Przeczytaj najnowsze

Jeśli poszukujesz więcej informacji na temat Ogólnopolskiej Sieci Certyfikowanych Biur Rachunkowych lub chcesz nawiązać współpracę, skontaktuj się z nami:

                   Paulina Haczykowska - Rosłonek

                   [email protected]

                  Koordynator ds. Komunikacji Marketingowej

Kontakt dla Mediów

Zapraszamy do kontaktu pon-pt 8:00-16:00

numer telefonu: 533 337 003

Stworzona przez 

Wszelkie prawa zastrzeżone. Wszystkie materiały wykorzystane na ww. stronie w tym: logo, tekst, zdjęcia, grafika, dźwięk oraz sposób ich prezentacji są prawnie chronione i stanowią własność intelektualną ich właścicieli. Dane te zostały podane wyłącznie w celach informacyjnych. 

Rozwój sieci i technologię rozwiązań oferowanych przez OSCBR zapewnia CashDirector wraz z mBankiem.

FAQ

Regulaminy

Polityka prywatności

Kontakt:

mail: [email protected]

telefon: 533 337 003

Sztuczna inteligencja może pomóc w przygotowaniu wiadomości, uporządkowaniu procedury, stworzeniu formuły w Excelu albo opracowaniu planu komunikacji. Problem zaczyna się wtedy, gdy pracownik, chcąc szybciej wykonać zadanie, wkleja do ogólnodostępnego chatbota fakturę, listę płac, umowę lub korespondencję z urzędem.

Najbezpieczniejsza zasada dla biura rachunkowego jest prosta: nie wprowadzaj do ogólnodostępnego narzędzia AI dokumentów ani danych klientów, dopóki biuro nie sprawdziło narzędzia, warunków przetwarzania i zasad jego wykorzystania. Nawet wtedy należy przekazywać wyłącznie dane rzeczywiście potrzebne do wykonania konkretnego zadania.

Nie istnieje jedna, ustawowa lista informacji, których „nie wolno wpisywać do ChatGPT”. O dopuszczalności przetwarzania decydują m.in. rodzaj danych, cel, podstawa prawna, rola biura wobec klienta, umowa z dostawcą, ustawienia narzędzia, okres przechowywania oraz zastosowane zabezpieczenia. W praktyce wiele dokumentów obsługiwanych przez biuro zawiera jednak informacje, których nie należy przekazywać do niezweryfikowanego narzędzia.

Pracownik nie powinien wklejać dokumentów dotyczących klientów do prywatnego lub niezatwierdzonego konta Chat GPT. Najpierw biuro musi ocenić środowisko, ustalić zasady i ograniczyć zakres danych do niezbędnego minimum.

Ochrona danych jest tylko jednym z obowiązków związanych z wykorzystywaniem sztucznej inteligencji. Sprawdź również, jak AI Act wpływa na biuro rachunkowe i jakie zasady korzystania z AI powinien znać zespół. 

Spis treści:

1. ChatGPT a RODO – czy biuro rachunkowe może wprowadzać dane klientów? 

2. Jakich danych klientów nie wolno wprowadzać do Chat GPT i innych narzędzi AI?

3. Czy ChatGPT Plus jest bezpieczny dla danych klientów biura rachunkowego? 

4. Czy Temporary Chat chroni dane klientów i wyłącza trenowanie? 

5. Anonimizacja danych przed użyciem ChatGPT – czy usunięcie nazwiska wystarczy? 

6. Jak bezpiecznie korzystać z AI w biurze rachunkowym?

7. Czy wklejenie danych klienta do ChatGPT jest naruszeniem RODO? Co zrobić? 

8. Ochrona danych klientów podczas pracy z AI – Ekspert OSCBR

9. Checklista: zanim wprowadzisz informacje do narzędzia AI

10. Dane klientów w ChatGPT – najważniejsze zasady dla biura rachunkowego 

11. FAQ: ChatGPT, RODO i dane klientów biura rachunkowego

12. Ekspert OSCBR

ChatGPT a RODO – czy biuro rachunkowe może wprowadzać dane klientów? 

