Umowa powierzenia z OpenAI to za mało. ZDR, MAM i region UE w API

Umowa powierzenia (DPA) z OpenAI ustala, kto odpowiada za dane i na jakich warunkach dostawca je przetwarza. Nie zmienia tego, co API robi z treścią zapytania. Bez dodatkowych zgód OpenAI zapisuje prompty i odpowiedzi w logach kontroli nadużyć na okres do 30 dni, a przetwarzanie może odbywać się poza UE. Żeby treść nie zostawała u dostawcy i była przetwarzana w Europie, potrzebujesz trzech rzeczy: zgody OpenAI na ZDR albo MAM, projektu w regionie UE i aplikacji, która nie korzysta z funkcji zapisujących dane.

Każdy z tych elementów opisujemy na podstawie dokumentacji OpenAI o danych w API, sprawdzonej 27 października 2026.

Co zostaje u OpenAI przy samej umowie

Od 1 marca 2023 dane wysłane do API nie służą do trenowania modeli OpenAI, chyba że firma sama na to pozwoli. Trening to jedno pytanie. Drugie brzmi: jak długo kopia treści leży u dostawcy.

Obiekty Assistants, których nie usuniesz, zostają bez limitu czasu. Po usunięciu znikają z serwerów OpenAI w ciągu 30 dni.

Dla administratora danych oznacza to kopię każdego zapytania u dostawcy przez miesiąc. Jeśli w zapytaniach są dane klientów, dokumenty kadrowe albo informacje objęte tajemnicą zawodową, tę kopię trzeba ująć w rejestrze czynności przetwarzania, razem z odbiorcą i planowanym terminem usunięcia (art. 30 RODO).

ZDR i MAM: dwie zgody, o które trzeba wystąpić

OpenAI oferuje dwie kontrole retencji. Obie wymagają wcześniejszej zgody OpenAI i przyjęcia dodatkowych warunków. O dostęp pyta się dział sprzedaży OpenAI. Po zatwierdzeniu ustawienie wybiera się dla całej organizacji albo dla pojedynczego projektu.

MAM (Modified Abuse Monitoring) wyłącza treść z logów kontroli nadużyć na wszystkich endpointach. Pozostałe funkcje platformy działają bez zmian, łącznie z zapisywaniem odpowiedzi.

ZDR (Zero Data Retention) działa w logach tak samo. Dodatkowo parametr store w Responses API i Chat Completions jest zawsze traktowany jako false, nawet gdy aplikacja wyśle true.

Wybór zależy od tego, gdzie ma być przechowywana historia rozmowy. Przy ZDR trzyma ją Twoja aplikacja, w Twojej bazie, a okres przechowywania ustalasz sam. MAM wybiera się, gdy aplikacja potrzebuje stanu zapisanego po stronie OpenAI, na przykład zapisanych odpowiedzi. Taki stan trzeba potem usuwać.

Obie zgody mają te same granice:

• Endpointy, które nie kwalifikują się do ZDR, nadal zapisują dane: pliki, magazyny wektorów, Assistants, zadania wsadowe, fine-tuning, ewaluacje i Conversations.
• Obrazy i pliki wysyłane do modelu są skanowane pod kątem materiałów CSAM. Plik oznaczony przez klasyfikator zostaje zatrzymany do ręcznej kontroli, także przy ZDR.
• Dane wysłane do zewnętrznego serwera MCP albo przez wyszukiwanie w internecie podlegają zasadom tych usług.
• OpenAI może, z pisemnym wyprzedzeniem, wyłączyć konkretne modele z ZDR i MAM dla danego klienta. Treść trafia wtedy do zaszyfrowanych logów bez przeglądu przez ludzi (Private Retention with PSP) albo jest zatrzymywana i może być przejrzana, gdy klasyfikator uzna ją za możliwe naruszenie zasad (Safety Retention).

Region UE: eu.api.openai.com

Rezydencję danych ustawia się dla projektu. O dostęp również pyta się dział sprzedaży OpenAI. Region Europa obejmuje EOG i Szwajcarię. Daje dwie rzeczy: przechowywanie danych w regionie i inferencję, czyli obliczanie odpowiedzi, w regionie. Połączenia TLS kończą się w regionie przez Cloudflare Regional Services.

Region inny niż USA wymaga zatwierdzonej kontroli retencji, czyli ZDR albo MAM, oraz podpisania aneksu Modified Retention. Projektu w regionie UE nie uruchomisz bez jednej z tych zgód. Dla modeli wydanych 5 marca 2026 lub później zapytania do endpointów z rezydencją danych są o 10% droższe.

Region UE ma swoje granice:

• Dane systemowe mogą być przetwarzane i przechowywane poza regionem. Należą do nich dane konta, metadane, statystyki użycia, rozliczenia, zgłoszenia do wsparcia i schematy structured output. Dlatego w nazwach pól i opisach schematu JSON nie umieszczaj danych osobowych.
• Usługi stron trzecich wywoływane przez model, na przykład serwery MCP, przetwarzają dane według własnych zasad i we własnych lokalizacjach.
• Jeśli użytkownik albo Twoja infrastruktura działają poza UE, dane przechodzą także przez te miejsca.

To samo pytanie u innych dostawców

Claude w UE działa więc przez Amazon Bedrock z profilem EU albo przez Google Cloud z regionem europejskim. Przy ZDR Anthropic nadal zachowuje wyniki klasyfikatorów bezpieczeństwa. W Google Cloud funkcja Grounding with Google Search zapisuje prompty i odpowiedzi przez 30 dni i nie da się tego wyłączyć. W Microsoft Foundry przegląd treści z wdrożeń w EOG prowadzą pracownicy Microsoft w EOG.

