzmi inaczej: „Rozmowę możemy nagrać wyłącznie za Twoją zgodą wyrażoną na początku spotkania. Odmowa nie ma żadnego wpływu na ocenę kandydatury." To brzmienia poglądowe — punkt wyjścia do rozmowy z własnym doradcą, a nie wzór do wklejenia; dopasowanie do Waszych dokumentów zawsze coś w nich zmienia. Jedna rzecz warta zapamiętania niezależnie od brzmienia: gdy gospodarzem spotkania jest kontrahent, a bot jest Twój, obowiązek informacyjny zostaje po Twojej stronie, bo to Ty jesteś administratorem nagrania.

Krok 2: ścieżka pracownicza — obwieszczenie i dwa tygodnie zwłoki

Transkrypcja rozmów, w których uczestniczą Twoi pracownicy, to inna forma monitoringu w rozumieniu art. 22(3) § 4 Kodeksu pracy, do której stosuje się przepisy o monitoringu z art. 22(2) § 6–10. Kolejność wynika wprost z ustawy. Dzień 1: zapis celu, zakresu i sposobu zastosowania w regulaminie pracy, a jeśli firma regulaminu nie ma (przy zatrudnieniu poniżej 50 osób bez układu zbiorowego) — w obwieszczeniu podpisanym przez pracodawcę. Dzień 2: ogłoszenie treści w sposób przyjęty w firmie (mail do wszystkich plus wydruk na tablicy, z datą). Dzień 16: można włączyć narzędzie, bo ustawa wymaga dwóch tygodni od poinformowania załogi. Każdy nowy pracownik dostaje pisemną informację przed dopuszczeniem do pracy, razem z informacją o warunkach zatrudnienia. Do tego trwałe oznaczenie: bot widoczny na liście uczestników pod nazwą wprost mówiącą o nagrywaniu, a nie jako „Asystent". Na zgodę pracownika w roli podstawy prawnej organ nadzorczy patrzy sceptycznie — przy stosunku podporządkowania trudno wykazać jej dobrowolność.

Co pójdzie nie tak, zanim zrobi się kosztowne: pierwszym sygnałem jest transkrypt zawierający rzeczy, których nie chciałeś zbierać — czyjąś chorobę, sprawę rozwodową, długi, przekonania polityczne z small talku. To dane szczególnej kategorii z art. 9 RODO, których nie legalizuje żaden LIA. Drugi sygnał: streszczenia z ocenami osób („rozmówca był rozdrażniony”, „kandydat sprawiał wrażenie niepewnego”) wklejane do CRM, gdzie zostaną na lata i wypłyną przy żądaniu dostępu. Trzeci: raporty menedżerskie „talk ratio”, „nastrój rozmowy”, „engagement handlowca”. Ustaw więc dwie reguły techniczne od pierwszego dnia: transkrypt wraca do właściciela spotkania, a nie do wspólnego kanału, i do CRM przechodzą wyłącznie ustalenia biznesowe — zakres, cena, termin, następny krok.

Krok 3: kalendarz retencji i test, czy potrzebujesz oceny skutków

Propozycja do rozważenia przy pisaniu polityki: plik audio/wideo — 14 dni (spotykany zakres to 7–30 dni), automatyczne usuwanie ustawione w narzędziu, nie ręcznie. Transkrypt — do zamknięcia oferty, a przy podpisanej umowie do 3 lat od wymagalności roszczeń (art. 118 Kodeksu cywilnego dla roszczeń związanych z działalnością gospodarczą). Streszczenie w CRM — bez cytatów i ocen osób, przechowywane tak długo jak dokumentacja relacji handlowej. Rekrutacja: nagranie usuwane z chwilą zakończenia naboru, najpóźniej 30 dni po decyzji; dłużej tylko na odrębną zgodę na przyszłe procesy, wtedy zwykle do 12 miesięcy. Rozmowy wewnętrzne: 30 dni, chyba że materiał wchodzi do sprawy pracowniczej. Test na ocenę skutków (DPIA) — im więcej odpowiedzi „tak", tym poważniej warto ją wykonać przed uruchomieniem: (1) czy narzędzie działa stale na rozmowach pracowników; (2) czy w rozmowach pojawiają się dane o zdrowiu lub inne z art. 9 RODO; (3) czy skala przekracza kilkadziesiąt osób albo 200 spotkań miesięcznie; (4) czy narzędzie ocenia lub porównuje pracowników; (5) czy dane trafiają poza EOG; (6) czy dotyczy osób, które nie mają realnego wyboru, w tym kandydatów. Aktualny wykaz operacji wymagających oceny skutków publikuje Urząd Ochrony Danych Osobowych — to jest miejsce do sprawdzenia stanu na dziś.

