Wklejasz dane klienta z Google Ads do czatu AI? 6 rzeczy do sprawdzenia w umowach i ustawieniach

To nie jest porada prawna. Opisujemy, co mówią regulaminy dostawców AI i RODO na dzień 11 października 2026 (przepisy i stanowisko UODO sprawdzone 14 października 2026). Jak to się ma do twojej umowy z klientem, oceni prawnik, który ją zna.

W badaniu, które opisał ITwiz, 69,8% z 1 100 freelancerów z Polski i Europy Środkowo-Wschodniej nie wprowadza wrażliwych danych klientów do narzędzi AI, a 10,8% szyfruje albo anonimizuje dane przed użyciem. Badanie dotyczyło wszystkich freelancerów, nie tylko PPC. Nie zawsze byliśmy w tej większości: sami wklejaliśmy kiedyś dane klientów do czatu AI.

Co dzieje się z danymi w ChatGPT, Claude i Gemini zależnie od planu

W ChatGPT, Claude i Gemini o tym, czy wklejone dane klienta mogą trenować model, decyduje bardziej plan niż dostawca: na kontach dla osób prywatnych mogą, w planach firmowych i przez API domyślnie nie. Ta sama osoba w tym samym czacie podlega innym zasadom na koncie prywatnym, a innym na koncie firmowym albo przez API.

Tabela powstała z regulaminów i stron pomocy OpenAI, Anthropic i Google, sprawdzonych 11.10.2026.

Źródła tabeli: pomoc OpenAI o trenowaniu modeli, kontrola danych w ChatGPT, DPA OpenAI, Anthropic o trenowaniu i o przechowywaniu danych, warunki komercyjne Anthropic, Anthropic o danych firm, OpenAI o prywatności firm, centrum prywatności aplikacji Gemini, warunki Gemini API.

Regulaminy się zmieniają. Zanim powołasz się na tę tabelę w rozmowie z klientem, otwórz źródło i sprawdź datę.

6 miejsc, w których wklejanie danych klienta może się kłócić z umową

Wklejanie danych klienta do czatu AI może się kłócić z umową w sześciu miejscach: plan czatu, opinia kciukiem, klauzula poufności, dane osobowe w eksporcie, brak umowy powierzenia z dostawcą AI i usunięcie danych po końcu współpracy.

1. Konto czatu dla osób prywatnych zamiast firmowego albo API

Na koncie czatu AI dla osób prywatnych rozmowy z danymi klienta mogą trafić do trenowania modeli, a w planach firmowych i w API domyślnie nie trafiają. Według pomocy OpenAI w usługach dla osób prywatnych, takich jak ChatGPT, OpenAI może używać treści do trenowania modeli, a w ChatGPT Business, Enterprise, Edu i API domyślnie tego nie robi.

W Claude Free, Pro i Max rozmowy trafiają do ulepszania modeli, jeśli na to pozwolisz w ustawieniach, a dane do treningu Anthropic trzyma do 5 lat, bez powiązania z kontem. W aplikacji Gemini Google prosi, żeby nie wpisywać poufnych informacji, których nie chcesz pokazać recenzentowi.

Z naszej praktyki: gdy w październiku 2026 wybieraliśmy nowy model do oceny wyszukiwanych haseł w Marketing Workspace, sam wynik testu nie wystarczył. Warunkiem decyzji było to, że płatne API nie trenuje na danych i działa na umowie powierzenia (DPA). Wyniki opisujemy we wpisie o teście modeli AI w Google Ads.

Jak sprawdzić: w ChatGPT otwórz Ustawienia, potem „Kontrola danych” i opcję „Ulepszaj model dla wszystkich”. Krok po kroku dla ChatGPT opisujemy w poradniku jak usunąć dane z ChatGPT. W Claude sprawdź ustawienia prywatności. Jeśli plan ma w nazwie Free, Go, Plus, Pro albo Max, to plan dla osób prywatnych, nawet gdy płaci za niego agencja.

2. Opinia kciukiem w górę lub w dół otwiera rozmowę do treningu

Kciuk przy odpowiedzi w ChatGPT, Claude albo aplikacji Gemini może wprowadzić całą rozmowę do treningu, nawet jeśli wyłączyłeś trenowanie w ustawieniach. Według kontroli danych w ChatGPT po przekazaniu opinii „cała rozmowa związana z tą opinią może zostać wykorzystana do trenowania modeli OpenAI”.

