Chatbot AI w obsłudze klienta: AI Act i RODO

Chatbot AI w obsłudze klienta może skrócić czas odpowiedzi, odciążyć konsultantów i zwiększyć sprzedaż. Źle wdrożony staje się jednak źródłem ryzyka. Klienci mogą nie wiedzieć, że rozmawiają z systemem AI. Do modelu mogą trafiać dane osobowe, reklamacje, numery zamówień, informacje o zdrowiu albo treści objęte tajemnicą. Rozmowy bywają zapisywane bez terminu usunięcia, a dostawca wykorzystuje je do doskonalenia własnych usług. Od 2 sierpnia 2026 roku obowiązują przepisy AI Act dotyczące przejrzystości systemów prowadzących bezpośrednią interakcję z człowiekiem. Równolegle firma nadal musi spełniać wymagania RODO i Prawa komunikacji elektronicznej. W artykule wyjaśniamy, jak zaplanować wdrożenie, które wspiera sprzedaż i obsługę, ale nie odbiera organizacji kontroli nad danymi.

Najważniejsze informacje

Klient powinien wiedzieć, że rozmawia z systemem AI, chyba że jest to oczywiste dla rozsądnie poinformowanej osoby.
Obowiązek technicznego zaprojektowania przejrzystej interakcji ciąży przede wszystkim na dostawcy systemu, ale firma wdrażająca musi sprawdzić, czy komunikat działa w jej kanale.
Sam zakup gotowego narzędzia nie przenosi odpowiedzialności za dane klientów na dostawcę.
Podstawa prawna zależy od celu rozmowy. Obsługa zamówienia, reklamacja, analityka i marketing nie powinny być objęte jedną ogólną zgodą.
Rozmowy nie mogą być automatycznie używane do trenowania modelu bez analizy celu, podstawy prawnej i obowiązku informacyjnego.
Chatbot nie powinien samodzielnie podejmować istotnych decyzji o kliencie bez analizy art. 22 RODO i klasyfikacji ryzyka według AI Act.
Klient musi mieć prostą możliwość przejścia do człowieka, zwłaszcza przy reklamacji, sporze lub nietypowej sprawie.
Przed uruchomieniem trzeba sprawdzić dostawcę, integracje, transfery danych, retencję, logi i możliwość realizacji praw osób.

BPPZ – Biuro Porad Prawnych Zacharski

Zadzwoń Napisz wiadomość

Dlaczego chatbot wymaga osobnego projektu compliance

Chatbot nie jest tylko nowym oknem na stronie. Zwykle łączy kilka procesów i systemów. Może pobierać dane z CRM, sprawdzać status zamówienia, analizować historię klienta, tworzyć odpowiedzi, przyjmować reklamację i proponować zakup.

Każda z tych funkcji zmienia zakres ryzyka. Prosty bot odpowiadający na pytania z publicznej bazy wiedzy działa inaczej niż asystent, który rozpoznaje klienta i korzysta z jego historii umów.

Przed wdrożeniem warto odpowiedzieć na pytania:

jakie cele ma realizować chatbot;
jakie dane będzie otrzymywał;
z jakimi systemami zostanie połączony;
czy rozmowy będą zapisywane;
czy dane posłużą do doskonalenia modelu;
kto jest dostawcą modelu i aplikacji;
gdzie odbywa się przetwarzanie;
czy bot może wpływać na decyzję o kliencie;
kiedy rozmowę przejmuje człowiek;
jak klient może skorzystać ze swoich praw.

Jeżeli organizacja potrzebuje uporządkować te decyzje przed zakupem narzędzia, BPPZ prowadzi projekty AI Governance dla firm. Wsparcie może objąć inwentaryzację zastosowania, ocenę ryzyka, podział ról i zasady nadzoru nad dostawcą.