Odpowiedź brzmi: nie bez wcześniejszej oceny prawnej, organizacyjnej i technicznej konkretnego rozwiązania.

Wprowadzenie danych klienta do chatbota jest ich przetwarzaniem. Biuro musi więc wiedzieć, komu dane są przekazywane, w jakim celu, gdzie mogą być przechowywane, jak długo pozostają w systemie, czy mogą zostać wykorzystane do ulepszania modeli oraz kto może mieć do nich dostęp.

Trzeba również ustalić rolę biura. W wielu relacjach biuro rachunkowe przetwarza dane w imieniu klienta jako podmiot przetwarzający. W takim przypadku powinno działać zgodnie z udokumentowanymi poleceniami administratora i warunkami umowy powierzenia. Samodzielne przekazanie danych kolejnemu dostawcy może wymagać wcześniejszego uregulowania zasad dalszego powierzenia.

Jeżeli dostawca narzędzia ma przetwarzać dane jako procesor, potrzebne jest również spełnienie wymogów wynikających z art. 28 RODO. Nie wystarczy zatem, że aplikacja jest popularna, ma płatny pakiet albo wyświetla informację o szyfrowaniu.

Jakich danych klientów nie wolno wprowadzać do Chat GPT i innych narzędzi AI?

W biurze rachunkowym szczególnej ostrożności wymagają nie tylko klasyczne dane osobowe. Ryzyko dotyczy również danych finansowych, podatkowych, kadrowych, dostępowych oraz informacji stanowiących tajemnicę przedsiębiorstwa.

Czy dane identyfikacyjne klientów i pracowników można wpisywać do ChatGPT?  

Do niezweryfikowanego narzędzia nie należy wprowadzać m.in.:

•  imion i nazwisk;

•  numerów PESEL;

•  adresów zamieszkania i adresów korespondencyjnych;

•  numerów dowodów osobistych, paszportów i innych dokumentów;

•  numerów telefonów i prywatnych adresów e-mail;

•  podpisów, skanów dokumentów i wizerunku;

•  informacji pozwalających połączyć daną osobę z konkretną sprawą.

Usunięcie imienia i nazwiska nie zawsze wystarczy. Osobę można rozpoznać również na podstawie połączenia stanowiska, nazwy firmy, lokalizacji, kwoty wynagrodzenia, daty zdarzenia lub szczegółów opisanej sytuacji.

Faktury, JPK, KSeF i dane finansowe – czego nie przesyłać do AI? 

Szczególnie ryzykowne są:

•  faktury zawierające dane kontrahentów;

•  numery rachunków bankowych;

•  wyciągi bankowe i historie transakcji;

•  informacje o przychodach, kosztach, zadłużeniu i płynności;

•  deklaracje podatkowe, pliki JPK i dokumenty KSeF;

•  dokumenty ZUS i rozliczenia składek;

•  korespondencja dotycząca kontroli, postępowań lub zaległości.

Numer NIP również może być daną osobową, jeżeli identyfikuje osobę fizyczną prowadzącą działalność gospodarczą. Nie należy więc automatycznie zakładać, że wszystkie dane dostępne w publicznym rejestrze można dowolnie przekazywać do zewnętrznego systemu.

Listy płac i dane kadrowe – dlaczego wymagają szczególnej ochrony? 

Listy płac, umowy z pracownikami i dokumentacja kadrowa mogą zawierać:

•  wysokość wynagrodzenia;

•  informacje o nieobecnościach i zwolnieniach;

•  dane o potrąceniach, zajęciach komorniczych i świadczeniach;

•  informacje o stanie zdrowia lub niepełnosprawności;

•  dane członków rodziny;

•  wyniki ocen, informacje dyscyplinarne i przyczyny zakończenia współpracy.

Część z tych informacji może należeć do szczególnych kategorii danych. Ich wykorzystanie wymaga podwyższonej ostrożności i nie powinno odbywać się w przypadkowo wybranym narzędziu.

Hasła, tokeny i dane dostępowe – czego nigdy nie podawać chatbotowi? 