Najnowsze modele wymagają retencji

Zgoda na ZDR obejmuje organizację. Nie obejmuje automatycznie każdego modelu.

• Anthropic od 9 czerwca 2026 wymaga 30-dniowej retencji dla modeli z grupy Covered Models: Claude Fable 5, Fable 5.1, Mythos 5 i Mythos 5.1. Dotyczy to każdej platformy, na której te modele działają, chyba że Anthropic wyraźnie zgodzi się na wyjątek. Na Bedrock i Google Cloud zapisane dane zostają w środowisku dostawcy chmury.
• Google zapisuje wszystkie prompty i odpowiedzi modeli oznaczonych jako „Advanced AI” do 30 dni, w regionie projektu. Zerowa retencja może być dla nich niedostępna.
• OpenAI zastrzega prawo wyłączenia konkretnych modeli z ZDR i MAM, z pisemnym powiadomieniem.

Wybór modelu jest więc też decyzją o retencji. Najmocniejszy model kieruj do zadań, w których dane na to pozwalają. Dane wrażliwe obsłuży model objęty ZDR w regionie UE albo prywatny model na Twojej infrastrukturze.

Transfer poza EOG nadal wymaga podstawy

Także przy regionie UE część danych, na przykład dane systemowe, może być przetwarzana poza regionem. Transfer poza EOG wymaga podstawy z rozdziału V RODO: decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Dla odbiorców w USA taką decyzją jest EU-US Data Privacy Framework. Sąd UE oddalił skargę na nią 3 września 2025 w sprawie T-553/23. Odwołanie do Trybunału Sprawiedliwości UE w sprawie C-703/25 P czeka na rozstrzygnięcie. Zapisz w dokumentacji, na którą podstawę się powołujesz.

Lista kontroli przed pierwszym zapytaniem

1. Zapisz, jakie dane trafią do modelu: dane osobowe, dane szczególnych kategorii, tajemnica przedsiębiorstwa, tajemnica zawodowa.
2. Sprawdź, czy 30-dniowa kopia u dostawcy mieści się w Twoich okresach przechowywania. Jeśli nie, wystąp o ZDR albo MAM.
3. Ustal miejsce przetwarzania: projekt w regionie UE albo usługa chmurowa z regionem w UE.
4. Wypisz endpointy, których używa aplikacja. Dla plików ustaw expires_after, a magazyny wektorów i obiekty Assistants usuwaj po zakończeniu pracy.
5. Sprawdź, czy wybrany model jest objęty ZDR na wybranej platformie.
6. Nie umieszczaj danych osobowych w schematach structured output.
7. Zapisz datę sprawdzenia warunków, ustawienia projektu i podstawę transferu.

Jak to robimy w Syntalith

W projekcie API zaczynamy od mapy danych jednego zadania: co wchodzi do modelu, których endpointów potrzebuje aplikacja i gdzie powstają kopie. Na tej podstawie dobieramy dostawcę, region i kontrolę retencji. Historię rozmów trzymamy w bazie klienta w UE, więc aplikacja nie potrzebuje stanu zapisanego u dostawcy. Wniosek o ZDR albo MAM składa firma, która ma konto w OpenAI. Pomagamy go przygotować i konfigurujemy projekt po zatwierdzeniu. Gdy żadna kopia u dostawcy nie wchodzi w grę, przechodzimy na prywatny model na Twoim koncie w chmurze albo na Twoim serwerze.

Zakres ustalamy w Audycie procesu od 2 495 zł netto. Jego koszt odliczamy od ceny wdrożenia podpisanego w ciągu 3 miesięcy. Ocenę prawną konkretnego przetwarzania robi administrator danych z inspektorem ochrony danych. Zacznij od bezpłatnej, 30-minutowej analizy: wystarczy opisać zadanie i rodzaj danych.

FAQ

Czy umowa powierzenia z OpenAI wystarczy do pracy z danymi osobowymi?

Umowa ustala role i obowiązki stron. Bez dodatkowych zgód OpenAI trzyma prompty i odpowiedzi w logach kontroli nadużyć do 30 dni i może przetwarzać je poza UE. Administrator danych ocenia, czy to mieści się w jego polityce. Jeśli nie, potrzebne są ZDR albo MAM i projekt w regionie UE.

Czym różni się ZDR od MAM?

Obie kontrole usuwają treść z logów kontroli nadużyć i obie wymagają zgody OpenAI. ZDR dodatkowo wymusza store=false w Responses API i Chat Completions, więc OpenAI nie zapisuje odpowiedzi. Przy MAM zapis odpowiedzi nadal działa.

Czy region UE w OpenAI wymaga ZDR?

Region UE wymaga zatwierdzonej kontroli retencji, czyli ZDR albo MAM, oraz podpisania aneksu Modified Retention. Dla modeli wydanych 5 marca 2026 lub później zapytania z rezydencją danych są o 10% droższe.

Czy Claude ma region UE w API?

Bezpośrednie API Anthropic przetwarza zapytania globalnie albo w USA. Przetwarzanie Claude w UE daje Amazon Bedrock z profilem EU albo Google Cloud z regionem europejskim.

Źródła

Sprawdzone 27 października 2026:

• OpenAI: Data controls in the OpenAI platform
• Anthropic: API and data retention oraz okres przechowywania danych organizacji
• Anthropic: Covered Models i rezydencja danych w Claude API
• Google Cloud: abuse monitoring i zerowa retencja
• Microsoft: dane i prywatność w Foundry
• AWS: geograficzne profile inferencji w Bedrock
• RODO, tekst polski

Powiązane: RODO i DPA przy wdrożeniu AI, Czy Claude jest zgodny z RODO, Prywatny LLM: dane, hosting w UE i on-premise.