Agent AI podłączony do bazy SQL: MCP, bezpieczeństwo, RODO i anonimizacja danych

W skrócieAgent AI podłączony do bazy przez MCP sam pisze i wykonuje zapytania, więc bezpieczeństwo budują trzy warstwy: konto bazy tylko do odczytu, serwer MCP z limitem wierszy i uprawnienia agenta. Pokazujemy konfigurację od zera, próby obejścia, wstrzyknięte polecenie w danych oraz anonimizację danych przed wysłaniem do AI.

To część 8 z 8 przewodnika AI w SQL. Wszystkie przykłady powstały na bazie DemoShop w SQL Server 2022: fikcyjnym sklepie internetowym z 2,4 mln zamówień. Polecenia wpisujemy do ChatGPT, ale te same możesz podać Microsoft Copilotowi, Claude albo Gemini. Przy skryptach korzystających z mechanizmów serwera w małej szarej ramce znajdziesz ich odpowiedniki dla Oracle i PostgreSQL.

AI podłączone bezpośrednio do bazy: agenci, MCP i bezpieczeństwo

Do tej pory to my byliśmy pośrednikiem: kopiowaliśmy schemat i wyniki do czatu, a kod od AI uruchamialiśmy sami. Agent AI działa inaczej (czym jest agent i jak działa, wyjaśniamy w przewodniku Co to jest agent AI). Sam przegląda strukturę bazy, sam pisze zapytania, sam je wykonuje i sam czyta wyniki. Standardem łączenia agentów z narzędziami stał się MCP (Model Context Protocol), czyli protokół, przez który model wywołuje funkcje udostępnione przez osobny program, tak zwany serwer MCP. Dla baz danych takim serwerem jest na przykład otwartoźródłowy DBHub, który obsługuje między innymi SQL Server, PostgreSQL, MySQL, MariaDB, Oracle i SQLite.

To wygodne i jednocześnie zmienia model zagrożeń. Agent ma dostęp do wszystkiego, do czego ma dostęp jego konto, i może zostać zmanipulowany treścią, którą sam przeczyta z bazy. Dlatego tę sekcję zaczynamy od zabezpieczeń, a dopiero potem pokazujemy agenta przy pracy. Wszystkie przebiegi poniżej to nagrania prawdziwych sesji Claude Code (model Claude Opus 5.5) z serwerem DBHub, podłączonym do naszej bazy DemoShop na SQL Server 2022.

W tej jednej sekcji zamiast ChatGPT pracuje agent Claude Code, bo to narzędzie potrafi samo łączyć się z bazą przez MCP. Wymaga płatnej licencji, podobnie jak podłączanie własnych serwerów MCP w ChatGPT, które działa tylko w płatnych planach i w trybie dla deweloperów. Zabezpieczenia, które pokazujemy, nie zależą od narzędzia: te same trzy warstwy (konto bazy, serwer MCP, uprawnienia agenta) obowiązują przy każdym agencie AI podłączonym do bazy.

Krok 1: osobne konto tylko do odczytu, bez danych osobowych

Agent nie dostaje konta aplikacji ani tym bardziej konta administratora. Zakładamy mu osobny login z rolą tylko do odczytu w jednej bazie i jawnie odbieramy dostęp do kolumn z danymi osobowymi:

/* Login dla agenta AI: tylko odczyt, tylko jedna baza, bez danych osobowych klientów */
USE master;
CREATE LOGIN ai_reader WITH PASSWORD = N'<silne hasło>', CHECK_POLICY = ON, DEFAULT_DATABASE = DemoShop;
GO
USE DemoShop;
CREATE USER ai_reader FOR LOGIN ai_reader;
ALTER ROLE db_datareader ADD MEMBER ai_reader;
-- kolumny z danymi osobowymi niedostępne dla agenta
DENY SELECT ON dbo.Customers (Email, Phone, BirthDate, PostalCode) TO ai_reader;
DENY SELECT ON dbo.CustomersArchive TO ai_reader;
GO

