Poți pune date de clienți în ChatGPT? Regulile GDPR

Întrebarea apare de obicei târziu. Cineva de la facturare a lipit deja un tabel cu clienți ca să scoată un rezumat, iar patronul află abia când un client mare întreabă în ce instrumente ajung datele lui. Partea legală costă câteva zeci de euro pe lună și se rezolvă într-o după-amiază. Partea grea e disciplina de după.

Ce se întâmplă, de fapt, cu ce scrii în ChatGPT?

Pe conturile personale, conversațiile pot fi folosite pentru îmbunătățirea modelelor, iar opțiunea e pornită din start. Avocații de la Decalex o spun fără ocolișuri: versiunile personale folosesc automat datele introduse pentru antrenare, dacă nu dezactivezi manual opțiunea. Setarea stă în Settings, la Data Controls. După ce o oprești, conversațiile mai rămân 30 de zile pentru monitorizarea abuzurilor, apoi se șterg.

Pe planurile de firmă, situația e inversă. Pe Business și pe Enterprise antrenarea pe datele tale e dezactivată implicit, deci nu ai ce să oprești. La fel prin API, unde datele nu intră în antrenare.

De ce nu e suficient să opresc antrenarea din setări?

Pentru că antrenarea e jumătate din problemă. Cealaltă jumătate e contractul, și pe aia nu o rezolvă niciun buton.

Când firma ta pune date personale într-un instrument, firma e operator, iar furnizorul prelucrează în numele ei. Analiza publicată pe juridice.ro e explicită: relația trebuie reglementată printr-un acord de prelucrare a datelor, conform articolului 28 GDPR. Aceeași analiză spune că versiunile Free și Plus „nu oferă garanții GDPR adecvate”, în timp ce planul pentru echipe (Team la data analizei, Business azi), Enterprise și API-ul vin cu acord de prelucrare și cu clauze contractuale standard pentru transferul datelor în Statele Unite.

Tradus în practică: angajatul care a bifat conștiincios butonul din setările contului lui Plus a rezolvat antrenarea și a lăsat contractul neatins. Când te întreabă un client în due diligence cine prelucrează datele lui și în ce temei, nu ai ce să arăți.

Ce plan îmi trebuie, concret?

Prețurile de mai jos sunt cele listate public pentru piața din România în octombrie 2025.

Pentru cinci oameni, saltul de la Plus la Business înseamnă circa 30 de euro în plus pe lună la plata anuală. E cea mai ieftină linie de conformitate pe care o poate cumpăra o firmă mică, și tot se amână.

Ce nu se pune în chat, indiferent de plan?

Chiar și cu abonament de firmă și cu acord semnat, rămâne o listă roșie, pentru că raportul dintre ce câștigi și ce riști e prost:

• date sensibile: sănătate, apartenență sindicală, convingeri, date biometrice;
• CNP-uri, copii după acte de identitate, extrase de cont;
• parole, chei de acces, token-uri, oricât de comod ar fi;
• date ale unui client care ți-a interzis prin contract subîmputernicirea sau transferul în afara UE;
• documente sub clauză de confidențialitate care nu permit dezvăluirea către terți.

Regula care se ține minte ușor: în chat intră structura, nu identitatea. Rezumatul unui contract se cere fără numele părților, iar un tabel de vânzări se analizează cu coduri.

Cum arată politica internă pe o pagină?

Analiza juridică recomandă o politică documentată. La o firmă cu douăzeci de oameni, ea încape într-o pagină:

1. Instrumentele aprobate, cu planul și contul pe care rulează. Tot ce nu e pe listă nu se folosește pentru munca firmei.
2. Ce nu intră niciodată în chat, lista roșie de mai sus, scrisă în cuvintele departamentului.
3. Cine verifică ce iese, pe fiecare tip de rezultat. Oferta pleacă la client după ce a citit-o omul care semnează. Modelul greșește cu aplomb, iar răspunderea rămâne la firmă.
4. Cine răspunde, cu nume. De obicei omul care ține și partea de GDPR.
5. Ce se face la incident: cine e anunțat, în cât timp, ce se documentează.
6. Evidența instruirii: cine a fost instruit, când, pe ce.

Ultimul punct nu e birocrație inventată de noi. Articolul 4 din AI Act cere, din 2 februarie 2025, un nivel suficient de competență AI în rândul personalului care folosește astfel de sisteme, iar analiza de pe juridice.ro precizează că nu ajunge să circuli un material intern: e nevoie de instruire efectivă, cu evaluare și documentare. Restul calendarului e în articolul despre AI Act pentru firme mici.

Ce sabotează cel mai des o politică bună e ceea ce Decalex numește shadow AI: instrumente folosite pe cont propriu, fără aprobare. Nu le vezi în inventar și nu poți spune ce a ieșit din firmă. Se rezolvă cu conturi plătite de firmă, nu cu interdicții.

