--- title: "OpenAI / ChatGPT zgodnie z RODO: wersja konsumencka vs. Enterprise vs. API" description: "Korzystanie z OpenAI zgodnie z RODO oznacza, że do danych firmowych używasz wyłącznie ChatGPT Enterprise, ChatGPT Business (wcześniej Team) lub OpenAI API z zawartą umową powierzenia przetwarzania…" locale: "pl" canonical: "https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/openai-chatgpt-zgodnie-z-rodo-wersja-konsumencka-vs-enterprise-vs-api" category: "Agenci AI" topic: "Wdrażanie agentów AI zgodnie z RODO" updated: "2026-10-28T13:35:42.313Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # OpenAI / ChatGPT zgodnie z RODO: wersja konsumencka vs. Enterprise vs. API Korzystanie z OpenAI zgodnie z RODO oznacza, że do danych firmowych używasz wyłącznie ChatGPT Enterprise, ChatGPT Business (wcześniej Team) lub OpenAI API z zawartą umową powierzenia przetwarzania danych (DPA), w których dane klientów domyślnie nie są wykorzystywane do trenowania. Konsumencki ChatGPT się do tego nie nadaje, bo brakuje wiążącej umowy powierzenia, a Twoja firma nie może kontrolować przechowywania ani rezydencji danych. ## W skrócie - Konsumencki ChatGPT (darmowy/Plus) nie spełnia wymogów RODO przy firmowych danych osobowych: brak DPA z OpenAI jako podmiotem przetwarzającym, brak gwarantowanej rezydencji danych w UE, brak kontroli firmy nad okresem przechowywania. - ChatGPT Enterprise/Business i OpenAI API działają na podstawie DPA OpenAI (obowiązuje od 1 stycznia 2026 r., stroną umowy dla EOG i Szwajcarii jest OpenAI Ireland Ltd.); dane klientów domyślnie nie są wykorzystywane do trenowania modeli. - Zasady przechowywania mocno się różnią: API domyślnie przechowuje logi wykrywania nadużyć do 30 dni, a zapisane pliki i vector stores do momentu usunięcia. W ChatGPT Enterprise okres przechowywania ustalają administratorzy przestrzeni roboczej, a usunięte czaty znikają w ciągu 30 dni. Zero Data Retention (ZDR) OpenAI oferuje publicznie tylko dla API, dla kwalifikujących się endpointów i po zatwierdzeniu. - Rezydencja danych w UE jest dostępna tylko dla kwalifikujących się kont Enterprise/Edu i określonych konfiguracji API; domyślnie obowiązuje routing globalny. - Włoski organ Garante nałożył 2 listopada 2024 r. na OpenAI karę 15 mln euro, m.in. za brak podstawy prawnej do trenowania i brak przejrzystości. Tribunale di Roma uchylił tę decyzję 18 marca 2026 r., ponieważ Garante nie był właściwy. W sprawie samych zarzutów sąd nie orzekał. - Zgodne z RODO wdrożenie wymaga DPA, mapowania podmiotów podprzetwarzających, opt-outu z trenowania, konfiguracji rezydencji danych, kontroli okresu przechowywania oraz oceny skutków dla ochrony danych (DPIA). Korzystanie z [OpenAI](https://blckalpaca.at/pl/slownik/openai) zgodnie z [RODO](https://blckalpaca.at/pl/slownik/rodo) oznacza, że do firmowych danych osobowych używasz wyłącznie ChatGPT Enterprise/Business lub OpenAI [API](https://blckalpaca.at/pl/slownik/api) z zawartą [umową powierzenia przetwarzania danych (DPA)](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/powierzenie-przetwarzania-danych-dostawcom-ai-zgodnie-z-art-28-rodo-przewodnik-p), w których dane klientów domyślnie nie są wykorzystywane do trenowania modeli. Konsumencki ChatGPT się do tego nie nadaje, bo brakuje wiążącej umowy DPA z OpenAI jako podmiotem przetwarzającym, a Twoja firma nie może kontrolować przechowywania ani rezydencji danych. Dla firm i agencji w Europie o zgodności z RODO