AI w firmie a RODO: ryzyka wprowadzania danych do ChatGPT

Sprawdź, jakie ryzyka prawne niesie wklejanie danych klientów i kodu źródłowego do ChatGPT.

Wprowadzanie danych klientów, pracowników czy kodu źródłowego do publicznych narzędzi AI, takich jak ChatGPT, może prowadzić do naruszenia RODO oraz utraty ochrony tajemnicy przedsiębiorstwa. Problem nie dotyczy wyłącznie technologii, lecz przede wszystkim sposobu, w jaki firma organizuje pracę zespołów.

Czy dane klientów wklejone do ChatGPT są danymi osobowymi?

Tak, jeśli pozwalają zidentyfikować konkretną osobę. Rozporządzenie UE 2016/679 (RODO) w art. 4 pkt 1 określa dane osobowe szeroko, obejmując wszystko, co łączy się z człowiekiem w sposób pozwalający go wskazać. Dobrym przykładem jest sytuacja, w której księgowy wprowadza do narzędzia numer PESEL oraz dane podatkowe swoich klientów, żeby szybciej przygotować zestawienie. Tego rodzaju informacje mają wysoki stopień wrażliwości, a ich ujawnienie podmiotowi zewnętrznemu wymaga przemyślanej podstawy prawnej.

Czy anonimizacja u dostawcy AI chroni dane?

Nie w pełni. Wytyczne Europejskiej Rady Ochrony Danych (EROD) wskazują, że anonimizacja przeprowadzona po stronie dostawcy nie oznacza trwałego usunięcia danych. Firma nie ma wpływu na to, co dzieje się z informacjami po ich przekazaniu, dlatego nie powinna zakładać, że „zamaskowanie” danych w narzędziu rozwiązuje problem.

Warto też pamiętać, że polityka prywatności części dostawców dopuszcza wykorzystanie wprowadzonych treści do uczenia modeli. Oznacza to, że dane mogą trafić poza kontrolę firmy, nawet gdy użytkownik uznaje sprawę za zamkniętą.

Jakie kary grożą za naruszenie RODO?

Za naruszenie RODO grozi administracyjna kara pieniężna. Sam fakt jej nałożenia nie jest jednak najbardziej dotkliwy. Art. 5 ust. 1 lit. f RODO wymaga zapewnienia integralności i poufności danych, a art. 5 ust. 2 nakłada na administratora zasadę rozliczalności, czyli obowiązek wykazania, że przestrzega przepisów. Firma, która nie potrafi pokazać zasad i kontroli, stoi w trudnej pozycji.

Osobny problem to art. 82 RODO, który daje klientowi prawo do odszkodowania za szkodę wynikającą z naruszenia. Ryzyko roszczeń cywilnych bywa więc równie istotne jak ryzyko administracyjne.

Obszar ryzyka	Podstawa prawna	Na co zwrócić uwagę
Dane osobowe klientów	RODO, art. 4 pkt 1	Identyfikatory, np. PESEL, i dane finansowe
Bezpieczeństwo danych	RODO, art. 5 ust. 1 lit. f	Poufność i integralność informacji
Odpowiedzialność firmy	RODO, art. 5 ust. 2	Brak dokumentacji zasad i kontroli
Roszczenia klientów	RODO, art. 82	Szkoda po stronie osoby, której dane dotyczą

Czy kod źródłowy wklejony do AI traci ochronę?

Może ją stracić. Ustawa z 16.04.1993 o zwalczaniu nieuczciwej konkurencji w art. 11 ust. 2 chroni tajemnicę przedsiębiorstwa, ale wymaga, by przedsiębiorca dokładał należytej staranności w utrzymaniu poufności. Kiedy inżynier wkleja autorski kod do publicznego narzędzia, sąd lub kontrahent może uznać, że firma tej staranności nie zachowała.

Tu pojawia się prosta zależność: im łatwiej dane trafiają poza firmę, tym trudniej wykazać, że poufność była chroniona. Ochrona prawna zależy więc od procedur, a nie tylko od intencji pracownika.

Czy AI może przygotować rozliczenie podatkowe?

AI może pomóc w pracy, ale nie może zastąpić biegłego ani doradcy podatkowego. Zgodnie z ustawą z 26.07.1991 o podatku dochodowym od osób fizycznych, art. 22 ust. 1, odpowiedzialność za rozliczenia spoczywa na podatniku. Organy skarbowe przyjmują zatem, że błąd wygenerowany przez algorytm obciąża osobę, która go nie wychwyciła.

Szczególnie istotne jest to, że błędy AI zaniżające zobowiązanie są traktowane jako zawinione przez podatnika. Tłumaczenie się „winą algorytmu” w sporze z organem nie działa na korzyść, a wręcz może być okolicznością obciążającą.

Co to oznacza dla Ciebie?

Jeśli korzystasz z AI w pracy lub prowadzisz firmę, nie traktuj narzędzi generatywnych jak zwykłego edytora tekstu. Przed wklejeniem czegokolwiek zadaj sobie trzy pytania: czy dane pozwalają zidentyfikować człowieka, czy informacja stanowi tajemnicę firmy i czy potrafisz sprawdzić wynik, zanim trafi do dokumentu urzędowego.

Dla właściciela firmy praktycznym krokiem jest spisanie zasad korzystania z AI: które dane są zakazane, które narzędzia są dopuszczone i kto odpowiada za weryfikację wyników. Taka dokumentacja jest też konkretnym dowodem rozliczalności, o którą pyta RODO. Dla księgowych i osób rozliczających podatki kluczowa pozostaje ręczna kontrola każdej liczby, bo odpowiedzialność nie przechodzi na oprogramowanie.