Îmi trebuie evaluare de impact?

Nu automat. Articolul 35 GDPR leagă evaluarea de impact de prelucrările susceptibile să genereze un risc ridicat, iar ea se face înainte de a începe prelucrarea. Pentru rezumate și răspunsuri la mailuri, o firmă mică de regulă nu e acolo. Pentru filtrarea CV-urilor, evaluarea angajaților sau volume mari de date sensibile, e. Decalex merge mai departe și recomandă o evaluare de risc pentru fiecare instrument aprobat.

Ce riscă cine nu face nimic?

Mai puțin decât se scrie în titluri și, în același timp, mai mult decât crezi.

Maximele din regulamente circulă des: până la 20 de milioane de euro sau 4% din cifra de afaceri globală sub GDPR, până la 35 de milioane sau 7% sub AI Act, conform aceleiași analize juridice. Nu ele sunt problema unei firme cu douăzeci de oameni. Chiar și dosarul mare a mers altfel decât se povestește: sancțiunea de 15 milioane de euro dată OpenAI de autoritatea italiană a fost atacată în instanță, Tribunalul din Roma a admis contestația în martie 2026, iar decizia a fost retrasă de pe site-ul autorității. Cine îți vinde conformitate cu amenzi mari îți vinde frică.

Regula de fond rămâne în picioare. Comitetul European pentru Protecția Datelor a stabilit în Opinia 28/2024 că datele prelucrate ilegal la construirea unui model pot afecta legalitatea folosirii lui ulterioare.

Riscul tău e mai aproape de birou: o clauză de confidențialitate încălcată la un client mare, un contract pierdut în due diligence, o ofertă cu cifre inventate de model și trimisă fără să o citească nimeni. Iar dacă rezultă un risc pentru persoanele în cauză, autoritatea e ANSPDCP și breșa se notifică prin formularul de pe site-ul ei în cel mult 72 de ore de la identificare.

Întrebări frecvente

Pot pune facturi cu date de clienți în ChatGPT?

Pe un plan de firmă, da, cu regulile scrise în politica internă. Pe Business și pe Enterprise antrenarea e dezactivată implicit și ai acord de prelucrare. Pe Free și pe Plus, nu.

Dacă opresc antrenarea din setări pe contul meu Plus, e suficient?

Ai rezolvat jumătate. Butonul oprește antrenarea, conversațiile mai rămân 30 de zile pentru monitorizarea abuzurilor, dar acordul de prelucrare cerut de articolul 28 GDPR vine cu planurile de firmă și cu API-ul, nu cu un buton.

Angajații mei folosesc conturile lor personale. E o problemă?

E problema pe care o vezi ultima. Instrumentele folosite fără aprobare nu apar în inventar, nu au contract în spate și nu poți spune ce date au ieșit din firmă. Rezolvarea: conturi plătite de firmă și o listă scurtă de instrumente aprobate.

Un angajat a lipit deja o listă de clienți într-un cont personal. Ce fac?

Vezi ce a ieșit și pe ce cont, șterge conversația, oprește antrenarea pe contul acela. Dacă rezultă un risc pentru persoanele în cauză, notifici ANSPDCP în cel mult 72 de ore. Și scrie incidentul undeva, pentru că a doua oară întrebarea e ce ai schimbat după prima dată.

De unde începi dacă vrei să pui asta în ordine?

Alegerea planului și regulile pe date nu sunt un capitol separat. Sunt prima zi de lucru.

• La trainingul AI pe departamente, ziua întâi include exact asta: se configurează abonamentul și accesul la modele pentru fiecare om, se stabilește practica de consum rezonabil, iar fiecare participant își face primul agent, conectat pe telefon până seara. Înainte sunt un telefon de 30 de minute și una sau două zile de documentare a proceselor; după, trei apeluri de câte două ore la 30, 60 și 90 de zile și o comunitate gratuită. De la 8.000 de euro pe departament.
• La automatizări și agenți, agenții rulează pe conturile firmei tale, nu pe conturi personale rătăcite prin echipă.
• Aplicațiile pe procesele firmei au pasul de verificare în flux: cine a aprobat, când, ce a schimbat față de ce propusese modelul. Supraveghere umană scrisă în software, nu în procedură.
• Pe site-urile pe care le construim, informarea că răspunde un asistent AI intră în cod de la început.

Politica internă se scrie ușor după ce ai procesele documentate. Iar dacă vrei să știi ce instrumente AI circulă deja prin firmă și pe ce conturi, primele 30 de minute sunt gratuite: Diagnostic 30 min.

Articolul nu ține loc de consultanță juridică. Planurile, prețurile și setările furnizorilor se schimbă de la o lună la alta, verifică în contul tău înainte să tragi concluzia. Dacă prelucrezi date sensibile sau lucrezi în domenii reglementate, întreabă un avocat.