-- Co może konto agenta AI? Rola i jawne odmowy na poziomie kolumn
SELECT r.name AS Rola
FROM sys.database_role_members AS rm
JOIN sys.database_principals AS r ON r.principal_id = rm.role_principal_id
WHERE rm.member_principal_id = USER_ID('ai_reader');

SELECT pe.state_desc AS Stan, pe.permission_name AS Uprawnienie,
       OBJECT_NAME(pe.major_id) AS Obiekt, c.name AS Kolumna
FROM sys.database_permissions AS pe
LEFT JOIN sys.columns AS c
       ON c.object_id = pe.major_id AND c.column_id = pe.minor_id
WHERE pe.grantee_principal_id = USER_ID('ai_reader')
  AND pe.class = 1
ORDER BY Obiekt, Kolumna;

Zanim agent dostanie to konto, sprawdzamy uprawnienia sami. EXECUTE AS USER pozwala wykonać polecenie tak, jakby wykonywał je agent. Próbę zapisu robimy w transakcji wycofywanej na końcu, na wypadek gdyby uprawnienia okazały się szersze, niż sądzimy:

-- Test: konto agenta próbuje zmienić status zamówienia (w transakcji, na wszelki wypadek)
BEGIN TRAN;
EXECUTE AS USER = 'ai_reader';
UPDATE dbo.Orders SET Status = 'CANCELLED'
WHERE OrderID = 2394756 AND Status = 'NEW';
REVERT;
ROLLBACK;

-- Test: konto agenta próbuje odczytać e-mail klienta
EXECUTE AS USER = 'ai_reader';
SELECT CustomerID, FirstName, LastName, Email
FROM dbo.Customers WHERE CustomerID = 7;
REVERT;

Krok 2: serwer MCP DBHub w trybie tylko do odczytu, z limitem wierszy

Druga warstwa to sam serwer MCP, czyli program, który przyjmuje od agenta wywołania narzędzi i zamienia je na zapytania do bazy. Używamy DBHub w wersji 1.5.0. Poniżej cała droga od pustego katalogu do serwera, który agent widzi i może używać, w tej kolejności, w jakiej przeszliśmy ją sami. Przed podłączeniem agenta sprawdzamy jeszcze, czy ograniczenia naprawdę działają.

2.1. Co trzeba mieć

• Node.js w wersji 22.5 lub nowszej. DBHub 1.5.0 wymaga takiej wersji. Sprawdzisz ją poleceniem node --version, a instalator pobierzesz ze strony nodejs.org. Samego DBHub nie instalujesz: polecenie npx pobiera go przy pierwszym uruchomieniu i trzyma w pamięci podręcznej npm.
• Dostęp sieciowy do SQL Server z komputera, na którym działa agent (u nas port 1433 na serwerze 192.168.1.201).
• Konto ai_reader z kroku 1, czyli konto tylko do odczytu, bez dostępu do danych osobowych.
• Klient MCP. My używamy Claude Code, który wymaga płatnej licencji. DBHub jest zwykłym serwerem MCP, więc ten sam plik konfiguracyjny posłuży też innym klientom. Obsługuje też między innymi Oracle i PostgreSQL: w pliku zmieniasz wtedy pole type i dane połączenia.

Wersję DBHub zawsze podajemy wprost (@1.5.0), a nie @latest. Dzięki temu nowe wydanie nie zmieni zachowania serwera bez Twojej wiedzy. Aktualizację robisz świadomie: zmieniasz numer i powtarzasz test z punktu 2.4.

