Czy pracownik urzędu może używać prywatnego konta ChatGPT do pracy służbowej?

Nie. Pracownik urzędu nie powinien używać prywatnego konta ChatGPT do pracy z dokumentami służbowymi. Prywatne konto oznacza brak umowy powierzenia danych między urzędem a OpenAI, a to oznacza, że urząd traci kontrolę nad tym, co dzieje się z wpisanymi treściami. To nie jest kwestia dobrej woli pracownika. To konkretna luka w ochronie danych osobowych, za którą urząd odpowiada jako administrator.

Co się dzieje z treścią wpisaną do prywatnego ChatGPT?

Domyślnie OpenAI może używać rozmów z darmowego lub prywatnego konta do ulepszania swoich modeli językowych. Można to wyłączyć w ustawieniach, ale tu pojawia się problem praktyczny: większość pracowników tego nie robi, a nawet po wyłączeniu historia rozmów jest przez jakiś czas przechowywana na serwerach OpenAI. Gdzie dokładnie? W jakiej jurysdykcji? Urząd nie ma na to odpowiedzi, bo nie ma żadnej umowy regulującej ten transfer.

Typowo wygląda to tak, że referent przepisuje fragment pisma od mieszkańca do okna czatu, prosi o pomoc z przygotowaniem odpowiedzi, a w tej treści są imię i nazwisko petenta, adres zamieszkania, numer sprawy, może nawet opis sytuacji zdrowotnej lub socjalnej. Te dane trafiają poza infrastrukturę urzędu bez żadnego nadzoru.

• Dane osobowe wpisane do prywatnego konta nie są objęte umową powierzenia danych z art. 28 RODO.
• OpenAI jako podmiot z siedzibą w USA może transferować dane poza Europejski Obszar Gospodarczy bez klauzul umownych negocjowanych przez urząd.
• Urząd jako administrator nie ma wglądu w to, jak dane są przechowywane ani jak długo.
• Historia rozmów może być dostępna dla pracowników supportu OpenAI przy obsłudze zgłoszeń technicznych.

Jakie ryzyko ponosi urząd, a jakie sam pracownik?

Urząd jako administrator danych odpowiada za każde przetwarzanie danych osobowych, które inicjuje lub dopuszcza brakiem odpowiednich procedur. Jeśli pracownik używa prywatnego konta, a urząd nie ma zakazu w regulaminie ani żadnej pisemnej polityki dotyczącej AI, urząd może odpowiadać za naruszenie zasady rozliczalności z art. 5 ust. 2 RODO oraz za brak odpowiednich środków technicznych i organizacyjnych z art. 24.

Konkretny scenariusz: inspektor UODO pyta podczas kontroli, jakie narzędzia AI są używane w urzędzie. Kierownik odpowiada, że żadne służbowe. Potem wychodzi, że pięciu referentów od roku używa prywatnych kont, bo "tak jest szybciej". To jest problem. I to niemały, zwłaszcza jeśli któryś z nich wklejał dane z systemu ewidencji ludności albo wnioski z MOPS.

Pracownik z kolei może naruszać regulamin pracy lub politykę bezpieczeństwa informacji, jeśli taka w urzędzie obowiązuje. Przy przetwarzaniu danych szczególnych kategorii, takich jak dane zdrowotne, sytuacja rodzinna czy informacje o niepełnosprawności, może to być podstawa do odpowiedzialności dyscyplinarnej. Inspektor Ochrony Danych w urzędzie powinien być w takim przypadku pierwszą osobą do konsultacji.

Kiedy prywatne konto AI jest akceptowalne?

Są sytuacje, gdy ryzyko jest naprawdę minimalne. Pracownik może użyć prywatnego konta ChatGPT, jeśli:

• sprawdza gramatykę lub styl własnoręcznie napisanego tekstu ogólnego, bez wklejania danych osobowych
• szuka ogólnych informacji o przepisach prawnych, bez treści dotyczących konkretnych spraw
• tłumaczy fragment ustawy lub przepisu z języka obcego
• pracuje z treściami już publicznie dostępnymi, np. projekt uchwały opublikowany w BIP, bez danych osobowych

Kryterium jest jedno: czy w wpisywanej treści są dane osobowe lub inne dane dotyczące konkretnych spraw i osób. Imię, nazwisko, adres, PESEL, numer decyzji powiązany z danymi konkretnej osoby. Jeśli cokolwiek z tego jest w treści, prywatne konto odpada.

