Notatnik AI na spotkaniu: kiedy wolno, a kiedy to problem dla organizacji?

Notatnik AI na spotkaniu: kiedy wolno, a kiedy to problem dla organizacji?

Notatnik AI, który słucha spotkania, tworzy transkrypcję i po kilku minutach podsyła gotowe podsumowanie z listą zadań, trafił do firm i instytucji szybciej, niż ktokolwiek zdążył opisać go w procedurach. Handlowiec instaluje aplikację na prywatnym laptopie, menedżer korzysta z niej podczas rozmowy z klientem, dział HR testuje ją przy rozmowie rekrutacyjnej. Wygodne, oszczędza czas i zwykle nikt nie pyta, gdzie trafia nagranie.

Pierwszy pozew dotyczący takiego narzędzia, wniesiony w Stanach Zjednoczonych, dobrze pokazuje, czym kończy się korzystanie z notatnika AI bez wiedzy pracodawcy. Na gruncie polskiego prawa ta sama historia byłaby nie tylko sporem o tajemnicę przedsiębiorstwa, ale również sprawą o ochronę danych osobowych.

1. Sequoia przeciwko byłej menedżerce: pierwszy pozew o „ciche” notatki AI

1 października 2026 r. do sądu federalnego w Kolorado wpłynął pozew w sprawie Sequoia Benefits and Insurance Services, LLC v. Butkus Prouty (sygn. 1:2026cv04903). Według relacji Law360 i Insurance Business firma doradcza zarzuca byłej menedżerce, że od kwietnia 2026 r. sporządzała notatki ze spotkań z klientami w aplikacji Granola AI, połączonej z jej prywatnym kontem Gmail. Narzędzie nie było zatwierdzone na podstawie firmowej polityki AI, a spółka miała własne, zatwierdzone narzędzie do notatek, które utrzymywało dane w jej środowisku. Notatnik AI wygenerował w prywatnym koncie 18 zestawów notatek zawierających m.in. analizy kosztów świadczeń, prognozy wydatków zdrowotnych, dane o liczbie pracowników klientów i plany ich rozwoju.

W lipcu pracownica złożyła wypowiedzenie i przeszła do konkurenta. Spółka twierdzi, że mimo podpisania listy kontrolnej przy odejściu zatrzymała ona również korespondencję i pliki w prywatnej chmurze. Pozew obejmuje naruszenie obowiązku poufności, zakazu nakłaniania pracowników do odejścia, obowiązku lojalności oraz tajemnicy przedsiębiorstwa. Zastrzeżenie: to twierdzenia strony powodowej, sąd nie rozstrzygnął jeszcze sprawy.

2. Notatka ze spotkania to dane osobowe

Notatnik AI rejestruje głos uczestników, przypisuje wypowiedzi konkretnym osobom, utrwala ich imiona, stanowiska i adresy e-mail z zaproszenia, a w podsumowaniu zapisuje informacje o osobach, których na spotkaniu w ogóle nie było: pracownikach klienta, kandydatach do pracy, kontrahentach. Każda z tych czynności jest przetwarzaniem danych osobowych (art. 4 pkt 2 RODO).

Notatnik AI może więc przetwarzać nie tylko dane zwykłe, ale i szczególnie chronione. W sprawie Sequoia notatki dotyczyły m.in. wydatków na opiekę zdrowotną. Jeżeli takie informacje pozwalają zidentyfikować konkretne osoby, są to dane dotyczące zdrowia, a więc szczególna kategoria danych (art. 9 ust. 1 RODO). Osobnej uwagi wymaga funkcja automatycznego rozpoznawania mówców: jeżeli narzędzie tworzy „odcisk głosu” pozwalający jednoznacznie zidentyfikować osobę, przetwarza dane biometryczne (art. 4 pkt 14 RODO), również należące do szczególnej kategorii.

3. Prywatne konto pracownika to nie narzędzie organizacji

Pracownik przetwarza dane wyłącznie na polecenie administratora (art. 29 i art. 32 ust. 4 RODO). Gdy sam podłącza do spotkania notatnik AI założony na prywatne konto, dane trafiają do dostawcy, z którym pracodawca nie zawarł umowy powierzenia (art. 28 RODO), często na serwery poza Europejskim Obszarem Gospodarczym (art. 44 RODO). Jeżeli dostawca, przez którego działa notatnik AI, wykorzystuje treść rozmów do trenowania modeli, dane są przetwarzane w kolejnym celu, na który nikt się nie zgodził. To nie teoria: Granola jest od lipca 2026 r. stroną odrębnego pozwu zbiorowego w Kalifornii, w którym zarzuca się jej m.in. domyślne wykorzystywanie transkrypcji do trenowania modeli.

Taka sytuacja to co do zasady naruszenie ochrony danych osobowych (art. 4 pkt 12 RODO). Administrator powinien je udokumentować, ocenić ryzyko i, jeżeli nie jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych, zgłosić je Prezesowi UODO w ciągu 72 godzin (art. 33 RODO). „Samowola” pracownika nie zwalnia administratora z odpowiedzialności: to pracodawca musi wykazać, że wdrożył odpowiednie środki organizacyjne i techniczne (art. 5 ust. 2, art. 24 i art. 32 RODO).

