AI
Chatboty AI a dane klientów: lista kontrolna RODO i KVKK dla zespołów obsługujących komunikatory
Agent AI na WhatsApp lub Instagramie przekazuje wiadomości klientów przez kilka firm. Ta lista kontrolna pokazuje, jak zmapować te dane, wybrać dostawców, ustawić retencję i zadbać o zgody zgodnie z RODO i tureckim KVKK.
Zespół MonoChat Zaktualizowano: 8 min czytania
Na tej stronie
Aby chatbot AI był zgodny z RODO i KVKK, zmapuj każdy system, przez który przechodzą wiadomości klientów, miej podstawę prawną i czytelną politykę prywatności, podpisz umowę powierzenia przetwarzania danych z każdym dostawcą, stosuj ważny mechanizm przekazywania danych, gdy opuszczają one UE lub Turcję, w miarę możliwości nie wysyłaj danych osobowych w promptach, ustal okresy retencji i informuj ludzi, że rozmawiają z AI. Zgodność wynika ze sposobu wdrożenia chatbota, a nie z samego chatbota.
Trudność polega na tym, że jedna odpowiedź na WhatsApp może dotyczyć czterech lub pięciu firm: Meta, Twojej platformy komunikacyjnej, dostawcy LLM, bazy wektorowej i systemu CRM, w którym agent wyszukuje informacje. Ta lista kontrolna omawia każdą z nich. To praktyczne wskazówki dla zespołów obsługujących komunikatory, a nie porada prawna, więc szczegóły potwierdź z inspektorem ochrony danych lub doradcą prawnym.
Dokąd trafiają dane klientów, gdy odpowiada agent AI
Zacznij od narysowania drogi pojedynczej wiadomości. Typowy przepływ wygląda tak:
| Krok | System | Przetwarzane dane | Twoje pytanie |
|---|---|---|---|
| 1 | Kanał komunikacji (WhatsApp, Instagram, Messenger) | Numer telefonu lub nazwa użytkownika, treść wiadomości, multimedia | Jakie warunki i zasady przechowywania obowiązują? |
| 2 | Platforma komunikacyjna | Historia rozmowy, profil kontaktu, tagi, notatki | Kto ma dostęp, gdzie dane są przechowywane i jak długo? |
| 3 | Baza wiedzy i baza wektorowa | Twoje treści; dane osobowe tylko wtedy, gdy zostały przesłane | Czy w indeksie znajdują się jakiekolwiek dane osobowe? |
| 4 | Dostawca LLM | Prompt: instrukcje, pobrany tekst, historia, ostatnia wiadomość | Czy dane są przechowywane, używane do trenowania, gdzie są przetwarzane? |
| 5 | Połączone narzędzia (CRM, rezerwacje, sklep) | Dane zamówień, wizyty, dane konta | Co agent może odczytywać i zapisywać? |
| 6 | Konsultanci | Cała rozmowa po przekazaniu | Kto co widzi i czy jest to rejestrowane? |
Każdy wiersz to miejsce, w którym przetwarzane są dane osobowe i w którym potrzebna jest umowa, zasada retencji i kontrola dostępu. Jeśli nie potrafisz uzupełnić któregoś wiersza, to Twoje pierwsze zadanie.
Lista kontrolna prywatności chatbota AI
1. Wybierz podstawę prawną i zapisz ją
Zgodnie z RODO (art. 6) każdy cel przetwarzania wymaga podstawy prawnej. Odpowiedź klientowi, który się z Tobą skontaktował, zwykle opiera się na umowie lub prawnie uzasadnionym interesie. Wiadomości marketingowe zwykle opierają się na zgodzie. Wykorzystanie rozmów do ulepszania agenta to odrębny cel, który należy ocenić osobno, zamiast zakładać, że obejmuje go pierwotna podstawa.
KVKK ma własną listę warunków przetwarzania. Jeśli obsługujesz klientów z UE i z Turcji, udokumentuj podstawę na gruncie każdej z ustaw.