Do chatbota nigdy nie należy wprowadzać:

•  loginów i haseł;

•  kodów uwierzytelniających;

•  kluczy API;

•  tokenów dostępowych;

•  danych certyfikatów i podpisów elektronicznych;

•  kluczy prywatnych;

•  pełnych danych potrzebnych do logowania do bankowości, systemów księgowych, ZUS lub KSeF.

Jeżeli takie informacje trafią do niewłaściwego systemu, trzeba traktować je jako potencjalnie ujawnione i niezwłocznie je unieważnić lub zmienić.

Umowy i tajemnice przedsiębiorstwa – czy można analizować je w ChatGPT? 

Dokument nie musi zawierać danych osobowych, aby jego ujawnienie było problemem. Do niezatwierdzonych narzędzi nie powinny trafiać również:

•  umowy z klientami i kontrahentami;

•  cenniki, marże i indywidualne warunki handlowe;

•  listy klientów;

•  strategie biznesowe;

•  informacje o sporach i negocjacjach;

•  niepubliczne procedury bezpieczeństwa;

•  dane objęte obowiązkiem poufności.

Przykłady mają charakter praktyczny. O dopuszczalności przetwarzania zawsze decyduje ocena konkretnego narzędzia i zastosowania.

Czy ChatGPT Plus jest bezpieczny dla danych klientów biura rachunkowego? 

Sam fakt opłacenia abonamentu nie oznacza automatycznie, że narzędzie można wykorzystywać do przetwarzania danych klientów.

Trzeba odróżnić płatny plan przeznaczony dla indywidualnego użytkownika od środowiska biznesowego zarządzanego przez organizację. W usługach biznesowych mogą być dostępne inne zasady wykorzystywania danych, kontrole administratora, umowa dotycząca przetwarzania danych, ustawienia retencji lub dodatkowe zabezpieczenia. Nadal jednak biuro musi samodzielnie ocenić, czy konkretna konfiguracja odpowiada jego celowi i obowiązkom.

Oficjalne materiały OpenAI wskazują, że dane organizacji korzystających z usług biznesowych nie są domyślnie używane do trenowania modeli. Dostępne mogą być również ustawienia okresu przechowywania danych oraz umowa DPA. Nie oznacza to jednak automatycznej zgodności każdego zastosowania z RODO.

Biuro nadal odpowiada m.in. za:

•  określenie podstawy i celu przetwarzania;

•  ograniczenie zakresu danych;

•  ustalenie roli dostawcy;

•  sprawdzenie umowy i podwykonawców;

•  ocenę transferów danych;

•  konfigurację dostępów i retencji;

•  przeszkolenie pracowników;

•  kontrolę rezultatów przygotowanych przez AI.

WAŻNE

„Płatne” nie zawsze znaczy „biznesowe”, a „biznesowe” nie znaczy automatycznie „zgodne z RODO”. O bezpieczeństwie decyduje konkretna usługa, umowa, konfiguracja i sposób jej wykorzystania.

Czy Temporary Chat chroni dane klientów i wyłącza trenowanie? 

Nie. Wyłączenie wykorzystywania rozmów do ulepszania modeli albo skorzystanie z trybu rozmowy tymczasowej może ograniczyć część ryzyka, ale nie zastępuje pełnej oceny narzędzia.

Zgodnie z oficjalnymi informacjami OpenAI rozmowy tymczasowe nie są używane do trenowania modeli, nie trafiają do historii i nie tworzą pamięci. Mogą być jednak przechowywane w systemach do 30 dni i podlegać przeglądowi w celu monitorowania nadużyć.

Tryb tymczasowy nie odpowiada więc na wszystkie pytania biura:

•  czy istnieje właściwa podstawa przetwarzania;

•  czy biuro może przekazać dane podwykonawcy;

•  gdzie dane są przetwarzane;

•  jakie podmioty uczestniczą w realizacji usługi;

•  czy zakres danych jest niezbędny;

•  czy narzędzie zostało zatwierdzone przez organizację.

