Pracownicy używają prywatnych kont ChatGPT w pracy - co z tym zrobić

AI Act - Czy AI Act dotyczy Twojej firmy i w jakiej roli

Pracownicy używają prywatnych kont ChatGPT w pracy - co z tym zrobić

W skrócie

Zarząd odkrywa, że pracownicy wklejają umowy, maile klientów albo dane kadrowe do prywatnych kont ChatGPT i innych narzędzi AI. To zjawisko nazywa się shadow AI w firmie: narzędzie działa, ale poza wiedzą i kontrolą organizacji. Podpowiadamy, jak tę sytuację ocenić na gruncie AI Act i RODO i jak przejść od nieformalnego używania do kontrolowanego korzystania z AI.

Jak to wygląda w praktyce

W biurze rachunkowym z Katowic menedżerka zauważa, że asystentki przygotowują pisma w ChatGPT na prywatnych kontach, bo firma nie kupiła licencji. Do narzędzia trafiają fragmenty umów, nazwiska i adresy klientów. Sprawa wychodzi przy audycie bezpieczeństwa informacji i w ankiecie klienta o podmioty przetwarzające jego dane. Zastępca Prezesa Urzędu Ochrony Danych Osobowych (UODO) wskazywał w czerwcu 2026 r., według relacji na stronie urzędu, że 54% pracowników korzystających z narzędzi AI nie informuje o tym pracodawców, a dane trafiają wtedy do narzędzi poza wiedzą organizacji.

Co mówią przepisy

AI Act. Rozporządzenie nie stosuje się do obowiązków osób fizycznych, które korzystają z systemów AI „w ramach czysto osobistej działalności pozazawodowej” (art. 2 ust. 10, podobnie art. 3 pkt 4). Praca na dokumentach firmy do tej kategorii nie należy, a art. 4 obejmuje personel i inne osoby zajmujące się wykorzystaniem systemów AI w imieniu podmiotu stosującego. AI Act nie mówi wprost, czy firma, która nie wie o prywatnych kontach, sprawuje nad takim użyciem kontrolę w rozumieniu definicji podmiotu stosującego. Bezpieczniej traktować pracę na danych firmy jako użycie, za które firma odpowiada, i objąć je zasadami, szkoleniem i rejestrem narzędzi.

Zobacz też: Szkolenie Gotowość na AI ACT

RODO. Firma jest administratorem danych, które przetwarzają jej pracownicy, i wdraża środki, aby przetwarzanie było zgodne z RODO i by mogła to wykazać (art. 24 ust. 1). Osoba działająca z upoważnienia administratora przetwarza dane wyłącznie na jego polecenie (art. 29), a administrator podejmuje działania, by tak było (art. 32 ust. 4). Gdy przetwarzanie ma się odbywać w imieniu administratora, korzysta on tylko z podmiotów przetwarzających, które dają wystarczające gwarancje (art. 28 ust. 1). Podstawą jest umowa określająca m.in. przedmiot, czas, charakter i cel przetwarzania oraz rodzaj danych (art. 28 ust. 3). Przy prywatnym koncie pracownika firma takiej umowy nie ma i nie decyduje o środkach bezpieczeństwa z art. 32 ust. 1. Szerzej o tym w poście o danych osobowych w narzędziach AI.

Naruszenie ochrony danych. Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące m.in. do nieuprawnionego ujawnienia danych (art. 4 pkt 12). Gdy dane klientów albo pracowników trafiły na prywatne konto, administrator, zwykle z pomocą inspektora ochrony danych, ocenia, czy doszło do takiego naruszenia. Jeśli tak, zgłasza je organowi nadzorczemu, w Polsce Prezesowi UODO, bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1). Każde naruszenie, także niezgłoszone, administrator dokumentuje (art. 33 ust. 5). Tajemnice przedsiębiorstwa i informacje objęte umowami o poufności z klientami chronią odrębne przepisy i same umowy, więc ich wprowadzenie do prywatnego konta też wymaga oceny.

