AI w firmie a RODO: jak bezpiecznie dać asystentowi dostęp do danych

W skrócie

• Ty jesteś administratorem danych klientów. Firma, która buduje i utrzymuje asystenta, jest podmiotem przetwarzającym (art. 4 i 28 RODO).
• Powierzenie danych wymaga umowy z elementami z art. 28 ust. 3 RODO. Bez niej nie zaczynaj.
• Minimalizacja danych w praktyce: asystent widzi tylko konta, które sam połączysz, i to z możliwie wąskimi uprawnieniami.
• Sprawdź, gdzie fizycznie są dane i czy trafiają poza Europejski Obszar Gospodarczy.
• Dziennik działań i tryb akceptacji pomagają wykazać, że panujesz nad przetwarzaniem.
• UODO opublikował 6 sierpnia 2026 r. listy pytań dla firm wdrażających AI, w tym osobną wersję dla małych i średnich firm.

To nie jest porada prawna

Nie jestem prawnikiem. Buduję asystentów AI, więc muszę znać przepisy, które ich dotyczą, i opisuję je tak, jak stosuję je w praktyce. Opieram się na tekście RODO i materiałach Urzędu Ochrony Danych Osobowych. Linki są na końcu.

Jeśli przetwarzasz dane o zdrowiu, dane dzieci albo chcesz, żeby AI oceniało ludzi, na przykład kandydatów do pracy, skonsultuj się z prawnikiem lub inspektorem ochrony danych. Ten tekst dotyczy typowej sytuacji: asystent odpowiada na maile, porządkuje dokumenty, przygotowuje oferty i posty.

Kto jest kim: administrator i podmiot przetwarzający

RODO rozróżnia dwie role, które trzeba ustalić na samym początku:

• Administrator (art. 4 pkt 7) decyduje, po co i jak przetwarza się dane. To Twoja firma. Klient pisze do Ciebie, nie do asystenta.
• Podmiot przetwarzający (art. 4 pkt 8) przetwarza dane w Twoim imieniu. To firma, która buduje i utrzymuje asystenta na swoim serwerze. W moim przypadku to ja.

Jest jeszcze trzeci uczestnik: dostawca modelu AI. Asystent wysyła mu fragmenty potrzebne do wykonania zadania, na przykład treść maila, na który ma przygotować odpowiedź. W moich wdrożeniach dzieje się to na koncie Twojej firmy u dostawcy, według jego warunków dla firm. Warto je przeczytać przed założeniem konta: gdzie dostawca przetwarza dane, jak długo je przechowuje i czy używa ich do trenowania modeli.

Wniosek praktyczny: dane klientów pozostają Twoje. Odpowiadasz za nie Ty, więc masz prawo wiedzieć, kto i gdzie je przetwarza.

Umowa powierzenia: co musi w niej być

Art. 28 ust. 3 RODO wymaga, żeby przetwarzanie przez podmiot przetwarzający opierało się na umowie. Przepis wymienia, co musi się w niej znaleźć. W uproszczeniu podmiot przetwarzający:

1. przetwarza dane tylko na Twoje udokumentowane polecenie;
2. zapewnia, że osoby z dostępem do danych zobowiązały się do poufności;
3. stosuje środki bezpieczeństwa z art. 32;
4. korzysta z dalszych podmiotów przetwarzających tylko na zasadach z art. 28 ust. 2 i 4, czyli za Twoją zgodą;
5. pomaga Ci realizować prawa osób, których dane dotyczą, na przykład prawo dostępu czy usunięcia;
6. pomaga Ci wywiązać się z obowiązków dotyczących bezpieczeństwa i zgłaszania naruszeń;
7. po zakończeniu współpracy usuwa albo zwraca dane, zależnie od Twojej decyzji;
8. udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyty.

Przy wdrożeniu asystenta zawieramy taką umowę. Opisujemy w niej, jakie dane asystent przetwarza, w jakim celu i kto jeszcze ma udział w przetwarzaniu. Więcej na stronie Bezpieczeństwo.

Minimalizacja danych: tylko to, czego asystent potrzebuje

Art. 5 ust. 1 lit. c RODO mówi o minimalizacji: dane mają być adekwatne i ograniczone do tego, co niezbędne. Art. 25 dodaje, że domyślne ustawienia mają chronić dane. W przypadku asystenta przekłada się to na konkretne decyzje.

Asystent ma dostęp wyłącznie do kont, folderów i narzędzi, które sam z nim połączysz. Do niczego innego nie zajrzy. Każde połączenie możesz w każdej chwili odłączyć.

Jak to wygląda w praktyce

• Osobna skrzynka zamiast prywatnej. Asystent obsługuje adres typu biuro@ albo sklep@, a nie Twoją prywatną skrzynkę z całą korespondencją.
• Podgląd zamiast edycji. Jeśli asystent ma tylko sprawdzać status zamówienia, dostaje uprawnienie do odczytu, bez możliwości zmiany danych.
• Wybrane foldery zamiast całego dysku. Asystent widzi folder z cennikami i wzorami ofert, a nie dokumenty kadrowe.
• Baza wiedzy bez zbędnych danych osobowych. Do nauki stylu wystarczą przykładowe odpowiedzi z usuniętymi nazwiskami i numerami telefonów.