2.2. Katalog projektu i plik dbhub.toml

Zakładamy pusty katalog projektu (u nas /tmp/agent-sql) i zapisujemy w nim plik dbhub.toml. To jedyne miejsce, w którym opisujesz, z jaką bazą łączy się serwer i jakie narzędzia udostępnia agentowi:

# dbhub.toml: serwer MCP dla agenta AI - jedna baza, konto tylko do odczytu, limit wierszy

[[sources]]
id = "demoshop"
description = "Sklep internetowy DemoShop: zamówienia, pozycje, klienci, produkty"
type = "sqlserver"
host = "192.168.1.201"
port = 1433
database = "DemoShop"
user = "ai_reader"
password = "${DBHUB_DB_PASSWORD}"
sslmode = "require"
query_timeout = 30

[[tools]]
name = "execute_sql"
source = "demoshop"
readonly = true
max_rows = 200

[[tools]]
name = "search_objects"
source = "demoshop"

Co oznacza każde pole:

2.3. Hasło w zmiennej środowiskowej

Hasło konta ai_reader ustawiasz w terminalu, z którego potem uruchomisz agenta. Zmienna działa tylko w tym oknie i znika po jego zamknięciu. W systemie Linux i macOS:

export DBHUB_DB_PASSWORD='tu-haslo-konta-ai_reader'

W Windows (PowerShell):

$env:DBHUB_DB_PASSWORD = 'tu-haslo-konta-ai_reader'

Hasło ujmij w pojedyncze cudzysłowy. Znaki takie jak ! czy # w podwójnym cudzysłowie albo bez cudzysłowu powłoka potrafi zinterpretować po swojemu.

2.4. Test DBHub bez agenta: panel Workbench

Zanim podłączysz agenta, sprawdź, czy serwer łączy się z bazą i czy ograniczenia działają. DBHub ma wbudowany panel w przeglądarce, Workbench, który wywołuje te same narzędzia, z których skorzysta agent. Uruchamiasz go w katalogu projektu, w tym samym oknie terminala, w którym ustawiłeś zmienną z hasłem:

npx -y @bytebase/dbhub@1.5.0 --transport http --host 127.0.0.1 --port 8080 --config ./dbhub.toml

Na co zwrócić uwagę w logu. Kłódka przy nazwie narzędzia oznacza, że działa ono w trybie tylko do odczytu. Ostrzeżenie DeprecationWarning o adresie IP pojawia się, gdy łączysz się po adresie IP z szyfrowaniem, i nie przeszkadza w pracy. Znika, gdy w polu host podasz nazwę serwera. Opcja --host 127.0.0.1 jest ważna: bez niej DBHub słucha na wszystkich interfejsach sieciowych, a panel nie wymaga logowania (w logu: Auth: disabled). Tak uruchomiony panel służy tylko do testu na Twoim komputerze.

Otwórz w przeglądarce adres http://127.0.0.1:8080/. Strona startowa pokazuje dane połączenia i oba narzędzia razem z opisem, który dostanie model:

Kliknij w lewej kolumnie execute_sql. Otworzy się strona narzędzia z polem SQL Statement i przyciskiem Run. Wykonaj na niej trzy próby, po jednej na każde ograniczenie. Pierwsza sprawdza limit wierszy:

SELECT TOP (500) OrderID, OrderNumber, OrderDate, Status
FROM dbo.Orders
ORDER BY OrderID DESC;

Druga próba sprawdza tryb tylko do odczytu:

UPDATE dbo.Orders SET Status = 'CANCELLED' WHERE OrderID = 2394756;

Trzecia próba sprawdza warstwę z kroku 1, czyli uprawnienia w samym SQL Server:

SELECT TOP (5) CustomerID, Email FROM dbo.Customers;

Te dwie blokady są od siebie niezależne. Gdyby ktoś wyłączył tryb tylko do odczytu w DBHub, zapis i tak zatrzyma brak uprawnień w bazie. Gdyby ktoś przez pomyłkę nadał kontu za dużo praw, zapis zatrzyma DBHub. Historię wywołań znajdziesz pod adresem http://127.0.0.1:8080/requests, przy każdym wywołaniu z treścią zapytania i wynikiem:

Po teście zatrzymaj serwer skrótem Ctrl+C. Agent nie korzysta z panelu: Claude Code uruchomi DBHub sam, w trybie stdio, czyli jako proces, z którym rozmawia przez standardowe wejście i wyjście, bez portu sieciowego.

