Blog · Opublikowano · Zaktualizowano
Czy Claude jest zgodny z RODO? (2026)
Krótka odpowiedź
Tak, jeśli zespół pracuje na planie Team, Enterprise albo przez API. Anthropic Ireland jest wtedy podmiotem przetwarzającym. Umowa powierzenia obejmuje standardowe klauzule umowne na przekazanie danych do USA, gdzie Anthropic je przechowuje. Przetwarzanie tylko w UE daje Claude przez Amazon Bedrock albo Google Cloud z regionem europejskim. Na prywatne konto pracownika danych klientów nie wklejaj.
- netto za audyt, stała cena przed umową
- od 2 900 zł
- przegląd przestrzeni ChatGPT albo Claude w 1 dzień
- 1 900 zł
- rozmowa z inżynierem i plan na piśmie w 2 dni robocze
- 0 zł
Należymy do programów partnerskich OpenAI i Anthropic, twórców ChatGPT i Claude, i uczymy się z ich oficjalnych kursów. Co to znaczy ↓
Autor: Syntalith · 8 min czytania
Statystyki
AI i dane osobowe: statystyki 2026
95,9%
badanych organizacji nie uważa się za przygotowane do wdrożenia AI zgodnie z RODO, według UODO (2026).
41–58,5%
Według UODO (2026) od 41 do 58,5% organizacji nie widzi związku między narzędziami AI a przetwarzaniem danych osobowych.
10%
Według ESET i DAGMA (2026) 10% pracowników przyznaje, że udostępnia otwartym modelom AI wrażliwe dane firmy.
Źródło: ESET i DAGMA, Cyberportret polskiego biznesu 2026 (2026) ↗
38%
Według ESET i DAGMA (2026) tylko 38% polskich firm kupiło firmowe licencje AI, które wyłączają trenowanie na wprowadzanych danych.
Źródło: ESET i DAGMA, Cyberportret polskiego biznesu 2026 (2026) ↗
27%
Według ESET i DAGMA (2026) spisaną politykę korzystania z narzędzi AI ma 27% polskich firm.
Źródło: ESET i DAGMA, Cyberportret polskiego biznesu 2026 (2026) ↗
Dane sprawdzone: 3 listopada 2026
Najpierw konto i role stron
Zacznij od konta, na którym pracuje zespół. Od niego zależy, kto odpowiada za dane i czy Anthropic może uczyć na nich modele.
| Konto | Rola Anthropic | Trenowanie modeli | Umowa powierzenia |
|---|---|---|---|
| Free, Pro, Max (prywatne) | Administrator danych (Anthropic Ireland) | Tak, jeśli użytkownik się zgodzi | Brak |
| Claude Team i Enterprise | Podmiot przetwarzający Twojej firmy | Domyślnie nie | W warunkach handlowych |
| Claude API | Podmiot przetwarzający Twojej firmy | Domyślnie nie | W warunkach handlowych |
| Bedrock, Google Cloud, Foundry | Zależy od chmury (niżej) | Domyślnie nie | Umowa z operatorem chmury |
Na planie Team i Enterprise administratorem danych jest Twoja firma. Anthropic przetwarza je tylko na jej polecenie, co opisuje informacja dla klientów komercyjnych. Na prywatnym koncie administratorem jest Anthropic Ireland i obowiązuje polityka prywatności Anthropic. Gdy pracownik zgodzi się na ulepszanie modeli, Anthropic przechowuje jego rozmowy do 5 lat. Dane klientów wklejaj więc tylko do konta firmowego. Przejście z kont prywatnych opisujemy w tekście prywatne konto a dane firmy. Dokumentację Anthropic, AWS, Google i Microsoft sprawdziliśmy 3 listopada 2026 r.
Kto podpisuje umowę i jak dane trafiają do USA
Firma z Polski zawiera umowę z Anthropic Ireland, Limited. Tak stanowią warunki handlowe Anthropic z 17 czerwca 2025 r., które wybierają też prawo irlandzkie. Spółka jest w Irlandii, lecz dane z produktów firmowych Anthropic przechowuje w USA. Dlatego umowa powierzenia włącza standardowe klauzule umowne (SCC) z decyzji Komisji 2021/914, moduł 2 i 3. Polityka prywatności Anthropic jako podstawę przekazania wymienia decyzje o odpowiednim stopniu ochrony i te klauzule. Data Privacy Framework w niej nie występuje.
