01.08.2026 · Bezpieczeństwo · ~13 min czytania

Co naprawdę dzieje się z danymi, które wklejasz do ChatGPT

Czy ChatGPT zapisuje dane? Tak — i to jest najmniej kontrowersyjna część tej historii. Trudniejsze pytania brzmią: czy się na nich uczy, jak długo je trzyma, kto jeszcze może je zobaczyć i czym różni się pod tym względem konto prywatne od firmowego. W tym wpisie odpowiadamy na nie konkretnie: pokazujemy, co realnie mówią warunki dostawców, przechodzimy przez udokumentowane incydenty z lat 2023–2026 — z datami i źródłami — i tłumaczymy, dlaczego największym ryzykiem w polskiej firmie nie jest spektakularny wyciek u dostawcy, tylko Shadow AI: dane firmowe w ChatGPT wklejone przez pracownika z prywatnego konta, o czym dział IT nigdy się nie dowie.

Teza całego tekstu jest jedna i celowo nie jest straszakiem: nie kontrolujesz danych, których nie masz u siebie — nawet wtedy, gdy dostawca próbuje je zabezpieczyć. Lipiec 2026 dał na to wyjątkowo czysty dowód i wrócimy do niego w połowie wpisu.

Czy ChatGPT zapisuje dane? Rozdziel dwie różne rzeczy

W dyskusjach o prywatności AI nagminnie miesza się dwa zupełnie odrębne mechanizmy. Rozdzielenie ich jest podstawą jakiejkolwiek sensownej polityki w firmie:

• Przechowywanie (retencja) — treść Twojego zapytania trafia na serwery dostawcy i jest tam zapisana: w historii rozmów, w logach, w systemach wykrywania nadużyć. Dzieje się to zawsze, w każdym planie, także firmowym. Usługa chmurowa nie może przetworzyć tekstu, którego nie otrzyma;
• Trenowanie (uczenie modelu) — użycie Twoich treści do douczania kolejnych wersji modelu. To osobna decyzja dostawcy, uregulowana w warunkach i zależna od planu.

Zdanie „wyłączyłem uczenie, więc jestem bezpieczny" jest więc nieprawdziwe. Wyłączenie trenowania oznacza tylko tyle, że Twoja umowa z klientem nie zasili wag modelu. Sam dokument nadal przeszedł przez infrastrukturę firmy z siedzibą zwykle poza Europejskim Obszarem Gospodarczym i został tam zapisany — z całym łańcuchem konsekwencji prawnych, które opisujemy we wpisie o AI zgodnym z RODO.

Czy ChatGPT uczy się na moich danych? Konto prywatne kontra firmowe

To jest różnica, której polski internet praktycznie nie wyjaśnia, a która decyduje o wszystkim. Warunki wersji konsumenckiej i firmowej to dwa różne światy.

Po stronie OpenAI: w kontach konsumenckich (Free, Plus, Pro) rozmowy są domyślnie wykorzystywane do doskonalenia modeli, dopóki użytkownik sam nie przestawi przełącznika „Improve the model for everyone" w ustawieniach Data Controls. W ChatGPT Business, ChatGPT Enterprise oraz w API jest odwrotnie: OpenAI deklaruje, że domyślnie nie trenuje na danych klientów biznesowych, a udostępnienie danych do trenowania wymaga świadomego opt-inu.

Po stronie Anthropic: 28 sierpnia 2025 r. zmieniono warunki konsumenckie (Free, Pro, Max). Użytkownik musi wybrać, czy zgadza się na wykorzystanie rozmów do trenowania; zgoda wydłuża retencję danych z 30 dni do 5 lat. Zmiana wprost nie obejmuje planów komercyjnych — Claude for Work, Claude for Government, Claude for Education ani API (również przez Amazon Bedrock i Google Vertex AI).

Wniosek praktyczny jest niewygodny dla wielu firm: jeśli w Twojej organizacji nikt nie kupił planu firmowego, to domyślnym stanem jest ten z pierwszego wiersza tabeli — czyli najgorszy z możliwych. I nie wynika to ze złej woli dostawcy, tylko z tego, że pracownik korzysta z produktu konsumenckiego do pracy.

„Usuń rozmowę" nie zawsze znaczy usunięcie

Nawet dobrze skonfigurowane konto podlega czynnikom, na które dostawca nie ma wpływu. Najlepszym dowodem jest amerykański proces wydawców prasowych przeciwko OpenAI. 13 maja 2025 r. sąd nakazał OpenAI zachowywanie logów wyjściowych — również tych, które użytkownicy skasowali i które w normalnym trybie zostałyby trwale usunięte po 30 dniach. OpenAI publicznie sprzeciwiło się nakazowi, argumentując, że stoi on w sprzeczności ze złożonymi użytkownikom obietnicami prywatności.

