Prywatne konto ChatGPT w pracy: na czym polega problem i co z nim zrobić?

Wyjaśnienie

Źródłem problemu jest to, czyje jest konto. Prywatny ChatGPT (plany Free, Go, Plus, Pro) to umowa między pracownikiem a OpenAI. Firma nie ma z OpenAI umowy powierzenia, nie widzi tych rozmów, nie ustawia okresu przechowywania i nie może ich wyeksportować ani usunąć. Obsługuje je sam użytkownik: eksport i usunięcie konta są w jego ustawieniach.

W usługach dla osób prywatnych OpenAI może używać treści rozmów do trenowania modeli. Użytkownik może to wyłączyć: Ustawienia, Data controls, opcja Improve the model for everyone, albo przez Privacy Portal i polecenie Do not train on my content. Wyłączenie działa tylko dla nowych rozmów. Czaty tymczasowe nie służą do trenowania, ale mogą być przechowywane do 30 dni ze względów bezpieczeństwa. Jeśli po wyłączeniu użytkownik kliknie ocenę odpowiedzi (kciuk w górę lub w dół), cała ta rozmowa może zostać użyta do trenowania. Nawet poprawnie ustawione prywatne konto nie daje więc firmie żadnej kontroli.

Plany firmowe działają inaczej. Według OpenAI treści z ChatGPT Business, Enterprise, Edu i ChatGPT for Healthcare domyślnie nie są używane do trenowania modeli. Dla ChatGPT Business, Enterprise i API OpenAI zawiera umowę Data Processing Addendum. W Enterprise administrator ustala okres przechowywania danych, w Business administrator obszaru roboczego może przeglądać, eksportować i usuwać rozmowy użytkowników. OpenAI deklaruje też logowanie firmowe przez SAML SSO.

Z perspektywy RODO firma jako administrator ma wdrożyć środki, dzięki którym przetwarzanie jest zgodne z prawem, i umieć to wykazać (art. 24). Osoby działające z upoważnienia administratora przetwarzają dane wyłącznie na jego polecenie (art. 29), a podmiot przetwarzający musi być związany umową (art. 28). Dane klientów lub kandydatów wklejone do prywatnego konta wychodzą poza ten układ. UODO 6 sierpnia 2026 opublikował listy pytań, które organizacja powinna zadać przed uruchomieniem narzędzia AI, w tym wersję dla MŚP korzystających z gotowych narzędzi. Urząd zaznacza, że pytania nie zastępują analizy ryzyka ani oceny skutków dla ochrony danych.

Sam zakaz zwykle przenosi użycie AI do telefonów i domowych komputerów. Skuteczniej działa zatwierdzone narzędzie na koncie firmowym: Copilot Chat z ochroną danych jest dostępny w ramach subskrypcji Microsoft 365 po zalogowaniu kontem Entra ID, a ChatGPT Business lub Enterprise z podpisanym DPA to druga opcja. Do tego krótka polityka: które narzędzia są dozwolone, jakich danych nie wolno wpisywać nigdzie, kogo pytać o nowe narzędzie.

Podstawa prawna

Źródła

• OpenAI: How your data is used to improve model performance
• OpenAI: Enterprise privacy at OpenAI
• OpenAI Help Center: Data controls in ChatGPT
• UODO: Zanim wdrożysz narzędzie AI, sprawdź czy jest ono zgodne z zasadami RODO
• Microsoft Learn: Frequently asked questions about Microsoft Copilot Chat
• RODO, tekst polski, EUR-Lex

Materiał informacyjny, nie porada prawna.