RODO a chatbot AI: co musi wiedzieć firma

AI-asystent w Messengerze, WhatsAppie czy na stronie przetwarza dane osobowe od pierwszej wiadomości, więc podlega RODO tak samo jak formularz kontaktowy. Od 2 sierpnia 2026 roku dochodzi do tego art. 50 AI Act: klient musi wiedzieć, że rozmawia z AI. Mała firma potrzebuje pięciu rzeczy: podstawy prawnej, informacji na start rozmowy, umowy powierzenia z dostawcą, kontroli nad transferem danych i zasad przechowywania rozmów.

Wtorek, 22:10. Do salonu kosmetycznego na Instagramie pisze klientka: „Jestem w 4. miesiącu ciąży i mam alergię na lateks, czy mogę zrobić lifting rzęs?”. Asystent AI odpowiada w 20 sekund. Klientka jest zadowolona.

Właścicielka salonu rano czyta tę rozmowę i zadaje sobie pytanie, którego nie zadała przy wdrożeniu: gdzie teraz leży informacja o ciąży i alergii jej klientki, kto ma do niej dostęp i jak długo tam zostanie?

To nie jest teoretyczny problem. Dane o zdrowiu to w RODO kategoria szczególna, a maksymalna kara za naruszenie zasad przetwarzania wynosi 20 mln euro lub 4% rocznego obrotu (art. 83 RODO). Poniżej rozkładamy temat na konkretne pytania, które zadaje sobie właściciel małej firmy.

Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. W sprawach dotyczących Twojej firmy skonsultuj się z prawnikiem lub inspektorem ochrony danych.

Czy chatbot AI w ogóle przetwarza dane osobowe?

Tak, praktycznie zawsze. Imię, numer telefonu, nazwa profilu na Instagramie, a nawet sama treść wiadomości to dane osobowe w rozumieniu RODO.

Wystarczy, że z rozmowy da się zidentyfikować konkretną osobę. W firmie usługowej dzieje się to w pierwszej minucie: klient podaje imię, termin, numer telefonu do potwierdzenia wizyty.

Kluczowa konsekwencja: to Twoja firma jest administratorem tych danych, a nie dostawca chatbota. Odpowiedzialność za zgodność z RODO zostaje po Twojej stronie, nawet jeśli technologię kupujesz jako gotową usługę.

Na jakiej podstawie prawnej chatbot może zbierać dane klientów?

W większości rozmów podstawą jest art. 6 ust. 1 lit. b RODO: działania na żądanie osoby przed zawarciem umowy. Klient pyta o cenę i termin, więc odpowiedź na jego zapytanie jest uzasadniona.

Inne podstawy pojawiają się w konkretnych sytuacjach:

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) obejmuje na przykład analizę jakości obsługi czy dochodzenie roszczeń.
Zgoda (art. 6 ust. 1 lit. a) jest potrzebna do marketingu: jeśli chatbot ma zapisywać na newsletter albo wysyłać oferty promocyjne, poproś o nią wprost.
Dane o zdrowiu (art. 9) wymagają osobnej podstawy, najczęściej wyraźnej zgody. Dotyczy to gabinetów stomatologicznych, salonów beauty, klubów fitness i każdej firmy, której klienci piszą o alergiach, ciąży czy kontuzjach.

Praktyczna rada dla branż „wrażliwych”: skonfiguruj asystenta tak, żeby sam nie dopytywał o zdrowie, a gdy klient poruszy taki temat, przekazywał rozmowę do człowieka. Mniej danych wrażliwych w historii czatu to mniejsze ryzyko.

Co musisz powiedzieć klientowi na początku rozmowy?

Dwie rzeczy: że rozmawia z AI (art. 50 AI Act) i kto przetwarza jego dane oraz po co (art. 13 RODO). Najprościej zrobić to w pierwszej wiadomości i linkiem do polityki prywatności.

