Bezpieczeństwo danych w kontekście wykorzystania AI w marketingu – o czym musisz pamiętać?

Wklejasz bazę adresów e-mail do darmowego ChataGPT, żeby w kilka minut przygotować newsletter. Oszczędzasz czas, ale jednocześnie przekazujesz dane osobowe klientów na serwer, nad którym nie masz pełnej kontroli. AI stała się codziennym narzędziem pracy, jednak wiele firm nadal nie wie, gdzie trafiają wpisywane do niej informacje. Tymczasem jeden nieostrożny prompt może Cię narazić na poważne konsekwencje. Bezpieczne korzystanie z systemów sztucznej inteligencji nie wymaga rezygnacji z technologii, lecz świadomości, jakie dane przekazujesz do modelu, na jakiej podstawie prawnej i jak skutecznie chronić swoje przedsiębiorstwo. Dowiedz się więcej na ten temat z naszego artykułu.

Czym jest bezpieczeństwo danych w marketingu opartym na AI?

Bezpieczeństwo danych klientów w marketingu z AI to zestaw zasad i zabezpieczeń chroniących informacje osobowe oraz dane firmowe przed nieuprawnionym dostępem, wyciekiem czy użyciem niezgodnym z celem ich zebrania. W praktyce chodzi o kontrolę nad tym, jakie informacje trafiają do narzędzi sztucznej inteligencji, kto ma do nich dostęp i co dzieje się z nimi po stronie dostawcy. Sztuczna inteligencja przetwarza je inaczej niż klasyczne oprogramowanie zamknięte na Twoim serwerze. W momencie, gdy korzystasz z bezpłatnych narzędzi AI, przetwarzanie danych wrażliwych staje się ryzykowne, bo wypływają one poza Twój zamknięty system firmowy.

Przetwarzanie danych osobowych w MŚP – dlaczego to dotyczy również Twojej firmy?

Rozwiązania sztucznej inteligencji są coraz częściej wykorzystywane również w małych firmach, dlatego temat zasady ochrony danych osobowych nie powinien być Ci obcy. Według raportu GUS „Społeczeństwo informacyjne w Polsce w 2025 r.” technologie oparte na AI stosowało 8,7% przedsiębiorstw, w tym 6,1% firm małych i 15,6% średnich. Prowadząc firmę coraz częściej decydujesz, czy dane Twoich klientów są przetwarzane bezpiecznie. Warto więc znać kilka podstawowych pojęć, bo od nich zależy, gdzie leży ryzyko. Poszczególne systemy sztucznej inteligencji różnią się jednym kluczowym szczegółem: tym, jak przetwarzają Twoje dane.

Sztuczna inteligencja znajduje zastosowanie na każdym etapie lejka – od pozyskania kontaktu po obsługę posprzedażową. Nowoczesne algorytmy łączą dane dotyczące klientów z CRM, dane dotyczące użytkowników ze strony i informacje z reklam w jeden profil odbiorcy. Im więcej taki profil mówi o człowieku, tym staranniej musisz chronić te dane użytkowników przed przypadkowym ujawnieniem. Marketing wykorzystujący dane daje realną przewagę, ale tylko wtedy, gdy panujesz nad ich bezpieczeństwem.

Jakie dane wykorzystuje sztuczna inteligencja i gdzie leży granica?

Zanim ocenisz ryzyko, musisz wiedzieć, czym operujesz. Marketing wykorzystujący dane karmi algorytmy różnymi kategoriami informacji, a każda ma inną wagę prawną:

• dane identyfikacyjne – imię, nazwisko, e-mail, telefon. To najczęściej wykorzystywane dane dotyczące klientów w e-mailingu i remarketingu.
• dane behawioralne – historia zakupów, kliknięcia, czas na stronie. Na ich podstawie działa profilowanie i personalizacja ofert.
• dane wrażliwe – informacje o zdrowiu, poglądach czy orientacji. Objęte najostrzejszym reżimem RODO.
• dane firmowe – Twoje strategie, cenniki, umowy. Formalnie to nie dane osobowe, ale ich wyciek boli równie mocno.