Co zmienił AI Act od 2 sierpnia 2026 roku

Artykuł 50 AI Act wprowadza obowiązki dotyczące przejrzystości niektórych systemów AI. Dostawca systemu przeznaczonego do bezpośredniej interakcji z człowiekiem powinien zaprojektować go tak, aby użytkownik został poinformowany, że rozmawia z AI. Wyjątek dotyczy sytuacji, w której jest to oczywiste z punktu widzenia rozsądnie poinformowanej, uważnej i ostrożnej osoby.

W praktyce firma wdrażająca chatbota nie powinna opierać się na domyśle klienta. Krótki komunikat należy wyświetlić przed rozpoczęciem rozmowy albo w pierwszej wiadomości. Powinien być widoczny i napisany prostym językiem.

Przykładowa treść może brzmieć:

Rozmawiasz z asystentem wykorzystującym sztuczną inteligencję. Nie podawaj haseł ani danych, które nie są potrzebne do obsługi sprawy. W każdej chwili możesz poprosić o kontakt z konsultantem. Informacje o przetwarzaniu danych znajdziesz w naszej polityce prywatności.

Komunikat o AI nie zastępuje klauzuli informacyjnej RODO. Pełni inny cel. Pierwszy wyjaśnia charakter interakcji. Drugi informuje między innymi o administratorze, celach, podstawach prawnych, odbiorcach, okresie przechowywania i prawach osoby.

Dostawca i podmiot stosujący system AI

AI Act rozróżnia dostawcę systemu oraz podmiot stosujący, nazywany też wdrażającym lub deployerem. W typowym modelu dostawcą jest firma tworząca narzędzie, a podmiotem stosującym przedsiębiorca korzystający z niego w obsłudze klientów.

Sytuacja	Typowa rola firmy korzystającej z chatbota	Główne zadania
Gotowy chatbot używany bez istotnych zmian	Podmiot stosujący	Weryfikacja dostawcy, konfiguracja, nadzór, zgodność procesu i danych
Chatbot oferowany klientom pod własną marką na warunkach wskazanych w AI Act	Możliwa rola dostawcy	Analiza obowiązków dostawcy, dokumentacji i zgodności systemu
Istotna modyfikacja systemu lub zmiana jego przeznaczenia	Możliwe przejęcie obowiązków dostawcy	Ponowna ocena ryzyka i wymagań produktu
Własny system zbudowany i wdrożony w organizacji	Dostawca i podmiot stosujący	Pełna odpowiedzialność za projekt, dokumentację i użycie

Roli nie należy ustalać wyłącznie na podstawie nazwy w umowie. Znaczenie ma to, kto rozwija system, pod czyją nazwą jest udostępniany oraz kto decyduje o jego przeznaczeniu i istotnych zmianach.

Firma korzystająca z gotowego rozwiązania nadal odpowiada za sposób, w jaki przetwarza dane klientów. Powinna też sprawdzić, czy interfejs zawiera prawidłowy komunikat o AI i czy dostawca umożliwia zgodną konfigurację.

Chatbot AI a RODO i podstawa prawna rozmowy

RODO nie przewiduje jednej podstawy prawnej dla chatbota. Podstawę trzeba przypisać do konkretnego celu. To cel decyduje, czy zastosowanie znajdzie umowa, obowiązek prawny, prawnie uzasadniony interes lub zgoda.

Cel wykorzystania chatbota	Możliwa podstawa	Warunek praktyczny
Odpowiedź na pytanie przed zakupem	Działania przed zawarciem umowy lub uzasadniony interes	Zakres danych ograniczony do zapytania
Sprawdzenie statusu zamówienia	Wykonanie umowy	Bezpieczna identyfikacja klienta
Przyjęcie reklamacji	Umowa, obowiązek prawny lub uzasadniony interes	Przeniesienie sprawy do właściwego systemu
Pomoc techniczna	Umowa lub uzasadniony interes	Dostęp tylko do potrzebnych danych
Analiza jakości rozmów	Uzasadniony interes lub inna właściwa podstawa	Test równowagi, minimalizacja i informacja
Trenowanie lub doskonalenie modelu na rozmowach	Podstawa zależna od modelu procesu	Osobny cel, ocena konieczności i przejrzystość
Przesyłanie ofert	Zgoda wymagana przez PKE oraz właściwa podstawa RODO	Uprzednie zezwolenie na dany kanał
Decyzja istotnie wpływająca na klienta	Podstawa zgodna z art. 22 RODO	Dodatkowe zabezpieczenia i możliwość interwencji człowieka

