Czy możemy używać ChatGPT, Claude lub Copilota z danymi osobowymi?
Krótka odpowiedź
Tak, może to być dozwolone, ale tylko jeśli masz podstawę prawną, używasz wyłącznie niezbędnych danych, masz umowę powierzenia przetwarzania danych osobowych z dostawcą AI i kontrolujesz przekazywanie danych poza UE. Najbezpieczniej jest pozwolić AI pracować bez prawdziwych nazwisk: pseudonimizuj dane przed wysłaniem, a klucz trzymaj u siebie w UE. Dane spseudonimizowane nadal są dla Ciebie danymi osobowymi.
Co mówi RODO?
RODO nie zakazuje AI. Obowiązują jednak te same zasady, co przy innym używaniu danych osobowych:
- Potrzebujesz podstawy prawnej i jasnego celu.
- Wolno Ci używać tylko informacji niezbędnych do zadania (minimalizacja danych).
- Jeśli dostawca AI przetwarza dane dla Ciebie, potrzebujesz umowy powierzenia przetwarzania danych osobowych.
- Jeśli dane trafiają do kraju poza UE, przekazanie musi mieć szczególną podstawę.
Najtrudniejsza jest minimalizacja danych. Jeśli prosisz AI o posortowanie zgłoszeń klientów, potrzebuje ona tego, co klient napisał – a nie imienia i nazwiska, e-maila, numeru telefonu i numeru konta.
Pozwól AI pracować bez prawdziwych nazwisk
Pseudonimizacja oznacza, że imiona i nazwiska, e-maile, numery identyfikacyjne i inne informacje są zastępowane stałymi kodami, np. [PERSON_1], zanim dane trafią do AI. Klucz zostaje u Ciebie. Gdy wraca odpowiedź, prawdziwe nazwiska są wstawiane z powrotem – ale tylko u Ciebie.
Tak to wygląda w GoalCube Data Vault. Po lewej są Twoje dane, które zostają w UE. Po prawej to, co widzi AI.
| Klient | Miasto | Temat | |
|---|---|---|---|
| Aleksandra Kamińska | aleksandra.kaminska@example.com | Łódź | Zwrot |
| Mateusz Wójcik | mateusz.wojcik@example.com | Kraków | Dostawa |
| Barbara Lewandowska | barbara.lewandowska@example.com | Lublin | Reklamacja |
| Tomasz Zieliński | tomasz.zielinski@example.com | Szczecin | Dostawa |
| Krzysztof Szymański | krzysztof.szymanski@example.com | Białystok | Zwrot |
Zgłoszenie Dzień dobry, nazywam się Aleksandra Kamińska. Dwa tygodnie temu odesłałam zamówienie 7012345678, a zwrotu pieniędzy nadal nie ma. Czy możecie przelać go na konto PL70 1020 1045 0000 1234 5678 9012? Pozdrawiam, Aleksandra
| Klient | Miasto | Temat | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Zwrot |
| [PERSON_2] | [EMAIL_2] | [STED] | Dostawa |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamacja |
| [PERSON_4] | [EMAIL_4] | [STED] | Dostawa |
| [PERSON_5] | [EMAIL_5] | [STED] | Zwrot |
Zgłoszenie Dzień dobry, nazywam się [PERSON_1]. Dwa tygodnie temu odesłałam zamówienie [ID_1], a zwrotu pieniędzy nadal nie ma. Czy możecie przelać go na konto [IBAN_1]? Pozdrawiam, [PERSON_1]
Aleksandra Kamińska i Krzysztof Szymański czekają na zwrot pieniędzy i powinni dostać odpowiedź dziś. Tomasz Zieliński czeka na paczkę od 10 dni. Szkic odpowiedzi (adresat: Aleksandra Kamińska): "Dzień dobry, dziękujemy za cierpliwość. Zwrot jest w drodze i będzie na koncie w ciągu 5 dni roboczych."