Zakres nakazu z czasem zawężono — dostawca wrócił do standardowego kasowania pod koniec września 2025 r., a rozmowy użytkowników z EOG, Wielkiej Brytanii i Szwajcarii wyłączono z obowiązku retencji — ale dane objęte oknem od kwietnia do września 2025 r. pozostają zachowane. Mechanizm jest ważniejszy niż szczegóły: polityka retencji dostawcy może zostać zawieszona decyzją sądu w obcej jurysdykcji, w sprawie, w której Twoja firma nie jest stroną i o której się nie dowie.

Udokumentowane incydenty 2023–2026: kalendarium

Poniższe zdarzenia są potwierdzone i opisane u źródeł — linki zebraliśmy na końcu wpisu. Zwróć uwagę, że tylko część z nich to klasyczne „włamanie". Większość to błędy konfiguracji i projektowania funkcji udostępniania, czyli dokładnie ta klasa ryzyka, której użytkownik nie jest w stanie przewidzieć ani wykryć.

Lipiec 2026: rozmowy z Claude w Google — co się naprawdę stało

Ten przypadek opisano w polskich mediach nieprecyzyjnie, a precyzja zmienia tu wnioski o 180 stopni — na niekorzyść chmury. Trzy fakty, które trzeba rozdzielić.

1. To nie były „prywatne rozmowy, które wyciekły"

Zaindeksowane zostały wyłącznie treści udostępnione świadomie, przyciskiem „udostępnij", który generuje publiczny link — mechanizm pomyślany do pokazania komuś projektu albo analizy. Anthropic stoi na stanowisku, że firma nie przekazuje wyszukiwarkom katalogów ani map takich stron, linki nie są zgadywalne, a udostępnienie rozmowy z definicji czyni ją publicznie dostępną i podatną na archiwizację przez podmioty trzecie. Rozmowy nieudostępnione nie były przedmiotem incydentu.

2. Zabezpieczenie techniczne istniało — i nie zadziałało

Analitycy SEO (m.in. Search Engine Land i Search Engine Journal) wskazali mechanizm, który jest podręcznikowym błędem, popełnianym też przez duże serwisy: ścieżka udostępnień była zablokowana w pliku robots.txt dyrektywą Disallow, a same strony zwracały nagłówek X-Robots-Tag wykluczający je z indeksu. Problem w tym, że Disallow to nie noindex. Blokada w robots.txt zakazuje robotowi pobrania strony — a skoro robot jej nie pobiera, to nigdy nie odczyta nagłówka, który każe mu jej nie indeksować. Jeśli taki adres pojawi się gdziekolwiek w sieci jako link, Google może umieścić go w indeksie, nie zaglądając do środka.

Dla porządku sprawdziliśmy stan bieżący: 3 sierpnia 2026 r. adresy claude.ai/share/* nadal zwracają nagłówek x-robots-tag: none, ale ścieżka ta nie jest już blokowana w robots.txt — czyli robot może wreszcie odczytać dyrektywę, którą ma wykonać. To dokładnie ta poprawka, której wymaga dokumentacja Google, i potwierdzenie, że mechanizm opisany wyżej był rzeczywistą przyczyną.

3. To drugi raz ten sam wzorzec

Rok wcześniej identyczny scenariusz — udostępnione czaty w wynikach wyszukiwania — dotknął ChatGPT. Dwa różne przedsiębiorstwa, dwie różne architektury, ten sam skutek. To już nie wypadek, tylko wzorzec, i płynie z niego wniosek mocniejszy niż jakikolwiek straszak: użytkownik wykonał świadome, kontrolowane udostępnienie, dostawca zabezpieczył je technicznie, a treść i tak trafiła do publicznej wyszukiwarki. Skoro zawodzi mechanizm zaprojektowany i obwarowany, to jaką masz gwarancję co do wszystkiego pozostałego?

Nie jest to argument za tym, żeby przestać używać AI. Jest to argument za tym, żeby o wrażliwości danych decydowała architektura, a nie regulamin — bo regulamin opisuje intencje dostawcy, a architektura wyznacza granice fizycznie możliwego.

Shadow AI: realne ryzyko w polskiej firmie

Wycieki u dostawców robią nagłówki, ale statystyka wskazuje gdzie indziej. Shadow AI to korzystanie z narzędzi AI poza wiedzą i kontrolą organizacji — pracownik, który wkleja umowę, kalkulację albo dokumentację medyczną do darmowego konta założonego na prywatny adres e-mail.

Skala jest już zmierzona. Raport IBM „Cost of a Data Breach 2025" podaje, że 20% organizacji, które doświadczyły naruszenia ochrony danych, wskazało Shadow AI jako element incydentu, a wysoki poziom Shadow AI podnosił średni koszt naruszenia o około 670 tys. dolarów ponad globalną średnią 4,44 mln dolarów. W incydentach z udziałem Shadow AI częściej niż przeciętnie naruszane były dane osobowe klientów (65% wobec 53% średniej), a 97% organizacji z naruszeniami związanymi z AI nie miało wdrożonej właściwej kontroli dostępu do narzędzi AI.

