Wysyłka bazy klientów do ChatGPT: co jest legalne

Traktuj ten tekst jak notatki praktyka udostępnione za darmo: pokazujemy, jak zwykle się to układa, a nie jak musi wyglądać akurat u Ciebie. Siedzisz w biurze na 50 osób. Handlowiec podnosi wzrok znad laptopa i mówi, że od miesiąca wkleja do ChatGPT fragmenty bazy klientów, żeby szybciej układać oferty. Działa, oszczędza mu to 2 godziny dziennie. Pytanie brzmi: czy to w ogóle legalne? W polskiej firmie, która jest administratorem danych osobowych, odpowiedź zależy od jednego – jakie konto ma ten handlowiec i czy firma podpisała z dostawcą umowę powierzenia. Większość małych i średnich firm używa darmowych kont prywatnych, a to najgorszy możliwy wariant.

Różnica nie jest kosmetyczna. W planach Free i Plus OpenAI występuje jako administrator danych – nie ma umowy powierzenia, a treści mogą być użyte do trenowania modeli. W planach Team, Enterprise i API OpenAI działa jako procesor, podpisuje Data Processing Addendum i pozwala wyłączyć trenowanie na danych klienta. To pierwsze rozstrzygnięcie, od którego zależy cała reszta. Podstawa prawna to zwykle art. 6 ust. 1 lit. b lub f RODO, a dla danych wrażliwych – art. 9. Transfer do USA po decyzji Komisji z 10 lipca 2023 opiera się na Data Privacy Framework, jeśli dostawca jest certyfikowany.

Co da się zrobić w tym tygodniu

Ruch 1 – sprawdź, na jakich kontach pracują ludzie. Czas: 30 minut, robi to właściciel lub IT. Wystarczy zapytać w dziale sprzedaży i marketingu, kto używa ChatGPT, Claude albo Gemini i czy loguje się służbowym mailem, czy prywatnym. Ruch 2 – przejdź na konto firmowe. Czas: 1 dzień, robi to administrator. Dla 50 osób koszt to ok. 15–30 tys. zł rocznie przy planie Team (25–30 USD za osobę miesięcznie). W planie Team i Enterprise podpisujesz DPA i wyłączasz trenowanie w ustawieniach. Ruch 3 – uzupełnij rejestr czynności przetwarzania. Czas: 2 godziny, robi to osoba odpowiedzialna za RODO. Wpis powinien zawierać: nazwę czynności (np. „Przygotowanie ofert z użyciem ChatGPT Team”), cel, podstawę prawną, kategorie osób i danych, odbiorcę (OpenAI Ireland Ltd jako procesor), transfer do USA na podstawie art. 45 RODO w zw. z DPF, okres retencji (dla API do 30 dni, dla Enterprise przez okres umowy) oraz środki bezpieczeństwa. Ruch 4 – zaktualizuj politykę prywatności i poinformuj pracowników. Czas: 2 godziny, robi to marketing lub prawnik. Wystarczy dodać jeden akapit o nowym podmiocie przetwarzającym i jednym e-mailem przypomnieć, że do modelu wrzucamy tylko dane niezbędne do odpowiedzi.

Czego nie robić od razu

Nie kupuj od razu planu Enterprise – dla 50 osób to zwykle przerost formy, Team wystarczy, a różnica w cenie bywa dwukrotna. Nie wdrażaj lokalnego modelu open source tylko po to, żeby uniknąć chmury – to projekt na miesiące, a problem da się zamknąć kontem firmowym w tydzień. Nie pisz nowej polityki prywatności od zera – zwykle wystarczy aneks do istniejącej. Nie blokuj pracownikom dostępu do AI całkowicie, bo wrócą do prywatnych kont i stracisz kontrolę. I nie podpisuj DPA bez sprawdzenia, czy dostawca faktycznie widnieje w wyszukiwarce Data Privacy Framework – sam dokument nie wystarczy, jeśli nie ma certyfikacji.

Jak sprawdzić po dwóch tygodniach, że działa

Jeden wskaźnik: odsetek pracowników korzystających z AI na koncie firmowym z wyłączonym trenowaniem. Odczyt jest prosty – w panelu administracyjnym OpenAI sprawdzasz, ile osób loguje się służbowym mailem, a ile nadal używa kont prywatnych. Jeśli po dwóch tygodniach ponad 20% użytkowników nadal pracuje na darmowych kontach, to znak, że szkolenie nie zadziałało i trzeba wrócić do rozmowy albo technicznie zablokować dostęp do darmowych wersji. Poniżej 20% to stan akceptowalny na start – resztę dograsz w kolejnym miesiącu.

Koszty w tym tygodniu to głównie czas: łącznie ok. 6 godzin pracy rozłożonych na cztery osoby. Licencje firmowe to wydatek rzędu 15–30 tys. zł rocznie, ale porównaj to z ryzykiem – kara za brak podstawy prawnej lub umowy powierzenia sięga 20 mln EUR albo 4% rocznego obrotu. W praktyce MŚP rzadko dostaje maksymalne sankcje, ale samo postępowanie wyjaśniające UODO potrafi ciągnąć się miesiącami. Jeśli nie chcesz robić tego sam, HEXART wdraża takie konfiguracje u klientów – od wyboru planu, przez podpisanie DPA, po wpis do rejestru i szkolenie zespołu. Bez rewolucji, w tydzień.