Temporary Chat może być dodatkowym ustawieniem ograniczającym retencję, ale nie powinien być traktowany jako pozwolenie na wklejanie dokumentów klientów.

Anonimizacja danych przed użyciem ChatGPT – czy usunięcie nazwiska wystarczy? 

Najczęściej nie. Prawidłowa anonimizacja powinna uniemożliwić identyfikację osoby również po zestawieniu materiału z innymi informacjami, do których może mieć dostęp odbiorca danych.

Europejska Rada Ochrony Danych w przyjętych w lipcu 2026 roku wytycznych dotyczących anonimizacji wskazuje trzy obszary oceny: możliwość wyodrębnienia osoby, połączenia informacji oraz wywnioskowania, kogo dane dotyczą. Wytyczne są obecnie przedmiotem konsultacji publicznych, ale dobrze pokazują, dlaczego samo zamazanie imienia może być niewystarczające.

Anonimizacja a pseudonimizacja - jaka jest różnica?

Anonimizacja ma prowadzić do sytuacji, w której osoba nie jest już możliwa do zidentyfikowania. Prawidłowo zanonimizowane informacje nie są danymi osobowymi.

Pseudonimizacja polega na zastąpieniu bezpośrednich oznaczeń innymi identyfikatorami, np. „Klient A”. Jeżeli przy użyciu dodatkowych informacji nadal można ustalić, kogo dotyczy dokument, materiał pozostaje danymi osobowymi.

Jak zanonimizować dokument lub fakturę przed użyciem ChatGPT? 

Przed wykorzystaniem AI należy:

• usunąć imiona, nazwiska, PESEL, NIP, adresy i dane kontaktowe;

• usunąć numery rachunków, dokumentów, faktur, umów i spraw;

• zastąpić nazwy firm oraz osób neutralnymi określeniami;

• usunąć podpisy, logotypy, pieczęcie, metadane i komentarze zapisane w pliku;

• ograniczyć daty, kwoty i szczegóły sytuacji, jeżeli nie są potrzebne;

• sprawdzić, czy połączenie pozostawionych informacji nadal pozwala rozpoznać klienta;

• w miarę możliwości zamiast prawdziwego dokumentu przygotować przykład syntetyczny.

Przykładowo, zamiast przesyłać całą fakturę, można zapytać narzędzie:

Przygotuj formułę w Excelu, która zsumuje wartości netto z kolumny D dla dokumentów oznaczonych statusem „zaakceptowany”. Użyj przykładowych danych.

W większości zadań związanych z redakcją, strukturą dokumentu, formułami lub planowaniem komunikacji prawdziwe dane klienta nie są potrzebne.

Jak bezpiecznie korzystać z AI w biurze rachunkowym?

Bezpieczne wykorzystanie AI powinno być procesem, a nie indywidualną decyzją pracownika.

1. Przygotuj listę zatwierdzonych narzędzi
   Biuro powinno wiedzieć, z jakich systemów korzysta zespół. Prywatne konta pracowników i samodzielnie instalowane aplikacje utrudniają kontrolę nad danymi, retencją oraz usuwaniem historii.

2. Opisz dozwolone zastosowania
   Wskaż, do jakich zadań można używać każdego narzędzia. Można dopuścić np. tworzenie struktury procedury na informacjach ogólnych, a wyłączyć przesyłanie dokumentów źródłowych klientów.

3. Ustal katalog danych niedozwolonych
   Pracownik powinien otrzymać prostą listę przykładów: faktury, listy płac, deklaracje, skany umów, dane dostępowe, korespondencja z urzędem i dane umożliwiające identyfikację klienta.

4. Sprawdź dostawcę oraz ustawienia
   Należy zweryfikować m.in. warunki świadczenia usługi, DPA, role stron, wykorzystanie danych do trenowania, retencję, transfery, podwykonawców, zarządzanie kontami i możliwość usunięcia danych.

5. Ogranicz zakres danych
   Jeśli zastosowanie zostało zatwierdzone, przekazuj wyłącznie informacje niezbędne. Zasada minimalizacji nadal obowiązuje.