2.5. Podłączenie DBHub do Claude Code

W katalogu projektu dodajesz serwer do konfiguracji Claude Code. Opcja --scope project zapisuje go w pliku .mcp.json w tym katalogu, a nie w ustawieniach globalnych, więc serwer jest dostępny tylko w tym projekcie:

claude mcp add --scope project dbhub -- npx -y @bytebase/dbhub@1.5.0 --transport stdio --config ./dbhub.toml

Powstały plik wygląda tak. Nie ma w nim hasła, bo DBHub pobiera je ze zmiennej środowiskowej, więc plik możesz bez obaw zapisać w repozytorium razem z dbhub.toml:

{
  "mcpServers": {
    "dbhub": {
      "type": "stdio",
      "command": "npx",
      "args": [
        "-y",
        "@bytebase/dbhub@1.5.0",
        "--transport",
        "stdio",
        "--config",
        "./dbhub.toml"
      ],
      "env": {}
    }
  }
}

Plik .mcp.json możesz też napisać ręcznie zamiast używać claude mcp add. Efekt jest ten sam.

2.6. Zatwierdzenie serwera przy pierwszym uruchomieniu

Serwer z pliku projektu nie zostanie uruchomiony, dopóki go nie zatwierdzisz. Do tego czasu polecenie claude mcp get dbhub pokazuje stan Pending approval. Uruchom claude w katalogu projektu, z tego samego okna terminala, w którym ustawiłeś zmienną z hasłem. Najpierw Claude Code zapyta, czy ufasz temu katalogowi (wybierz Yes, I trust this folder), a potem pokaże okno o nowym serwerze MCP:

Wybieraj Use this MCP server, a nie Use this and all future MCP servers in this project. Druga opcja z góry zatwierdza każdy serwer, który ktoś później dopisze do pliku .mcp.json w tym projekcie. Decyzję cofniesz poleceniem claude mcp reset-project-choices. Uwaga: w trybie nieinteraktywnym (claude -p) Claude Code nie może wyświetlić tego okna i ładuje serwery z pliku projektu bez pytania, więc o tym, co jest w .mcp.json, decydujesz wtedy wyłącznie Ty. Po zatwierdzeniu zamknij sesję (Ctrl+C dwa razy) i sprawdź stan serwera:

claude mcp get dbhub

Najczęstsze problemy

• Login failed for user 'ai_reader' (kod ELOGIN) zaraz po starcie: nie ustawiłeś zmiennej DBHUB_DB_PASSWORD w tym oknie terminala albo hasło jest inne. Sprawdziliśmy to: bez zmiennej DBHub kończy pracę właśnie tym błędem.
• Stan Pending approval: serwer nie został jeszcze zatwierdzony. Uruchom claude w katalogu projektu i wybierz Use this MCP server.
• Przekroczony czas połączenia: z komputera z agentem nie ma dostępu do portu 1433 (zapora sieciowa) albo w SQL Server wyłączony jest protokół TCP/IP lub logowanie loginami SQL Server.
• Błąd certyfikatu przy sslmode = "verify-full": serwer ma certyfikat z podpisem własnym albo nazwa w polu host nie zgadza się z nazwą w certyfikacie. Do testów użyj require, na produkcji wgraj certyfikat od zaufanego wystawcy.
• Brak npx albo za stara wersja Node.js: zainstaluj Node.js 22.5 lub nowszy i otwórz nowe okno terminala.