Gdzie są dane i czy wyjeżdżają z UE

Przekazanie danych poza Europejski Obszar Gospodarczy jest dopuszczalne tylko na warunkach z rozdziału V RODO (art. 44 i kolejne). UODO w swoich materiałach dla przedsiębiorców wprost zaleca, żeby przed wdrożeniem sprawdzić, gdzie są serwery dostawcy narzędzia AI.

W moim przypadku asystent i jego dane, czyli baza wiedzy, uwagi i dziennik działań, działają na serwerze w Unii Europejskiej. Każda firma ma osobną, odizolowaną instancję: własną bazę danych, własne zaszyfrowane klucze i własne połączenia.

Osobno trzeba spojrzeć na dostawcę modelu AI, bo do niego trafiają fragmenty potrzebne do zadania. Lokalizację przetwarzania i podstawę ewentualnego transferu sprawdzasz w jego warunkach. To pytanie warto zadać każdemu, kto oferuje Ci narzędzie AI, nie tylko mnie.

Bezpieczeństwo, dziennik i tryb akceptacji

Art. 32 RODO wymaga środków bezpieczeństwa odpowiednich do ryzyka. Art. 5 ust. 2 dodaje zasadę rozliczalności: administrator musi umieć wykazać, że przestrzega przepisów. W asystencie AI pomagają w tym trzy mechanizmy.

Dziennik działań

Każde działanie asystenta trafia do dziennika: co zrobił, kiedy i na którym koncie. Jeśli klient zapyta, co dokładnie dostał od Twojej firmy, albo zażąda dostępu do swoich danych, sprawdzisz to w kilka minut.

Tryb akceptacji

Na start asystent niczego nie wysyła sam. To ważne także z punktu widzenia RODO. Art. 22 daje ludziom prawo, by nie podlegać decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, jeśli wywołują wobec nich skutki prawne lub podobnie istotnie na nich wpływają. Asystent przygotowuje materiał, a decyzję podejmuje człowiek. Asystenci, których buduję, nie oceniają kandydatów ani pracowników.

Klucze i logowanie

Klucz do modelu AI zakładasz na koncie swojej firmy i sam wklejasz go w panelu. Możesz go w każdej chwili unieważnić. Na kontach, które łączysz z asystentem, włącz logowanie dwuetapowe. Za bezpieczeństwo poczty czy profili w social mediach odpowiadają ich dostawcy i Ty.

Informowanie klientów i plan na wypadek wycieku

Art. 13 i 14 RODO wymagają, żeby osoby, których dane przetwarzasz, wiedziały, kto i w jakim celu to robi oraz komu dane są ujawniane. Jeśli wdrażasz asystenta, uzupełnij politykę prywatności o informację, że korespondencję obsługuje narzędzie AI i jacy odbiorcy uczestniczą w przetwarzaniu.

To nie to samo co obowiązek z AI Act. Od 2 sierpnia 2026 r. osoba rozmawiająca z asystentem AI ma się o tym dowiedzieć najpóźniej przy pierwszym kontakcie. Opisałem to w tekście AI Act w małej firmie.

Przygotuj też prosty plan na wypadek naruszenia. Art. 33 RODO wymaga zgłoszenia naruszenia ochrony danych do UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla praw lub wolności osób. Zapisz, kto w firmie decyduje o zgłoszeniu i jak szybko odłączyć asystenta od kont. W panelu robisz to jednym kliknięciem.

Lista kontrolna przed wdrożeniem

UODO opublikował listy pytań, które firma powinna sobie zadać przed uruchomieniem systemu AI. Jest wśród nich praktyczna checklista dla małych i średnich firm, które korzystają z gotowych narzędzi. Urząd zastrzega, że pytania nie zastępują analizy ryzyka ani oceny skutków i nie są wiążącą wykładnią. To dobry punkt startu. Poniżej moja krótsza wersja dla asystenta AI:

Jeśli przetwarzanie może powodować wysokie ryzyko dla ludzi, RODO wymaga oceny skutków dla ochrony danych (art. 35). Przy typowym asystencie biura czy obsługi klienta to rzadkość, ale decyzję warto podjąć świadomie i zapisać.

Co dalej

W briefie opisujesz, z jakich kont ma korzystać asystent. To dobry moment, żeby od razu przemyśleć minimalizację: która skrzynka, które foldery, jakie uprawnienia. Szablon znajdziesz na stronie Brief. Odpowiedzi na częste pytania o dane i klucze są w FAQ.

Wyślij brief przez formularz kontaktowy. Na rozmowie przejdziemy listę kontrolną dla Twojej firmy i powiem, co asystent będzie widział, a czego nie.