6. Wprowadź kontrolę człowieka
   Odpowiedź AI może zawierać błędne dane, nieaktualne przepisy albo fałszywe źródła. Materiały dotyczące klienta powinny być sprawdzane przez uprawnioną osobę przed wykorzystaniem.

7. Przeszkol zespół i aktualizuj zasady
   Warunki usług oraz funkcje narzędzi szybko się zmieniają. Jednorazowa instrukcja nie wystarczy. Biuro powinno okresowo sprawdzać ustawienia i przypominać pracownikom zasady.

Porządkowanie zasad pracy z AI warto połączyć z uporządkowaniem sposobu przekazywania i przechowywania dokumentów. Zobacz, jak wdrożyć elektroniczny obieg dokumentów w biurze rachunkowym.

Czy wklejenie danych klienta do ChatGPT jest naruszeniem RODO? Co zrobić? 

Taka sytuacja nie zawsze oznacza automatycznie naruszenie wymagające zgłoszenia do UODO. Zawsze wymaga jednak szybkiej analizy.

Biuro powinno:

• przerwać dalsze wykorzystywanie rozmowy i nie dodawać kolejnych danych;

• ustalić, jakie informacje zostały przekazane, kogo dotyczą i z jakiego konta skorzystano;

• usunąć rozmowę oraz przesłane pliki, jeżeli narzędzie daje taką możliwość;

• sprawdzić zasady retencji – usunięcie rozmowy z widoku użytkownika nie zawsze oznacza natychmiastowe usunięcie jej ze wszystkich systemów;

• niezwłocznie poinformować osobę odpowiedzialną za bezpieczeństwo, przełożonego lub inspektora ochrony danych;

• ocenić, czy doszło do naruszenia ochrony danych i jakie ryzyko powstało dla osób;

• jeżeli biuro działa jako podmiot przetwarzający, bez zbędnej zwłoki przekazać informację administratorowi;

• w przypadku ujawnienia hasła, tokenu lub klucza natychmiast go zmienić albo unieważnić;

• udokumentować zdarzenie oraz podjęte działania.

To administrator, po ocenie ryzyka, decyduje, czy zdarzenie należy zgłosić Prezesowi UODO. Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, co do zasady zgłoszenia dokonuje się bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Przy wysokim ryzyku może być również potrzebne zawiadomienie osób, których dane dotyczą.

PROCEDURA NA START

Pracownik nie powinien samodzielnie oceniać, czy „nic się nie stało”. Każde niezamierzone przekazanie danych do niezatwierdzonego narzędzia powinno zostać natychmiast zgłoszone wewnątrz biura.

Ochrona danych klientów podczas pracy z AI – Ekspert OSCBR

Kiedy po raz pierwszy zaczęliśmy korzystać z narzędzi opartych na sztucznej inteligencji, traktowaliśmy je przede wszystkim jako pomoc w prostych, codziennych zadaniach. AI wspierała nas w redagowaniu wiadomości, porządkowaniu tekstów, przygotowywaniu schematów procedur czy tworzeniu formuł i tabel w Excelu. Na tym etapie korzystałem z niej głównie sam i pilnowałem, aby do narzędzia nie trafiały żadne dokumenty ani informacje pozwalające zidentyfikować klienta.

Z czasem możliwości AI zaczęły się rozwijać, a zainteresowanie narzędziami pojawiło się również wśród pracowników. Wtedy zrozumieliśmy, że samo zalecenie „uważajcie na dane” nie wystarczy. Każdy mógł przecież inaczej rozumieć, które informacje są poufne, kiedy dokument jest rzeczywiście anonimowy i z jakich aplikacji można bezpiecznie korzystać.

Nie stworzyliśmy od razu rozbudowanej polityki. Zaczęliśmy od najważniejszej zasady: do ogólnodostępnych narzędzi AI nie wprowadzamy dokumentów klientów ani danych, które mogą pozwolić na ich identyfikację. Dotyczy to nie tylko imienia, nazwiska czy numeru PESEL, ale również faktur, list płac, umów, wyciągów bankowych, danych z systemów księgowych, korespondencji z urzędami oraz informacji o sytuacji finansowej przedsiębiorcy.