Umowa powierzenia ma kilka terminów, które warto znać przed podpisem:
| Zobowiązanie Anthropic | Termin | Punkt umowy |
|---|---|---|
| Powiadomienie o naruszeniu bezpieczeństwa | do 48 godzin | G.1 |
| Twój sprzeciw wobec nowego podwykonawcy | 15 dni od powiadomienia | C.3 |
| Zwrot i usunięcie danych po końcu umowy | do 30 dni | H.1 |
| Raporty z audytów, na przykład SOC 2 | na pisemny wniosek | F.1 |
| Pomoc przy ocenie skutków i ocenie transferu | na wniosek | B.6, I.4 |
- 01Rejestr czynnościAnthropic Ireland jako odbiorca i przekazanie do USA na podstawie SCC (art. 30 ust. 1 lit. d i e RODO).
- 02Klauzula informacyjnaOdbiorca danych i informacja o przekazaniu poza EOG wraz z zabezpieczeniem (art. 13 ust. 1 lit. e i f RODO).
- 03Ocena transferuAnthropic na wniosek daje informacje potrzebne do oceny skutków transferu (umowa powierzenia, I.4).
- 04PodwykonawcyOsoba, która odbiera powiadomienia o nowych podwykonawcach i w 15 dni decyduje o sprzeciwie.
Firma poniżej 250 osób jest zwolniona z rejestru czynności tylko przy przetwarzaniu sporadycznym i niskiego ryzyka (art. 30 ust. 5 RODO). Codzienną pracę zespołu z danymi klientów w Claude trudno uznać za sporadyczną.
Gdzie Claude przetwarza dane
| Droga dostępu | Przetwarzanie modelu | Dane w spoczynku | Uwagi |
|---|---|---|---|
| Claude Team | USA, Europa, Azja, Australia | USA | Brak wyboru regionu |
| Claude Enterprise (rozliczenie za zużycie) | Globalnie albo tylko USA | USA | Tryb USA: zużycie po 1,1 raza stawki |
| Claude API od Anthropic | Globalnie albo tylko USA | USA | Parametr inference_geo, tryb USA po 1,1 raza stawki |
| Amazon Bedrock | Jeden region albo profil EU | Region źródłowy w AWS | Profil EU kieruje zapytania tylko do regionów UE |
| Google Cloud (Vertex AI) | Region albo multiregion UE | Wybrany region | Endpoint regionalny i multiregion: 10% drożej |
| Microsoft Foundry | Global albo US Data Zone | Region Azure | Europa zapowiedziana jako „coming soon” |
Europa pojawia się w Claude Team jako jedno z miejsc przetwarzania. Miejscem przechowywania nie jest. Anthropic zastrzega też przetwarzanie do przeglądu bezpieczeństwa, wsparcia i obsługi incydentów w krajach, w których działa. Tryb tylko USA w czatach ma wyłącznie Enterprise rozliczany za zużycie. W API ustawia go parametr opisany w rezydencji danych Claude API.
Przetwarzanie tylko w UE daje dziś Claude w chmurze. W Amazon Bedrock profil geograficzny EU kieruje zapytania wyłącznie do regionów w UE. Dane do wykrywania nadużyć AWS zapisuje w regionie, który obsłużył zapytanie. Dostawcy modeli nie mają dostępu do danych klienta. W Google Cloud multiregion „eu” obsługuje najnowsze modele. Pojedyncze regiony, jak europe-west1, obsługują Claude Sonnet 4.6 i starsze. W Microsoft Foundry Anthropic jest niezależnym podmiotem przetwarzającym. Wariant hostowany u Anthropic może przetwarzać dane poza wybranym regionem Azure. Mapa regionów jest na stronie zgodności regionalnej Claude.
Zespół pracuje w czacie, dane mogą być przetwarzane poza UE
Claude Team z umową powierzenia
od 79 zł / os.