Krok 3: uprawnienia agenta, czyli wyłącznie narzędzia bazy danych

Trzecia warstwa to uprawnienia samego agenta. Claude Code uruchamiamy z katalogu projektu z trzema ograniczeniami:

claude --mcp-config .mcp.json --strict-mcp-config --permission-mode default \
  --allowedTools mcp__dbhub__execute_sql mcp__dbhub__search_objects \
  --disallowedTools Bash Edit Write WebFetch WebSearch

• --mcp-config .mcp.json --strict-mcp-config: sesja korzysta wyłącznie z serwerów z tego pliku i pomija wszystkie inne serwery MCP skonfigurowane na Twoim koncie.
• --allowedTools: dwa narzędzia bazy działają bez pytania o zgodę przy każdym wywołaniu. Nazwa ma postać mcp__<serwer>__<narzędzie>.
• --disallowedTools: agent nie może uruchamiać poleceń systemowych, edytować i zapisywać plików ani sięgać do internetu.
• --permission-mode default: każda inna akcja wymaga Twojej zgody.

W uruchomionej sesji wpisz /mcp. Lista pokazuje jeden serwer:

Enter na dbhub i opcja View tools pokazują oba narzędzia z oznaczeniem read-only:

Naciśnij Esc, żeby zamknąć listę. Od tej chwili agent może pracować na bazie, a wszystkie trzy warstwy działają naraz.

Agent przy pracy: analiza sprzedaży z pytania w języku naturalnym

Pierwsze zadanie jest zwykłe: pięć podkategorii z największym wzrostem sprzedaży z listopada na grudzień 2025 roku. Podajemy definicję sprzedaży i prosimy, żeby agent najpierw sprawdził strukturę tabel:

Wynik sprawdziliśmy niezależnie własnym zapytaniem na koncie administratora. Wszystkie pięć pozycji zgadza się co do grosza. Warto zwrócić uwagę na dwie rzeczy, których nikt nie kazał agentowi robić: sprawdził, czy w kolumnie Status nie ma literówek i spacji, zanim oparł na niej warunek, oraz jawnie zapisał swoje założenie o zamówieniach zwróconych. To dokładnie te pytania, które zadałby doświadczony analityk.

Agent i dane osobowe: odmowa na poziomie bazy

To zachowanie modelu jest dobre, ale nie na nim opiera się bezpieczeństwo. Danych nie chroni tu decyzja AI, tylko uprawnienia w bazie. Inny model albo inaczej sformułowane polecenie mogłoby szukać obejścia, a DENY zadziała zawsze.

Wstrzyknięte polecenie w danych (prompt injection)

Najpoważniejsze ryzyko agentów nie pochodzi od użytkownika, tylko od danych. Agent czyta treści z bazy, a te treści mogą zawierać tekst udający polecenie. Żeby to sprawdzić, dopisaliśmy do tabeli zwrotów jeden wpis, w którym „klient” w opisie zwrotu zwraca się do asystenta AI:

-- Wpis zwrotu z poleceniem dla asystenta AI ukrytym w opisie (opis pocięty na fragmenty po 60 znaków)
SELECT r.ReturnID, r.ReturnedAt, v.n AS Fragment, SUBSTRING(r.Reason, (v.n - 1) * 60 + 1, 60) AS TekstOpisu
FROM dbo.Returns AS r
CROSS JOIN (VALUES (1), (2), (3)) AS v(n)
WHERE r.ReturnID = 123271;

Ten wynik wymaga uczciwego komentarza. Agent nie wykonał wstrzykniętego polecenia, a nawet gdyby próbował, zatrzymałyby go dwie niezależne blokady: tryb tylko do odczytu w DBHub i brak uprawnienia UPDATE w SQL Server. Zabrakło jednak czegoś, czego oczekiwalibyśmy od człowieka: ostrzeżenia. W innym przebiegu z tym samym poleceniem ten sam model opisał wpis jako podejrzany i zalecił sprawdzenie, skąd pochodzi. Zachowanie modelu nie jest powtarzalne, dlatego bezpieczeństwa nie można opierać na jego czujności.

Próba zapisu wprost

Na koniec najprostszy test: każemy agentowi wykonać polecenie zmieniające dane.