4. Spotkania, na których notatnik AI nie powinien się pojawić

Notatnik AI nie nadaje się do każdej rozmowy. Bez przeprowadzonej oceny skutków i zatwierdzonego narzędzia notatnik AI nie powinien być używany w szczególności podczas:

• rozmów kadrowych: rekrutacyjnych, oceniających, dyscyplinarnych i dotyczących rozwiązania umowy;
• spotkań, na których omawia się zdrowie pracowników, klientów lub pacjentów;
• rozmów objętych tajemnicą zawodową lub przedsiębiorstwa: z prawnikiem, przy transakcjach, negocjacjach i planach strategicznych;
• postępowań wyjaśniających, w tym dotyczących zgłoszeń sygnalistów i skarg na mobbing.

5. Warunki legalnego korzystania z notatnika AI

Notatnik AI nie jest zakazany. Organizacja, która chce z niego korzystać, powinna jednak spełnić te same wymogi, co przy każdym innym narzędziu przetwarzającym dane osobowe:

• decyzja administratora, nie pracownika: narzędzie na koncie służbowym, z domyślnie wyłączonym nagrywaniem audio i trenowaniem modeli na danych (art. 25 RODO);
• podstawa prawna: najczęściej prawnie uzasadniony interes administratora, z udokumentowanym testem równowagi (art. 6 ust. 1 lit. f RODO); zgoda pracowników rzadko jest dobrowolna i nie powinna być jedyną podstawą;
• umowa powierzenia z dostawcą: z listą dalszych podmiotów przetwarzających, okresem przechowywania i zakazem wykorzystywania danych do trenowania modeli (art. 28 ust. 3 RODO);
• zgodny z prawem transfer: przy dostawcach z USA weryfikacja certyfikacji w ramach Data Privacy Framework albo standardowe klauzule umowne (art. 45 i art. 46 RODO);
• informacja dla uczestników: w zaproszeniu i na początku spotkania, wraz z możliwością sprzeciwu i sporządzenia notatki tradycyjnie (art. 13 i art. 21 RODO);
• minimalizacja i retencja: usuwanie nagrań po transkrypcji, określone okresy przechowywania notatek (art. 5 ust. 1 lit. c i e RODO);
• rejestr i szkolenie: wpis do rejestru czynności przetwarzania (art. 30 RODO) oraz przeszkolenie personelu, do którego od 2 lutego 2025 r. zobowiązuje również art. 4 rozporządzenia (UE) 2024/1689 (AI Act).

Uwaga na granicę z monitoringiem: jeżeli pracodawca zaczyna wykorzystywać transkrypcje do kontroli lub oceny pracowników, wchodzi w obszar innych form monitorowania (art. 22³ § 4 Kodeksu pracy) i musi spełnić warunki przewidziane dla monitoringu, w tym uregulować go w regulaminie pracy i uprzedzić pracowników.

6. DPIA: przed wdrożeniem, nie po fakcie

Notatnik AI to nowa technologia, przetwarzająca w sposób systematyczny dane pracowników i kontrahentów, często z udziałem dostawców spoza EOG. W wielu przypadkach oznacza to obowiązek przeprowadzenia oceny skutków dla ochrony danych (art. 35 RODO). Wykaz rodzajów operacji wymagających takiej oceny, ogłoszony przez Prezesa UODO, opiera się na kryteriach z wytycznych Grupy Roboczej Art. 29 (WP 248), wśród których są m.in. innowacyjne wykorzystanie rozwiązań technologicznych oraz przetwarzanie danych pracowników.

Ocenę trzeba przeprowadzić, zanim notatnik AI zostanie uruchomiony. Wdrożenie notatnika AI w całej organizacji bez takiej analizy to ryzyko, które w razie kontroli UODO trudno będzie wytłumaczyć.

7. Konsekwencje dla pracownika

Pracownik ma obowiązek dbać o dobro zakładu pracy i zachować w tajemnicy informacje, których ujawnienie mogłoby narazić pracodawcę na szkodę (art. 100 § 2 pkt 4 Kodeksu pracy). Świadome przenoszenie danych klientów do prywatnej usługi wbrew obowiązującej polityce może zostać ocenione jako ciężkie naruszenie podstawowych obowiązków pracowniczych (art. 52 § 1 pkt 1 Kodeksu pracy). Przetwarzanie danych bez uprawnienia jest ponadto przestępstwem z art. 107 ustawy o ochronie danych osobowych.

Odpowiedzialność odszkodowawcza pracownika zależy od winy. Przy szkodzie wyrządzonej nieumyślnie odszkodowanie nie może przekroczyć trzymiesięcznego wynagrodzenia (art. 119 Kodeksu pracy), pełną wysokość szkody pracownik pokrywa tylko przy winie umyślnej (art. 122 Kodeksu pracy). Pracownik, który nie znał zasad, będzie się bronił brakiem świadomości. Dlatego polityka musi być nie tylko spisana, ale i przeszkolona, a zapoznanie się z nią potwierdzone.