Obowiązek ujawnienia AI obowiązuje bez odroczenia od 2 sierpnia 2026 roku. Jak wskazuje Krajowa Izba Radców Prawnych, pakiet zmian Digital Omnibus przesunął terminy dla systemów wysokiego ryzyka, ale nie dotknął przejrzystości chatbotów. Formalnie art. 50 ust. 1 adresowany jest do dostawcy systemu, jednak to Ty decydujesz, co klient zobaczy w pierwszej wiadomości.

Przykładowe powitanie, które łączy oba obowiązki:

„Cześć! Jestem asystentem AI salonu Studio Rzęs. Odpowiem na pytania o ceny i terminy, a w razie potrzeby przekażę rozmowę do zespołu. Administratorem danych jest Studio Rzęs sp. z o.o., szczegóły: [link do polityki prywatności].”

Pełna klauzula z art. 13 (cele, podstawy, odbiorcy, okres przechowywania, prawa klienta) może być pod linkiem. Takie warstwowe informowanie zalecają wytyczne w sprawie przejrzystości (WP260), przyjęte przez Europejską Radę Ochrony Danych.

Czy potrzebujesz umowy powierzenia z dostawcą chatbota?

Tak. Dostawca chatbota przetwarza dane Twoich klientów w Twoim imieniu, więc art. 28 RODO wymaga pisemnej umowy powierzenia przetwarzania (DPA).

Umowa powinna określać m.in. zakres i cel przetwarzania, środki bezpieczeństwa, listę podprocesorów (np. dostawcy modelu językowego czy chmury) oraz zasady usuwania danych po zakończeniu współpracy.

Dlaczego to nie jest formalność? W czerwcu 2025 roku UODO nałożył na McDonald’s Polska ok. 17 mln zł kary. Wyciek danych pracowników spowodował zewnętrzny podwykonawca, który źle skonfigurował system, a firma nie oceniła wcześniej ryzyka (podsumowanie kar RODO 2025, poznanrodo.pl). Odpowiedzialność za wybór dostawcy spadła na administratora.

Dodaj też chatbota do rejestru czynności przetwarzania (art. 30), jeśli Twoja firma go prowadzi.

Gdzie trafiają dane z rozmów i czy transfer do USA jest legalny?

Dane z czatu mogą przechodzić przez kilka firm: komunikator (np. Meta), dostawcę chatbota i dostawcę modelu AI. Transfer do USA jest dziś legalny w ramach EU-US Data Privacy Framework, ale ta podstawa jest zaskarżona.

Sąd Unii Europejskiej oddalił skargę na Data Privacy Framework 3 września 2025 roku (IAPP). Od tego wyroku złożono odwołanie do TSUE (sprawa C-703/25 P), które według stanu z sierpnia 2026 roku nie miało jeszcze wyznaczonej rozprawy (SecurePrivacy).

Co z tego wynika dla małej firmy? Zapytaj dostawcę, gdzie fizycznie przetwarzane są rozmowy, czy podprocesorzy z USA są certyfikowani w ramach DPF i czy w umowie są standardowe klauzule umowne (SCC) jako zabezpieczenie na wypadek unieważnienia DPF.

Jak długo przechowywać rozmowy i co z prawem do usunięcia danych?

Tak długo, jak to potrzebne do celu: obsługi zapytania, realizacji usługi, ewentualnych roszczeń. „Na zawsze, bo może się przyda” narusza zasadę ograniczenia przechowywania z art. 5 RODO.

Ustal konkretny okres, np. 12 miesięcy dla rozmów, które nie zakończyły się rezerwacją, i wpisz go do polityki prywatności. Sprawdź, czy dostawca pozwala usuwać historię automatycznie lub ręcznie.

Klient ma prawo zażądać usunięcia swoich danych (art. 17) albo ich kopii (art. 15). Odpowiedź należy się w ciągu miesiąca. Jeśli rozmowy leżą w trzech systemach, upewnij się, że wiesz, jak usunąć je ze wszystkich.