[PERSON_1] i [PERSON_5] czekają na zwrot pieniędzy i powinni dostać odpowiedź dziś. [PERSON_4] czeka na paczkę od 10 dni. Szkic odpowiedzi (adresat: [PERSON_1]): "Dzień dobry, dziękujemy za cierpliwość. Zwrot jest w drodze i będzie na koncie w ciągu 5 dni roboczych."
| Kandydat | Data urodzenia | PESEL | Pracodawca | Doświadczenie |
|---|---|---|---|---|
| Magdalena Dąbrowska | 1985-03-12 | 85031245126 | Zakłady Wartańskie S.A. | 12 |
| Paweł Jabłoński | 1992-11-02 | 92110277318 | Logistyka Nadodrzańska S.A. | 4 |
| Joanna Michalska | 1988-06-21 | 88062130988 | Metalurgia Podkarpacka S.A. | 9 |
| Robert Pawlak | 1979-01-30 | 79013055212 | Farmacja Bałtycka S.A. | 18 |
CV Magdalena Dąbrowska od 12 lat prowadzi budżety i miesięczne raporty w firmie Zakłady Wartańskie S.A., wdrożyła nowy system ERP i kieruje zespołem trzech osób. Kontakt: magdalena.dabrowska@example.com.
| Kandydat | Data urodzenia | PESEL | Pracodawca | Doświadczenie |
|---|---|---|---|---|
| [PERSON_1] | 40–49 lat | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 lat | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 lat | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 lat | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] od 12 lat prowadzi budżety i miesięczne raporty w firmie [VIRKSOMHED_1], wdrożyła nowy system ERP i kieruje zespołem trzech osób. Kontakt: [EMAIL_1].
Magdalena Dąbrowska i Joanna Michalska mają ponad 5 lat doświadczenia i warto zaprosić ich na rozmowę. Joanna Michalska: zapytaj o doświadczenie z systemami ERP. Paweł Jabłoński ma 4 lata doświadczenia, a wymagane jest 5. Decyzję podejmuje człowiek.
[PERSON_1] i [PERSON_3] mają ponad 5 lat doświadczenia i warto zaprosić ich na rozmowę. [PERSON_3]: zapytaj o doświadczenie z systemami ERP. [PERSON_2] ma 4 lata doświadczenia, a wymagane jest 5. Decyzję podejmuje człowiek.
| Dostawca | Kontakt | Konto | Wygasa |
|---|---|---|---|
| Komponenty Mazowsze S.A. | Piotr Witkowski | PL18 1160 2236 0000 0123 4567 8901 | 2027-01-31 |
| Chmura Nadbałtycka S.A. | Marta Czarnecka | PL48 2490 0005 0000 4567 8901 2345 | 2026-12-31 |
| Precyzja Wielkopolska S.A. | Szymon Borkowski | PL11 1050 1555 0000 1122 3344 5566 | 2028-06-30 |
| Opakowania Podlaskie S.A. | Natalia Pietrzak | PL30 1240 1111 0000 2233 4455 6677 | 2027-03-31 |
Warunki Komponenty Mazowsze S.A. dostarcza komponenty specjalne do projektu Szafir. Cena jest co roku waloryzowana o wskaźnik inflacji plus 3%. Odpowiedzialność jest ograniczona do 10% rocznej wartości umowy. Osoba do kontaktu w sprawie zmian: Piotr Witkowski.
| Dostawca | Kontakt | Konto | Wygasa |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Warunki [VIRKSOMHED_1] dostarcza komponenty specjalne do projektu [PROJEKT_1]. Cena jest co roku waloryzowana o wskaźnik inflacji plus 3%. Odpowiedzialność jest ograniczona do 10% rocznej wartości umowy. Osoba do kontaktu w sprawie zmian: [PERSON_1].
Umowa z firmą Komponenty Mazowsze S.A. przedłuża się automatycznie, jeśli nie zostanie wypowiedziana do 31 października. Jest ważna dla wewnętrznego projektu, więc lepiej renegocjować cenę, niż wypowiadać. Umowa z firmą Opakowania Podlaskie S.A. też przedłuża się automatycznie; termin wypowiedzenia to 31 grudnia.
Umowa z firmą [VIRKSOMHED_1] przedłuża się automatycznie, jeśli nie zostanie wypowiedziana do 31 października. Jest ważna dla wewnętrznego projektu, więc lepiej renegocjować cenę, niż wypowiadać. Umowa z firmą [VIRKSOMHED_4] też przedłuża się automatycznie; termin wypowiedzenia to 31 grudnia.
Fikcyjne dane. Wskaż nazwisko lub pseudonim, by zobaczyć, co do siebie należy.
Płeć też rzadko ma znaczenie dla zadania i nie może wpływać na ocenę. W tekstach po angielsku i w językach skandynawskich GoalCube zastępuje więc także „ona” i „on” formą neutralną.
Wypróbuj
Wpisz lub wklej tekst. Dodaj własne poufne słowa – np. nazwę projektu lub ważnego klienta – i zobacz, co dostałaby AI.
Czego pseudonimizacja nie załatwia
Pseudonimizacja to silne narzędzie, ale nie rozwiązuje wszystkiego:
- Dane nadal są dla Ciebie danymi osobowymi. Nadal potrzebujesz podstawy prawnej, umów i kontroli nad usuwaniem.