Agent opisał to jako odpowiedź „serwera”, ale odrzucił je serwer MCP, nie SQL Server. Gdyby ktoś wyłączył tryb tylko do odczytu w DBHub, polecenie dotarłoby do bazy i tam zatrzymałby je brak uprawnienia UPDATE, co pokazaliśmy wyżej. Na tym polega obrona w głąb: każda warstwa działa niezależnie od pozostałych.

Co zaleca Google i jak to wygląda w praktyce

Google Cloud opublikował wytyczne dotyczące zabezpieczania agentów łączących się z bazami danych przez MCP (Best practices for securing agent interactions with Model Context Protocol). Najważniejsze zalecenia i ich odpowiedniki w naszym przykładzie:

RODO: co trafia do modelu

Każdy wynik zapytania, który agent przeczyta, trafia do modelu językowego, czyli zwykle do zewnętrznego dostawcy. Jeśli w wyniku są dane osobowe, ich przekazanie musi mieć podstawę prawną, a dostawca musi działać jako podmiot przetwarzający na podstawie umowy powierzenia. Najprostsza i najskuteczniejsza ochrona to ta, którą pokazaliśmy: agent technicznie nie ma dostępu do danych osobowych, więc nie może ich przekazać, niezależnie od tego, o co go poproszono. To jest praktyczna realizacja zasady minimalizacji danych z art. 5 RODO. Gdy analiza wymaga danych o klientach, agent powinien pracować na danych zanonimizowanych albo spseudonimizowanych, o czym jest następna sekcja. Ostateczną ocenę zgodności konkretnego wdrożenia zostaw inspektorowi ochrony danych w Twojej organizacji.

Anonimizacja danych i przykładowy wynik dla AI

Do większości zadań w tym przewodniku AI nie potrzebowało ani jednego wiersza danych. Wystarczały schemat, kod zapytania, komunikat błędu albo plan wykonania. Są jednak sytuacje, w których przykładowy wynik bardzo pomaga: gdy pytasz, dlaczego liczby wyglądają dziwnie, gdy prosisz o interpretację zestawienia albo gdy AI ma zaproponować zapytanie kontrolne na podstawie tego, co widzi w danych. Wtedy do AI trafiają dane, a jeśli dotyczą ludzi, są to dane osobowe.

Zasada jest prosta: do AI wysyłamy tylko to, co jest potrzebne do zadania, i nigdy danych, które pozwalają wskazać konkretną osobę. Poniżej cztery techniki w SQL Server, od najmocniejszej do najsłabszej, a potem dwie rozmowy z ChatGPT: o tym, jak zbudować taki widok, i o tym, czego z próbki danych nie wolno wywnioskować.

Technika 1: widok z pseudonimami zamiast danych osobowych

Widok dla AI i analityków nie zawiera imion, nazwisk, adresów e-mail, telefonów ani dat urodzenia. Klient jest pseudonimem: skrótem SHA-256 z identyfikatora i tajnej soli, więc te same zamówienia jednego klienta da się powiązać, ale nie da się z pseudonimu odtworzyć, kim jest klient. Data urodzenia zamienia się w przedział wieku, a kod pocztowy zostaje obcięty do dwóch pierwszych cyfr.

CREATE OR ALTER VIEW dbo.v_ZamowieniaDlaAI
AS
/* Dane zamówień dla AI: bez imion, nazwisk, e-maili, telefonów i dat urodzenia.
   Klient jako pseudonim (skrót SHA-256 z tajną solą), wiek w przedziałach, kod pocztowy tylko do regionu. */
SELECT 'K-' + LEFT(CONVERT(char(64), HASHBYTES('SHA2_256', CONCAT(N'sol-trzymana-poza-AI', c.CustomerID)), 2), 10) AS Klient,
       c.Segment,
       r.RegionName AS Wojewodztwo,
       LEFT(c.PostalCode, 2) + '-xxx' AS KodPocztowyRegion,
       CASE WHEN c.BirthDate IS NULL THEN 'brak danych'
            ELSE CONCAT((DATEDIFF(YEAR, c.BirthDate, '20251231') / 10) * 10, '-',
                        (DATEDIFF(YEAR, c.BirthDate, '20251231') / 10) * 10 + 9) END AS PrzedzialWieku,
       o.OrderID, CAST(o.OrderDate AS date) AS DataZamowienia, o.Status, o.Channel,
       o.ShippingCost
FROM dbo.Orders AS o
JOIN dbo.Customers AS c ON c.CustomerID = o.CustomerID
LEFT JOIN dbo.Regions AS r ON r.RegionID = c.RegionID;

