Czy ChatGPT jest bezpieczny dla danych firmy

ChatGPT może być używany do pracy firmowej, lecz o bezpieczeństwie decydują plan, ustawienia, rodzaj danych i sposób wdrożenia. OpenAI domyślnie wyłącza dane z usług biznesowych z trenowania modeli. Ta zasada nie rozstrzyga podstawy prawnej, retencji, transferów ani tego, kto w firmie powinien mieć dostęp.

Sprawdź pięć osobnych kwestii.

Plan wdrożenia dla zespołu, wybór między przestrzenią ChatGPT a API i przygotowanie pilotażu opisujemy w poradniku wdrożenie ChatGPT i OpenAI w firmie.

Co OpenAI deklaruje dla danych biznesowych

Według dokumentacji OpenAI z 21 sierpnia 2026 dane wejściowe i wyjściowe z ChatGPT Business, Enterprise, Edu, Healthcare, Teachers oraz platformy API nie są domyślnie używane do trenowania ani poprawiania modeli. W API właściciel organizacji może świadomie włączyć udostępnianie wybranych danych.

Dane są szyfrowane podczas przesyłania i przechowywania. Umowa powierzenia (DPA) określa role stron przy przetwarzaniu danych osobowych dla usług biznesowych. Kwalifikujące się organizacje mogą również dostać dodatkowe ustawienia retencji, w tym zerową retencję na obsługiwanych endpointach API.

To konkretne zabezpieczenia produktu i umowy. Nie oznaczają automatycznej zgodności każdego zastosowania.

Co zmienia konto indywidualne

Użytkownik zwykłego ChatGPT może wyłączyć opcję „Improve the model for everyone”. Rozmowy zostają wtedy w historii. Nie służą już do poprawiania modeli. Temporary Chat nie trafia do historii. Nie tworzy pamięci i może być przechowywany do 30 dni na potrzeby bezpieczeństwa.

Te ustawienia są przydatne dla osoby prywatnej. Firma potrzebuje zwykle czegoś więcej: warunków dla klienta biznesowego, DPA, zarządzania użytkownikami, wspólnej polityki funkcji i możliwości odebrania dostępu po zmianie stanowiska lub odejściu pracownika.

Dlatego informacje firmowe kieruj do zatwierdzonej przestrzeni organizacji. Konto indywidualne nie daje firmie tych samych warunków umownych, administracyjnych i audytowych. Sam fakt użycia konta prywatnego nie rozstrzyga jednak automatycznie o zgodności z RODO.

Business, Enterprise i API różnią się kontrolą

Wszystkie te usługi mają domyślne wyłączenie danych z trenowania, ale zakres funkcji administracyjnych nie jest identyczny.

Przykład: w ChatGPT Business każdy użytkownik ma własną historię rozmów, a statystyki użycia nie pokazują administratorowi pełnej treści czatów. OpenAI podaje też, że Business nie udostępnia eksportu danych przestrzeni i nie pozwala całkowicie wyłączyć linków współdzielonych. Takie szczegóły mogą mieć większe znaczenie niż nazwa planu.

Rezydencja danych również wymaga uważnego czytania. OpenAI opisuje ją dla kwalifikujących się klientów Enterprise, Edu, Healthcare oraz API. Nie zakładaj, że każda opcja widoczna na stronie Enterprise jest dostępna w zwykłym planie Business.

Pięć pytań przed danymi osobowymi

RODO nie wskazuje nazw konkretnych narzędzi. Wymaga natomiast, by administrator danych ocenił przetwarzanie i potrafił je uzasadnić.

1. Jaki jest cel i podstawa prawna. Wygodne podsumowanie dokumentu nie tworzy nowego celu przetwarzania.
2. Czy zakres danych jest potrzebny. Do przygotowania wzoru maila zwykle nie trzeba podawać nazwiska, telefonu ani całej historii klienta.
3. Jaką rolę ma dostawca. Gdy OpenAI przetwarza dane w imieniu firmy, trzeba ocenić DPA i instrukcje przetwarzania zgodnie z art. 28 RODO.
4. Gdzie i jak długo dane są przetwarzane. Sprawdź retencję, podprocesorów, rezydencję oraz podstawę ewentualnego transferu poza EOG.
5. Jak firma ogranicza dostęp. Potrzebne są konta imienne, odbieranie dostępu, zasady dla aplikacji połączonych i reakcja na incydent.