Nie każde dane osobowe klientów wymagają identycznej ochrony. Zwykłe dane możesz przetwarzać na kilku podstawach prawnych, ale przetwarzanie danych wrażliwych jest domyślnie zakazane i dopuszczalne tylko w wyjątkach z art. 9 RODO. Jeśli więc kusi Cię, by wykorzystanie danych osobowych o charakterze zdrowotnym wrzucić do chatbota „dla lepszej segmentacji”, to lepiej się powstrzymaj. To właśnie tu rodzą się najwyższe ryzyka prawne i najsurowsze kary. Świadome wykorzystanie danych osobowych zaczyna się od rozpoznania, z którą kategorią masz do czynienia i od pytania, czy dany proces w ogóle wymaga danych identyfikujących konkretną osobę.

Dlaczego wykorzystanie sztucznej inteligencji zwiększa ryzyko wycieku danych?

Bo w momencie wklejenia tekstu do modelu tracisz kontrolę nad informacją. Dane wejściowe trafiają na zewnętrzne serwery dostawcy, a w części narzędzi mogą zostać wykorzystane jako dane treningowe do doskonalenia modelu. To fundamentalna zmiana wobec klasycznego systemu przetwarzania danych, który trzymałeś na własnym serwerze. Sztuczna inteligencja zmienia więc nie tyle same dane, ile sposób ich przepływu, a raz wklejone dane osobowe klientów trudno usunąć.

Dawniej system analizy danych działał w zamkniętym obiegu i dane nie wychodziły poza biuro. Dziś jeden pracownik, kopiując ofertę do darmowego czatu, potrafi wysłać poufne dane firmowe w miejsce, z którego nie da się ich cofnąć. To nie technologia jest problemem, lecz brak ustalonych zasad jej używania.

Dane wejściowe kontra treningowe – dlaczego to nie to samo?

W darmowych i konsumenckich wersjach popularnych narzędzi Twoje dane wejściowe mogą domyślnie zasilać zbiór treningowy. Zgodnie z polityką OpenAI dla usług indywidualnych, takich jak ChatGPT, treści użytkownika mogą służyć do trenowania modeli, dopóki nie wyłączysz tej opcji (OpenAI, How your data is used). Dla kont biznesowych – ChatGPT Team, Enterprise oraz API – reguła jest odwrotna: dostawca domyślnie nie trenuje na Twoich danych. Ta różnica decyduje o wszystkim, bo fragment Twojej bazy może teoretycznie „wypłynąć” w odpowiedzi generowanej komuś innemu. Dlatego wykorzystywanie danych klientów w darmowym narzędziu bez wyłączonego treningu to jedno z najczęściej lekceważonych ryzyk.

Ryzyko wycieku danych nie jest abstrakcją. W 2024 roku Prezes UODO nałożył kary o łącznej wartości blisko 14 mln zł, a 2025 okazał się rekordowy – 64,5 mln zł w 32 decyzjach, przy ponad 22 tys. zgłoszeń naruszeń. Kary sięgają małych firm: 353,6 tys. zł za brak zabezpieczeń, które umożliwiły atak ransomware, i 238 tys. zł za zgubiony, niezaszyfrowany pendrive z numerami PESEL. Górny pułap RODO to 20 mln euro lub 4% rocznego obrotu, co dla większości firm z MŚP oznacza to koniec działalności.

RODO, AI Act i podstawa prawna – kiedy przetwarzanie danych przez AI jest zgodne z prawem?

Wtedy, gdy masz podstawę prawną, realizujesz jasny cel przetwarzania danych i informujesz o tym klientów. To trzy filary legalnego wykorzystania danych osobowych — niezależnie od tego, czy robisz to ręcznie, czy z pomocą AI. Ochrona danych osobowych opiera się w Polsce na dwóch aktach: GDPR (RODO) oraz AI Act. Oba trzeba czytać razem.

GDPR (RODO): na jakiej podstawie prawnej przetwarzasz dane

Przetwarzanie danych osobowych bez podstawy prawnej jest nielegalne. GDPR (RODO) wymienia kilka takich podstaw; w marketingu najczęściej opierasz się na zgodzie klienta albo na prawnie uzasadnionym interesie. Zasady są proste:

• zbieraj tylko tyle, ile potrzebujesz (minimalizacja),
• trzymaj się celu, dla którego dane pozyskałeś,
• dbaj o przejrzystość.