Anthropic przy opinii przechowuje całą rozmowę do 5 lat i może jej użyć m.in. do trenowania. Google w aplikacji Gemini nie trenuje na rozmowach przy wyłączonej aktywności, chyba że wyślesz opinię. W każdym z trzech czatów konsumenckich ocena kciukiem może objąć całą rozmowę razem z wklejoną tabelą, nawet przy wyłączonym trenowaniu.

W Claude dla firm kciuk działa tak samo, ale właściciel planu może wyłączyć ocenianie odpowiedzi w ustawieniach organizacji.

Z naszej praktyki: w rozmowach z danymi klientów nie ocenialiśmy odpowiedzi kciukiem.

Jak sprawdzić: ustal w zespole prostą zasadę: w rozmowach z danymi klienta nie oceniamy odpowiedzi. Jeśli opinia jest potrzebna, opisz problem w nowej rozmowie, bez danych. W Claude dla firm właściciel planu może też wyłączyć ocenianie dla całej organizacji.

3. Klauzula poufności obejmuje też dane bez nazwisk

Klauzula poufności w umowie z klientem może obejmować dane z Google Ads, choć w statystykach kampanii nie ma kolumn z nazwiskami. RODO dotyczy danych osobowych, a koszt kampanii, przychód, marża czy budżet na kolejny kwartał to zwykle dane biznesowe klienta (wyjątek: jednoosobowa działalność).

Dla danych bez nazwisk pytanie brzmi więc nie „czy RODO pozwala”, tylko „czy pozwala twoja umowa z klientem”.

Klauzula poufności może definiować „informacje poufne” i zakazywać ich ujawniania osobom trzecim bez zgody. Czy dostawca czatu jest taką osobą trzecią i czy plan firmowy coś zmienia, zależy od brzmienia umowy. Warunki komercyjne Anthropic traktują na przykład treści klienta jako jego informacje poufne, ale to umowa między tobą a Anthropic, nie między tobą a klientem.

Poza samą umową dane o kosztach, marżach i budżetach klienta mogą być jego tajemnicą przedsiębiorstwa (art. 11 ustawy o zwalczaniu nieuczciwej konkurencji). Ich ujawnienie bez zgody klienta i wbrew obowiązkowi poufności może być czynem nieuczciwej konkurencji. W praktyce prostszą drogą dla klienta jest zwykle odpowiedzialność z umowy, np. kara umowna, jeśli umowa ją przewiduje.

Z naszej praktyki: we wrześniu 2026 agencja, z którą rozmawialiśmy o Marketing Workspace, zadała nam dziewięć dobrych pytań o dane: jakie dane, z jakimi uprawnieniami, gdzie są przechowywane i co się z nimi dzieje po końcu współpracy.

Odmówiła, bo umowy z klientami nie pozwalały na zewnętrzne narzędzie. To rozsądny powód, ale ta rozmowa skłoniła nas do pytania, czy taki zapis nie obejmuje też czatu AI, do którego wklejasz raporty klienta. Jeśli umowa z klientem zabrania zewnętrznych narzędzi, czat AI też może być takim narzędziem.

Jak sprawdzić: znajdź w umowie definicję informacji poufnych i zapis o podwykonawcach albo narzędziach. Jeśli umowa milczy, zapytaj prawnika albo klienta wprost, czy zgadza się na konkretne narzędzie i plan.

4. W eksporcie albo pliku są dane osobowe, a klient nie wydał na to polecenia

Wklejenie do czatu AI pliku z danymi osobowymi, np. leadów z formularza Google Ads, może wymagać polecenia klienta albo jego pisemnej zgody na dalszy podmiot przetwarzający, jeśli w umowie z klientem jesteś podmiotem przetwarzającym.

Dane osobowe pojawiają się w pracy z Google Ads m.in. w leadach i listach klientów. Leady z komponentu z formularzem kontaktowym pobierasz jako CSV z adresami e-mail i numerami telefonów, a plik listy klientów, który przesyłasz do Google Ads, ma kolumny z e-mailem, telefonem, imieniem i nazwiskiem.

Art. 28 ust. 2 RODO mówi, że podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego „bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora”. Ta zasada dotyczy jednak planów firmowych i API, w których dostawca AI działa na podstawie umowy powierzenia (DPA).

W planach dla osób prywatnych dostawca czatu zwykle nie jest dalszym podmiotem przetwarzającym, tylko odrębnym administratorem: dla użytkowników z EOG są nim OpenAI Ireland, Anthropic Ireland i Google Ireland, a rozmowy mogą służyć im do własnych celów, np. trenowania modeli.

