AI a RODO w obsłudze klientów: ChatGPT, Claude i transfer danych do USA

Klient wysyła zapytanie przez formularz na Twojej stronie, a ktoś z zespołu wkleja je do ChatGPT albo Claude, żeby szybciej przygotować odpowiedź. Wygodne. Tylko że w tym momencie dane klienta trafiają do dostawcy, który przetwarza je m.in. na serwerach w Stanach Zjednoczonych… a RODO ma o tym sporo do powiedzenia.

Niedawno przygotowywaliśmy politykę prywatności dla firmy, która tak właśnie pracuje, i sprawdzaliśmy u źródła każdego dostawcę z USA. Poniżej wyjaśniam, co musisz ustawić, żeby korzystanie z AI było zgodne z RODO, zanim ktoś wklei pierwsze zapytanie: kto jest odbiorcą danych, dlaczego liczy się plan narzędzia, na jakiej podstawie dane trafiają do USA i co z oceną zapytań przez AI.

Zapytanie klienta wklejone do AI to przekazanie danych osobowych

Zapytanie prawie zawsze zawiera dane osobowe: imię i nazwisko, adres e-mail, telefon, stanowisko. Jeśli wklejasz je do narzędzia AI, jego dostawca przetwarza te dane. W języku RODO jest odbiorcą danych (art. 4 pkt 9 RODO).

A skoro jest odbiorcą, musi się pojawić w dwóch miejscach:

• w polityce prywatności, bo art. 13 ust. 1 lit. e i f RODO każe podać odbiorców danych i poinformować o przekazaniu danych poza Europejski Obszar Gospodarczy (EOG, czyli Unię Europejską z Norwegią, Islandią i Liechtensteinem),
• w rejestrze czynności przetwarzania, który według art. 30 ust. 1 lit. d i e RODO wskazuje kategorie odbiorców i przekazania danych do państw spoza EOG.

Narzędzie AI, którego nie ma w żadnym dokumencie, to przetwarzanie, o którym klient się nie dowie. A polityka prywatności to tylko część dokumentów, o czym piszę we wpisie RODO to nie tylko polityka prywatności.

ChatGPT i Claude: konto prywatne czy plan firmowy

To ten sam program, ale dwie różne sytuacje prawne. Wszystko zależy od tego, czy pracownik loguje się na konto prywatne, czy na plan firmowy.

Na planie firmowym dostawca jest Twoim podmiotem przetwarzającym, czyli przetwarza dane na Twoje polecenie, na podstawie umowy powierzenia (art. 28 RODO). Anthropic, twórca Claude, w warunkach komercyjnych włącza do umowy swoją umowę powierzenia i zobowiązuje się, że nie będzie trenował modeli na treściach klienta (dotyczy to też dostępu przez API). OpenAI, twórca ChatGPT, podpisuje umowę powierzenia dla ChatGPT Business, ChatGPT Enterprise i API (dostępu dla programistów) i deklaruje, że domyślnie nie trenuje modeli na danych firm (prywatność w usługach OpenAI dla firm).

Na koncie prywatnym jest inaczej. Polityka prywatności Anthropic mówi, że dla użytkowników z Europy administratorem danych jest sam Anthropic (spółka Anthropic Ireland), a treść rozmów może służyć do trenowania modeli, chyba że użytkownik to wyłączy. Nawet po wyłączeniu rozmowy oznaczone do kontroli bezpieczeństwa albo zgłoszone przez użytkownika mogą posłużyć do ulepszania modeli. Na stronie z cennikiem Claude plany Free, Pro i Max mają trenowanie z możliwością wyłączenia, a plany Team i Enterprise domyślnie nie trenują modeli na treściach. Przy ChatGPT jest podobnie: europejska polityka prywatności OpenAI przewiduje użycie treści do trenowania modeli, z możliwością wyłączenia.

Podobnie jest ze skrzynką, z której piszesz do klientów: umowę powierzenia trzeba mieć także z dostawcą poczty, a darmowe konta różnią się pod tym względem. Co mówią ich regulaminy, opisujemy we wpisie Darmowa poczta firmowa a RODO: Gmail, WP, Onet i Interia.

To ważne, bo jeśli w polityce napiszesz, że dostawca AI jest podmiotem przetwarzającym i nie trenuje modeli, a zespół korzysta z prywatnych kont, ten zapis jest po prostu nieprawdziwy. Dlatego zanim cokolwiek wpiszesz, sprawdź, z jakiego planu ludzie faktycznie korzystają. Konta prywatne? Albo przejdź na plan firmowy, albo nie wklejaj do nich danych osobowych z zapytań. Z pocztą jest zresztą to samo, o czym piszę we wpisie Firmowy e-mail a RODO.