Nie należy żądać zgody na każdą rozmowę, jeżeli przetwarzanie jest potrzebne do wykonania umowy albo obsługi zapytania. Zgoda użyta bez potrzeby może być wycofana i utrudnić dalszą obsługę procesu.

Z drugiej strony fakt, że klient sam uruchomił czat, nie oznacza zgody na wszystkie dalsze cele. Nie daje automatycznie prawa do trenowania modelu na rozmowie ani wysyłania ofert marketingowych.

Ocena podstaw prawnych, klauzul i retencji może zostać przeprowadzona w ramach audytu RODO, obejmującego cały proces obsługi klienta oraz integracje z CRM i dostawcami AI.

Jakie dane mogą trafiać do chatbota

Zakres danych powinien wynikać z funkcji. Bot odpowiadający na ogólne pytania nie potrzebuje imienia, adresu ani numeru klienta. Dopiero funkcja dotycząca konkretnej umowy może wymagać identyfikacji.

Firma powinna ograniczyć pola wejściowe i przygotować komunikaty, które zniechęcają do podawania zbędnych danych. Sam zapis w regulaminie nie wystarczy, jeśli interfejs zachęca do wklejenia dowolnego dokumentu.

Szczególnej ostrożności wymagają:

numery PESEL i dokumentów tożsamości;
dane płatnicze;
hasła i kody uwierzytelniające;
dokumentacja medyczna;
informacje o niepełnosprawności;
dane dotyczące wynagrodzeń;
informacje objęte tajemnicą zawodową;
dokumenty zawierające dane innych osób;
treść pełnych umów i reklamacji z załącznikami.

Chatbot powinien rozpoznawać sytuacje, w których klient próbuje przesłać dane wysokiego ryzyka. Wtedy powinien przerwać zbieranie informacji, wskazać bezpieczny kanał i umożliwić kontakt z człowiekiem.

Trenowanie modelu na rozmowach z klientami

Jednym z najważniejszych pytań do dostawcy jest to, czy treść rozmów służy do trenowania lub doskonalenia modelu. Odpowiedź powinna wynikać z umowy, dokumentacji produktu i konfiguracji konta.

Firma musi ustalić:

czy dostawca wykorzystuje dane wyłącznie na jej polecenie;
czy używa rozmów do własnych celów;
czy funkcję trenowania można wyłączyć;
czy dane są anonimizowane, a jeśli tak, w jaki sposób;
jak długo przechowywane są logi;
czy rozmowy mogą zostać odtworzone przez personel dostawcy;
czy dane trafiają do podwykonawców;
jak realizowane jest usunięcie danych;
czy dane są przekazywane poza EOG.

Określenie „ulepszanie usługi” jest zbyt ogólne. Trzeba wiedzieć, czy chodzi o usuwanie błędów technicznych, ocenę jakości odpowiedzi, trenowanie wspólnego modelu czy budowę nowych produktów.

Jeżeli dostawca działa jako podmiot przetwarzający, umowa powinna spełniać art. 28 RODO. Gdy sam ustala własne cele wykorzystania rozmów, może występować jako odrębny administrator. Taki model wymaga osobnej oceny podstawy, przejrzystości i wpływu na klientów.

Jak ocenić dostawcę i umowę

Cena i jakość odpowiedzi nie powinny być jedynymi kryteriami wyboru. Chatbot AI w obsłudze klienta może uzyskać dostęp do informacji, które wcześniej były dostępne tylko dla konsultantów.

