W małym zespole obsługi klienta temat AI a RODO w firmie sprowadza się przede wszystkim do kilku pytań, na które trzeba odpowiedzieć przed pierwszą rozmową z udziałem modelu. Jakie dane z czatu trafią do dostawcy? Kto je przetwarza i na jakich warunkach? Gdzie stoją serwery i czy dane opuszczają Europejski Obszar Gospodarczy? Kto w firmie akceptuje narzędzie i gdzie to zapisze?
Punktem wyjścia jest lista pytań, którą UODO przygotował dla małych i średnich firm korzystających z gotowych narzędzi AI. Streszczamy ją tutaj pod kątem czatu z klientem i dopisujemy przykłady. Tekst nie jest poradą prawną: decyzję o podstawie przetwarzania i transferze danych potwierdź z prawnikiem lub inspektorem ochrony danych.
AI a RODO w firmie: zacznij od jednego zastosowania
Checklista UODO dla MŚP jest przeznaczona dla firm, które używają gotowego narzędzia i nie trenują własnego modelu. Wypełnia się ją osobno dla każdego zastosowania, bo to samo narzędzie w obsłudze klienta i w rekrutacji niesie inne ryzyko. Dla czatu opisz więc jedno konkretne użycie, na przykład: „model podpowiada operatorowi szkic odpowiedzi na pytania o dostawę”. Taki opis od razu pokazuje, jakie dane będą potrzebne i czy wynik dotyka sytuacji klienta.
UODO opublikował w sierpniu 2026 r. listy pytań inicjalnych o RODO i AI, w tym wersję dla MŚP; uwagi można było zgłaszać do 30 września 2026 r., więc treść może zostać zaktualizowana. Urząd zaznacza, że listy nie są wiążącą wykładnią, a ich wypełnienie nie przesądza o zgodności z RODO.
Lista rozróżnia pytania o to, co robi narzędzie, i pytania o wymogi przepisów. Puste pole nie jest błędem, ale zadaniem: wpisz, co trzeba sprawdzić, kto to zrobi i do kiedy. Według UODO więcej niż trzy odpowiedzi „nie” oznaczają konsultację ze specjalistą przed dalszym korzystaniem z narzędzia. Wypełnioną listę zachowaj, bo pokazuje, że firma sprawdziła te kwestie przed wdrożeniem.
Jakie dane z rozmowy trafią do modelu
Rozmowa na czacie prawie zawsze zawiera dane osobowe, nawet bez nazwiska; ogólny podział tych danych opisuje artykuł o tym, jak live chat a RODO wygląda w praktyce. Tutaj ważniejsze jest pytanie węższe: co z tej rozmowy narzędzie wysyła do dostawcy modelu przy każdej generacji. Poproś dostawcę o listę na piśmie, a nie o zapewnienie, że „wysyłamy tylko to, co potrzebne”.
Przesuń tabelę w bok, aby zobaczyć wszystkie kolumny.
| Co trafia do modelu | Przykład w fikcyjnym sklepie | Pytanie kontrolne |
|---|---|---|
| Treść bieżącej rozmowy | „Paczka 4821 nie dotarła, mieszkam w Kielcach” | Czy wysyłany jest cały wątek, czy tylko potrzebny fragment? |
| Fragmenty bazy wiedzy | Regulamin dostaw i tabela przewoźników | Czy w źródłach nie ma danych konkretnych klientów? |
| Instrukcje dla asystenta | Ton odpowiedzi i lista tematów do przekazania | Czy instrukcje nie zawierają danych pracowników? |
| Dane wrażliwe wpisane przez klienta | Opis choroby jako powód zwrotu | Co zespół robi, gdy taka wiadomość już trafiła do czatu? |
Ostatni wiersz jest najtrudniejszy, bo nie ty decydujesz, co klient napisze. Dane o zdrowiu wymagają szczególnej podstawy prawnej, a przy danych wrażliwych checklista UODO dla MŚP już nie wystarcza, więc ustal z góry, czy narzędzie AI ma działać w kategoriach rozmów, w których takie dane pojawiają się regularnie. Materiały do wiedzy asystenta dobieraj według zasad z poradnika o tym, jakie dane dodać do wiedzy chatbota; dokumenty z danymi klientów zostaw poza bazą.