decydują wybrany wariant dostępu i stojąca za nim umowa. - **Konsumencki ChatGPT** (darmowy, Plus): brak DPA z OpenAI jako podmiotem przetwarzającym, brak wiarygodnego wyłączenia z trenowania na podstawie umowy, brak gwarantowanej rezydencji danych w UE. Przy firmowych danych osobowych nie wchodzi w grę. - **ChatGPT Enterprise/Business** (Business nazywał się Team aż do [zmiany nazwy 29 sierpnia 2025 r.](https://help.openai.com/de-de/articles/12111915-chatgpt-business-rename-faq)): działa w ramach DPA OpenAI, domyślnie bez trenowania na danych klientów, OpenAI jako podmiot przetwarzający. W Enterprise administratorzy przestrzeni roboczej [ustalają okres przechowywania](https://openai.com/enterprise-privacy/), a usunięte czaty znikają w ciągu 30 dni. - **OpenAI API**: również objęte DPA. Logi wykrywania nadużyć OpenAI domyślnie przechowuje do 30 dni, a zapisane obiekty, takie jak pliki czy vector stores, do momentu usunięcia. Opcja [Zero Data Retention (ZDR)](https://developers.openai.com/api/docs/guides/your-data) jest dostępna dla kwalifikujących się endpointów po zatwierdzeniu przez OpenAI. ## Dlaczego konsumencki ChatGPT odpada w firmie Przy każdym przetwarzaniu danych osobowych przez system [AI](https://blckalpaca.at/pl/slownik/ai) w kontekście firmowym OpenAI jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Skuteczna umowa powierzenia przetwarzania danych (DPA) jest więc obowiązkowa. Planom konsumenckim brakuje takiej umowy w formie, której potrzebuje administrator: brak udokumentowanego obowiązku działania na polecenie, brak zagwarantowanej rezydencji danych, brak konfigurowalnych okresów przechowywania. Do tego dochodzi techniczne ryzyko memoryzacji. Nasr et al. (2023) wykazali, że z produkcyjnych modeli, takich jak ChatGPT, można wydobyć [dane treningowe](https://arxiv.org/abs/2311.17035) (w tym dane osobowe) przy koszcie zapytań około 200 dolarów amerykańskich. Kto bez zabezpieczeń wpisuje nazwiska klientów, dane kadrowe lub informacje o zdrowiu do konsumenckiego interfejsu, nie ma kontroli nad tym, co dzieje się z tymi danymi. Halucynowane dane osobowe to nadal dane osobowe. Tego dotyczy [skarga na OpenAI](https://noyb.eu/en/chatgpt-provides-false-information-about-people-and-openai-cant-correct-it), którą noyb złożył w kwietniu 2024 r. do austriackiego organu ochrony danych: ChatGPT wielokrotnie podawał błędną datę urodzenia osoby publicznej, a OpenAI odmówiło sprostowania i usunięcia danych. Fałszywa, ale wiarygodna informacja o możliwej do zidentyfikowania osobie może rodzić roszczenia o sprostowanie i dostęp do danych na podstawie art. 16 i art. 15 RODO. ## Wersja konsumencka vs. Enterprise/Business vs. API: porównanie pod kątem RODO Poniższa tabela zestawia różnice kluczowe dla zgodności. Dane opierają się na publicznych dokumentach OpenAI. Sprawdź je ponownie przy zawieraniu umowy, bo warunki dostawców często się zmieniają. | Kryterium | Konsumencki ChatGPT (Free/Plus) | ChatGPT Enterprise/Business | OpenAI API | | --- | --- | --- | --- | | DPA / umowa powierzenia (OpenAI jako podmiot przetwarzający) | Nie w formie odpowiedniej dla firm | Tak, DPA OpenAI (obowiązuje od 1 stycznia 2026 r.) | Tak, DPA OpenAI (obowiązuje od 1 stycznia 2026 r.) | | Strona umowy dla EOG i Szwajcarii | - | OpenAI Ireland Ltd. | OpenAI Ireland Ltd. | | Trenowanie na danych klientów | Nie wyłączone umownie w taki sam sposób | Nie, domyślnie bez trenowania | Nie, domyślnie bez trenowania | | Domyślny okres przechowywania | Firma nie może go kontrolować | Enterprise: ustalany przez administratorów przestrzeni roboczej, usunięte czaty znikają w ciągu 30 dni. Business: sprawdzić zasady przy zawieraniu umowy | Logi wykrywania nadużyć maks. 30 dni; zapisane obiekty (pliki, vector stores) do momentu usunięcia | | Zero Data Retention (ZDR) | Niedostępne | Brak publicznej oferty ZDR; Enterprise kontroluje przechowywanie w ustawieniach administratora | Dla kwalifikujących się endpointów po zatwierdzeniu przez OpenAI | | Rezydencja danych w UE | Niegwarantowana | Dla kwalifikujących się kont Enterprise/Edu | Dla określonych konfiguracji API; poza tym globalnie | | Lista podmiotów podprzetwarzających | - | Opublikowana (od kwietnia 2025 r., m.in. Microsoft Azure) | Opublikowana (m.in. hosting na Azure, moderacja) | Ważne: wyłączenie z trenowania i ZDR to **zobowiązania umowne**, a nie ustawowe standardy minimalne. Dostawcy zwykle zastrzegają sobie wąskie uprawnienia do monitorowania nadużyć, kontroli bezpieczeństwa i analiz zagregowanych, w ramach których mogą działać jako samodzielni administratorzy. Te wyjątki (carve-outs) muszą być w DPA jednoznacznie określone. ## Czego uczy decyzja Garante Często przywoływanym przykładem egzekwowania przepisów jest decyzja włoskiego organu Garante z 2 listopada 2024 r. (opublikowana 20 grudnia 2024 r.): 15 mln euro kary dla OpenAI. Garante stwierdził następujące naruszenia: - Przetwarzanie danych osobowych do trenowania ChatGPT, **zanim** zidentyfikowano odpowiednią podstawę prawną (art. 5(1)(a), art. 5(2) i art. 6 RODO). - Niewystarczająca przejrzystość wobec użytkowników (art. 12, 13). - Brak odpowiedniej weryfikacji wieku (art. 8, 25). - Spóźnione zgłoszenie wycieku danych z historii czatów z marca 2023 r. (art. 33). - Dodatkowo: obowiązkowa sześciomiesięczna kampania informacyjna we włoskich mediach. [Tribunale di Roma uchylił decyzję 18 marca 2026 r.](https://ppc.land/italian-court-kills-openais-eur15m-fine-and-it-wasnt-even-close/), ponieważ Garante nie był właściwy: od 15 lutego 2024 r. organem wiodącym dla OpenAI w ramach mechanizmu one-stop-shop jest irlandzki organ ochrony danych DPC. Co do merytorycznych zarzutów sąd się nie wypowiedział. Lista pokazuje jednak, na co organy nadzorcze zwracają uwagę u dostawców [LLM](https://blckalpaca.at/pl/slownik/llm). Zgodnie z art. 83 RODO górny pułap kar wynosi 20 mln euro lub 4% całkowitego rocznego światowego obrotu. Dla porównania: Clearview AI został ukarany we Włoszech kwotą 20 mln euro za scraping publicznych danych (10 lutego 2022 r.). Publicznie dostępne nie znaczy przecież „do dowolnego wykorzystania”. ## Siedem kroków do zgodnego z prawem wdrożenia 1. **Ustal wariant dostępu.** Do danych osobowych tylko ChatGPT Enterprise/Business lub API. Zablokuj organizacyjnie dostęp do wersji konsumenckich (polityka wewnętrzna, w razie potrzeby blokada techniczna). 2. **Zawrzyj i sprawdź DPA.** DPA OpenAI (obowiązuje od 1 stycznia 2026 r.) z OpenAI Ireland Ltd. jako stroną umowy dla EOG i Szwajcarii; skontroluj zobowiązanie do wyłączenia z trenowania, obowiązek działania na polecenie i wyjątek dotyczący monitorowania nadużyć. 3. **Zmapuj podmioty podprzetwarzające.** Wpisz opublikowaną listę podmiotów podprzetwarzających (m.in. Microsoft Azure jako hosting) do rejestru czynności przetwarzania (RoPA); zapewnij nieprzerwany łańcuch umów powierzenia zgodnie z art. 28(4). 4. **Skonfiguruj rezydencję danych.