Umowa powierzenia z dostawcą AI: co warto sprawdzić?
Krótka odpowiedź
Gdy usługa AI przetwarza dane osobowe w Twoim imieniu, jest podmiotem przetwarzającym, a Ty potrzebujesz umowy powierzenia przetwarzania danych osobowych na podstawie art. 28 RODO. Duże usługi mają standardowe umowy w planach firmowych. Sprawdź zwłaszcza: czy dane są przetwarzane wyłącznie na Twoje polecenie (bez trenowania), gdzie są przetwarzane i jaka jest podstawa przekazania, kim są podmioty podprzetwarzające oraz jak wyglądają usuwanie danych i bezpieczeństwo. Plany darmowe i prywatne zwykle nie mają umowy.
Stan u dużych usług
| Usługa | Plany | Trenuje na Twoich danych? | Dane w UE? | Umowa powierzenia? | Własne connectory? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, USA | Business (dawniej Team) i Enterprise | Nie. Dane firmy domyślnie nie są używane do trenowania. | Tylko Enterprise: nowe przestrzenie robocze mogą mieć dane przechowywane i przetwarzane w UE. Nie dotyczy Business. | Tak. Umowa powierzenia przetwarzania danych jest częścią umowy (OpenAI Ireland dla klientów z UE). | Tak. Własne connectory w trybie dewelopera; włącza je administrator. |
| Claude Anthropic, USA | Team i Enterprise | Nie. Dane nie są używane do trenowania, chyba że firma sama się na to zgodzi. | Nie. Dane są przechowywane w USA; nie ma wyboru przechowywania w UE. | Tak. Umowa powierzenia przetwarzania danych wchodzi automatycznie w skład warunków komercyjnych. | Tak. Właściciel dodaje własne connectory dla całej organizacji. |
| Microsoft 365 Copilot Microsoft, USA | Dodatek do Microsoft 365 dla firm | Nie. Polecenia, odpowiedzi i dane firmy nie są używane do trenowania. | Tak, w ramach EU Data Boundary. Nowi klienci z UE mogą jednak mieć zapytania przetwarzane poza UE przy dużym obciążeniu (flex routing), co można wyłączyć. | Tak. Objęte warunkami produktowymi Microsoftu i umową powierzenia przetwarzania danych. | Tak, przez agentów w Copilot Studio. Wymóg licencji nie został potwierdzony. |
| Vibe (tidl. Le Chat) Mistral AI, Francja | Pro, Team i Enterprise | Pro i Team: tak domyślnie; administrator musi to wyłączyć. Enterprise: nie. | Serwery w UE (Szwecja). Niektóre funkcje mogą wysyłać dane poza UE; wyłączyć to może tylko Enterprise. | Tak. Nie potwierdzono, czy obejmuje plany Pro i Team. | Tak. Administrator może dodawać własne connectory. |
| Gemini i Google Workspace Google, USA | Workspace Business i Enterprise | Nie. Dane Workspace i polecenia nie są używane do trenowania bez zgody. | Przechowywanie i przetwarzanie w UE tylko z Enterprise Plus albo z dokupionym Data Regions. Business: tylko przechowywanie. | Tak. Administrator musi ją zaakceptować w konsoli administracyjnej, jeśli nie ma jej jeszcze w umowie. | Nie potwierdzono dla Gemini w Workspace. |
Sprawdzono 9 października 2026. Plany darmowe i prywatne (ChatGPT Free/Plus, Claude Free/Pro, aplikacja Gemini, Vibe Free) nie mają umowy powierzenia przetwarzania danych i mogą trenować na danych. Nie nadają się do danych osobowych firmy.
Pułapka: funkcje AI w innych narzędziach
Wiele narzędzi dostało funkcje AI – CRM, księgowość, poczta. Sprawdź, czy umowa obejmuje także funkcję AI i czy wysyła ona dane do podmiotu podprzetwarzającego takiego jak OpenAI lub Anthropic.
Jak to zrobić
- Polecenie.Dane mogą być używane tylko do świadczenia usługi na Twoją rzecz – nie do trenowania.
- Lokalizacja i przekazanie.Gdzie dane są przetwarzane i na jakiej podstawie?
- Podmioty podprzetwarzające.Kim są i jak dostaniesz informację o zmianach?
- Usuwanie i przechowywanie.Jak długo przechowywane są prompty i odpowiedzi?
- Bezpieczeństwo i naruszenia.Jakie środki i jak szybko dostaniesz informację o naruszeniu?
Co mówi prawo
- RODO, art. 28 – podmiot przetwarzający
- Ust. 3 wymienia, co musi zawierać umowa.
- Standardowe klauzule umowne Komisji (UE) 2021/915 – art. 28
- Standardowe postanowienia, które mogą służyć jako umowa powierzenia.
Pytania i odpowiedzi
Czy ChatGPT ma umowę powierzenia?
Tak, w Business i Enterprise. Dla klientów z UE zawiera się ją z OpenAI Ireland.
Czy musimy coś podpisać u Anthropic?
Umowa powierzenia wchodzi automatycznie w skład warunków komercyjnych Anthropic.
Czy GoalCube jest podmiotem przetwarzającym?
Tak, GoalCube przetwarza dane osobowe w Twoim imieniu w UE i zawiera umowę powierzenia. Usługa AI dostaje tylko pseudonimy.
Źródła
Autor redakcja GoalCube. Ostatnia aktualizacja 11 października 2026. GoalCube pomaga stosować AI Act i RODO. To nie jest porada prawna.
Bądź wśród pierwszych.
Planujemy start w listopadzie 2026. Zapisz się, a odezwiemy się, gdy będzie można zacząć.