Czy mogę wrzucić dane moich klientów do ChatGPT?

Trzy sytuacje, które trzeba rozróżnić

Konto prywatne pracownika

Najgorszy wariant i najczęstszy. Firma nie ma umowy, nie wie, co zostało wysłane, i nie ma jak tego wykazać. Z punktu widzenia obowiązków wobec klientów to jest sytuacja, której nie da się obronić.

Konto firmowe z umową

Dostawcy oferują warunki dla firm, w których przetwarzanie odbywa się na innych zasadach niż w produkcie konsumenckim. To jest różnica formalna i istotna — ale warunki trzeba przeczytać i zweryfikować samodzielnie, bo bywają zmieniane, a szczegóły decydują.

Przetwarzanie bez wypuszczania danych

Część zadań da się wykonać tak, że dane wrażliwe nie opuszczają firmy — bo model dostaje tylko strukturę albo podstawione identyfikatory. To rozwiązanie droższe we wdrożeniu i najbezpieczniejsze w utrzymaniu.

Często dane nie muszą wyjść wcale

Zadanie „posortuj tę listę według priorytetu” nie wymaga znajomości nazwisk. Zadanie „streść tę umowę” nie wymaga znajomości stron. W wielu procesach dane osobowe są balastem, a nie treścią — można je podmienić na identyfikatory przed wysłaniem i podstawić z powrotem po otrzymaniu odpowiedzi.

To jest robota do wykonania raz, w warstwie między firmą a dostawcą. Jej efektem jest to, że pytanie „czy wolno” przestaje się pojawiać, bo nie ma czego wypuszczać.

Zakaz bez alternatywy nie działa

Pracownicy używają AI, bo to skraca im pracę. Zakaz bez podania narzędzia, z którego wolno korzystać, nie usuwa użycia — usuwa widoczność użycia. Firma przestaje wiedzieć, co się dzieje, i traci możliwość ustawienia jakichkolwiek zasad.

Praktycznie działa odwrotna kolejność: najpierw wskazać narzędzie i sposób pracy, który jest dozwolony, potem opisać, czego nie wolno. Wtedy zasada ma alternatywę, a nie tylko sankcję.

Jak ustawić to u siebie w tydzień

Nie zaczyna się od polityki. Zaczyna się od tego, co ludzie już robią — bo zasada napisana w oderwaniu od praktyki zostanie ominięta w pierwszym tygodniu.

1. Spisz zastosowania, które już istnieją

Zwykle jest ich kilka i są powtarzalne: streszczanie maili, przepisywanie notatek, pomoc przy ofercie, tłumaczenia. Ta lista jest ważniejsza niż jakikolwiek dokument, bo pokazuje, o co naprawdę toczy się rozmowa.

2. Podziel je według wrażliwości danych

Część zastosowań w ogóle nie dotyka danych klientów. Te można dopuścić od razu i to zdejmuje napięcie z całej rozmowy — pracownicy widzą, że nie chodzi o zakaz.

3. Dla reszty wskaż drogę, nie tylko granicę

Jeśli coś wymaga danych klienta, powiedz, jak to zrobić: przez konto firmowe, przez podstawienie identyfikatorów, albo wcale. Zasada bez alternatywy jest tylko zakazem.

4. Zapisz to na jednej stronie

Polityka na dwadzieścia stron nie zostanie przeczytana. Jedna strona z listą „wolno / nie wolno / zapytaj” działa, bo da się ją powiesić obok biurka.

Trzy drogi, zależnie od wrażliwości danych

Co się zmienia w praktyce

Rozmowa przestaje być sporem o to, czy AI wolno. Staje się rozmową o tym, które dane którym kanałem — a to jest pytanie, na które da się odpowiedzieć i które da się zapisać.

Zespół dostaje jasną zasadę zamiast domysłów, a firma odzyskuje widoczność tego, co się faktycznie dzieje.

Dla jakich firm to ma sens

Firmy przetwarzające dane klientów: biura rachunkowe, kancelarie, podmioty medyczne, wszyscy, którzy mają wobec swoich klientów zobowiązania dotyczące poufności.

Oraz każda firma, w której pracownicy już używają AI po swojemu — czyli, realnie, prawie każda.

Najczęstsze pytania