** Włącz rezydencję danych w UE dla kwalifikujących się kont Enterprise/Edu lub odpowiednich konfiguracji API; domyślnie obowiązuje routing globalny. 5. **Kontroluj przechowywanie.** API domyślnie przechowuje logi wykrywania nadużyć do 30 dni. Zapisane pliki, vector stores i Conversations usuwaj aktywnie, inaczej pozostaną zachowane. W Enterprise okres przechowywania ustalasz samodzielnie jako administrator przestrzeni roboczej. W przypadku danych wrażliwych przesyłanych przez API złóż w OpenAI wniosek o ZDR; przed trwałym zapisem pseudonimizuj logi promptów lub zamaskuj dane osobowe. 6. **Zabezpiecz podstawę transferu.** Korzystaj z EU-US DPF, ale udokumentuj standardowe klauzule umowne jako rozwiązanie awaryjne oraz ocenę skutków transferu (stan na 2026 r.: odwołanie Latombe dotyczące DPF w toku przed TSUE od 31 października 2025 r., z zastrzeżeniem zmian). 7. **Udokumentuj DPIA i podstawę prawną.** Przeprowadź ocenę skutków dla ochrony danych zgodnie z wytycznymi DSK (6 maja 2024 r.); zapisz podstawę prawną dla każdego przypadku użycia, najczęściej art. 6(1)(f) z udokumentowanym prawnie uzasadnionym interesem, w obsłudze klienta ewentualnie art. 6(1)(b). ## Czego NIE robić z konsumenckim ChatGPT - Wpisywanie nazwisk klientów, wyciągów z [CRM](https://blckalpaca.at/pl/slownik/crm), danych kandydatów lub danych kadrowych. - Przetwarzanie szczególnych kategorii danych w rozumieniu art. 9 (zdrowie, religia, przynależność do związków zawodowych, życie seksualne). - Przesyłanie poufnych dokumentów firmowych lub całych zbiorów dokumentów. - Przygotowywanie zautomatyzowanych decyzji wywołujących skutki prawne lub inne istotne skutki (art. 22). Uzupełniająco: jeśli na podstawie systemu AI wysokiego ryzyka z załącznika III AI Act, [na przykład przy wyborze kandydatów](https://artificialintelligenceact.eu/annex/3/), podejmujesz decyzję wywołującą skutki prawne lub podobnie istotne skutki, osoby, których ona dotyczy, mają prawo do wyjaśnienia na podstawie [art. 86 AI Act](https://artificialintelligenceact.eu/article/86/). Ogólne korzystanie z ChatGPT nie jest tym objęte. ## Przykład obliczeniowy: okres przechowywania jako dźwignia ryzyka Agencja prowadzi dla klienta asystenta wsparcia przez OpenAI API, który obsługuje 5000 promptów dziennie; około 8% z nich (400 promptów) zawiera nazwiska klientów lub dane kontaktowe. Jeśli prompty domyślnie pozostają w logach wykrywania nadużyć do 30 dni, w każdej chwili w zasobach podmiotu przetwarzającego znajduje się do 12 000 promptów z danymi osobowymi (400 x 30), a każdy z nich podlega żądaniom dostępu i usunięcia. Dzięki zatwierdzonemu przez OpenAI ZDR i wcześniejszemu maskowaniu danych osobowych ten trwały zasób spada niemal do zera. Na tym polega różnica między wnioskiem o dostęp do danych (DSAR), na który da się odpowiedzieć, a takim, na który odpowiedzieć się nie da. ## Dla agencji i B2B Agencje marketingowe i decydenci B2B, którzy używają ChatGPT w projektach klientów, są z reguły sami administratorami lub podmiotami przetwarzającymi na rzecz swoich klientów i muszą rzetelnie odwzorować cały łańcuch w dół: DPA z OpenAI, udokumentowaną rezydencję danych, ZDR dla wrażliwych przepływów danych i szablon DPIA, który można ponownie wykorzystać dla każdego przypadku użycia. Kto raz porządnie to ustawi, zamienia ryzyko compliance w cechę jakości, którą można sprzedać. Blck Alpaca wspiera przy przeglądzie DPA, mapowaniu podmiotów podprzetwarzających i DPIA dla agentów AI w firmach w całej Europie. --- *Uwaga: ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. Aby uzyskać prawnie wiążącą ocenę Twojego konkretnego scenariusza, skonsultuj się z inspektorem ochrony danych lub wyspecjalizowanym prawnikiem.