- Swobodny tekst może zdradzić osobę. „Nasza jedyna inżynierka w Gliwicach” jest rozpoznawalna bez nazwiska. Dlatego GoalCube pokazuje ryzyko rozpoznania dla każdego rekordu.
- AI nadal może się mylić. Decyzje o ludziach musi podejmować człowiek – zobacz artykuł o decyzji człowieka według art. 22 RODO.
Jak to zrobić
- Zapisz zastosowanie.W czym ma pomagać AI i jakich danych potrzebuje? To pierwszy krok zarówno do RODO, jak i do AI Act.
- Sprawdź podstawę i cel.Potrzebujesz podstawy prawnej do przetwarzania informacji, a nowy cel musi pasować do celu, w którym dane zebrano.
- Sprawdź dostawcę AI.Czy masz umowę powierzenia? Czy dostawca używa Twoich danych do trenowania modeli? Gdzie dane są przetwarzane?
- Usuń to, czego AI nie potrzebuje.Imiona, nazwiska, e-maile, numery identyfikacyjne, numery kont i adresy rzadko są potrzebne do wykonania zadania. Zastąp je pseudonimami przed wysłaniem danych.
- Trzymaj klucz w UE.Prawdziwe nazwiska pokazuj tylko u siebie, np. gdy wraca odpowiedź AI.
- Rozważ ocenę skutków.Jeśli AI systematycznie ocenia np. kandydatów lub pracowników, ocena skutków dla ochrony danych (DPIA) może być wymagana.
Co mówi prawo
- RODO, art. 5 – zasady
- Między innymi ograniczenie celu i minimalizacja danych: używaj tylko informacji niezbędnych do celu.
- RODO, art. 4 pkt 5 i motyw 26 – pseudonimizacja
- Dane, których nie da się przypisać osobie bez klucza przechowywanego osobno. Kto ma klucz, nadal przetwarza dane osobowe.
- RODO, art. 25 i 32 – ochrona danych w fazie projektowania i bezpieczeństwo
- Pseudonimizacja jest wprost wymieniona jako środek, który może chronić osoby, których dane dotyczą.
- RODO, art. 28 – podmiot przetwarzający
- Jeśli dostawca przetwarza dla Ciebie dane osobowe, musi istnieć umowa powierzenia.
- RODO, art. 35 – ocena skutków dla ochrony danych
- Wymagana, gdy przetwarzanie może powodować wysokie ryzyko, np. systematyczna ocena osób.
- RODO, art. 44 – przekazywanie danych poza UE
- Dane osobowe wolno przekazywać do państw poza UE/EOG tylko na szczególnej podstawie, np. decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych.
Pytania i odpowiedzi
Czy dane spseudonimizowane są anonimowe?
Nie. Dopóki ktoś – np. Ty – ma klucz do odnalezienia prawdziwych nazwisk, dane nadal są danymi osobowymi w rozumieniu RODO. Pseudonimizacja zmniejsza ryzyko, ale nie zwalnia z przepisów.
Czy możemy wkleić CV bezpośrednio do ChatGPT?
Może to być dozwolone z podstawą prawną i umową z dostawcą, ale CV zawiera wiele rzeczy, których AI nie potrzebuje: imię i nazwisko, adres, wiek i często płeć. To właśnie informacje, które mogą wpłynąć na ocenę. Najpierw usuń je lub zastąp pseudonimami.
Czy AI trenuje się na naszych danych?
To zależy od usługi i Twojej umowy. Wiele wersji biznesowych domyślnie nie używa danych klientów do trenowania, ale sprawdź to w swojej umowie i ustawieniach.
Co jeśli dostawca jest poza UE?
Wtedy przekazanie musi mieć szczególną podstawę. Przy pseudonimizacji w UE prawdziwe nazwiska w ogóle nie opuszczają UE – AI dostaje tylko pseudonimy.
Czy to dotyczy też poufnych danych firmowych?
RODO dotyczy tylko danych osobowych, ale ta sama metoda chroni też nazwy klientów, umowy, ceny i wewnętrzne nazwy projektów. W GoalCube możesz wpisać własne poufne słowa, które zawsze są ukrywane.
Źródła
Autor redakcja GoalCube. Ostatnia aktualizacja 11 października 2026. GoalCube pomaga stosować AI Act i RODO. To nie jest porada prawna.
Bądź wśród pierwszych.
Planujemy start w listopadzie 2026. Zapisz się, a odezwiemy się, gdy będzie można zacząć.