2. Poinformuj ludzi o AI i o ich danych
Polityka prywatności powinna wskazywać, że rozmowy mogą być obsługiwane przez system AI, którzy dostawcy przetwarzają dane, gdzie, jak długo i jak skontaktować się z człowiekiem. Art. 13 i 14 RODO określają, co uwzględnić, a KVKK przewiduje analogiczny obowiązek informacyjny.
W UE obowiązki przejrzystości z AI Act obowiązują od 2 sierpnia 2026 r. Wymagają one informowania osób o kontakcie z systemem AI, chyba że wynika to jasno z kontekstu. Krótka pierwsza wiadomość załatwia zarówno kwestię prawną, jak i oczekiwania klientów:
Dzień dobry, jestem wirtualnym asystentem Northwind Home, czyli AI. Pomogę
w sprawach zamówień, zwrotów i dostawy. Wpisz „konsultant”, aby w każdej
chwili porozmawiać z naszym zespołem.
Polityka prywatności: northwindhome.example/privacy3. Podpisz umowę powierzenia przetwarzania danych z każdym podmiotem przetwarzającym
Twoja platforma komunikacyjna, dostawca LLM, hosting bazy wektorowej i każdy dostawca narzędzi, który przetwarza dane osobowe w Twoim imieniu, jest podmiotem przetwarzającym. Art. 28 RODO wymaga pisemnej umowy, która ogranicza przetwarzanie do Twoich poleceń, wymaga poufności i bezpieczeństwa oraz reguluje podprzetwarzających, usuwanie danych i audyty. Prowadź listę podprzetwarzających i sprawdzaj ją, gdy dostawcy się zmieniają.
4. Sprawdź transfery poza UE lub Turcję
Wielu dostawców LLM przetwarza dane w innych krajach. Zgodnie z rozdziałem V RODO przekazywanie danych poza EOG wymaga decyzji stwierdzającej odpowiedni stopień ochrony lub odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne.
Zasady KVKK dotyczące przekazywania danych za granicę zmieniły się w czerwcu 2024 r. Transfery opierają się obecnie na decyzji o odpowiednim stopniu ochrony, odpowiednich zabezpieczeniach, takich jak standardowe umowy opublikowane przez Radę Ochrony Danych Osobowych, lub na ograniczonych wyjątkach. Standardowe umowy należy zgłosić Urzędowi w ciągu pięciu dni roboczych od podpisania. Sprawdź, gdzie każdy dostawca przetwarza dane, i wybieraj regiony lub dostawców zgodnych z Twoimi obowiązkami.
W WhatsApp Cloud API od Meta oferuje lokalne przechowywanie: możesz wybrać, gdzie dane wiadomości są przechowywane w spoczynku, osobno dla każdego firmowego numeru telefonu. Treść może nadal być przetwarzana w centrach danych Meta na świecie podczas użycia, w Cloud API do 60 minut, zanim zostanie zachowana wyłącznie w wybranym regionie.
5. Wybierz dostawcę LLM świadomie
Dostawca modelu widzi wszystko, co umieścisz w prompcie. Zanim go podłączysz, sprawdź:
- Wykorzystanie do trenowania. Czy dostawca używa danych z API do trenowania modeli i czy można z tego zrezygnować?
- Retencja. Jak długo przechowywane są prompty i odpowiedzi, także na potrzeby monitorowania nadużyć?
- Region. Gdzie dane są przetwarzane i przechowywane i czy można to wybrać?
- Umowa. Czy dla Twojego planu dostępna jest umowa powierzenia przetwarzania danych?
- Własny hosting. Czy model open source na własnych serwerach sprawdzi się w wrażliwych zastosowaniach?
Korzystanie z własnego konta u dostawcy (własny klucz) oznacza, że umowa, ustawienia regionu i opcje retencji są Twoje, a nie odziedziczone z konta dostawcy usługi.
