Czy możemy wysyłać dane osobowe do amerykańskiej AI? Przekazywanie danych według RODO
Krótka odpowiedź
Tak, ale tylko na określonej podstawie. Jeśli amerykański dostawca AI jest uczestnikiem EU-US Data Privacy Framework (decyzja Komisji z lipca 2023 r.), przekazanie może się na niej opierać. W przeciwnym razie stosuje się standardowe klauzule umowne wraz z oceną przekazania. Sąd UE podtrzymał Data Privacy Framework we wrześniu 2025 r., ale sprawa trafiła do Trybunału Sprawiedliwości UE. Najbezpieczniejsza droga: prawdziwe dane osobowe zostają w UE – pseudonimizuj przed wysłaniem i trzymaj klucz u siebie.
Trzy drogi
| Droga | Czego wymaga | Ryzyko |
|---|---|---|
| Data Privacy Framework | Dostawca uczestniczy w programie | Zależy od sprawy przed TSUE |
| Standardowe klauzule umowne | Umowa i ocena przekazania | Wymaga pracy i dokumentacji |
| Imiona i nazwiska zostają w UE | Pseudonimizacja w UE przed AI | Najmniejsze – ale dla Ciebie to nadal dane osobowe |
Jak GoalCube trzyma imiona i nazwiska w UE
| Klient | Miasto | Temat | |
|---|---|---|---|
| Aleksandra Kamińska | aleksandra.kaminska@example.com | Łódź | Zwrot |
| Mateusz Wójcik | mateusz.wojcik@example.com | Kraków | Dostawa |
| Barbara Lewandowska | barbara.lewandowska@example.com | Lublin | Reklamacja |
| Tomasz Zieliński | tomasz.zielinski@example.com | Szczecin | Dostawa |
| Krzysztof Szymański | krzysztof.szymanski@example.com | Białystok | Zwrot |
Zgłoszenie Dzień dobry, nazywam się Aleksandra Kamińska. Dwa tygodnie temu odesłałam zamówienie 7012345678, a zwrotu pieniędzy nadal nie ma. Czy możecie przelać go na konto PL70 1020 1045 0000 1234 5678 9012? Pozdrawiam, Aleksandra
| Klient | Miasto | Temat | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Zwrot |
| [PERSON_2] | [EMAIL_2] | [STED] | Dostawa |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamacja |
| [PERSON_4] | [EMAIL_4] | [STED] | Dostawa |
| [PERSON_5] | [EMAIL_5] | [STED] | Zwrot |
Zgłoszenie Dzień dobry, nazywam się [PERSON_1]. Dwa tygodnie temu odesłałam zamówienie [ID_1], a zwrotu pieniędzy nadal nie ma. Czy możecie przelać go na konto [IBAN_1]? Pozdrawiam, [PERSON_1]
Aleksandra Kamińska i Krzysztof Szymański czekają na zwrot pieniędzy i powinni dostać odpowiedź dziś. Tomasz Zieliński czeka na paczkę od 10 dni. Szkic odpowiedzi (adresat: Aleksandra Kamińska): "Dzień dobry, dziękujemy za cierpliwość. Zwrot jest w drodze i będzie na koncie w ciągu 5 dni roboczych."
[PERSON_1] i [PERSON_5] czekają na zwrot pieniędzy i powinni dostać odpowiedź dziś. [PERSON_4] czeka na paczkę od 10 dni. Szkic odpowiedzi (adresat: [PERSON_1]): "Dzień dobry, dziękujemy za cierpliwość. Zwrot jest w drodze i będzie na koncie w ciągu 5 dni roboczych."
| Kandydat | Data urodzenia | PESEL | Pracodawca | Doświadczenie |
|---|---|---|---|---|
| Magdalena Dąbrowska | 1985-03-12 | 85031245126 | Zakłady Wartańskie S.A. | 12 |
| Paweł Jabłoński | 1992-11-02 | 92110277318 | Logistyka Nadodrzańska S.A. | 4 |
| Joanna Michalska | 1988-06-21 | 88062130988 | Metalurgia Podkarpacka S.A. | 9 |
| Robert Pawlak | 1979-01-30 | 79013055212 | Farmacja Bałtycka S.A. | 18 |
CV Magdalena Dąbrowska od 12 lat prowadzi budżety i miesięczne raporty w firmie Zakłady Wartańskie S.A., wdrożyła nowy system ERP i kieruje zespołem trzech osób. Kontakt: magdalena.dabrowska@example.com.
| Kandydat | Data urodzenia | PESEL | Pracodawca | Doświadczenie |
|---|---|---|---|---|
| [PERSON_1] | 40–49 lat | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 lat | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 lat | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 lat | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] od 12 lat prowadzi budżety i miesięczne raporty w firmie [VIRKSOMHED_1], wdrożyła nowy system ERP i kieruje zespołem trzech osób. Kontakt: [EMAIL_1].
Magdalena Dąbrowska i Joanna Michalska mają ponad 5 lat doświadczenia i warto zaprosić ich na rozmowę. Joanna Michalska: zapytaj o doświadczenie z systemami ERP. Paweł Jabłoński ma 4 lata doświadczenia, a wymagane jest 5. Decyzję podejmuje człowiek.