Jakie są bezpieczne alternatywy dla prywatnego konta?

Są trzy drogi. Każda pasuje do innego budżetu i skali urzędu.

ChatGPT Team lub Enterprise. OpenAI oferuje plany biznesowe, gdzie domyślnie rozmowy nie są używane do trenowania modelu, a dane są odizolowane od kont prywatnych. W planie Enterprise można podpisać DPA, czyli Data Processing Agreement. To właśnie umowa powierzenia danych, której wymaga art. 28 RODO. Przed podpisaniem warto zapytać IOD lub dział prawny, czy DPA od OpenAI odpowiada wymaganiom waszego urzędu pod kątem lokalizacji danych i zakresu przetwarzania.

Microsoft Copilot z licencją M365. Jeśli urząd korzysta już z pakietu Microsoft 365, Copilot działa w ramach istniejącej umowy przetwarzania danych. Dane pozostają w środowisku organizacji, w jej własnym tenantcie. To wygodne wyjście, bo umowa z Microsoftem często już jest podpisana i zawiera odpowiednie klauzule dotyczące danych osobowych.

Model lokalny lub prywatna chmura. Dla urzędów z wyższymi wymaganiami bezpieczeństwa: modele językowe uruchamiane na serwerze urzędu lub w prywatnej chmurze polskiego dostawcy. Dane nie opuszczają infrastruktury organizacji. Wymaga więcej przygotowania technicznego, ale daje pełną kontrolę. Sprawdź nasze realne wdrożenia, żeby zobaczyć, jak to wygląda w praktyce.

Co powinien zawierać regulamin używania AI w urzędzie?

Większość urzędów albo w ogóle nie ma regulaminu używania AI, albo ma ogólnikowy zapis o zakazie korzystania z nieautoryzowanego oprogramowania. To za mało i w razie kontroli nie wystarczy jako dowód wdrożenia środków organizacyjnych.

Regulamin powinien wprost wskazywać:

• jakie narzędzia AI są dopuszczone do użytku służbowego, z nazwy lub z opisem kategorii (np. "narzędzia z podpisaną umową powierzenia danych")
• czy prywatne konta w zewnętrznych narzędziach AI są dozwolone, w jakim zakresie i z jakimi ograniczeniami
• jakich danych nie wolno wpisywać do żadnych zewnętrznych narzędzi AI: dane osobowe, dane z rejestrów urzędowych, informacje objęte tajemnicą służbową
• kto w urzędzie zatwierdza nowe narzędzia AI przed ich pierwszym użyciem
• co pracownik powinien zrobić, jeśli podejrzewa, że dane trafiły do nieautoryzowanego systemu

U jednego z naszych klientów, podczas wstępnego audytu, okazało się, że kilku pracowników od miesięcy używało różnych narzędzi AI przez prywatne konta, bo "tak jest szybciej i nie trzeba nikogo pytać". Nikt z nich nie wiedział, że robi coś problematycznego. Po uruchomieniu służbowego dostępu do AI i po wprowadzeniu krótkiego regulaminu sytuacja się unormowała, a pracownicy sami zaczęli zwracać uwagę, co wklejają do narzędzi.

Od czego zacząć porządkowanie tego tematu?

Najpierw sprawdź, co się faktycznie dzieje. Zapytaj pracowników wprost: "Czy korzystacie z jakichś narzędzi AI w pracy? Jakich?" Wiele osób odpowie szczerze, jeśli pytanie zadajesz bez tonu oskarżycielskiego. To rozmowa, nie przesłuchanie. Wynik powie ci, czy problem istnieje i jaka jest jego skala.

Następny krok to decyzja: czy urząd chce udostępnić narzędzie AI oficjalnie. Jeśli tak, podpisanie umowy powierzenia danych z dostawcą jest warunkiem koniecznym, zanim zaczną się jakiekolwiek szkolenia i zanim cokolwiek zostanie oficjalnie dopuszczone do użytku.

Jeśli nie wiesz, od czego zacząć, albo chcesz sprawdzić, które narzędzia są odpowiednie dla twojego urzędu, skorzystaj z naszego bezpłatnego audytu. Sprawdzamy aktualny stan, identyfikujemy konkretne luki i wskazujemy kolejne kroki, bez żargonu i bez presji sprzedażowej.