6. Ogranicz to, co trafia do promptów i narzędzi
Minimalizacja danych (art. 5 RODO) to najskuteczniejsza kontrola prywatności w agentach AI.
- Nie przesyłaj do bazy wiedzy rekordów klientów, dokumentów tożsamości ani notatek wewnętrznych.
- Wysyłaj do modelu tylko potrzebną historię, a nie cały profil kontaktu.
- Dawaj narzędziom możliwie najwęższy dostęp: narzędzie statusu zamówienia potrzebuje numeru zamówienia, a nie całej bazy klientów.
- Maskuj lub pomijaj pola takie jak numery dokumentów tożsamości, numery kart i hasła.
- Poleć agentowi, by nigdy nie prosił o dane wrażliwe, których nie potrzebuje.
Zasada agenta: Nigdy nie proś na czacie o numery kart, hasła ani numery
dokumentów tożsamości. Jeśli klient je poda, nie powtarzaj ich i zaproponuj
bezpieczny link do płatności albo rozmowę z naszym zespołem.Jeśli Twój agent łączy się z systemami firmowymi za pomocą protokołów takich jak MCP, ta sama zasada dotyczy każdego połączonego systemu. Zobacz MCP w komunikacji z klientami, aby poznać związane z tym ryzyka.
7. Z danymi o zdrowiu i innymi danymi szczególnymi postępuj ze szczególną ostrożnością
Zdrowie, religia, dane biometryczne i podobne kategorie podlegają dodatkowej ochronie na mocy art. 9 RODO i KVKK. Kliniki, apteki i ubezpieczyciele powinny ograniczyć zakres działań AI, unikać porad medycznych udzielanych przez AI i kierować pytania kliniczne do wykwalifikowanego personelu. Przed uruchomieniem agenta AI, który przetwarza takie dane na dużą skalę, rozważ ocenę skutków dla ochrony danych (art. 35 RODO).
8. Ustal retencję dla każdego magazynu danych
Ograniczenie przechowywania (art. 5 RODO) oznacza, że dane osobowe przechowujesz tylko tak długo, jak to potrzebne. Ustal i udokumentuj okres dla:
- historii rozmów w platformie komunikacyjnej,
- logów u dostawcy LLM,
- wyeksportowanych transkrypcji i analityki,
- wszelkich danych osobowych w bazie wektorowej lub bazie wiedzy.
Następnie upewnij się, że usuwanie rzeczywiście następuje, w miarę możliwości także w kopiach zapasowych.
9. Bądź gotowy na wnioski o dostęp i usunięcie danych
Klienci mogą zapytać, jakie dane o nich posiadasz, i poprosić o ich usunięcie (art. 15 i 17 RODO, z podobnymi prawami w KVKK). Wiedz, jak znaleźć rozmowy danej osoby we wszystkich systemach z Twojej mapy danych i jak usunąć je w każdym z nich.
10. Unikaj decyzji podejmowanych wyłącznie przez AI
Art. 22 RODO ogranicza decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu, które w istotny sposób wpływają na ludzi. Pozwól AI odpowiadać, zbierać informacje i kierować zgłoszenia, a zatwierdzenia, odmowy, decyzje kredytowe i wyjątki zostaw ludziom. Niezawodne przekazanie z AI do człowieka to zarówno element obsługi, jak i zgodności.
11. Zabezpiecz dostęp i prowadź logi
Ogranicz, kto może czytać rozmowy, stosuj dostęp oparty na rolach, wymagaj uwierzytelniania wieloskładnikowego i prowadź logi audytowe tego, kto co zrobił. Art. 32 RODO wymaga zabezpieczeń odpowiednich do ryzyka, a art. 33 wyznacza 72 godziny na zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu, jeśli naruszenie powoduje ryzyko dla osób.
