RODO a AI w obsłudze klienta — co wolno, a czego unikać

Dlaczego RODO dotyczy też Twojego chatbota

RODO obowiązuje od 25 maja 2018 i obejmuje każde przetwarzanie danych osobowych — niezależnie od tego, czy robi to człowiek, arkusz kalkulacyjny, czy model językowy. Jeśli Twój chatbot zbiera imię, e-mail albo numer telefonu klienta, jeśli agent głosowy nagrywa rozmowę, jeśli wklejasz treść reklamacji do narzędzia AI — przetwarzasz dane osobowe i RODO ma zastosowanie.

Do tego dochodzi Akt o sztucznej inteligencji (AI Act), który wszedł w życie 1 sierpnia 2024. Jego obowiązki wchodzą etapami w latach 2025–2027, a jeden z nich dotyczy bezpośrednio obsługi klienta: użytkownik ma wiedzieć, że rozmawia z AI, a nie z człowiekiem. Czyli dokładnie to, co i tak warto robić z powodów czysto biznesowych — ukrywanie bota przed klientem prędzej czy później wychodzi na jaw i podkopuje zaufanie.

Jedno zastrzeżenie na start: ten artykuł to praktyczny przewodnik przedsiębiorcy, nie porada prawna. Jeśli Twoja firma przetwarza dane wrażliwe (zdrowie, finanse, dane dzieci) albo działa na dużą skalę, skonsultuj konkretne wdrożenie z prawnikiem.

Minimalizacja danych: AI dostaje tylko to, czego potrzebuje

To najważniejsza zasada w całym artykule. RODO nazywa ją minimalizacją danych, a w praktyce brzmi ona tak: zanim wyślesz cokolwiek do modelu AI, zadaj pytanie „czy AI naprawdę tego potrzebuje?".

Przykład: chatbot ma odpowiedzieć klientowi na pytanie o status zamówienia. Potrzebuje numeru zamówienia i statusu z Twojego systemu. Nie potrzebuje adresu zamieszkania klienta, historii wszystkich jego zakupów ani numeru PESEL. Jeśli Twoja integracja przekazuje do modelu całą kartę klienta „bo tak było prościej", masz problem — i to nie tylko prawny, ale też praktyczny: im więcej danych krąży po systemach, tym więcej może wyciec.

Jak to wygląda w praktyce:

• Projektuj przepływ danych świadomie — spisz, jakie pola trafiają do AI i po co. Jeśli nie umiesz uzasadnić pola, wytnij je.
• Anonimizuj przed wysłaniem — zamiast „Jan Kowalski, jan.kowalski@firma.pl, reklamacja butów" wyślij „klient #4521, reklamacja butów". Model odpowie równie dobrze, a dane osobowe zostają u Ciebie.
• Nie karm modelu historią „na zapas" — kontekst rozmowy tak, pełna baza klientów nie.

Klient ma prawo wiedzieć, że rozmawia z botem

Przejrzystość to wymóg, który AI Act wprowadza wprost, ale dobra obsługa klienta znała go wcześniej. Zasada jest prosta: jeśli po drugiej stronie jest AI, klient ma się o tym dowiedzieć na początku rozmowy, a nie domyślić się po trzeciej dziwnej odpowiedzi.

Wystarczy jedno zdanie na starcie czatu: „Cześć, jestem asystentem AI firmy X. Odpowiem na większość pytań, a w trudniejszych sprawach przekażę Cię do człowieka". W rozmowie głosowej — analogiczna informacja w powitaniu. W ulepsz.ai agent głosowy AI odbiera telefon firmowy i przedstawia się jako asystent AI od pierwszych sekund — klient od razu wie, na czym stoi.

Druga część tej zasady: zawsze zostaw wyjście do człowieka. Klient, który chce rozmawiać z osobą, nie może utknąć w pętli bota. To wymóg zdrowego rozsądku, a przy okazji ratuje Cię w sytuacjach, których AI nie powinno obsługiwać samodzielnie — skargach, sporach, nietypowych reklamacjach. Więcej o tym, kiedy bot w ogóle ma sens, przeczytasz w tekście o chatbocie na stronie firmowej.

Umowa powierzenia przetwarzania — jeden dokument, który musisz mieć

Gdy używasz zewnętrznego narzędzia AI do obsługi klientów, dostawca tego narzędzia przetwarza dane w Twoim imieniu. RODO wymaga wtedy umowy powierzenia przetwarzania danych (po angielsku: DPA, Data Processing Agreement). Brzmi groźnie, ale w praktyce u większości poważnych dostawców to standardowy dokument, który akceptujesz albo pobierasz z panelu konta.