Zespół potrzebuje logów audytu i własnej retencji
Claude Enterprise
licencja + zużycie
Integracja, przetwarzanie w USA wystarcza
Claude API
stawki API
Dane muszą zostać w UE
Claude przez Bedrock albo Google Cloud
cennik chmury
Dane nie mogą opuścić firmy
model lokalny
wycena po rozmowie
Claude Team kosztuje 20 USD za osobę miesięcznie przy płatności rocznej, od 2 osób. W złotych liczymy po kursie NBP z 27 października 2026: 3,9542 zł za 1 USD.
Trenowanie i opinie
Na planach firmowych i w API Anthropic domyślnie nie używa wejść i wyjść do trenowania. Wyjątki są dwa: firma przystąpi do Development Partner Program albo pracownik wyśle opinię lub zgłosi błąd.
Opinia obejmuje treść rozmowy, style i ustawienia modelu. Surowa treść z konektorów, na przykład z Google Drive, do niej nie trafia, chyba że ktoś wkleił ją do rozmowy. Anthropic odłącza opinię od identyfikatora użytkownika. Właściciel planu Team lub Enterprise wyłącza przyciski opinii ustawieniem Rate chats w Organization settings > Data and Privacy. Ustawiamy to w jednodniowym przeglądzie konta Claude za 1 900 zł netto.
Retencja obejmuje więcej niż rozmowę
| Co | Jak długo |
|---|---|
| Zapytania i odpowiedzi w API | do 30 dni |
| Czat w Team lub Enterprise | do usunięcia, potem do 30 dni w kopiach |
| Czat incognito | do 30 dni |
| Opinia (kciuk, zgłoszenie błędu) | 5 lat |
| Czat oznaczony jako naruszenie zasad | 2 lata, oceny klasyfikatorów 7 lat |
| Modele z grupy Covered Models (Claude Fable 5 i 5.1) | 30 dni, także przy ZDR |
| Dane po końcu umowy | usunięcie do 30 dni |
Źródła: retencja danych organizacji, Covered Models i umowa powierzenia, punkt H.1.
Zerowa retencja (ZDR) to osobna umowa dla kwalifikujących się klientów API. Od 9 czerwca 2026 r. modele klasy Mythos, w tym Claude Fable 5 i 5.1, wymagają 30-dniowej retencji także przy ZDR. Wyjątek mają organizacje, które Anthropic powiadomi o dostępie do Fable z ZDR. W Bedrock i Google Cloud zatrzymane dane zostają w AWS albo w Google Cloud. Własne terminy retencji czatów daje dopiero plan Enterprise. Porównanie z OpenAI, Google, Microsoft i AWS opisujemy w tekście umowa powierzenia z OpenAI to za mało.
Po stronie firmy też jest kilka miejsc, gdzie zostają dane.
- Dokument źródłowy i jego kopie
- Żądanie do modelu i odpowiedź
- Logi aplikacji i pliki tymczasowe
- Eksporty i kopie zapasowe
- Dla każdego miejsca: cel, dostęp, termin usunięcia i sposób potwierdzenia
Konektory i narzędzia zewnętrzne
Claude łączy się z Google Workspace, Microsoft 365, Slackiem czy GitHubem. Każdy konektor to kolejna droga danych. Model czyta dokumenty, do których ma dostęp konto, i przenosi ich fragmenty do odpowiedzi. Usługa po drugiej stronie przetwarza dane na własnej infrastrukturze, która może być poza USA. Tryb tylko USA tego nie zmienia.
Na planie Team rozszerzenie Claude in Chrome jest domyślnie włączone. Czyta i klika strony w imieniu pracownika. Zerowa retencja go nie obejmuje. Właściciel wyłącza je albo zawęża listą dozwolonych stron w Organization settings > Claude in Chrome. Przed włączeniem konektora sprawdź, czyje uprawnienia wykorzystuje, i zacznij od odczytu w jednym zasobie.