12. Przestrzegaj zasad samego kanału
Polityka WhatsApp Business Messaging firmy Meta ma własne wymagania dotyczące zgody, wykorzystania danych i AI. Nasz przewodnik po polityce WhatsApp dla chatbotów AI na 2026 r. opisuje, na co pozwala Meta, a zgoda opt-in na WhatsApp dotyczy zgody na wiadomości inicjowane przez firmę.
Krótkie zestawienie: RODO i KVKK obok siebie
| Temat | RODO | KVKK (ustawa nr 6698) |
|---|---|---|
| Informowanie użytkowników | Art. 13 i 14 | Obowiązek informacyjny |
| Umowy z podmiotami przetwarzającymi | Art. 28 | Administrator współodpowiada za bezpieczeństwo u podmiotu przetwarzającego (art. 12) |
| Transfery za granicę | Rozdział V: decyzja o odpowiednim stopniu ochrony, standardowe klauzule umowne | Odpowiedni stopień ochrony, standardowe umowy zgłaszane Urzędowi, ograniczone wyjątki |
| Szczególne kategorie danych | Art. 9 | Szczególne kategorie danych osobowych |
| Retencja | Ograniczenie przechowywania, art. 5 | Usunięcie, zniszczenie lub anonimizacja po ustaniu celu |
| Prawa osób, których dane dotyczą | Dostęp, usunięcie i inne | Podobne prawa, w tym dostęp i usunięcie |
Jak MonoChat pomaga zachować kontrolę nad AI i danymi
MonoChat zbudowano tak, aby wrażliwe elementy stosu mogły pozostać pod Twoją kontrolą. Oto, co oferuje produkt, zgodnie z opisem na naszej stronie bezpieczeństwa i zgodności:
- Własne klucze LLM. Dzięki niestandardowym LLM podłączasz własne konto OpenAI, Anthropic, Google, Azure, AWS lub innego dostawcy, więc zachowujesz własne cenniki i umowy dotyczące danych, a Ty decydujesz, który asystent używa którego modelu.
- Modele we własnym hostingu. Możesz podłączyć modele działające na Twoich serwerach przez Ollama lub własne API modelu, gdy prompty mają pozostać w Twojej infrastrukturze.
- Własna baza wektorowa. Integracja z VectorDB przechowuje wektory bazy wiedzy w wybranej przez Ciebie bazie wektorowej, z Twoimi zasadami przechowywania i retencji, w wybranym regionie lub chmurze.
- Zakresy wiedzy. Baza wiedzy AI dzieli treści na zakresy z własną kontrolą dostępu, dzięki czemu każdy agent pobiera tylko to, co powinien.
- Kontrolowane działania AI. Narzędzia funkcji AI działają z walidacją, uprawnieniami, endpointami z listy dozwolonych i logami, więc asystent może zrobić tylko to, na co pozwolisz.
- Kontrola dostępu i logi. Dostęp oparty na rolach, izolacja przestrzeni roboczych, logi audytowe oraz szyfrowane dane uwierzytelniające dostawców przypisane do przestrzeni roboczej.
- Oficjalne API kanałów. WhatsApp łączy się przez oficjalną platformę WhatsApp Business Platform (Cloud API), a MonoChat jest oficjalnym partnerem Meta Business Partner.
- Certyfikaty i polityka. MonoChat posiada certyfikaty ISO 27001 i ISO 9001, a jego polityka prywatności jest przygotowana zgodnie z KVKK (ustawa nr 6698). Wnioski o dostęp do danych osobowych, ich sprostowanie lub usunięcie są rozpatrywane w ciągu 30 dni.
- Opcja on-premise. Plan Enterprise oferuje wdrożenie on-prem dla bardziej rygorystycznych wymagań.
Produkt możesz ocenić w bezpłatnym planie Basic (jeden agent, jeden kanał) pod adresem app.monochat.ai i przed przeglądem przeczytać pełną politykę prywatności.
Źródła
Wdróż to w praktyce z MonoChat