Pracownik wkleił dane osobowe do ChatGPT. Co teraz robimy?
Krótka odpowiedź
Zachowaj spokój i działaj szybko. Ustal, jakie dane wysłano, do jakiej usługi i w jakim planie. Usuń rozmowę i wyłącz trenowanie. Oceń, czy doszło do naruszenia ochrony danych osobowych: jeśli prawdopodobnie powoduje ono ryzyko dla osób, zgłoś je do UODO w ciągu 72 godzin. Przy wysokim ryzyku poinformuj też te osoby. Zawsze udokumentuj zdarzenie – także gdy nie trzeba go zgłaszać – i wyciągnij z niego wnioski.
Co bierze się pod uwagę w ocenie?
| Zwiększa ryzyko | Zmniejsza ryzyko |
|---|---|
| Dane wrażliwe, numery PESEL, numery kont | Tylko imiona i nazwiska oraz służbowe e-maile |
| Wiele osób | Kilka osób |
| Darmowy plan z trenowaniem | Plan biznesowy bez trenowania i z umową |
| Danych nie da się usunąć | Rozmowa została usunięta |
Zapobiegaj zamiast naprawiać
Z GoalCube pracownicy mogą używać AI na prawdziwych danych, bo AI widzi tylko kody. A jeśli jakieś nazwisko mimo wszystko trafi do odpowiedzi AI, wykryje to kontrola wycieków w GoalCube.
Jak to zrobić
- Zatrzymaj dalsze udostępnianie.Poproś pracownika, by przestał i zapisał zrzut ekranu.
- Ustal zakres.Jakie dane, ile osób, jaka usługa i jaki plan.
- Ogranicz szkody.Usuń rozmowę, wyłącz trenowanie i, jeśli to możliwe, skontaktuj się z dostawcą.
- Oceń ryzyko.Dane wrażliwe, numery identyfikacyjne lub wiele osób zwiększają ryzyko.
- Zgłoś, jeśli jest ryzyko.Do UODO w ciągu 72 godzin od stwierdzenia naruszenia.
- Udokumentuj i wyciągnij wnioski.Każde naruszenie trzeba udokumentować wewnętrznie. Zaktualizuj politykę i szkolenie.
Co mówi prawo
- RODO, art. 33 – zgłoszenie naruszenia organowi nadzorczemu
- W ciągu 72 godzin, chyba że naruszenie raczej nie powoduje ryzyka.
- RODO, art. 34 – zawiadomienie osoby, której dane dotyczą
- Przy wysokim ryzyku dla praw osób.
Pytania i odpowiedzi
Czy to zawsze jest naruszenie?
Nie zawsze. Jeśli dane trafiły do planu biznesowego z umową powierzenia, może to być raczej błąd w zakresie celu niż naruszenie. Oceń konkretną sytuację.
Jak uniknąć tego następnym razem?
Dobra alternatywa to zatwierdzone narzędzie, w którym AI widzi tylko pseudonimy – wtedy nie ma znaczenia, że pracownik użyje prawdziwych danych.
Źródła
Autor redakcja GoalCube. Ostatnia aktualizacja 11 października 2026. GoalCube pomaga stosować AI Act i RODO. To nie jest porada prawna.
Bądź wśród pierwszych.
Planujemy start w listopadzie 2026. Zapisz się, a odezwiemy się, gdy będzie można zacząć.