W polskich realiach ten scenariusz wygląda tak:

• pracownik używa prywatnego konta — firma nie jest stroną żadnej umowy, więc nie ma umowy powierzenia z art. 28 RODO, a administratorem danych pozostaje pracodawca;
• treść dokumentu wychodzi poza EOG bez podstawy prawnej transferu i bez oceny ryzyka wymaganej przez art. 32 RODO;
• ruch idzie z prywatnego telefonu albo przez przeglądarkę na sprzęcie domowym — dział IT nie widzi go w logach i nie ma jak go wykryć, więc incydent nie zostanie nawet zgłoszony;
• gdy w grę wchodzi tajemnica zawodowa — adwokacka, radcowska, lekarska, skarbowa — konsekwencje wykraczają poza RODO i sięgają odpowiedzialności dyscyplinarnej. Jak wygląda praca na aktach bez wynoszenia ich z kancelarii, opisujemy na stronie AI dla kancelarii.

Najważniejsza obserwacja z wdrożeń: Shadow AI nie bierze się ze złej woli, tylko z presji czasu. Pracownik, który dostał narzędzie oszczędzające mu dwie godziny dziennie, nie przestanie go używać dlatego, że w intranecie pojawił się zakaz. Przestanie, gdy dostanie legalną alternatywę o porównywalnej wygodzie — i to jest jedyna interwencja, która w praktyce działa.

Sam regulator nie daje pewności

Warto wiedzieć, że stan prawny w Europie nie jest jeszcze rozstrzygnięty — a to również jest ryzyko, nie komfort. Włoski Garante nałożył w grudniu 2024 r. na OpenAI karę 15 mln euro m.in. za brak podstawy prawnej przetwarzania danych do trenowania modelu i uchybienia informacyjne. 18 marca 2026 r. sąd w Rzymie uchylił tę decyzję — ale nie dlatego, że uznał praktyki za zgodne z prawem, tylko ze względów jurysdykcyjnych, po tym jak OpenAI utworzyło spółkę w Irlandii i objął je mechanizm „one-stop-shop". Meritum pozostało nierozstrzygnięte. Równolegle polski UODO od 2023 r. prowadzi postępowanie ze skargi dotyczącej ChatGPT.

Dla firmy oznacza to jedno: budowanie procesów na założeniu, że „skoro nikt tego jeszcze nie zakwestionował, to jest legalne", jest zakładem o cudze przyszłe rozstrzygnięcie. Dane, które już wysłałeś, zostaną wysłane niezależnie od tego, jak ten spór się skończy.

Czy można wklejać dane do ChatGPT? Zasada trzech koszyków

Zamiast zakazu totalnego, który i tak będzie obchodzony, warto wprowadzić prostą klasyfikację. Sprawdza się w firmach każdej wielkości, bo mieści się na jednej kartce:

Ostatni wiersz nie jest o zgodności, tylko o interesie firmy — pisaliśmy o tym szerzej we wpisie o kosztach wdrożenia AI, przy okazji ostrzeżenia szefa Palantira o „transferowaniu swojej alfy" do dostawców modeli.

Co zrobić w firmie w tym tygodniu: checklista

1. Sprawdź, czego zespół faktycznie używa — nie ankietą wymuszającą przyznanie się do winy, tylko rozmową o tym, co komu oszczędza czas. Bez amnestii nie poznasz prawdy;
2. Zamień konta prywatne na firmowe — to najtańsza pojedyncza zmiana w całej liście: przenosi rozmowy pod umowę powierzenia i domyślnie wyłącza trenowanie;
3. Wyłącz trenowanie tam, gdzie konta konsumenckie muszą zostać — u OpenAI przełącznik „Improve the model for everyone" w Data Controls, u Anthropic ustawienia prywatności; sprawdź to również na kontach założonych przed 2025 rokiem;
4. Zablokuj funkcję „udostępnij" dla treści służbowych — po lipcu 2026 traktuj publiczny link do rozmowy jak publikację w internecie, bo dokładnie tym jest;
5. Napisz jednostronicową politykę AI opartą na tabeli trzech koszyków — jedna strona, którą ktoś przeczyta, jest warta więcej niż regulamin na dwadzieścia, którego nikt nie otworzy;
6. Daj legalną alternatywę — bez niej punkty 1–5 są tylko papierem. To ostatni i najważniejszy krok.