Dane szczególne i ocena skutków (DPIA)
W umowie powierzenia Anthropic pole „szczególne kategorie danych osobowych” ma wartość „None” (załącznik 1, punkt B.3). Umowa nie przewiduje więc danych o zdrowiu, danych biometrycznych, przynależności do związków zawodowych i innych z art. 9 RODO. Ich przetwarzanie jest co do zasady zakazane i wymaga jednej z podstaw z art. 9 ust. 2. Dokumentacji medycznej, zwolnień lekarskich ani informacji o zdrowiu kandydatów nie wysyłaj do Claude bez osobnej analizy i zgody inspektora ochrony danych.
Ocena skutków dla ochrony danych (DPIA) jest obowiązkowa, gdy przetwarzanie może powodować wysokie ryzyko dla osób (art. 35 RODO). Przepis wymienia wprost zautomatyzowaną ocenę ludzi, która prowadzi do decyzji wobec nich, oraz dane szczególne na dużą skalę. Claude, który pisze oferty i streszcza umowy, zwykle oceny skutków nie wymaga. Claude, który ocenia kandydatów albo klientów, zwykle jej wymaga. Anthropic pomaga przy ocenie na wniosek (umowa powierzenia, B.6).
Karta oceny wdrożenia
UODO opublikował 6 sierpnia 2026 r. listy pytań inicjalnych dla organizacji, które chcą używać AI. Pierwsza lista jest dla małych i średnich firm korzystających z gotowych narzędzi, takich jak Claude. Odpowiedzi na nie zbieramy w karcie dla inspektora ochrony danych.
- 01Proces i celJaki wynik ma powstać i po co potrzebne są dane osobowe.
- 02Dane i źródłaKtóre rekordy są potrzebne i które można usunąć przed wysłaniem do modelu.
- 03Konto i umowyPlan Claude, Anthropic Ireland jako strona umowy, umowa powierzenia z SCC.
- 04Miejsce i transferDroga dostępu, region przetwarzania i przechowywania, wpis w rejestrze czynności.
- 05Retencja i opinieTerminy usunięcia u Anthropic i w firmie, ustawienie Rate chats.
- 06DostępKonta imienne, role, konektory, Claude in Chrome, odebranie dostępu, reakcja na incydent.
Jak zacząć
Przegląd konta Claude
1 900 zł
Masz już licencje. W 1 dzień sprawdzamy opinie, Claude in Chrome, konektory i retencję. Potem ustawiamy 5 zadań zespołu. Cena netto.
Audyt AI Act i RODO
od 2 900 zł
5 dni. Przegląd kont, ustawień i umów powierzenia, polityka AI, rejestr narzędzi AI i lista zmian. Cena netto.
Wdrożenie Claude
od 4 900 zł
2 tygodnie dla zespołu do 10 osób: konta, zasady pracy z danymi i szkolenie na zadaniach zespołu. Cena netto.
Plan, konta i zasady pracy z danymi obejmuje wdrożenie Claude od 4 900 zł netto dla zespołu do 10 osób, w 2 tygodnie. Ustawiamy w nim opinie, rozszerzenie Chrome, konektory i zasady tego, co wolno wkleić. Licencje firma kupuje bezpośrednio u Anthropic. Audyt AI pod AI Act i RODO kosztuje w Syntalith od 2 900 zł netto, trwa 5 dni i kończy się rejestrem narzędzi AI, listą zmian w ustawieniach i planem szkolenia zespołu. Ocenę prawną zatwierdza Twój inspektor ochrony danych albo prawnik. Porównanie z innymi narzędziami jest w tekstach ChatGPT a RODO i Copilot a RODO.
Przykład z liczbami · Scenariusz
Ile kosztuje zrobienie tego samemu
Ten sam rachunek robimy na bezpłatnej analizie dla Twojego procesu.
8 638 zł
kosztuje jednorazowo samodzielny przegląd systemów AI: 130 h pracy IT, inspektora ochrony danych i kierownika
Różnica: do 5 738 zł
Liczba godzin i ich podział dla firmy danej wielkości to nasze założenia. Godzina pracy 66,45 zł to nasze wyliczenie z przeciętnego wynagrodzenia według GUS z września 2026 r. (9 266,48 zł) z kosztami pracodawcy. Cena audytu rośnie z liczbą narzędzi, kont i działów; dla większych firm podajemy ją po bezpłatnej analizie.
Zobacz pełny rachunek →