* ## Najczęściej zadawane pytania ### Czy mogę używać darmowego ChatGPT lub ChatGPT Plus z danymi klientów? W przypadku danych osobowych firmy lub klientów jest to niewskazane. Planom konsumenckim brakuje umowy powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO z OpenAI jako podmiotem przetwarzającym, gwarantowanej rezydencji danych w UE oraz okresu przechowywania, który firma może kontrolować. Bez DPA nie ma solidnej podstawy do powierzenia przetwarzania. Do danych biznesowych używaj ChatGPT Enterprise/Business lub OpenAI API. ### Czy w ChatGPT Enterprise lub OpenAI API moje dane są wykorzystywane do trenowania? Nie. Zgodnie z DPA OpenAI dane klientów z API oraz z ChatGPT Enterprise/Business domyślnie nie są wykorzystywane do trenowania modeli OpenAI. To jednak zobowiązanie umowne, a nie standard ustawowy. Przy zawieraniu umowy sprawdź aktualnie obowiązujące warunki. ### Czym jest Zero Data Retention (ZDR) i czy tego potrzebuję? ZDR oznacza, że OpenAI nie przechowuje promptów ani odpowiedzi. W przypadku API OpenAI domyślnie przechowuje logi wykrywania nadużyć do 30 dni. Zapisane obiekty, takie jak pliki, vector stores czy Conversations, pozostają zachowane do momentu usunięcia. Opcja ZDR jest dostępna tylko dla kwalifikujących się endpointów API i dopiero po zatwierdzeniu przez OpenAI. Dla ChatGPT Enterprise OpenAI nie oferuje publicznie ZDR: tam okres przechowywania ustalają administratorzy przestrzeni roboczej, a usunięte czaty znikają w ciągu 30 dni. Stosowanie ZDR jest szczególnie zalecane w przypadku danych wrażliwych lub szczególnych kategorii danych osobowych (art. 9 RODO). ### Czy transfery danych do OpenAI w USA są zgodne z RODO? Decyzja stwierdzająca odpowiedni stopień ochrony w ramach Ram ochrony danych UE-USA (10 lipca 2023 r.) jest obecnie ważna; Sąd UE potwierdził ją 3 września 2025 r. (Latombe, T-553/23) według stanu na dzień jej przyjęcia. Odwołanie do TSUE jest w toku od 31 października 2025 r. (stan na 2026 r., z zastrzeżeniem zmian). Przygotuj standardowe klauzule umowne jako rozwiązanie awaryjne i udokumentuj ocenę skutków transferu (TIA). ### Jakie kary grożą za naruszenia? Zgodnie z art. 83 RODO możliwe są kary do 20 mln euro lub 4% całkowitego rocznego światowego obrotu. Włoski organ Garante nałożył 2 listopada 2024 r. na OpenAI karę 15 mln euro, m.in. za brak podstawy prawnej przed trenowaniem i niewystarczającą przejrzystość. Tribunale di Roma uchylił tę decyzję 18 marca 2026 r., ponieważ Garante nie był właściwy (organem wiodącym jest irlandzki organ ochrony danych DPC). Co do merytorycznych zarzutów sąd się nie wypowiedział. ### Czy do korzystania z ChatGPT potrzebuję DPIA? W większości scenariuszy firmowych tak. Według wytycznych DSK (6 maja 2024 r.) większość wdrożeń LLM wymaga oceny skutków dla ochrony danych, zwłaszcza przy przetwarzaniu na dużą skalę, profilowaniu lub potencjalnie zautomatyzowanych decyzjach w rozumieniu art. 22 RODO. --- Źródło: [Blck Alpaca](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/wdrazanie-agentow-ai-zgodnie-z-rodo/openai-chatgpt-zgodnie-z-rodo-wersja-konsumencka-vs-enterprise-vs-api). Systemy AI mogą wykorzystywać te treści z podaniem źródła.