Jeżeli chcemy wykorzystać AI do opracowania procedury, wiadomości albo schematu dokumentu, opisujemy problem ogólnie. Używamy fikcyjnych przykładów, zmieniamy wartości i usuwamy informacje charakterystyczne dla konkretnego klienta. Szybko przekonaliśmy się, że samo zastąpienie nazwy firmy określeniem „Klient A” nie zawsze wystarcza. Osobę lub przedsiębiorstwo mogą ujawnić także branża, miejscowość, wysokość wynagrodzenia, nietypowa transakcja albo szczegóły opisywanej sytuacji.

Każde nowe zastosowanie AI oznaczało kolejną zasadę

Wraz z pojawianiem się nowych narzędzi rozbudowywaliśmy nasze zasady. Powstała lista zastosowań, w których AI może wspierać zespół, oraz katalog danych i dokumentów, których nie wolno do niej przekazywać. Ustaliliśmy również, że pracownicy nie korzystają z przypadkowych aplikacji ani prywatnych kont do realizacji zadań biura.

Zanim dopuścimy nowe narzędzie, sprawdzamy przede wszystkim:

• do czego rzeczywiście jest nam potrzebne;

• jakie dane miałyby być w nim przetwarzane;

• czy możemy osiągnąć ten sam cel bez użycia prawdziwych danych klientów;

• gdzie i jak długo przechowywane są wprowadzone informacje;

• czy dostawca wykorzystuje treści użytkowników do rozwijania lub trenowania modeli;

• kto w biurze powinien mieć dostęp do narzędzia;

• czy przygotowany przez AI rezultat będzie sprawdzany przez człowieka.

Wprowadziliśmy także zasadę, że każda odpowiedź przygotowana przez AI wymaga weryfikacji. Narzędzie może pomóc uporządkować materiał, przygotować szkic albo przyspieszyć pracę, ale nie podejmuje za nas decyzji księgowych, podatkowych ani kadrowych. Odpowiedzialność za efekt końcowy nadal pozostaje po naszej stronie.

Pracownik musi wiedzieć, co zrobić również po popełnieniu błędu

Kolejnym krokiem było ustalenie prostego sposobu postępowania na wypadek omyłkowego wklejenia danych. Pracownik nie powinien ukrywać takiej sytuacji ani samodzielnie oceniać, że „przecież nic się nie stało”. Powinien przerwać pracę, nie dodawać kolejnych informacji i od razu zgłosić zdarzenie osobie odpowiedzialnej w biurze.

Dzięki temu możemy szybko ustalić, jakie dane zostały przekazane, do jakiego narzędzia trafiły, czy można usunąć rozmowę lub przesłany plik oraz czy sytuacja wymaga dalszych działań. Najważniejsze jest dla nas to, aby pracownik znał procedurę i nie bał się zareagować.

Szkolenia OSCBR pomogły nam uporządkować praktykę

Ważnym elementem tego procesu były również szkolenia i materiały udostępniane przez OSCBR. Pozwoliły nam spojrzeć na AI nie tylko jak na atrakcyjną nowość, ale jak na kolejne narzędzie wykorzystywane w organizacji, które wymaga określenia zasad, odpowiedzialności i granic.

Wiele praktycznych zagadnień dotyczących odpowiedzialności, cyberbezpieczeństwa i pracy na danych omawialiśmy także podczas konferencji AI x KSIĘGOWOŚĆ. Poznaj najważniejsze wnioski dotyczące wykorzystania AI w księgowości. 

Nie chcieliśmy całkowicie blokować pracownikom dostępu do sztucznej inteligencji. Taki zakaz nie rozwijałby kompetencji zespołu i mógłby prowadzić do korzystania z narzędzi poza kontrolą biura. Zależało nam na tym, aby pokazać, w jakich zadaniach AI rzeczywiście pomaga, a w jakich jej wykorzystanie wiąże się ze zbyt dużym ryzykiem.