Krok 4: dostawcy, granica AI Act i wariant lokalny

Cztery narzędzia, które realnie widuje się w polskich firmach 10–250 osób. Microsoft Teams z Copilot: nagranie i transkrypt zostają w OneDrive/SharePoint Twojego tenanta, region można zamknąć w EU Data Boundary, treść nie jest używana do uczenia modeli, powierzenie masz w ramach Microsoft Products and Services DPA; koszt Microsoft 365 Copilot ok. 30 USD za użytkownika miesięcznie, Teams Premium ok. 10 USD. Zoom z AI Companion: nagrania w chmurze Zoom z wyborem regionu, opcja uczenia na treściach klientów jest domyślnie wyłączona i sprawdza się ją w panelu administratora (Account Settings → AI Companion), plan płatny ok. 13–19 EUR na użytkownika miesięcznie. Google Meet z Gemini: nagranie na Dysku organizacji, dane Workspace nie są używane do trenowania modeli, licencja od ok. 14 EUR na użytkownika miesięcznie. Notatniki niezależne (Fireflies, tl;dv, Otter): dochodzi osobna umowa powierzenia do pobrania i podpisania, przełącznik typu „do not use my data to train models" w sekcji Privacy oraz kontrola lokalizacji serwerów — przy dostawcy wyłącznie amerykańskim wchodzą standardowe klauzule umowne i ocena transferu; cena 18–29 USD na użytkownika miesięcznie. Ceny i zakres pakietów sprawdzaj w cenniku producenta, bo zmieniają się częściej niż artykuły. Granica z AI Act: liczenie czasu wypowiedzi, wykrywanie słów kluczowych i podsumowanie ustaleń to dozwolona analityka rozmowy. Ocena nastroju, entuzjazmu czy zaangażowania pracownika lub kandydata to wnioskowanie o emocjach w miejscu pracy — praktyka zakazana od 2 lutego 2025 (art. 5 rozporządzenia 2024/1689), z sankcją do 35 mln EUR albo 7% obrotu. Od tej samej daty obowiązuje art. 4 o kompetencjach osób obsługujących system: w praktyce wystarcza jedna sesja 60–90 minut, materiał i lista obecności.

Wariant lokalny, gdy nie chcesz wypuszczać nagrań z firmy: stacja z jedną kartą GPU 16–24 GB VRAM, model faster-whisper large-v3 do transkrypcji, pyannote do rozdzielenia mówców, model 8–14B do streszczeń. Koszt jednorazowy sprzętu 9 000–20 000 zł netto, wdrożenie i integracja z folderem nagrań plus automatyczne usuwanie po 14 dniach: 5–10 dni roboczych. Wydajność: 2–5 minut przetwarzania na godzinę nagrania, plus 2–4 minuty na rozdzielenie mówców i 1–3 minuty na notatkę. Jakość polskiej transkrypcji: błąd rozpoznawania rzędu 6–12% przy dobrym mikrofonie i jednym mówcy naraz, 15–25% przy laptopowym mikrofonie i nakładających się głosach — czyli notatka wymaga korekty, nie nadaje się jako dowód słowo w słowo. Punkt przełamania jest policzalny: 30 użytkowników po 100 zł miesięcznie to 3 000 zł/mc, więc sprzęt zwraca się w 4–6 miesięcy, ale doliczasz około 0,5 dnia pracy administratora na miesiąc.

Jak sprawdzić, że działa. Po 14 dniach od włączenia zrób trzy testy: poproś administratora o pokazanie, że nagranie sprzed 15 dni faktycznie zniknęło (nie „ma się usuwać”, a nie istnieje); wylosuj pięć streszczeń z CRM i policz, ile zawiera opinie o osobach — cel to zero; poproś handlowca o odtworzenie formuły otwierającej z pamięci. Po 30 dniach sprawdź logi: ile spotkań nagrano, ile razy ktoś odmówił i czy odmowa została uszanowana. Po 90 dniach masz twardy wskaźnik biznesowy: czas od spotkania do wysłania oferty i liczba ustaleń zgubionych między spotkaniami. Jeśli nie skrócił się o co najmniej jeden dzień roboczy, narzędzie nie zarabia na swoje ryzyko. Skalę tego ryzyka warto znać: kary z RODO sięgają 20 mln EUR albo 4% obrotu, a realny scenariusz dla firmy tej wielkości to skarga kandydata, wezwanie do wyjaśnień z terminem 14 dni, 3 000–8 000 zł na obsługę prawną, postępowanie ciągnące się 6–18 miesięcy i nakaz usunięcia całego zbioru nagrań, plus roszczenia cywilne z art. 82 RODO.

Dokumenty w kolejności i z właścicielem: decyzja zarządu o celu i zakresie (dzień 1), test równowagi dla podstawy z lit. f — radca prawny lub IOD (dni 2–4), aktualizacja klauzul informacyjnych dla kontrahenta, kandydata i pracownika (HR i prawnik), obwieszczenie lub zmiana regulaminu pracy plus ogłoszenie i dwa tygodnie zwłoki (HR), umowa powierzenia z dostawcą i sprawdzenie transferu poza EOG (osoba od IT razem z prawnikiem), wpis do rejestru czynności z art. 30 RODO, ocena skutków, jeśli test wyszedł na „tak", klauzula o nagrywaniu w umowie ramowej lub NDA z kontrahentem, szkolenie z art. 4 AI Act z listą obecności, ustawienie automatycznej retencji. I punkt, którego nie da się przenieść na system: człowiek decyduje, czy bot dołącza do konkretnej rozmowy, człowiek wyłącza go na pierwszą prośbę rozmówcy, człowiek zatwierdza notatkę przed wysłaniem jej klientowi. Rola administratora danych zostaje przy Waszej spółce, nie przy dostawcy narzędzia — to jeden z punktów, które warto potwierdzić wprost w umowie powierzenia. HEXART prowadzi takie wdrożenia od strony wykonawczej: konfiguracja narzędzia i retencji, wariant lokalnej transkrypcji na Waszym sprzęcie oraz komplet zapisów do regulaminu i klauzul, zwykle w 2–3 tygodnie, we współpracy z prawnikiem po Waszej stronie. Umów rozmowę, napisz na biuro@hexart.pl albo zadzwoń: +48 662 016 430.