Przed podpisaniem umowy warto sprawdzić:

opis systemu i jego przeznaczenie;
role stron według RODO i AI Act;
miejsce przechowywania danych;
listę podwykonawców;
transfery poza EOG;
zasady trenowania modelu;
możliwość wyłączenia historii i uczenia;
terminy usuwania danych;
zabezpieczenia i certyfikaty;
procedurę zgłaszania incydentów;
obsługę żądań klientów;
dostęp do logów;
zasady zmian modelu i funkcji;
plan zakończenia współpracy.

W umowie trzeba także ustalić odpowiedzialność za błędne odpowiedzi. Dostawca może zapewnić technologię, ale firma odpowiada przed klientem za proces sprzedaży, reklamację i wykonywanie umowy.

BPPZ zapewnia projektowe doradztwo prawne przy wyborze i wdrożeniu technologii. Zakres może objąć ocenę warunków dostawcy, transferów, odpowiedzialności, podwykonawców i zasad wykorzystania danych do rozwoju modelu.

Marketing i sprzedaż prowadzone przez chatbota

Chatbot może wspierać sprzedaż, ale trzeba rozdzielić odpowiedź na pytanie klienta od aktywnego marketingu. Jeżeli klient pyta o cenę konkretnej usługi, bot może udzielić informacji potrzebnej do podjęcia decyzji. Inaczej wygląda przesyłanie kolejnych ofert, promocji i wiadomości po zakończeniu rozmowy.

Prawo komunikacji elektronicznej wymaga uprzedniej zgody na używanie usług komunikacji interpersonalnej i urządzeń końcowych do przesyłania informacji handlowych, w tym marketingu bezpośredniego. Zgoda powinna wskazywać kanał i umożliwiać łatwe wycofanie.

Ryzykowny jest model, w którym bot:

pyta o zgodę dopiero po rozpoczęciu kampanii;
traktuje samo uruchomienie czatu jako zgodę;
zapisuje numer telefonu do kolejnych kontaktów bez jasnej informacji;
łączy obsługę reklamacji z obowiązkowym marketingiem;
stosuje presję lub ukrywa możliwość odmowy;
utrudnia wycofanie zgody.

System powinien przechowywać dowód zgody i respektować sprzeciw lub jej wycofanie we wszystkich połączonych kanałach.

Kiedy rozmowę powinien przejąć człowiek

Chatbot nie powinien być barierą między klientem a firmą. Im bardziej złożona lub istotna sprawa, tym większe znaczenie ma sprawne przekazanie jej konsultantowi.

Eskalacja jest szczególnie potrzebna, gdy:

klient składa reklamację lub odwołanie;
kwestionuje decyzję systemu;
zgłasza oszustwo albo przejęcie konta;
podaje dane szczególnej kategorii;
sprawa dotyczy wypowiedzenia umowy;
bot kilkukrotnie nie rozumie pytania;
odpowiedź może spowodować szkodę finansową;
klient wprost prosi o rozmowę z człowiekiem.

Konsultant powinien otrzymać kontekst potrzebny do kontynuowania rozmowy. Nie powinien jednak widzieć danych, które nie są potrzebne do obsługi sprawy. Przekazanie rozmowy należy ująć w matrycy uprawnień i zasadach retencji.

Automatyczne decyzje i systemy wysokiego ryzyka

Sam chatbot nie jest automatycznie systemem wysokiego ryzyka. Klasyfikacja zależy od przeznaczenia i wpływu na osobę. Ryzyko rośnie, gdy narzędzie ocenia zdolność kredytową, dostęp do ubezpieczenia, uprawnienie do usługi podstawowej, kandydata do pracy albo inną istotną sytuację.

Jeżeli system sam podejmuje decyzję wywołującą skutki prawne lub w podobny sposób istotnie wpływającą na klienta, zastosowanie może znaleźć art. 22 RODO. Firma musi wtedy sprawdzić dopuszczalność automatycznej decyzji, przekazać wymagane informacje i zapewnić odpowiednie zabezpieczenia.

