Przewodnik
Jakich modeli AI możesz bezpiecznie używać w firmie?
Konto, umowa, retencja i miejsce przetwarzania danych. Cztery rzeczy, które warto sprawdzić przed użyciem AI w firmie.
Werdykt w 30 sekund
Konto biznesowe lub API to punkt wyjścia. Sam rodzaj konta nie wystarcza.
Sprawdź jeszcze zasady trenowania, czas i miejsce przechowywania danych, warunki umowy oraz wymagania RODO dla konkretnego procesu.
Trzy pytania do dostawcy
Odpowiedzi nie zastąpią oceny prawnej konkretnego procesu, ale szybko pokażą, czy narzędzie nadaje się do pracy z danymi firmowymi.
Czy dostawca używa danych do trenowania?
Zasady zależą od produktu, planu i ustawień. W wielu ofertach biznesowych i API trenowanie jest domyślnie wyłączone, ale trzeba to potwierdzić dla wybranego wariantu.
Gdzie i jak długo są przechowywane dane?
Sprawdź lokalizację, okres retencji i możliwość usunięcia danych. Przy transferze poza Europejski Obszar Gospodarczy trzeba ustalić właściwy mechanizm prawny.
Czy potrzebujesz umowy DPA?
Jeśli dostawca przetwarza dane osobowe w imieniu firmy, art. 28 RODO wymaga odpowiedniej umowy. DPA nie jest jednak podstawą prawną przetwarzania. Tę firma musi ustalić osobno.
Konto konsumenckie a oferta biznesowa
Różnica jest ważna, ale nie każdy dostawca stosuje te same zasady. Przed zakupem sprawdź dokumentację konkretnego produktu i planu.
| Co dzieje się z danymi | Konto konsumenckie | Konto biznesowe / API |
|---|---|---|
| Użycie danych do trenowania | Zależy od usługi i ustawień | Często wyłączone domyślnie |
| Umowa DPA | Zwykle niedostępna | Zwykle dostępna |
| Ustawienia przechowywania | Ograniczone lub osobiste | Zależne od produktu i planu |
| Brak przechowywania danych | Rzadko dostępny | Tylko w wybranych ofertach i konfiguracjach |
W 2023 roku Amazon ostrzegał pracowników przed wklejaniem do ChatGPT poufnych informacji i kodu. Samsung ograniczył używanie narzędzi generatywnych po tym, jak pracownicy przesłali do zewnętrznej usługi wewnętrzny kod i materiały ze spotkań.
Wniosek: gdy pracownik korzysta z prywatnego konta, firma traci kontrolę nad miejscem przetwarzania i czasem przechowywania danych. To przykład niezatwierdzonego użycia AI, nazywanego też Shadow AI.
Pięć rzeczy, które porządkują używanie AI
To praktyczne minimum, które ogranicza ryzyko. Zakres dokumentacji powinien odpowiadać danym, procesowi i roli narzędzia.
Polityka używania AI
Co wolno, czego nie i kto tego pilnuje.
Umowa DPA
Potrzebna, gdy dostawca przetwarza dane osobowe w imieniu firmy.
Ocena skutków (DPIA)
Wymagana, gdy przetwarzanie może powodować wysokie ryzyko dla osób.
Rejestr narzędzi AI
Spis, czego i gdzie w firmie używacie.
Kompetencje zespołu
AI Act wymaga działań wspierających kompetencje AI odpowiednio do ról, wiedzy i kontekstu użycia. Ten obowiązek stosuje się od 2 lutego 2025 roku.
Co wolno wrzucać do AI
Rodzaj konta jest tylko jednym z warunków. Przetwarzanie danych wrażliwych może być możliwe po ustaleniu celu i podstawy prawnej, ograniczeniu zakresu danych, wdrożeniu zabezpieczeń i, gdy jest to wymagane, przeprowadzeniu DPIA. Sam plan biznesowy ani DPA nie dają takiej zgody.
Można
- Treści publiczne i ogólnodostępne
- Ogólne pytania i badanie trendów
- Szkice i notatki bez nazw klientów
- Dane w pełni zanonimizowane
Z ostrożnością
- Wewnętrzne dokumenty robocze
- Dane klientów po pseudonimizacji
- Fragmenty kodu bez sekretów i haseł
- Materiały dopuszczone przez politykę firmy
Nie do publicznego czatu
- Dane wrażliwe, PESEL, dane medyczne
- Dane finansowe wymagające ochrony
- Tajemnice firmy, własność intelektualna, NDA
Hasła, klucze API i dane logowania nie trafiają do czatu AI. Sekrety przechowuj w przeznaczonym do tego menedżerze lub sejfie.
Przy danych finansowych, umowach lub danych klientów sprawdź podstawę prawną, warunki dostawcy, DPA, transfery, retencję i dostęp. Dopiero potem wybierz plan biznesowy, API lub odpowiednio skonfigurowaną usługę chmurową.
Materiał edukacyjny, nie porada prawna. Stan na 25 sierpnia 2026 roku. Polityki dostawców zmieniają się często, dlatego przed wdrożeniem sprawdź dokumentację i umowę właściwą dla wybranego produktu.
Oficjalne źródła
Podstawą prawną przewodnika są tekst RODO, wyjaśnienia Komisji Europejskiej o transferach międzynarodowych oraz materiały dotyczące kompetencji AI.