Data Privacy Framework: nie każdy dostawca z USA w nim jest

Dane do USA możesz przekazać tylko na jednej z podstaw z rozdziału V RODO. Przy dostawcach narzędzi najczęściej spotkasz dwie:

• Data Privacy Framework (DPF), czyli unijno-amerykańskie ramy ochrony danych. Komisja Europejska uznała w decyzji 2023/1795 z 10 lipca 2023 r., że USA zapewniają odpowiedni stopień ochrony danych przekazywanych do firm z oficjalnej listy DPF (art. 45 RODO). Firmy spoza listy tej podstawy nie mają.
• Standardowe klauzule umowne (SCC), czyli wzór umowy zatwierdzony przez Komisję w decyzji 2021/914. Odbiorca spoza EOG zobowiązuje się w nim chronić dane według standardów RODO (art. 46 ust. 2 lit. c).

Sprawdziłem na oficjalnej liście uczestników DPF narzędzia, które często spotykam w firmach. Stan na 5 października 2026 r.:

Spółka z USA	Na liście DPF?
Google LLC (Analytics, Ads)	tak
Microsoft Corporation (Microsoft 365)	tak
LinkedIn Corporation	tak
Calendly LLC	tak
Anthropic PBC (Claude)	nie
OpenAI (ChatGPT)	nie

Anthropic nie powołuje się na DPF. W polityce prywatności wymienia decyzje o odpowiednim stopniu ochrony (dla krajów, które je mają) i standardowe klauzule umowne, a jego umowa powierzenia odsyła do klauzul z decyzji 2021/914. Dla firm z EOG stroną umowy z Anthropic jest irlandzka spółka Anthropic Ireland, a ona przekazuje dane dalej do USA właśnie na podstawie klauzul. OpenAI w europejskiej polityce prywatności wskazuje te same dwie podstawy. Dla Ciebie znaczy to jedno: przy Claude i ChatGPT w polityce prywatności podstawą transferu są standardowe klauzule umowne, nie Data Privacy Framework.

U części dostawców z listy DPF umowy przewidują klauzule jako drugą podstawę, np. u Google i w umowie powierzenia Calendly. Pozostałe podstawy, takie jak wiążące reguły korporacyjne, opisuję we wpisie Transfer danych osobowych poza UE.

Jeśli obok AI korzystasz z Google czy Microsoftu, pamiętaj, że DPF może upaść. Trybunał Sprawiedliwości UE unieważnił już poprzedni mechanizm, Tarczę Prywatności (wyrok C-311/18). Obecne ramy Sąd UE utrzymał 3 września 2025 r. (wyrok T-553/23), ale francuski poseł Philippe Latombe odwołał się do Trybunału (sprawa C-703/25 P), a kiedy piszę ten tekst, sprawa czeka na rozstrzygnięcie.

Dlatego przy dostawcach z DPF warto mieć klauzule jako drugą podstawę i wpisać ją do dokumentów. Przy Claude i ChatGPT klauzule są i tak jedyną podstawą.

Ocena zapytań przez AI a art. 22 RODO

AI może też oceniać zapytania: które jest pilne, które pasuje do oferty, komu je przypisać. Taka ocena (scoring) może być profilowaniem, czyli w języku RODO zautomatyzowaną oceną cech osoby na podstawie jej danych (art. 4 pkt 4), więc musi mieć podstawę i opis w polityce.

W polityce, którą przygotowywaliśmy, oparliśmy scoring na prawnie uzasadnionym interesie firmy (art. 6 ust. 1 lit. f RODO). Interesem jest przypisanie zapytania właściwej osobie i ustalenie kolejności obsługi. Do tego dwa zdania, które muszą być prawdziwe w praktyce:

• wynik oceny służy tylko organizacji pracy, a każde zapytanie dostaje odpowiedź,
• odpowiedź wysyła i o współpracy decyduje człowiek, który sprawdza to, co przygotowało AI.

Wtedy nie zapada decyzja oparta wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje wobec osoby skutki prawne albo w podobny sposób istotnie na nią wpływa. Art. 22 RODO daje każdemu prawo, by takiej decyzji nie podlegać, a art. 13 ust. 2 lit. f każe informować o takich decyzjach, jeśli zapadają. Moim zdaniem warto napisać w polityce wprost, że ich nie ma. Dodaj też informację o prawie do sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu (art. 21 ust. 1).

Najczęstsze pytania o AI a RODO

AI w obsłudze klientów - od czego zacząć

Jeśli chcesz, żebyśmy sprawdzili, jak Twoja firma korzysta z AI, i przygotowali brakujące zapisy w polityce i rejestrze, zobacz, co obejmuje dokumentacja RODO.