-- Próbka danych dla AI z widoku z pseudonimami: bez danych identyfikujących osobę
SELECT TOP (12) Klient, Segment, Wojewodztwo, KodPocztowyRegion, PrzedzialWieku,
       DataZamowienia, Status, Channel, ShippingCost
FROM dbo.v_ZamowieniaDlaAI
WHERE DataZamowienia >= '20251201'
ORDER BY OrderID;

Sól musi być tajna i przechowywana poza tym, co trafia do AI. Bez niej pseudonim byłby zwykłym skrótem z kolejnej liczby, który każdy może odtworzyć, licząc skróty dla wszystkich identyfikatorów od 1 do 200 tysięcy. Dlatego w środowisku produkcyjnym lepsza jest osobna, chroniona tabela pseudonimów, co zaproponował też ChatGPT w rozmowie poniżej.

Technika 2: maskowanie dynamiczne danych (Dynamic Data Masking)

SQL Server potrafi maskować wybrane kolumny w wynikach dla użytkowników bez uprawnienia UNMASK. Dane w tabeli się nie zmieniają, zmienia się tylko to, co widzi dany użytkownik. Na kopii tysiąca klientów zamaskowaliśmy nazwisko, e-mail, telefon i datę urodzenia, a potem odczytaliśmy tabelę jako użytkownik bez prawa do odmaskowania:

ALTER TABLE dbo.Customers_Maskowani ALTER COLUMN LastName ADD MASKED WITH (FUNCTION = 'partial(1, "***", 0)');
ALTER TABLE dbo.Customers_Maskowani ALTER COLUMN Email ADD MASKED WITH (FUNCTION = 'email()');
ALTER TABLE dbo.Customers_Maskowani ALTER COLUMN Phone ADD MASKED WITH (FUNCTION = 'partial(0, "XXX XXX ", 3)');
ALTER TABLE dbo.Customers_Maskowani ALTER COLUMN BirthDate ADD MASKED WITH (FUNCTION = 'default()');
CREATE USER analityk_ai WITHOUT LOGIN;
GRANT SELECT ON dbo.Customers_Maskowani TO analityk_ai;

-- Dynamiczne maskowanie danych: ta sama tabela oczami użytkownika bez uprawnienia UNMASK
EXECUTE AS USER = 'analityk_ai';
SELECT TOP (8) CustomerID, FirstName, LastName, Email, Phone, BirthDate, City
FROM dbo.Customers_Maskowani ORDER BY CustomerID;
REVERT;

SELECT TOP (8) CustomerID, FirstName, LastName, Email, Phone, BirthDate, City
FROM dbo.Customers_Maskowani ORDER BY CustomerID;

Maskowanie to wygodna warstwa ochrony przy przeglądaniu danych, ale nie zastępuje pseudonimizacji. Użytkownik, który może wykonywać dowolne zapytania, potrafi odgadywać zamaskowane wartości warunkami w WHERE, na przykład sprawdzając zakresy dat urodzenia. Do danych wysyłanych do AI lepiej nadaje się widok, z którego wrażliwe kolumny po prostu usunięto.