[PERSON_1] i [PERSON_3] mają ponad 5 lat doświadczenia i warto zaprosić ich na rozmowę. [PERSON_3]: zapytaj o doświadczenie z systemami ERP. [PERSON_2] ma 4 lata doświadczenia, a wymagane jest 5. Decyzję podejmuje człowiek.
| Dostawca | Kontakt | Konto | Wygasa |
|---|---|---|---|
| Komponenty Mazowsze S.A. | Piotr Witkowski | PL18 1160 2236 0000 0123 4567 8901 | 2027-01-31 |
| Chmura Nadbałtycka S.A. | Marta Czarnecka | PL48 2490 0005 0000 4567 8901 2345 | 2026-12-31 |
| Precyzja Wielkopolska S.A. | Szymon Borkowski | PL11 1050 1555 0000 1122 3344 5566 | 2028-06-30 |
| Opakowania Podlaskie S.A. | Natalia Pietrzak | PL30 1240 1111 0000 2233 4455 6677 | 2027-03-31 |
Warunki Komponenty Mazowsze S.A. dostarcza komponenty specjalne do projektu Szafir. Cena jest co roku waloryzowana o wskaźnik inflacji plus 3%. Odpowiedzialność jest ograniczona do 10% rocznej wartości umowy. Osoba do kontaktu w sprawie zmian: Piotr Witkowski.
| Dostawca | Kontakt | Konto | Wygasa |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Warunki [VIRKSOMHED_1] dostarcza komponenty specjalne do projektu [PROJEKT_1]. Cena jest co roku waloryzowana o wskaźnik inflacji plus 3%. Odpowiedzialność jest ograniczona do 10% rocznej wartości umowy. Osoba do kontaktu w sprawie zmian: [PERSON_1].
Umowa z firmą Komponenty Mazowsze S.A. przedłuża się automatycznie, jeśli nie zostanie wypowiedziana do 31 października. Jest ważna dla wewnętrznego projektu, więc lepiej renegocjować cenę, niż wypowiadać. Umowa z firmą Opakowania Podlaskie S.A. też przedłuża się automatycznie; termin wypowiedzenia to 31 grudnia.
Umowa z firmą [VIRKSOMHED_1] przedłuża się automatycznie, jeśli nie zostanie wypowiedziana do 31 października. Jest ważna dla wewnętrznego projektu, więc lepiej renegocjować cenę, niż wypowiadać. Umowa z firmą [VIRKSOMHED_4] też przedłuża się automatycznie; termin wypowiedzenia to 31 grudnia.
Fikcyjne dane. Po lewej to, co zostaje w UE; po prawej to, co widzi AI w USA.
AI w USA widzi [PERSON_1], a nie Aleksandrę Kamińską. Klucz leży u GoalCube w UE, a imiona i nazwiska wracają do odpowiedzi dopiero u Ciebie.
Jak to zrobić
- Ustal, gdzie dane są przetwarzane.Sprawdź umowę dostawcy i swój plan.
- Sprawdź podstawę.Udział w Data Privacy Framework albo standardowe klauzule umowne.
- Wysyłaj jak najmniej.Imiona i nazwiska, adresy e-mail i numery identyfikacyjne są rzadko potrzebne.
- Trzymaj klucz w UE.Przy pseudonimizacji w UE prawdziwe imiona i nazwiska nie opuszczają UE.
- Miej plan B.Jeśli Data Privacy Framework upadnie, musisz móc działać dalej.
Co mówi prawo
- RODO, art. 44–49 – przekazywanie danych do państw trzecich
- Przekazanie tylko na podstawie decyzji stwierdzającej odpowiedni stopień ochrony, odpowiednich zabezpieczeń albo wyjątków.
- Decyzja wykonawcza Komisji (UE) 2023/1795 – EU-US Data Privacy Framework
- Decyzja stwierdzająca odpowiedni stopień ochrony dla uczestniczących firm amerykańskich od 10 lipca 2023 r.
- Decyzja wykonawcza Komisji (UE) 2021/914 – standardowe klauzule umowne
- Standardowe klauzule dla przekazywania danych do państw trzecich.
Pytania i odpowiedzi
Czy Data Privacy Framework nadal obowiązuje?
Tak, według stanu na październik 2026 r. Sąd UE oddalił skargę we wrześniu 2025 r., ale od wyroku wniesiono odwołanie do Trybunału Sprawiedliwości UE (sprawa C-703/25 P). Śledź sprawę i miej plan B.
Czy to przekazanie, jeśli AI widzi tylko pseudonimy?
Dla Ciebie dane pseudonimizowane to nadal dane osobowe, więc przepisy obowiązują. Ale ryzyko dla osób jest dużo mniejsze, gdy prawdziwe imiona i nazwiska oraz klucz zostają w UE.
A co z EU Data Boundary od Microsoftu?
Trzyma większość danych w UE, ale sprawdź wyjątki, takie jak flex routing w Copilocie.
Źródła
- Decyzja wykonawcza (UE) 2023/1795 w EUR-Lex
- Data Privacy Framework: lista uczestniczących firm
- UODO – Urząd Ochrony Danych Osobowych
Autor redakcja GoalCube. Ostatnia aktualizacja 11 października 2026. GoalCube pomaga stosować AI Act i RODO. To nie jest porada prawna.
Bądź wśród pierwszych.
Planujemy start w listopadzie 2026. Zapisz się, a odezwiemy się, gdy będzie można zacząć.