Co zrobić krok po kroku

1. Ustalenie stanu bez szukania winnych. Zarząd ogłasza, że celem jest uporządkowanie narzędzi, a nie kary za przeszłość, i prosi zespoły o anonimową ankietę: jakie narzędzia AI, do jakich zadań, jakie dane. Dział IT uzupełnia obraz informacjami z używanych już narzędzi bezpieczeństwa, w granicach zasad monitorowania przyjętych w firmie. Efekt: wykaz faktycznie używanych narzędzi i zastosowań.
2. Ocena dotychczasowego użycia. Firma jako administrator, z pomocą inspektora ochrony danych, jeśli go wyznaczyła, ustala, czy na prywatne konta trafiły dane osobowe, i ocenia, czy doszło do naruszenia ochrony danych. Jeśli tak, uruchamia procedurę z art. 33 RODO. Efekt: wpis w rejestrze naruszeń z oceną ryzyka i decyzją o zgłoszeniu.
3. Konta firmowe. Dział IT z działem zakupów wybiera narzędzia do zadań z wykazu i zawiera z dostawcą umowę, która obejmuje powierzenie przetwarzania danych (art. 28 ust. 3 RODO). Firma z pomocą inspektora ochrony danych ocenia środki bezpieczeństwa (art. 32), a IT konfiguruje dostęp przez konta firmowe. Efekt: umowa, ocena bezpieczeństwa i lista zatwierdzonych narzędzi.
4. Zasady korzystania. Zarząd przyjmuje zasady: zatwierdzone narzędzia, zakaz używania prywatnych kont do danych firmy, kategorie danych, których nie wolno wprowadzać, i weryfikacja wyników przez człowieka. Zawartość takiego dokumentu opisuje post o polityce korzystania z AI w firmie. Efekt: zarządzenie z potwierdzeniem zapoznania się przez pracowników.
5. Szkolenie. HR z kierownikami organizuje szkolenie z zatwierdzonych narzędzi i zasad ochrony danych, dopasowane do ról. To także środek wspierający kompetencje w zakresie AI z art. 4 AI Act, opisany w poście o szkoleniu pracowników z AI według art. 4. Efekt: rejestr szkoleń z datami i tematami.
6. Kanał zgłaszania nowych narzędzi. Dział IT udostępnia formularz, w którym pracownik zgłasza narzędzie, którego potrzebuje do pracy. IT i osoba odpowiedzialna za ochronę danych oceniają zgłoszenie i wpisują decyzję do rejestru narzędzi. Efekt: rejestr zgłoszeń z decyzjami i datami.
7. Przegląd. Osoba od compliance okresowo porównuje listę zatwierdzonych narzędzi z wynikami kolejnej ankiety i ze zgłoszeniami, a rozbieżności omawia z kierownikami zespołów. Efekt: notatka z przeglądu i aktualizacja zasad.

Jak sprawdzić, że sprawa jest załatwiona

Wyniki ankiety i dane z narzędzi bezpieczeństwa pokazują, z jakich narzędzi AI korzystają pracownicy, a każde zatwierdzone narzędzie działa na koncie firmowym, z umową obejmującą powierzenie danych i oceną bezpieczeństwa. Zasady korzystania są przyjęte i potwierdzone przez pracowników, szkolenia są odnotowane, a nowe narzędzia przechodzą przez kanał zgłoszeń. Dotychczasowe przypadki wprowadzenia danych na prywatne konta są ocenione i opisane w rejestrze naruszeń. Wykaz narzędzi, umowy, zasady, rejestr szkoleń i rejestr naruszeń to dowody na wypadek kontroli Prezesa UODO albo Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).

Podstawa prawna i źródła

• art. 2 ust. 10, art. 3 pkt 4 i art. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 4 pkt 12, art. 24, 28, 29, 32 i 33 rozporządzenia (UE) 2016/679 (RODO) (źródło)
• Urząd Ochrony Danych Osobowych, Czy AI to zagrożenie dla danych? Konrad Komornicki podczas AI & MEDTECH CEE 2026 (relacja z 10.06.2026) (źródło)
• art. 5 ust. 1 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001