Gdy dane przekazujesz dostawcy narzędzia AI, musisz zawrzeć z nim umowę powierzenia, a zakres przetwarzania danych powinien być w niej precyzyjnie opisany. To samo GDPR (RODO), które znasz z formularzy zgody, obowiązuje więc również wtedy, gdy dane trafiają do algorytmu. Innymi słowy, GDPR (RODO) obejmuje każde wykorzystanie danych osobowych – od zapisu do newslettera po zaawansowane wykorzystanie danych osobowych w modelu AI.

AI Act i oznaczanie treści oraz obrazów – co się zmienia od 2026 r.?

AI Act (rozporządzenie UE 2024/1689) dokłada nową warstwę obowiązków. Zgodnie z art. 113 rozporządzenia obowiązki przejrzystości z art. 50 stosuje się od 2 sierpnia 2026 roku i od tego momentu musisz oznaczać treści wygenerowane lub zmodyfikowane przez AI oraz ujawniać, że klient rozmawia z chatbotem. Za złamanie tych zasad grozi kara do 15 mln euro lub 3% rocznego obrotu.

W świetle tego rozporządzenia występujesz tu jako podmiot stosujący system, czyli wdrażający (deployer), a nie jego dostawca (provider) i to właśnie na wdrażającym spoczywa obowiązek oznaczenia takich treści. Pamiętaj też o profilowaniu, czyli automatycznej ocenie klienta na podstawie jego danych. To również przetwarzanie danych osobowych, więc wymaga transparentności danych: klient musi wiedzieć, że je stosujesz, i w określonych sytuacjach móc się sprzeciwić. Świadome zarządzanie danymi oznacza, że wiesz, gdzie leży każdy zbiór i kto ma do niego dostęp – bez takiego zarządzania danymi nawet najlepsze profilowanie staje się miną.

Kiedy oznaczanie treści generowanych przez AI oraz grafik z użyciem technologii sztucznej inteligencji jest obowiązkowe?

Sztuczna inteligencja umożliwia dziś tworzenie treści, których nie odróżnisz od prawdziwych. To ogromna szansa marketingowa i jednocześnie nowy obszar odpowiedzialności prawnej i wizerunkowej. AI Act nie ustanawia ogólnego obowiązku oznaczania każdej reklamy, tekstu marketingowego ani opisu produktu stworzonego z pomocą AI. Istotny jest tutaj rodzaj treści, sposób jej wykorzystania oraz to, czy odbiorca bezpośrednio kontaktuje się z systemem AI.

Wirtualni influencerzy i deepfake, czyli gdzie leży granica?

Wirtualni influencerzy to postacie stworzone przez algorytmy, które prowadzą profile w social mediach i promują produkty. Mają swoje niepodważalne zalety: nie chorują, nie wywołują skandali, są dostępni całą dobę. Wciąż jednak muszą działać w granicach prawa, bo jeśli taka postać poleca produkt, odbiorca powinien wiedzieć, że ma do czynienia z wytworem AI. Jeżeli awatar jest syntetycznym obrazem lub nagraniem przypominającym realną osobę, wydarzenie albo miejsce i może sprawiać wrażenie autentycznego, może stanowić deepfake. W takim przypadku podmiot publikujący reklamę musi ujawnić, że materiał został sztucznie wygenerowany lub zmanipulowany.

Przykład oznaczenia:

„Materiał zawiera wizerunek wygenerowany przez AI.”

Samo użycie wirtualnej, wyraźnie fikcyjnej postaci nie zawsze oznacza deepfake. Jeżeli odbiorca z kontekstu łatwo rozumie, że ogląda animację lub fikcyjnego awatara, ocena może być inna. Nadal jednak trzeba uwzględnić inne przepisy, m.in. dotyczące reklamy, ochrony konsumentów, praw do wizerunku i nieuczciwych praktyk rynkowych.

Wykorzystanie wizerunku realnej, żyjącej osoby bez jej zgody to przede wszystkim naruszenie dóbr osobistych i prawa do wizerunku (odpowiedzialność cywilna), a często także naruszenie RODO. Odpowiedzialność karna pojawia się dopiero w określonych sytuacjach, np., gdy deepfake służy podszywaniu się pod kogoś w celu wyrządzenia szkody (art. 190a § 2 Kodeksu karnego). Bezpieczne tworzenie treści marketingowych opiera się więc na dwóch zasadach: zgodzie osób, których wizerunek wykorzystujesz i jasnym oznaczeniu, że treść powstała z udziałem AI.

