Najkrótsza wersja
Chatbot, voice bot i automatyzacje AI przetwarzają dane osobowe, więc RODO stosuje się do nich w całości: potrzebujesz podstawy przetwarzania, umowy powierzenia z dostawcą, minimalizacji tego, co system zbiera, i jasnej retencji logów. Najważniejsze pytanie brzmi: gdzie fizycznie są dane z rozmów i czy nie zasilają cudzych modeli. Jeśli dostawca nie umie odpowiedzieć jednym zdaniem — to jest odpowiedź.
Jakie dane naprawdę płyną przez chatbota
Nawet „niewinny” chatbot ofertowy zbiera więcej, niż się wydaje: treść pytań (bywa, że z danymi zdrowotnymi albo finansowymi, bo klient pisze jak człowiekowi), dane kontaktowe z formularza, przez który bot przekazuje sprawę człowiekowi, adres IP i metadane sesji, a w voice bocie — nagranie głosu. Do tego logi rozmów, które sam chcesz trzymać, żeby kontrolować jakość odpowiedzi. Każdy z tych strumieni ma swojego administratora, procesora i okres retencji — nawet jeśli nikt ich dotąd nie spisał.
Pięć rzeczy do ustalenia przed startem
- Podstawa przetwarzania. Obsługa zapytania to zwykle art. 6 ust. 1 lit. b (zmierzanie do umowy) albo lit. f (uzasadniony interes) — nie „zgoda na wszystko”. Ma to odzwierciedlać polityka prywatności.
- Umowa powierzenia (DPA). Dostawca chatbota i dostawca modelu przetwarzają dane w Twoim imieniu — art. 28 RODO wymaga umowy, która to reguluje. Łańcuch podpowierzeń (dostawca → chmura → model) ma być jawny.
- Zakaz treningu na Twoich danych. Na piśmie. Domyślne ustawienia głównych API tego nie robią, ale „domyślne” to nie „zagwarantowane”.
- Lokalizacja i transfer. Region przetwarzania w EOG albo ważna podstawa transferu. Najprościej mają firmy, których system działa na serwerze w UE — u nas to standard: instalacja na serwerze klienta albo dedykowanym VPS w Unii Europejskiej.
- Retencja i dostęp. Ile żyją logi rozmów, kto je widzi, jak realizujesz prawo do usunięcia. „Trzymamy wszystko na zawsze” to nie polityka retencji, tylko przyszły incydent.
Minimalizacja: najskuteczniejszy bezpiecznik
Najtańszym sposobem ograniczenia ryzyka nie jest szyfrowanie ani audyt — jest niezbieranie. Dobrze zaprojektowany chatbot: nie prosi o dane, których nie potrzebuje do sprawy; tnie lub maskuje dane wrażliwe w logach; przekazuje człowiekowi rozmowy, w których klient zaczyna podawać dane szczególnych kategorii. To samo dotyczy automatyzacji dokumentów i obiegu faktur — automat powinien widzieć tyle, ile wymaga jego krok, a nie całą bazę.
RODO i AI Act to dwa różne obowiązki
Warto ich nie mylić: RODO pilnuje danych osobowych (od 2018 r.), a AI Act od sierpnia 2026 wymaga m.in. jawności — tego, żeby klient wiedział, że rozmawia z maszyną. Spełnienie jednego nie załatwia drugiego: chatbot może wzorowo informować, że jest AI, i równocześnie wysyłać transkrypcje rozmów na serwer, o którym nikt w firmie nie wie. Dojrzałe wdrożenie domyka oba obwody naraz.
Ten wpis porządkuje temat na dzień publikacji i nie jest poradą prawną. Przy danych szczególnych kategorii (zdrowie, biometria) albo profilowaniu klientów skonsultuj konfigurację z prawnikiem lub IOD — tam progi są wyżej.