Na co zwrócić uwagę, zanim podepniesz narzędzie do obsługi klienta:

• Czy dostawca oferuje DPA? Jeśli nie ma go nigdzie w dokumentacji ani w ustawieniach konta — to sygnał ostrzegawczy.
• Gdzie są serwery? Dostawcy z serwerami w UE lub z opcją „EU data residency" upraszczają Ci życie. Transfer danych poza UE jest możliwy, ale wymaga dodatkowych podstaw prawnych.
• Czy dostawca trenuje modele na Twoich danych? Szukaj w warunkach zapisu o treningu. W planach biznesowych zwykle da się to wyłączyć — i to wyłączenie powinno być domyślnym ustawieniem u Ciebie.

Nie wklejaj danych klientów do publicznych czatów

Najczęstszy błąd małych firm nie dotyczy chatbota na stronie, tylko codziennej pracy: pracownik wkleja do publicznego czatu AI treść maila od klienta — z imieniem, nazwiskiem, adresem i szczegółami sprawy — żeby „AI pomogło ładnie odpisać". Intencja dobra, wykonanie ryzykowne.

Darmowe, konsumenckie wersje popularnych czatów mogą wykorzystywać wpisane treści do ulepszania modeli, a Ty nie masz z ich dostawcą umowy powierzenia. Rozwiązanie nie polega na zakazie używania AI — polega na trzech prostych zasadach:

• Usuń dane osobowe przed wklejeniem — „klient reklamuje uszkodzoną paczkę, chce zwrotu" wystarczy, żeby AI napisało dobrą odpowiedź.
• Używaj wersji biznesowych z wyłączonym treningiem — plany firmowe głównych dostawców dają takie ustawienia i DPA.
• Powiedz o tym zespołowi — jedna krótka rozmowa oszczędzi Ci miesięcy nieświadomego ryzyka.

Retencja i prawo do usunięcia

RODO daje klientowi prawo do usunięcia danych — a Ty musisz umieć z niego skorzystać także wtedy, gdy dane przeszły przez systemy AI. Zanim wdrożysz narzędzie, sprawdź dwie rzeczy: jak długo dostawca przechowuje zapisy rozmów i czy możesz je usunąć — pojedynczo, na żądanie konkretnego klienta.

Ustal też własne zasady retencji: transkrypcje rozmów z botem nie muszą żyć wiecznie. Jeśli po zamknięciu sprawy nie masz powodu ich trzymać, ustaw automatyczne usuwanie po określonym czasie. Mniej danych w archiwum to mniejsze ryzyko i prostsza odpowiedź na pytanie klienta „co o mnie przechowujecie?".

Dobrą praktyką jest też krótka wewnętrzna polityka AI — jedna strona A4, która mówi zespołowi: jakich narzędzi używamy, czego nie wolno do nich wklejać, kto odpowiada za zgody i usuwanie danych. To nie biurokracja — to dokument, który przy pierwszym pytaniu od klienta albo urzędu oszczędza Ci nerwów. Jak ułożyć całość pracy z agentami AI w firmie, opisujemy w artykule o agentach AI w firmie.

Podsumowanie: lista kontrolna i jeden krok na dziś

RODO i AI da się pogodzić bez prawniczego doktoratu. Oto lista kontrolna do przejścia punkt po punkcie:

• Minimalizacja — AI dostaje tylko dane potrzebne do zadania, resztę wycinasz lub anonimizujesz.
• Przejrzystość — klient od pierwszego zdania wie, że rozmawia z AI, i zawsze może przejść do człowieka.
• Umowa powierzenia — masz DPA z każdym dostawcą narzędzia AI, które dotyka danych klientów.
• Serwery i trening — preferujesz serwery w UE i wyłączasz trening modeli na swoich danych.
• Publiczne czaty — zespół wie, że dane klientów nie trafiają do darmowych czatów bez ustawień prywatności.
• Retencja — zapisy rozmów mają termin ważności, a usunięcie danych na żądanie klienta jest wykonalne.
• Polityka AI — jedna strona zasad, którą zna cały zespół.

Jeden krok do zrobienia dziś: otwórz ustawienia narzędzia AI, którego używasz najczęściej, i sprawdź dwie rzeczy — czy trening na Twoich danych jest wyłączony i czy dostawca udostępnia umowę powierzenia. To 15 minut, po których śpisz spokojniej. A jeśli chcesz wdrożyć automatyzacje AI, które od początku są zaprojektowane z myślą o danych klientów — napisz, pokażemy Ci, jak to robimy.

Najczęstsze pytania

Czytaj też

← wszystkie wpisy