Urząd Ochrony Danych Osobowych (UODO) pisze w checkliście RODO dla wdrażania AI (sierpień 2026), że dostawca, który używa wprowadzonych danych do własnych celów, w tym zakresie sam staje się administratorem (art. 28 ust. 10 RODO).

Jeśli jesteś podmiotem przetwarzającym, wklejenie leadów klienta do czatu dla osób prywatnych to więc zwykle przekazanie danych innemu administratorowi, na które potrzebujesz udokumentowanego polecenia klienta. Sama zgoda na dalszy podmiot tego nie załatwia. Takie przekazanie bez polecenia może być naruszeniem ochrony danych, które podmiot przetwarzający zgłasza klientowi (art. 33 ust. 2 RODO).

Czy jesteś podmiotem przetwarzającym, zależy od tego, co faktycznie robisz z danymi, a nie tylko od nazwy umowy. Jeśli na polecenie klienta pobierasz leady albo wgrywasz listy klientów do Google Ads, najczęściej tak. Jeśli pracujesz tylko na statystykach kampanii, danych osobowych klienta możesz w ogóle nie przetwarzać.

Z naszej praktyki: Marketing Workspace pobiera z Google Ads i Meta statystyki kampanii, a nie leady ani listy klientów.

Jak sprawdzić: w planie firmowym albo API zobacz, czy w umowie powierzenia z klientem jest lista podmiotów, z których korzystasz, albo ogólna zgoda z obowiązkiem informowania o zmianach. W planie dla osób prywatnych taka lista nie wystarczy: potrzebne jest polecenie klienta.

Najprostsza droga to nie wklejać kolumn z danymi osobowymi wcale. Do analizy statystyk kampanii nie są potrzebne. Co psuje liczby, gdy wklejasz raport do czatu, opisujemy we wpisie o złych liczbach z AI.

5. Twoje konto nie ma umowy powierzenia z dostawcą AI

Umowa powierzenia danych (DPA) z dostawcą AI, takim jak OpenAI, Anthropic czy Google, istnieje w planach firmowych i API, a w planach dla osób prywatnych jej nie znaleźliśmy. DPA OpenAI uzupełnia umowę o usługach biznesowych i obowiązuje od 1 stycznia 2026. Anthropic włącza swoje DPA do warunków komercyjnych, a Google stosuje DPA w płatnym Gemini API.

Jeśli jesteś podmiotem przetwarzającym, art. 28 ust. 4 RODO wymaga, żeby na dalszy podmiot nałożyć umową (lub innym aktem prawnym) te same obowiązki ochrony danych. Jeśli dalszy podmiot się z nich nie wywiąże, pełną odpowiedzialność wobec administratora ponosi pierwotny podmiot przetwarzający. Bez DPA z dostawcą AI trudno pokazać klientowi, na jakich warunkach jego dane są przetwarzane.

Z naszej praktyki: listę podmiotów, którym Marketing Workspace powierza przetwarzanie danych, publikujemy w polityce prywatności MW. O taką listę klient może poprosić także ciebie.

Jak sprawdzić: w panelu dostawcy znajdź, jaką umowę zaakceptowało twoje konto. Konto API albo plan firmowy założony na agencję to inny dokument niż regulamin konsumencki. Sprawdź też, która spółka jest stroną umowy (dla klientów z EOG często irlandzka) i na jakiej podstawie dane trafiają do USA: standardowe klauzule umowne w DPA albo Data Privacy Framework.

6. Po końcu współpracy nie umiesz usunąć danych klienta

Po końcu współpracy umowa z klientem może wymagać usunięcia jego danych, a w czatach AI dla osób prywatnych usunięcie rozmowy nie zawsze usuwa wszystko.

Art. 28 ust. 3 lit. g RODO wpisuje usunięcie danych w umowę powierzenia: podmiot przetwarzający, zależnie od decyzji administratora, usuwa albo zwraca dane i usuwa ich kopie. Umowa z klientem może mieć podobny zapis także dla danych biznesowych.

Anthropic usuwa skasowaną rozmowę z serwerów w ciągu 30 dni, ale dane z rozmów ocenionych kciukiem trzyma do 5 lat. W aplikacji Gemini rozmowy przejrzane przez recenzentów zostają do 3 lat, także po usunięciu aktywności. Zanim obiecasz klientowi usunięcie danych, sprawdź, czy dostawca czatu pozwala ci tę obietnicę spełnić.

W planie dla osób prywatnych kopia rozmowy u dostawcy należy do niego jako administratora: możesz usunąć rozmowę w aplikacji, ale nie masz umowy, która zobowiązuje go do usunięcia wszystkich kopii. Prawo do usunięcia danych z art. 17 RODO ma osoba, której dane dotyczą, a nie agencja. W planach firmowych usunięcie lub zwrot danych po zakończeniu usługi opisuje DPA.