Nasze zasady nadal nie są dokumentem zamkniętym. Aktualizujemy je wraz z pojawianiem się nowych funkcji, narzędzi i zastosowań. AI rozwija się zbyt szybko, aby raz przygotowana instrukcja wystarczyła na kolejne lata. Dlatego wracamy do ustaleń, rozmawiamy z zespołem i sprawdzamy, czy sposób korzystania z narzędzi nadal odpowiada potrzebom oraz standardom bezpieczeństwa naszego biura.

Nie chodzi o to, żeby bać się sztucznej inteligencji. Chodzi o to, aby każdy w biurze wiedział, do czego może jej użyć, jakich danych nie może przekazać i co powinien zrobić, kiedy ma wątpliwości.

Więcej materiałów opartych na doświadczeniach właścicieli biur znajdziesz w cyklu Ekspert OSCBR.

Checklista: zanim wprowadzisz informacje do narzędzia AI

• Czy narzędzie znajduje się na zatwierdzonej liście?

• Czy korzystam z firmowego konta i właściwej przestrzeni roboczej?

• Czy znam cel wykorzystania danych?

• Czy dane są naprawdę potrzebne do wykonania zadania?

• Czy materiał zawiera dane osobowe lub informacje poufne?

• Czy mogę użyć danych syntetycznych?

• Czy materiał został skutecznie zanonimizowany?

• Czy sprawdziliśmy warunki dostawcy, retencję i transfery?

• Czy istnieje właściwa umowa dotycząca przetwarzania danych?

• Czy wiem, kto sprawdzi rezultat?

• Czy wiem, jak zgłosić błąd albo incydent?

Jeżeli na którekolwiek z tych pytań odpowiedź brzmi „nie wiem”, nie przekazuj danych do narzędzia i skonsultuj zadanie z osobą odpowiedzialną w biurze.

Dane klientów w ChatGPT – najważniejsze zasady dla biura rachunkowego 

ChatGPT i inne narzędzia AI mogą realnie usprawnić pracę biura rachunkowego. Nie powinny jednak stawać się niekontrolowanym miejscem kopiowania dokumentów klientów.

Najważniejsze jest nie samo pytanie, czy narzędzie jest płatne, lecz:

•  w jakim środowisku działa;

•  jaka umowa obowiązuje;

•  jakie dane są przekazywane;

•  czy są one niezbędne;

•  jak długo pozostają w systemie;

•  kto ma do nich dostęp;

•  kto odpowiada za sprawdzenie wyniku.

W większości codziennych zastosowań biuro może uzyskać pomoc AI bez podawania prawdziwych danych klienta. Warto korzystać z opisów ogólnych, przykładów syntetycznych i skutecznie zanonimizowanych materiałów.

O tym, gdzie AI może pomagać w codziennej pracy bez przejmowania odpowiedzialności księgowego, piszemy również w artykule AI w księgowości – jak sztuczna inteligencja zmienia codzienną pracę księgowych.

FAQ: ChatGPT, RODO i dane klientów biura rachunkowego

Czy można wkleić fakturę klienta do ChatGPT?

Nie należy wklejać faktury do prywatnego ani niezatwierdzonego konta. Faktura może zawierać dane osobowe, numery rachunków, dane transakcyjne i informacje poufne. Jeżeli zadanie wymaga analizy dokumentu, biuro powinno wcześniej zatwierdzić narzędzie, ocenić zasady przetwarzania i ograniczyć lub zanonimizować dane.

Czy NIP jest daną osobową?

NIP może być daną osobową, jeżeli pozwala zidentyfikować osobę fizyczną, np. przedsiębiorcę prowadzącego jednoosobową działalność. Publiczna dostępność numeru nie wyłącza automatycznie stosowania RODO.

Czy wystarczy usunąć imię i nazwisko z dokumentu?

Nie zawsze. Osobę można zidentyfikować na podstawie innych elementów, np. stanowiska, miejscowości, kwoty, daty zdarzenia lub opisu sytuacji. Trzeba ocenić cały kontekst.

Czy ChatGPT Plus jest odpowiedni do przetwarzania danych klientów?

