Pracownik może używać ChatGPT w pracy, ale nie na darmowym koncie

Otwarty poradnik z naszego podwórka. Pokazujemy kierunek i konkretne liczby, a decyzję i tak podejmujesz na własnych warunkach. Teza, którą najczęściej słyszymy w firmach usługowo-biurowych na 20–150 osób, brzmi: ChatGPT w pracy jest dopuszczalny, wystarczy zabronić wklejania danych osobowych i zebrać podpisane oświadczenie. Brzmi to rozsądnie, bo polskie prawo pracy rzeczywiście nie ma artykułu „zakaz używania ChatGPT”, a Kodeks pracy pozwala pracodawcy określać sposób wykonywania pracy. Kłopot zaczyna się, gdy z tego jednego zdania ktoś chce zrobić całą procedurę.

Najmocniejszy argument drugiej strony

Ten argument nie jest słomianą kukłą. Rzeczywiście RODO nie zakazuje wprost ChatGPT, a AI Act nie reguluje zwykłego pracownika jako podmiotu stosującego. Jeśli pracownik wkleja wyłącznie dane zanonimizowane, ryzyko z art. 9 RODO spada, a pracodawca ma w ręku Kodeks pracy: od upomnienia po rozwiązanie bez wypowiedzenia na podstawie art. 52 §1 pkt 1. Za ujawnienie tajemnicy przedsiębiorstwa grozi do 2 lat pozbawienia wolności. W małej firmie bez IT to wygodne: jedna strona A4, podpis i problem wygląda na zamknięty.

Czego ten argument nie obejmuje

Pomija, że darmowe konto ChatGPT działa poza standardem RODO: treści mogą służyć do trenowania modelu i trafiają na serwery poza EOG, a samo wklejenie nie tworzy umowy powierzenia z art. 28 RODO. Zgoda pracownika nie jest podstawą przetwarzania danych pracowniczych ani danych klientów. Oświadczenie nie przenosi na pracownika obowiązku rozliczalności administratora. W naszej praktyce najczęściej wycieka nie PESEL, tylko treść oferty, cennik, umowa albo wiadomość od klienta — a to już tajemnica przedsiębiorstwa, nie tylko dane osobowe. Dochodzi pytanie, kto w firmie bez IT oceni, czy narzędzie SaaS ma DPA, wyłączone trenowanie i sensowną retencję. Pracownik tego nie zrobi, bo to nie jego rola.

Nasze stanowisko

Nasze stanowisko: pracownik może używać ChatGPT do pracy, ale dopiero po ocenie narzędzia, wskazaniu zatwierdzonej wersji i szkoleniu — regulamin jest warunkiem legalności, nie papierologią. U nas wdrożenie w firmie na 20–100 osób zaczyna się od pytań: kto używa, do czego i jakie dane wchodzi. Potem zewnętrzny IOD lub kancelaria sprawdza wersję ChatGPT Team lub Enterprise pod kątem DPA, transferu poza EOG, retencji i wyłączenia trenowania. Taki przegląd jednego narzędzia to zwykle 2–4 dni robocze, przy stawce 300–600 zł netto za godzinę, a samo szkolenie podstawowe zajmuje 1,5–2 godziny. Decyzji nie podejmuje sam pracownik ani nawet zewnętrzny dostawca IT: wniosek składa właściciel procesu, COO lub HR, a akceptuje dyrektor operacyjny lub zarząd. Darmową wersję zostawiamy wyłącznie do testów ogólnych, bez danych firmowych; do pracy włączamy konto zespołowe z wyłączonym trenowaniem.

Co wtedy zapisujemy w regulaminie

W regulaminie ujmujemy osiem punktów: cel i definicje; dozwolone wersje i cele użycia; zakazane dane i operacje; zasady wprowadzania danych bez zgody pracownika jako podstawy; tryb zgłaszania narzędzi; obowiązki użytkownika i szkolenie AI literacy na podstawie art. 4 AI Act; rejestr narzędzi i incydentów; kontrolę i sankcje. Na liście zakazanej stoi m.in. PESEL, NIP, adresy, telefony, numery rachunków, dane z art. 9 i 10 RODO (zdrowie, biometria, religia, pochodzenie, wyroki), wynagrodzenia, oceny, dane dzieci, hasła, tokeny API, ceny, oferty, umowy i treści NDA. Sankcje pracownicze sięgają od upomnienia lub nagany na podstawie art. 108–113 Kodeksu pracy, przez obowiązek naprawienia szkody do 3-miesięcznego wynagrodzenia przy szkodzie nieumyślnej i pełnej wysokości przy umyślnej, po rozwiązanie bez wypowiedzenia z art. 52 §1 pkt 1; firmie grozi kara UODO do 20 mln EUR lub 4% rocznego obrotu. Decyzja na ten kwartał: jeśli firma jedzie na darmowych kontach, najpierw odcinamy od nich dane firmowe i przenosimy testy na wydzielone środowisko. Zmienilibyśmy stanowisko, gdyby wersja darmowa dostała DPA, wyłączone trenowanie i przetwarzanie w EOG — wtedy ocena ryzyka wyglądałaby inaczej.