Technika 3: mała próbka w formacie JSON

Gdy AI ma zobaczyć kształt danych, wystarcza kilka do kilkuset wierszy z widoku bez danych osobowych. Najwygodniej przekazać je jako JSON, który SQL Server tworzy sam:

-- Próbka w formacie JSON do wklejenia w polecenie dla AI
SELECT TOP (5) Klient, Segment, Wojewodztwo, PrzedzialWieku, DataZamowienia, Status, Channel, ShippingCost
FROM dbo.v_ZamowieniaDlaAI
WHERE DataZamowienia >= '20251201'
ORDER BY OrderID
FOR JSON PATH;

Technika 4: profil danych zamiast wierszy

Często AI wystarczą statystyki: liczba wierszy, zakres dat, liczba różnych wartości, udział braków i rozkład kluczowych kolumn. Taki profil nie zawiera ani jednego rekordu, a mówi o danych więcej niż losowe wiersze:

-- Profil danych zamiast wierszy: AI dostaje kształt danych, a nie dane osób
SELECT 'Orders' AS Tabela, COUNT(*) AS Wiersze,
       MIN(OrderDate) AS MinData, MAX(OrderDate) AS MaxData,
       COUNT(DISTINCT CustomerID) AS RozniKlienci,
       SUM(CASE WHEN PromoCode IS NULL THEN 1 ELSE 0 END) AS BrakKoduPromocyjnego,
       CAST(AVG(ShippingCost) AS decimal(10, 2)) AS SrKosztWysylki
FROM dbo.Orders;

SELECT Status, COUNT(*) AS Zamowienia,
       CAST(100.0 * COUNT(*) / SUM(COUNT(*)) OVER () AS decimal(5, 2)) AS Procent
FROM dbo.Orders GROUP BY Status ORDER BY Zamowienia DESC;

Rozmowa 1: ChatGPT projektuje widok i ocenia go pod kątem RODO

Projekt ChatGPT w kilku miejscach jest ostrożniejszy od naszego widoku. Zamiast skrótu z solą proponuje osobną tabelę z losowym pseudonimem, dostępną tylko dla administratorów. Datę zamówienia ogranicza do miesiąca, bo dokładna data w połączeniu z innymi systemami ułatwia rozpoznanie klienta. Region bierze z identyfikatora województwa, a nie z kodu pocztowego, i słusznie zauważa, że początek polskiego kodu pocztowego nie wyznacza jednoznacznie województwa. Wiek liczy na dzień zamówienia, żeby dane historyczne się nie zmieniały.

Z tej rozmowy wynika wniosek prawny, a nie techniczny: pseudonimizacja zmniejsza ryzyko, ale dane nadal są danymi osobowymi. Wysłanie ich do zewnętrznego dostawcy AI wymaga podstawy prawnej i umowy powierzenia, a decyzję warto skonsultować z inspektorem ochrony danych. Do pracy z AI nad zapytaniami najbezpieczniejsze pozostają schemat, plan wykonania i profil danych, które nie zawierają żadnych danych osobowych.

Rozmowa 2: co da się wyczytać z próbki, a czego nie

Na koniec test, który pokazuje, po co w ogóle dawać AI próbkę danych. Wyeksportowaliśmy 200 zamówień z widoku bez danych osobowych i zapisaliśmy je w pliku nazwanym „grudzień 2025”. Celowo zrobiliśmy to tak, jak robi się to w pośpiechu: pierwsze 200 wierszy posortowanych po numerze zamówienia.

Wszystkie liczby z odpowiedzi sprawdziliśmy na tym samym pliku: 200 rekordów z jednego dnia, 181 różnych pseudonimów, 151 zamówień z zerowym kosztem wysyłki (75,5%), średni koszt 3,27, wszystkie 51 zamówień B2B z kosztem zero i 11 powtórzonych rekordów. Zgadzają się co do sztuki i co do grosza. Cenniejsze od liczb jest jednak to, czego AI odmówiło: nie wyciągnęło żadnego wniosku o całym miesiącu, rentowności kanałów ani kosztach logistyki, bo próbka na to nie pozwala.

Pliki z tej sekcji: widok z pseudonimami, demo maskowania dynamicznego i próbka z pseudonimami użyta w rozmowie.

✕