Kontrola człowieka musi być rzeczywista. Konsultant powinien mieć możliwość sprawdzenia danych, zrozumienia przesłanek i zmiany wyniku. Samo kliknięcie „zatwierdź” nie wystarcza.

Wdrożenie funkcji decyzyjnych może wymagać oceny skutków dla ochrony danych. Trzeba także ponownie sklasyfikować system na gruncie AI Act. Nie należy rozszerzać funkcji działającego chatbota bez takiej analizy.

Jak długo przechowywać historię rozmów

RODO nie wskazuje jednego terminu dla wszystkich chatbotów. Okres zależy od celu i rodzaju sprawy.

Rozmowa pomocnicza dotycząca godzin otwarcia nie wymaga takiej samej retencji jak reklamacja albo ustalenia dotyczące umowy. Organizacja powinna rozdzielić kategorie rozmów i przypisać im konkretne okresy.

Bezpieczny model zakłada, że:

istotne ustalenia trafiają do CRM lub systemu reklamacyjnego;
historia w narzędziu AI jest usuwana po krótszym okresie;
dane treningowe mają osobną podstawę i retencję;
załączniki nie pozostają w wielu kopiach;
usunięcie konta klienta uruchamia właściwy proces;
kopie zapasowe są objęte kontrolowanym cyklem;
żądanie dostępu obejmuje także logi i historię chatbota.

Firma powinna testować możliwość wyszukania i usunięcia rozmowy konkretnej osoby. Zapewnienie dostawcy, że „dane są bezpieczne”, nie odpowiada na pytanie, czy prawa klienta da się wykonać w praktyce.

Checklista przed uruchomieniem chatbota

Cel i zakres

Opisz funkcje chatbota i wyłącz zbędne możliwości.
Ustal, które dane są potrzebne do każdej funkcji.
Zabroń podawania haseł i danych wysokiego ryzyka.
Określ sytuacje wymagające przejęcia przez człowieka.

AI Act

Ustal rolę firmy i dostawcy.
Sprawdź, czy użytkownik otrzymuje komunikat o AI.
Oceń, czy system może stać się systemem wysokiego ryzyka.
Przygotuj nadzór człowieka i rejestr zmian funkcji.
Przeszkol osoby obsługujące i nadzorujące narzędzie.

RODO

Przypisz celom właściwe podstawy prawne.
Zaktualizuj klauzulę informacyjną i rejestr czynności.
Oceń potrzebę DPIA i testu uzasadnionego interesu.
Ustal retencję rozmów, logów i załączników.
Sprawdź realizację praw osób.
Zweryfikuj transfery poza EOG.

Dostawca i bezpieczeństwo

Ustal, czy rozmowy służą do trenowania modelu.
Sprawdź umowę powierzenia i listę podwykonawców.
Ogranicz dostęp i włącz silne uwierzytelnianie.
Zdefiniuj procedurę incydentową.
Przetestuj błędne odpowiedzi, prompt injection i wyciek danych.
Zaplanuj zakończenie umowy i usunięcie danych.

Sprzedaż i obsługa

Rozdziel obsługę zapytania od marketingu.
Rejestruj zgody na właściwy kanał.
Zapewnij widoczny kontakt z konsultantem.
Ustal odpowiedzialność za reklamacje.
Mierz jakość odpowiedzi, liczbę eskalacji i skutki błędów.

Jak BPPZ wspiera wdrożenie chatbota AI

Wdrożenie chatbota powinno rozpocząć się przed podpisaniem umowy z dostawcą. Wtedy można jeszcze zmienić zakres funkcji, model danych i warunki kontraktowe bez kosztownej przebudowy.