Przy danych szczególnych kategorii, systematycznym profilowaniu albo wysokim ryzyku mogą dojść dalsze obowiązki, w tym ocena skutków dla ochrony danych. Tę decyzję warto przejść z inspektorem ochrony danych lub prawnikiem znającym konkretny proces.

Prosta klasyfikacja danych

Pseudonimizacja pomaga tylko wtedy, gdy dane pozwalające ponownie zidentyfikować osobę są przechowywane osobno i odpowiednio chronione. Samo usunięcie imienia z dokumentu często nie wystarcza.

Jaką zasadę dać pracownikom

Zakaz bez zatwierdzonej alternatywy może przenieść pracę na prywatne konta. Lepsza reguła mieści się na jednej stronie:

• używaj wyłącznie firmowej przestrzeni wskazanej przez administratora;
• przed wklejeniem danych osobowych sprawdź zatwierdzony cel i zakres;
• nie podawaj haseł, tokenów ani całych baz danych;
• sprawdzaj źródła i wynik przed dalszym użyciem;
• zgłoś omyłkowe ujawnienie tak samo jak każdy inny incydent danych.

Do tego potrzebna jest osoba odpowiedzialna za ustawienia przestrzeni i aktualizację reguł. Pracownik nie powinien sam rozstrzygać warunków dostawcy podczas piątkowego wieczoru.

Krótka kontrola przed zakupem

Poproś właściciela bezpieczeństwa, IOD lub prawnika o potwierdzenie odpowiedzi na te pytania:

• jaki plan i które funkcje są zatwierdzone;
• czy DPA obejmuje zamierzony sposób użycia;
• gdzie trafiają rozmowy, pliki i dane aplikacji połączonych;
• kto może włączyć udostępnianie danych do poprawiania modeli;
• jak usuwane są konta, rozmowy i pliki;
• które zastosowania wymagają dodatkowej oceny.

Jak przełożyć zasady na pracę zespołu

Przygotowanie środowiska i zasad pracy można omówić w ramach wdrożenia ChatGPT w firmie. Zakres konfiguracji ustalamy dla wybranego planu; ocena dopuszczalnego użycia danych wymaga osobnego potwierdzenia.

Jeżeli firma ma zatwierdzone środowisko, ale pracownicy potrzebują praktyki, szkolenie AI dla zespołu Syntalith zaczyna się od 2 450 zł netto za dzień. Na uzgodnionych materiałach można przećwiczyć przygotowanie danych, sprawdzanie źródeł i decyzję o dalszym użyciu odpowiedzi.

Jeśli najpierw trzeba ustalić obieg danych i wymagania dostępu, audyt procesu AI kosztuje od 2 495 zł netto. Jego podstawowy rezultat to mapa procesu, architektura, plan i stała wycena budowy. Szczegółowy zakres przeglądu ustalamy w ofercie. Licencje i integracje są osobnym kosztem; ocena prawna pozostaje do zatwierdzenia przez właściwego specjalistę klienta. Bezpłatny, 30-minutowy skan pomoże ustalić kolejność prac.

Nowe poradniki opisują poszczególne decyzje:

• Prywatny ChatGPT lub Claude w pracy: dane firmy i RODO
• Wyłączenie treningu: co nadal wymaga sprawdzenia
• Jak przygotować dokumenty klientów przed użyciem AI
• Shadow AI: przegląd kont i przejście do środowiska firmowego

Ceny i powyższe odsyłacze sprawdzone 30 września 2026.

Źródła

• Zasady ochrony danych biznesowych OpenAI, sprawdzone 21 sierpnia 2026.
• Prywatność i dane w ChatGPT Business, sprawdzone 21 sierpnia 2026.
• Data Controls w ChatGPT, sprawdzone 21 sierpnia 2026.
• OpenAI Data Processing Addendum, sprawdzony 21 sierpnia 2026.
• RODO, rozporządzenie 2016/679, sprawdzone 21 sierpnia 2026.

Powiązane artykuły

• Polityka AI w firmie
• RODO i DPA przy wdrożeniu AI
• Szkolenie AI dla zespołu