Kiedy kończy się polityka, a zaczyna architektura

Wszystko powyżej to zarządzanie ryzykiem w modelu, w którym dane i tak wychodzą z firmy. Są dwa sposoby, żeby to ryzyko po prostu usunąć:

• Brama anonimizacyjna — lokalny komponent, który wykrywa i podmienia dane osobowe zanim zapytanie opuści firmę, a w odpowiedzi przywraca prawdziwe wartości. Zachowujesz jakość najlepszych modeli chmurowych, a poza organizację wychodzi tekst pozbawiony danych identyfikujących. Tak działa nasz AI Privacy Gateway. Czym różni się to od pełnej anonimizacji i co dokładnie trzeba usunąć z dokumentu, tłumaczymy we wpisie o anonimizacji i pseudonimizacji;
• Model działający lokalnie — silnik AI na serwerze w Twojej siedzibie. Nie ma dokąd wysłać danych, bo nie ma dostawcy po drugiej stronie; nie ma udostępnień do zaindeksowania, nie ma zmian regulaminu i nie ma retencji u podmiotu trzeciego. Jak jedno urządzenie obsługuje cały zespół, opisujemy we wpisie o serwerze AI w firmie.

W praktyce najczęściej wdrażamy oba naraz: lokalny model do wszystkiego, co wrażliwe, i bramę dla zadań, w których naprawdę potrzebny jest model chmurowy. Jeśli chcesz sprawdzić, jak to wygląda kosztowo w Twojej skali, zajrzyj do cennika wdrożenia lokalnego AI — wycena i konsultacja są bezpłatne.

I najprostsze podsumowanie, jakie da się z tej historii wyciągnąć: dane, których nie wysłałeś, nie mogą wyciec. Cała reszta to zarządzanie prawdopodobieństwem.

Najczęstsze pytania

Czy ChatGPT zapisuje dane, które mu wklejam?

Tak. Treść zapytania trafia na serwery dostawcy i jest tam przechowywana — domyślnie w historii rozmów, a przez pewien czas także w logach systemowych, m.in. na potrzeby wykrywania nadużyć. To odrębna kwestia od trenowania modelu: dane mogą być przechowywane nawet wtedy, gdy dostawca nie używa ich do uczenia.

Czy ChatGPT uczy się na moich danych firmowych?

Zależy od planu. W kontach konsumenckich trenowanie jest domyślnie włączone i trzeba je wyłączyć samodzielnie. W ChatGPT Business, Enterprise i w API OpenAI deklaruje brak trenowania na danych klienta bez wyraźnej zgody. Anthropic od sierpnia 2025 r. wymaga od użytkowników kont konsumenckich świadomego wyboru, a plany komercyjne wyłączył z trenowania.

Czy można wklejać dane osobowe klientów do ChatGPT?

Nie na prywatnym koncie. To powierzenie przetwarzania, które wymaga umowy z art. 28 RODO i uregulowanego transferu poza EOG. Na koncie firmowym z podpisaną umową jest to możliwe, ale nadal wymaga oceny ryzyka; przy tajemnicach zawodowych bezpieczniejsza jest anonimizacja przed wysłaniem albo model lokalny.

Czy wyłączenie historii czatu wystarczy?

Nie. Ogranicza widoczność rozmów w interfejsie i zwykle wyłącza trenowanie, ale treść i tak przechodzi przez infrastrukturę dostawcy i bywa przechowywana przez określony czas — a nakaz sądowy w sprawie wydawców przeciwko OpenAI pokazał, że polityka kasowania może zostać czasowo zawieszona.

Czym jest Shadow AI i jak je wykryć?

To używanie narzędzi AI poza kontrolą organizacji, najczęściej z prywatnych kont. Wykrycie jest z natury trudne — ruch nie przechodzi przez firmową sieć. Skuteczniejsze od monitoringu jest usunięcie powodu: udostępnienie zespołowi bezpiecznego narzędzia, które jest równie wygodne.

Źródła

• OpenAI, March 20 ChatGPT outage: Here's what happened (24.03.2023)
• Forbes, Samsung Bans ChatGPT Among Employees After Sensitive Code Leak (02.05.2023)
• Wiz Research, Exposed DeepSeek Database Leaking Sensitive Information (styczeń 2025)
• The Register, OpenAI removes ChatGPT self-doxing option (01.08.2025)
• Anthropic, Updates to Consumer Terms and Privacy Policy (28.08.2025)
• OpenAI, How we're responding to The New York Times' data demands (2025)
• IBM, Cost of a Data Breach Report 2025
• TechCrunch, Your Claude shared chats and Artifacts may have ended up on Google (27.07.2026)
• Search Engine Journal, Indexed Claude Chats Show Why Disallow Is Not Noindex (lipiec 2026)

Ten wpis ma charakter informacyjny i nie stanowi porady prawnej. Warunki dostawców zmieniają się często — przed decyzją warto zweryfikować aktualne zapisy w swoim planie i skonsultować ocenę z prawnikiem lub IOD.