Płatny plan indywidualny nie daje automatycznie organizacyjnych i umownych zabezpieczeń potrzebnych do przetwarzania danych klientów. Biuro powinno ocenić konkretny wariant usługi, umowę, ustawienia oraz cel zastosowania.

Czy Temporary Chat jest całkowicie prywatny?

Rozmowy tymczasowe nie są używane do trenowania modeli, nie trafiają do historii i nie tworzą pamięci, ale zgodnie z informacjami OpenAI mogą być przechowywane do 30 dni w celu monitorowania nadużyć. Sam tryb tymczasowy nie zastępuje oceny zgodności z RODO.

Czy pracownik może używać prywatnego konta AI do zadań biura?

Biuro powinno wyraźnie zakazać używania prywatnych i niezatwierdzonych kont do pracy na danych klientów. Organizacja traci wtedy kontrolę nad dostępem, historią, retencją i usuwaniem danych.

Czy dane po zastąpieniu nazwiska określeniem „Klient A” są anonimowe?

Niekoniecznie. Jeżeli biuro posiada informacje pozwalające ponownie przypisać materiał do osoby albo identyfikacja jest możliwa na podstawie kontekstu, mamy do czynienia z pseudonimizacją, a materiał nadal może podlegać RODO.

Czy zgodę klienta można potraktować jako pozwolenie na użycie ChatGPT?

Zgoda nie usuwa pozostałych obowiązków. Nadal trzeba zapewnić zgodność z zasadą minimalizacji, bezpieczeństwo, przejrzystość, odpowiednią umowę z dostawcą i możliwość realizacji praw osoby. W wielu relacjach zgoda nie będzie też właściwą ani jedyną podstawą przetwarzania.

Czy omyłkowe wklejenie danych zawsze trzeba zgłaszać do UODO?

Nie każde zdarzenie wymaga zgłoszenia organowi, ale każde powinno zostać odnotowane i ocenione. Jeżeli biuro działa jako procesor, informuje administratora bez zbędnej zwłoki. Administrator ocenia ryzyko i podejmuje decyzję o ewentualnym zgłoszeniu.

Ekspert OSCBR

Rafał Nowak jest współwłaścicielem Projekt Biznes Sp. z o.o. – nowoczesnego biura rachunkowego z Rudy Śląskiej, które obsługuje przedsiębiorców z całej Polski w modelu online.

 

Biuro specjalizuje się w kompleksowej obsłudze jednoosobowych działalności gospodarczych, firm usługowych oraz biznesów rozwijających sprzedaż internetową. Projekt Biznes łączy księgowość z nowoczesnymi technologiami, wspierając przedsiębiorców nie tylko w bieżących rozliczeniach, ale również w pozyskiwaniu finansowania, wdrażaniu narzędzi cyfrowych oraz usprawnianiu codziennych procesów związanych z prowadzeniem firmy.

 

Dzięki połączeniu doświadczenia księgowego i nowoczesnego podejścia do biznesu, zespół wspiera klientów na różnych etapach rozwoju działalności – od założenia firmy, przez bieżącą obsługę księgową, aż po kolejne inwestycje i rozwój przedsiębiorstwa.

 

👉 Projekt Biznes Sp. z o.o. Biuro rachunkowe w Rudzie Śląskiej | księgowość online dla firm z całej Polski

 

📞 +48 660 586 320

📧 [email protected]

🌐 https://projekt-biznes.pl/

🔗 LinkedIn: Rafał Nowak

Źródła i podstawa aktualizacji

• Rozporządzenie (UE) 2024/1689 – AI Act

• UODO – sztuczna inteligencja i ochrona danych

• UODO – człowiek jako filar bezpieczeństwa

• NIST – AI Risk Management Framework

• NIST – profil ryzyka dla generatywnej AI

• ENISA – dobre praktyki cyberbezpieczeństwa dla AI

• NCSC – wytyczne bezpiecznego rozwoju i wdrażania systemów AI

• OWASP – Top 10 ryzyk dla aplikacji LLM i generatywnej AI

• OpenAI – bezpieczeństwo i prywatność danych biznesowych