Jeżeli notatki zawierają informacje o wartości gospodarczej, w grę wchodzi także naruszenie tajemnicy przedsiębiorstwa (art. 11 ustawy o zwalczaniu nieuczciwej konkurencji). Informacja jest jednak chroniona tylko wtedy, gdy przedsiębiorca podjął, przy zachowaniu należytej staranności, działania w celu utrzymania jej w poufności (art. 11 ust. 2). Organizacja, która toleruje dowolne narzędzia AI, sama osłabia swoją ochronę prawną.

8. Najczęstsze błędy organizacji

W praktyce problemy wynikają zwykle nie ze złej woli, lecz z braku zasad. Najczęściej spotykamy:

• brak jakiejkolwiek polityki korzystania z narzędzi AI;
• tolerowanie sytuacji, w której notatnik AI działa na prywatnym koncie lub urządzeniu pracownika;
• korzystanie z bezpłatnych wersji narzędzi, których regulamin pozwala na trenowanie modeli na danych użytkownika;
• brak informacji dla uczestników spotkania, że rozmowa jest transkrybowana;
• pominięcie kont i aplikacji AI przy odejściu pracownika, gdy notatki ze spotkań zostają w jego prywatnym koncie.

Klucz to polityka AI i dobre umowy powierzenia

Sprawa Sequoia pokazuje, że nawet organizacja, która ma politykę AI i zatwierdzone narzędzie, może stracić kontrolę nad danymi, jeżeli pracownik działa na własną rękę. Organizacja, która takich zasad nie ma, jest w znacznie gorszej sytuacji: nie wie, gdzie trafiają dane, i nie jest w stanie wykazać, że zrobiła cokolwiek, by temu zapobiec.

Dlatego warto już teraz:

• przyjąć politykę korzystania z narzędzi AI, wskazującą, jaki notatnik AI jest zatwierdzony i na jakich spotkaniach jego użycie jest zakazane;
• zawrzeć umowy powierzenia z dostawcami narzędzi AI i sprawdzić, gdzie przechowują dane;
• ocenić, czy wymagana jest DPIA, i przeprowadzić ją przed wdrożeniem;
• uzupełnić procedurę odejścia pracownika o konta i aplikacje AI oraz oświadczenie o usunięciu danych służbowych.

A co ze szkołami i przedszkolami?

Wszystko, co powyżej, dotyczy również placówek oświatowych, a ryzyko jest tam jeszcze większe. Podczas zebrań i spotkań omawia się sytuację zdrowotną i rodzinną dzieci, opinie i orzeczenia poradni psychologiczno-pedagogicznych oraz sprawy wychowawcze, a dane dzieci podlegają szczególnej ochronie (motyw 38 RODO). Dodatkowo osoby biorące udział w zebraniu rady pedagogicznej są obowiązane do nieujawniania spraw na nim poruszanych, które mogą naruszać dobra osobiste uczniów lub ich rodziców, a także nauczycieli i innych pracowników szkoły (art. 73 ust. 3 ustawy Prawo oświatowe).

Dlatego bez DPIA i zatwierdzonego narzędzia notatnik AI nie powinien pojawiać się na zebraniach rady pedagogicznej, spotkaniach zespołów ds. pomocy psychologiczno-pedagogicznej ani podczas rozmów z rodzicami o sytuacji dziecka. Wobec nauczycieli, którzy korzystają z takich narzędzi na własną rękę, w grę wchodzi również odpowiedzialność dyscyplinarna na gruncie Karty Nauczyciela.

Gotowa dokumentacja, DPIA i wsparcie kancelarii

Nie wiedzą Państwo, czy wdrożenie notatnika AI lub innego narzędzia opartego na sztucznej inteligencji wymaga oceny skutków dla ochrony danych? Pomożemy przygotować politykę AI, zweryfikować umowy z dostawcami i uporządkować procedury. Placówkom oświatowym oferujemy również gotowy, edytowalny pakiet dokumentacji RODO.

Zamów pakiet dokumentacji RODO: https://sklep.kpgio.pl/sklep/

Skontaktuj się z Kancelarią

Podstawa prawna:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), Dz.Urz. UE L 119 z 4.05.2016, s. 1, ze zm.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. (akt w sprawie sztucznej inteligencji), Dz.Urz. UE L, 2024/1689, 12.7.2024.

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, t.j. Dz.U. z 2019 r. poz. 1781.

Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy, t.j. Dz.U. z 2026 r. poz. 1245.

Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji, t.j. Dz.U. z 2026 r. poz. 85.

Ustawa z dnia 14 grudnia 2016 r. Prawo oświatowe, t.j. Dz.U. z 2026 r. poz. 820.

Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony (M.P. z 2019 r. poz. 666).