Kto jest podmiotem przetwarzającym
W typowym układzie firma prowadząca czat jest administratorem, a dostawca narzędzia przetwarza dane w jej imieniu na podstawie umowy powierzenia z art. 28 RODO. Przy AI dochodzi drugie ogniwo: dostawca modelu, z którego korzysta twój dostawca czatu. Zapytaj, kto nim jest, czy działa jako dalszy podmiot przetwarzający i gdzie to zapisano. Raport przygotowany dla EROD przez zewnętrzną ekspertkę zwraca uwagę, że dostawca modelu zatrzymujący dane do własnych celów, na przykład do ulepszania modelu, staje się w tym zakresie administratorem.
Dlatego w warunkach usługi sprawdź trzy rzeczy: czy wprowadzone treści mogą służyć do trenowania, czy da się to wyłączyć i jak długo dostawca przechowuje zapytania. Odpowiedzi wpisz do listy razem z linkiem do dokumentu i datą odczytu, bo regulaminy się zmieniają. Zakres dostępu samego asystenta do systemów firmy to osobny temat, rozpisany w poradniku o uprawnieniach agenta AI.
Gdzie są serwery i czy dane wyjeżdżają poza EOG
Lokalizację przetwarzania znajdziesz w umowie powierzenia, polityce prywatności dostawcy i liście podmiotów przetwarzających. Zapisz kraj, w którym działa dostawca modelu, a nie tylko kraj siedziby firmy, od której kupujesz czat. Jeżeli dane trafiają poza EOG, obowiązują przepisy rozdziału V RODO (art. 44–49): potrzebna jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony albo inne przewidziane tam zabezpieczenia, na przykład standardowe klauzule umowne.
Lista decyzji o odpowiednim stopniu ochrony prowadzona przez Komisję Europejską obejmuje m.in. Japonię, Szwajcarię, Wielką Brytanię i Stany Zjednoczone w zakresie Data Privacy Framework; nie ma na niej Chin. Lista nie mówi, czy konkretny transfer jest zgodny z prawem, a jedynie czy można oprzeć go na decyzji Komisji.
Ten punkt zmienia też zakres pracy. Checklista UODO dla MŚP wprost zaznacza, że nie wystarczy, gdy dane trafiają poza EOG; wtedy trzeba sięgnąć po wersję rozszerzoną albo skorzystać ze wsparcia specjalisty. Lepiej uwzględnić to w planie od początku, niż odkryć przy pierwszym pytaniu klienta.
Kto w firmie akceptuje narzędzie
Decyzja o przekazaniu treści rozmów dostawcy modelu należy do firmy, a nie do operatora, który akurat ma kolejkę. Wyznacz osobę, która akceptuje narzędzie, i drugą, która co jakiś czas sprawdza, czy nic się nie zmieniło. W małej firmie mogą to być właścicielka i kierownik obsługi.
- Opisz zastosowanie.Jedno zdanie o tym, co robi AI w czacie i czy klient widzi jego odpowiedzi, czy tylko operator.
- Zbierz dokumenty dostawcy.Umowa powierzenia, lista podmiotów przetwarzających, informacja o dostawcy modelu i lokalizacji danych.
- Ustal podstawę i transfer.Z prawnikiem lub inspektorem ochrony danych potwierdź podstawę przetwarzania i zabezpieczenia transferu.
- Zaakceptuj i zapisz.Osoba odpowiedzialna akceptuje narzędzie z datą i wersją dokumentów, które przeczytała.
