Aplikantka wkleiła akta do ChatGPT.
Kancelaria zapłaciła 85 000 zł.
Historia jest fikcyjna, ale scenariusz — prawdziwy. Każdego dnia w polskich kancelariach, klinikach i firmach HR pracownicy używają ChatGPT do pracy z dokumentami zawierającymi dane osobowe. Bez złych intencji. Z fatalnym skutkiem.
Kontekst: Kancelaria Adwokacka Nowak & Wspólnicy
Jak to się stało — godzina po godzinie
Marta K., aplikantka adwokacka, pracuje nad odpowiedzią na pozew. Sprawa dotyczy sporu majątkowego — w aktach są dane osobowe klientów, numery PESEL, adresy, kwoty. Chce szybko sprawdzić argumentację prawną.
Marta kopiuje fragment akt sprawy do ChatGPT: "Pomóż mi napisać odpowiedź na ten pozew". W treści są: imię i nazwisko klienta, PESEL, adres zamieszkania, numer konta bankowego, kwota roszczenia.
Klient kancelarii czyta artykuł o wyciekach danych z ChatGPT. Dzwoni do kancelarii z pytaniem: "Czy moje dane były wklejane do AI?". Marta przyznaje — tak, ale "tylko żeby sprawdzić argumenty prawne".
Klient składa skargę do Urzędu Ochrony Danych Osobowych. Zarzut: naruszenie Art. 5 ust. 1 lit. f RODO (integralność i poufność) oraz Art. 32 RODO (brak odpowiednich środków bezpieczeństwa).
UODO wszczyna postępowanie. Kancelaria musi dostarczyć dokumentację: polityki bezpieczeństwa, szkolenia pracowników, rejestr czynności przetwarzania. Okazuje się, że kancelaria nie miała żadnej polityki dotyczącej AI.
UODO nakłada karę 85 000 zł. Uzasadnienie: brak wdrożenia odpowiednich środków technicznych i organizacyjnych (Art. 32 RODO), brak polityki korzystania z narzędzi AI przez pracowników. Kancelaria traci też klienta i reputację.
Rachunek strat
Przez jeden nieświadomy błąd aplikantki, kancelaria straciła ponad 140 000 zł. Roczny koszt Jackal Shield Business dla 12 pracowników: 3 588 zł. To 39-krotnie mniej niż ta jedna kara.
Ten sam scenariusz. Inny wynik.
Marta nadal używa ChatGPT. Ale dane klientów nigdy nie opuszczają firmy.
Gdy Marta wkleja tekst do ChatGPT, Jackal Shield wyświetla overlay: "Wykryto 4 dane osobowe. Zanonimizować przed wysłaniem?"
Jan Kowalski → Adam Wiśniewski, PESEL 85010112345 → PESEL_001, ul. Kwiatowa 5 → ul. Testowa 1. ChatGPT widzi fikcyjne dane, ale odpowiada merytorycznie.
ChatGPT pomaga z argumentacją prawną. Marta jednym kliknięciem przywraca oryginalne dane w gotowym piśmie. Praca wykonana, dane bezpieczne.
W dashboardzie administratora widać: 847 dokumentów zanonimizowanych, 0 naruszeń. Przy kontroli UODO — gotowy raport compliance.
Kancelaria ma pełny audit log: każdy dokument, każda anonimizacja, każde odtworzenie danych. Przy kontroli UODO — gotowy raport compliance. Marta nadal używa ChatGPT produktywnie. Klienci są bezpieczni.
Podstawa prawna — dlaczego kancelaria odpowiada?
Dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed nieuprawnionym dostępem. Wysłanie danych do zewnętrznego serwisu AI bez zgody osoby, której dane dotyczą, narusza tę zasadę.
Administrator (kancelaria) jest odpowiedzialny za wdrożenie odpowiednich środków technicznych i organizacyjnych. Brak polityki korzystania z AI przez pracowników = brak środków organizacyjnych.
Administrator wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku. Narzędzia AI bez kontroli = brak środków technicznych.
Naruszenia Art. 32 podlegają karze do 10 000 000 EUR lub 2% rocznego obrotu. UODO w Polsce stosuje kary proporcjonalne do skali naruszenia i możliwości finansowych podmiotu.