BPPZ może wesprzeć organizację w zakresie:

kwalifikacji systemu i ról według AI Act;
mapowania danych i celów przetwarzania;
oceny dostawcy oraz podwykonawców;
weryfikacji umowy i transferów danych;
przygotowania klauzul informacyjnych;
testu uzasadnionego interesu;
oceny skutków DPIA;
polityki AI i zasad nadzoru człowieka;
retencji rozmów i realizacji praw klientów;
procedury incydentowej;
szkoleń dla obsługi klienta, IT i compliance.

Pełny projekt może zostać przeprowadzony jako wdrożenie AI Governance albo połączony z wdrożeniem RODO dla całego procesu obsługi klienta. Efektem powinien być system, który wspiera sprzedaż, a jednocześnie daje firmie kontrolę nad danymi, dostawcą i ryzykiem.

Podsumowanie

Chatbot AI w obsłudze klienta może zwiększyć dostępność firmy i przyspieszyć sprzedaż. Korzyści pojawiają się jednak dopiero wtedy, gdy narzędzie działa w jasno określonym zakresie i ma sprawną ścieżkę przekazania sprawy człowiekowi.

Od 2 sierpnia 2026 roku znaczenie ma także obowiązek przejrzystości wynikający z AI Act. Użytkownik powinien wiedzieć, że rozmawia z AI. Firma musi równolegle ustalić podstawy prawne, zakres danych, retencję, rolę dostawcy i zasady trenowania modelu.

Największe ryzyko powstaje wtedy, gdy chatbot zostaje podłączony do CRM i uruchomiony bez analizy procesu. Wtedy firma może nie wiedzieć, gdzie trafiają rozmowy, kto ma do nich dostęp i czy system wpływa na decyzje dotyczące klientów. Dobrze zaplanowane wdrożenie usuwa te niejasności przed startem i ułatwia dalszy rozwój narzędzia.

FAQ

Czy chatbot musi informować użytkownika, że jest systemem AI

Co do zasady tak. Dostawca systemu prowadzącego bezpośrednią interakcję z człowiekiem powinien zaprojektować go tak, aby użytkownik został poinformowany o rozmowie z AI, chyba że jest to oczywiste. Firma wdrażająca narzędzie powinna sprawdzić, czy komunikat jest widoczny w jej kanale i pojawia się we właściwym momencie.

Czy firma potrzebuje zgody klienta na korzystanie z chatbota

Nie zawsze. Podstawa zależy od celu rozmowy. Obsługa zapytania, zamówienia lub reklamacji może opierać się na umowie, działaniach przed jej zawarciem, obowiązku prawnym albo uzasadnionym interesie. Zgoda może być potrzebna w innych celach, zwłaszcza przy marketingu lub dodatkowym wykorzystaniu danych.

Czy dostawca może trenować model na rozmowach klientów

Nie powinno to następować automatycznie i bez przejrzystych zasad. Firma musi ustalić cel, rolę dostawcy, podstawę prawną, zakres danych i okres przechowywania. Klient powinien otrzymać odpowiednią informację. W wielu wdrożeniach bezpieczniejszym rozwiązaniem jest wyłączenie trenowania na treści rozmów.

Czy chatbot może sam odrzucić reklamację lub wniosek klienta

Taki model wymaga szczególnej ostrożności. Jeżeli decyzja jest podejmowana wyłącznie automatycznie i istotnie wpływa na klienta, zastosowanie może znaleźć art. 22 RODO. Potrzebna jest analiza dopuszczalności, przejrzystość, odpowiednie zabezpieczenia i rzeczywista możliwość interwencji człowieka.

Czy przed wdrożeniem chatbota trzeba wykonać DPIA

Nie w każdym przypadku, ale należy przeprowadzić ocenę wstępną. DPIA może być potrzebna, gdy proces wiąże się z wysokim ryzykiem, szerokim profilowaniem, danymi szczególnej kategorii, systematycznym monitorowaniem lub automatycznymi decyzjami. Decyzję i jej uzasadnienie warto udokumentować.