Czy chatbot może sam podejmować decyzje o kliencie?

Odpowiadanie na pytania i zbieranie informacji o zapytaniu to nie jest „decyzja” w rozumieniu art. 22 RODO. Problem pojawia się, gdy AI samodzielnie odmawia usługi, ustala cenę indywidualnie albo ocenia zdolność kredytową.

Art. 22 daje klientowi prawo, by nie podlegać decyzji opartej wyłącznie na automatycznym przetwarzaniu, jeśli wywołuje ona wobec niego skutki prawne lub podobnie istotne.

Bezpieczny model dla firm usługowych: asystent odpowiada z bazy wiedzy, zbiera szczegóły i przekazuje uporządkowane zgłoszenie człowiekowi, który podejmuje decyzję. To zresztą model, który klienci akceptują. Według raportu Gemius i IAB Polska „E-commerce w Polsce 2025″ 53% internautów korzysta z narzędzi AI przy zakupach, ale tylko 8% wybiera chatbota jako preferowany kanał kontaktu ze sklepem.

Zdanie zespołu Ollo Agent: Polska ustawa o systemach sztucznej inteligencji została podpisana 24 lipca 2026 roku (prawo.pl), a nowa komisja KRiBSI będzie rozpatrywać skargi obywateli na systemy AI. Spodziewamy się, że w ciągu roku pytania o RODO przestaną być tematem dla prawnika i staną się pytaniem sprzedażowym: klienci małych firm zaczną pytać, „czy rozmawiam z botem i kto czyta moje wiadomości”. Firmy, które odpowiedzą na to w pierwszej wiadomości, zamienią obowiązek w argument zaufania.

Jakie obowiązki ma firma z chatbotem AI? Podsumowanie

Siedem obowiązków, z których większość załatwia się raz, przy wdrożeniu.

Obowiązek	Podstawa	Co zrobić w praktyce
Ujawnienie, że to AI	Art. 50 AI Act	Pierwsza wiadomość: „Jestem asystentem AI…”
Informacja o przetwarzaniu	Art. 13 RODO	Skrót w powitaniu + link do polityki prywatności
Podstawa prawna	Art. 6 i 9 RODO	Lit. b dla zapytań, zgoda dla marketingu i danych o zdrowiu
Umowa z dostawcą	Art. 28 RODO	Podpisana DPA z listą podprocesorów
Transfer poza EOG	Art. 44–49 RODO	DPF lub SCC, wiedza o lokalizacji danych
Okres przechowywania	Art. 5 RODO	Konkretny termin w polityce, automatyczne usuwanie
Decyzje o kliencie	Art. 22 RODO	Decyzje podejmuje człowiek, AI przygotowuje zgłoszenie

Jakie pytania zadać dostawcy chatbota przed podpisaniem umowy?

Sześć pytań, które oddzielą dostawcę przygotowanego na RODO od takiego, który tylko obiecuje zgodność. Zadaj je każdemu, z nami włącznie.

Czy podpiszecie umowę powierzenia i pokażecie listę podprocesorów? Brak odpowiedzi to sygnał ostrzegawczy.
Gdzie fizycznie przetwarzane są rozmowy i na jakiej podstawie trafiają poza EOG? Oczekuj konkretu: kraj, DPF, SCC.
Czy treść rozmów służy do trenowania modeli AI? Dane Twoich klientów nie powinny trenować cudzych modeli bez Twojej wiedzy.
Jak skonfigurować komunikat „jestem AI” i link do polityki prywatności?
Jak usunąć rozmowę konkretnego klienta i ustawić automatyczny okres przechowywania?
Jak działa przekazanie rozmowy do człowieka? Od tego zależy zarówno art. 22, jak i zadowolenie klientów. Jak wygląda wspólna skrzynka z historią rozmów, pokazujemy na stronie AI-chatbota do obsługi klienta.