- Wyznacz przegląd.Ustal termin ponownego sprawdzenia, bo dostawca może zmienić model, a zespół sposób korzystania.
Brak zatwierdzonego narzędzia nie zatrzyma potrzeby zespołu, tylko przesunie ją do prywatnych kont. Jak temu zapobiec, opisuje poradnik o shadow AI w obsłudze.
Jak te pytania wyglądają w Meet AI
W Meet AI dostawcą modelu jest DeepSeek, czyli chińska spółka Hangzhou DeepSeek Artificial Intelligence Co., Ltd. Podczas generowania trafiają do niej treść bieżącej rozmowy z niezbędnym kontekstem wcześniejszych wiadomości, wybrane fragmenty bazy wiedzy witryny i instrukcje skonfigurowane dla asystenta. Instalacja jest ręczna i wymaga, by administrator zaakceptował wersjonowaną informację o tym dostawcy i transferze treści rozmów. Zgodnie z polityką prywatności Meetlead firma korzystająca z Meet AI powinna uwzględnić DeepSeek we własnej informacji dla klientów oraz zapewnić podstawę prawną i gwarancje transferu.
Domyślny tryb to Copilot: klient nie widzi asystenta AI, a sugestia nie wysyła się sama. Treść rozmowy i tak trafia do dostawcy modelu przy każdej generacji sugestii, więc akceptacja dotyczy także tego trybu. Dane trafiają do spółki spoza EOG, więc sama checklista dla MŚP tu nie wystarczy. Wiedza jest izolowana per witryna, a usunięcie źródła działa od razu. Meetlead nie czyni wdrożenia zgodnym z RODO za ciebie.
Co zapisać, zanim AI zobaczy pierwszą rozmowę
Według UODO niektórych spraw nie można zostawić na potem: przed użyciem narzędzia na danych klientów trzeba mieć umowę z dostawcą, podstawę przetwarzania, informację dla osób i wiedzę o miejscu przechowywania danych. Szkolenie zespołu i zasady wprowadzania danych możesz domykać równolegle, z terminem w tabeli działań.
- Opis zastosowania AI w czacie i informacja, czy odpowiedzi widzi klient, czy tylko operator.
- Lista danych wysyłanych do modelu przy jednej generacji.
- Umowa powierzenia, nazwa dostawcy modelu i lista dalszych podmiotów przetwarzających.
- Kraj przetwarzania i podstawa transferu poza EOG, jeśli występuje.
- Wpis w rejestrze czynności przetwarzania (art. 30) i decyzja, czy potrzebna jest ocena skutków (art. 35).
- Zaktualizowana informacja dla klientów (art. 13) z nazwą dostawcy modelu i osoba odpowiedzialna za przegląd.
Gdy klient zapyta o swoje dane, ta dokumentacja pokaże, gdzie trafiły; procedurę opisujemy w tekście o tym, jak obsłużyć wniosek o kopię danych. Jeżeli asystent ma odpowiadać klientom bez operatora, sposób oznaczenia rozmowy z AI omawia poradnik o oznaczeniu chatbota AI.
Pytania o AI i RODO w obsłudze
Czy tryb, w którym AI tylko podpowiada operatorowi, zwalnia z tych pytań? Nie. Klient nie widzi asystenta, ale treść jego wiadomości nadal trafia do dostawcy modelu przy generowaniu szkicu. Zmienia się ryzyko błędnej odpowiedzi, bo człowiek sprawdza tekst przed wysłaniem, a nie zakres danych, które opuszczają twój system.
Czy wypełniona checklista UODO oznacza, że wdrożenie jest zgodne z RODO? Nie. Sam urząd podkreśla, że lista nie zastępuje analizy ryzyka ani oceny skutków i nie przesądza o zgodności. Jest dowodem, że firma zadała właściwe pytania, i listą zadań do zamknięcia, zanim narzędzie zacznie pracować na prawdziwych rozmowach.