Opis produktu napisany przez AI

Zwykły opis produktu wygenerowany lub wspomagany przez model nie musi być automatycznie oznaczony tylko dlatego, że wykorzystano AI. Generowanie treści marketingowych przy pomocy AI jest w pełni legalne, dopóki nie wprowadzasz odbiorcy w błąd.

Art. 50 ust. 4 dotyczy tekstu generowanego lub manipulowanego przez AI, który jest publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Typowy opis produktu w sklepie internetowym co do zasady nie mieści się w tej kategorii.

Trzeba jednak odróżnić:

• AI jako narzędzie redakcyjne — człowiek przygotowuje lub poprawia opis i ponosi za niego odpowiedzialność; zwykle brak obowiązku publicznego oznaczenia użycia AI;
• tekst opublikowany automatycznie bez kontroli człowieka — może wymagać dalszej analizy, zwłaszcza jeśli dotyczy kwestii publicznych, zdrowia, bezpieczeństwa lub innych tematów wykraczających poza zwykłą sprzedaż;
• fałszywe lub wprowadzające w błąd twierdzenia — ich problem prawny istnieje niezależnie od tego, czy tekst napisał człowiek, czy AI.

Chatbot na stronie internetowej

Tutaj odpowiedź jest bardziej jednoznaczna. System AI przeznaczony do bezpośredniej interakcji z osobami fizycznymi, np. chatbot, agent głosowy lub awatar konwersacyjny, powinien informować użytkownika, że rozmawia z AI, chyba że wynika to w sposób oczywisty z kontekstu. Informacja powinna być jasna, widoczna i przekazana najpóźniej przy pierwszej interakcji.

Praktyczne oznaczenie:

„Rozmawiasz z asystentem AI. Jeśli potrzebujesz kontaktu z pracownikiem, wybierz opcję «Połącz z konsultantem».”

Nie wystarczy ukryć tej informacji wyłącznie w polityce prywatności lub regulaminie. Powinna pojawić się w interfejsie rozmowy, np. nad polem czatu albo w pierwszej wiadomości.

Oznaczanie treści AI w praktyce – przykłady

Wykorzystanie AI w marketingu może usprawnić tworzenie treści, grafik i obsługę klientów, ale nie zwalnia firmy z odpowiedzialności za sposób ich prezentowania. Warto więc wiedzieć, kiedy przepisy wymagają poinformowania odbiorców o użyciu sztucznej inteligencji, zwłaszcza gdy materiał może zostać uznany za autentyczny lub gdy klient bezpośrednio komunikuje się z systemem AI.

Poniżej wyjaśniamy najważniejsze zasady dotyczące awatarów, opisów produktów i chatbotów.

Źródło: Opracowanie własne Grupa Tense

Warto pamiętać też o spokojniejszych zastosowaniach sztucznej inteligencji: analizie danych klientów, tworzeniu treści do testów A/B czy obsłudze klienta. Możliwości wykorzystania sztucznej inteligencji w marketingu są ogromne, a te codzienne zadania nie budzą kontrowersji i naprawdę oszczędzają Twój czas. Rozsądne wdrożenie zaczyna się jednak zawsze od tego samego punktu: od pilnowania danych.

Jak bezpiecznie wdrożyć narzędzia sztucznej inteligencji? Krok po kroku

Zacznij od jednej zasady: nigdy nie wpuszczaj do publicznego narzędzia danych, których nie zawahałbyś się opublikować. Bezpieczne wdrożenie sztucznej inteligencji zaczyna się od decyzji, jakich danych do niej nie wpuścisz. Twoje działania marketingowe zyskują na AI najbardziej tam, gdzie powtarzalność spotyka się ze skalą, ale miej na uwadze, żeby zawsze łączyć skuteczność z twardymi zasadami prywatności.

Krok 1: Wybierz właściwą wersję narzędzia

Nie wszystkie narzędzia sztucznej inteligencji chronią dane tak samo. Poniższa tabela pokazuje, jak różne wersje traktują Twoje dane wejściowe – to punkt, w którym najczęściej rozstrzyga się bezpieczeństwo.

Źródło: Opracowanie własne Grupa Tense

Wniosek jest prosty: jeśli zależy Ci na bezpieczeństwie danych klientów, korzystaj z wersji firmowych. Kosztują więcej niż darmowe, ale zapewniają lepszą ochronę.