Z naszej praktyki: klienci pytali nas, gdzie trafiają ich dane. Gdy w pracy jest czat AI, odpowiedź wymaga znajomości planu, umowy z dostawcą i miejsc, w których te dane leżą.

Jak sprawdzić: spróbuj wskazać wszystkie rozmowy, w których są dane jednego klienta. Jeśli zespół wkleja dane w różnych czatach na prywatnych kontach, takiej listy może nie być. Jak znaleźć i usunąć takie rozmowy w ChatGPT, opisujemy w osobnym poradniku.

Lista kontrolna przed wklejeniem danych klienta do czatu AI

Zanim wkleisz dane klienta do czatu AI, odpowiedz na sześć pytań: jaki to plan, czy ktoś oceni rozmowę, co mówi klauzula poufności, czy w danych są osoby, czy masz DPA i czy umiesz te dane później usunąć.

1. 1Czy czat działa w planie firmowym albo przez API, a nie na koncie dla osób prywatnych?
2. 2Czy w zespole obowiązuje zasada, że rozmów z danymi klienta nie oceniamy kciukiem?
3. 3Czy klauzula poufności w umowie z klientem pozwala przekazać dane dostawcy narzędzia?
4. 4Czy z eksportu usunięto kolumny z e-mailami, telefonami, imionami, nazwiskami i identyfikatorami leadów?
5. 5Czy konto ma DPA z dostawcą AI i czy klient zgodził się na tego dostawcę jako dalszy podmiot?
6. 6Czy umiesz wskazać i usunąć wszystkie rozmowy z danymi klienta po końcu współpracy?

Jeśli na któreś pytanie odpowiedź brzmi „nie wiem”, dane czekają, aż ją poznasz. Te same sześć odpowiedzi przyda się, gdy klient sam zapyta, co robisz z jego danymi w AI.

Szerszą listę pytań przed użyciem gotowego narzędzia AI opublikował w sierpniu 2026 UODO: checklistę RODO dla wdrażania AI dla małych i średnich firm. Cztery z sześciu pytań powyżej (plan, dane osobowe, DPA i usuwanie danych) mają odpowiedniki w jej części o danych osobowych i dostawcy AI. Checklista dotyczy tylko RODO, więc nie obejmuje poufności danych biznesowych klienta.

Jak Marketing Workspace przetwarza dane klientów

Marketing Workspace, nasz asystent AI do kont Google Ads, Meta Ads i GA4, pobiera dane z kont klientów przez API, a nie przez wklejanie do czatu AI. Jeśli chcesz opisać w umowie z klientem, gdzie trafiają jego dane, te fakty możesz sprawdzić w naszej polityce prywatności, dokumentacji bezpieczeństwa i liście zmian:

• Dane analizują modele Claude (Anthropic), a część odpowiedzi asystenta przygotowują modele Google (Gemini) i zapasowo OpenAI, zawsze przez płatne API, bez trenowania na tych danych. Transfer poza EOG opiera się na standardowych klauzulach umownych albo Data Privacy Framework.
• Serwer stoi w UE, u OVH. Statystyki kampanii Google Ads i Meta oraz metryki GA4 pobieramy na twoje żądanie.
• Dostęp odpinasz ikoną „×” przy koncie albo rozłączasz całe konto Google lub Meta. Po odpięciu dane pobrane z tego konta usuwamy z rozmów, a tekst rozmów zostaje (lista zmian, wersja 1.2.0).
• Listę podmiotów przetwarzających dane publikujemy w polityce prywatności.

Czego nie robimy: nie anonimizujemy danych, więc model widzi nazwy kampanii i liczby z konta.

Przy ocenie wyszukiwanych haseł możemy korzystać z Gemini przez płatne API Google, które według warunków Gemini API nie trenuje na danych; przekazujemy wtedy wyłącznie frazy i opis oferty. Google nie gwarantuje przetwarzania w UE. Wszystkich dostawców i zakres przekazywanych danych wymieniamy w polityce prywatności.

Zobacz, jak działa Marketing Workspace

O autorze

Robert Szymański

Założyciel Roition, niezależny developer Google Ads API

Założyciel Roition, prawie 3 lata doświadczenia w Google Ads. Projektuje i wdraża automatyzacje procesów dla polskich firm: integracje systemów, obsługę zapytań i ofert, asystentów AI pracujących na danych firmy.

Wszystkie artykuły autoraLinkedIn