Każde wklejenie danych do AI to przetwarzanie danych osobowych. RODO ma na to konkretne zasady.
Co mówi przepis
Artykuł 5(1)(c) — zasada ograniczenia danych: przetwarzaj tylko te dane, które są niezbędne do celu. Wklejanie pełnej bazy klientów do AI, żeby wygenerować jedną ofertę, narusza tę zasadę.
Artykuł 25 — ochrona prywatności od momentu projektowania: firma musi wdrożyć środki techniczne chroniące dane od samego początku procesu — nie dopiero po wycieku.
Artykuł 32 — środki techniczne i organizacyjne: firma musi wykazać, że wdrożyła odpowiednie zabezpieczenia. „Pracownik podpisał regulamin” to środek organizacyjny. Regulatorzy pytają o środki techniczne.
Artykuł 33–34 — powiadomienie o naruszeniu: jeśli dane wyciekną, firma ma 72 godziny na zgłoszenie do Urzędu Ochrony Danych Osobowych. Jeśli ryzyko jest wysokie — musi powiadomić też osoby, których dane dotyczą.
Artykuł 35 — ocena skutków dla ochrony danych: wymagana, gdy przetwarzanie może powodować wysokie ryzyko dla praw osób fizycznych. Korzystanie z narzędzi AI na danych osobowych zazwyczaj wymaga takiej oceny.
Jakie ryzyko
Kary do 20 mln EUR lub 4% rocznego obrotu globalnego — w zależności od tego, która kwota jest wyższa. Uber — kara 825 mln EUR (sierpień 2026). Kaspr — 200 tys. EUR, mimo że to mała firma. Kary dotyczą firm każdej wielkości.
Jak MuteData pomaga
| Obowiązek | Funkcja MuteData |
|---|---|
| Ograniczenie danych (art. 5) | Lokalnie anonimizuje dane przed wysłaniem — do AI trafia bezpieczna wersja |
| Ochrona prywatności w fazie projektowania (art. 25) | Narzędzie techniczne wbudowane w codzienny przepływ pracy — domyślna ochrona |
| Środki techniczne (art. 32) | MuteData jako środek techniczny — udokumentowany, mierzalny, raportowany |
| Zapobieganie naruszeniom (art. 33) | Jeśli dane nie opuściły urządzenia — nie ma czego zgłaszać |
| Ocena skutków (art. 35) | MuteData jako środek ograniczający ryzyko w dokumentacji oceny skutków |