Krok 2: Zastosuj minimalizację i (pseudo)anonimizację

Zanim cokolwiek wkleisz, usuń to, co pozwala zidentyfikować osobę. Zamiast „napisz ofertę dla Jana Kowalskiego, PESEL…”, wpisz „napisz ofertę dla klienta z branży X”. Warto tu znać jeden niuans prawny. Jeśli w Twoim CRM-ie nadal możesz powiązać tę ofertę z konkretnym Janem Kowalskim, to pseudonimizacja drastycznie obniża ryzyko, ale wciąż podlega RODO. Prawdziwa anonimizacja danych jest nieodwracalna: po niej nie da się już ustalić, kogo dane dotyczyły i dopiero wtedy wychodzą one spod reżimu RODO. W narzędziach AI najczęściej stosujesz w praktyce pseudonimizację i zwykle to wystarcza – pod warunkiem, że pamiętasz, iż odpowiedzialność za te dane wciąż spoczywa na Tobie. Efekt marketingowy ten sam, a ryzyko nieporównywalnie mniejsze.

Krok 3: Uporządkuj zarządzanie danymi w zespole

Największe ryzyko to nie technologia, lecz nawyki ludzi. Ta lista kontrolna pomoże Ci zapanować nad przepływem informacji:

• Sklasyfikuj dane – oddziel informacje jawne od poufnych.
• Ustal zasady – spisz, czego nie wolno wklejać do narzędzi AI (dane osobowe klientów, umowy, cenniki, dane wrażliwe).
• Wyłącz trening w ustawieniach kont indywidualnych (Data Controls), jeśli nie masz wersji biznesowej.
• Podpisz umowę powierzenia z dostawcą, zanim wprowadzisz jakiekolwiek dane pozwalające zidentyfikować osobę.
• Prowadź rejestr – dokumentuj cel przetwarzania danych, by w razie kontroli udowodnić zgodność.

Dobrze poukładany system przetwarzania danych zmienia rozmowę z UODO z dramatu w formalność. Taki system powinien rejestrować, kto, kiedy i po co sięgnął po dane, oraz jasno określać zakres przetwarzania danych na każdym etapie. Pamiętaj, że automatyzacja z pomocą AI nie zdejmuje z Ciebie odpowiedzialności, bo wciąż pozostajesz administratorem danych.

Co warto zapamiętać o bezpieczeństwie danych w marketingu z AI?

Nie traktuj bezpieczeństwo danych w marketingu opartym na AI jak hamulca, tylko postrzegaj je w kategoriach jednego z warunków trwałego rozwoju. Sztuczna inteligencja potrafi przyspieszyć Twój marketing wielokrotnie, ale to Ty ustalasz reguły i ponosisz ich wszelkie konsekwencje.

Zapamiętaj te 4 filary:

1. Po pierwsze, podstawa prawna: bez zgody lub uzasadnionego interesu nie ruszaj danych osobowych.
2. Po drugie, właściwa wersja narzędzia: plany biznesowe nie trenują na Twoich danych i dają umowę powierzenia.
3. Po trzecie, minimalizacja i pseudonimizacja — im mniej danych i mniej możliwości powiązania ich z konkretną osobą, tym bezpieczniej.
4. Po czwarte, transparentność: oznaczaj treści generowane przez AI i informuj o profilowaniu, bo tego wymaga nowe unijne rozporządzenie.

Wraz z rozwojem sztucznej inteligencji rosną możliwości, ale też i ryzyka prawne. AI nagradza tych, którzy rozumieją, co robią, i bywa bezlitosna dla działających na oślep. Jej potencjał otwiera się w pełni dopiero wtedy, gdy zaufanie klientów masz po swojej stronie i wtedy to już nie jest wyłącznie kwestia technologii, lecz Twojej wiarygodności.

Źródło:

GUS/PAP Biznes, „W 2025 r. 8,7 proc. firm w Polsce deklarowało wykorzystanie technologii AI – GUS”

Grant Thornton, „Kto płaci za naruszenie RODO? Kary pieniężne nałożone przez Prezesa UODO w 2024 r. [Raport]”

PIT.pl – portal podatkowy

Naczelna Rada Adwokacka, „AI Act: od 2 sierpnia 2026 r. obowiązują nowe zasady transparentności”

Europerspektywy, „AI Act a treści generowane przez AI: zmiany od 2 sierpnia”