To jedno z najczęstszych pytań, jakie dziś zadają lekarze i właściciele placówek: czy mogę używać ChatGPT i czy to w ogóle legalne przy danych pacjentów. Temat jest ważny, bo AI realnie oszczędza czas, ale dane o zdrowiu są chronione surowiej niż zwykłe dane osobowe. Dobra wiadomość jest taka, że da się korzystać z AI rozsądnie i zgodnie z RODO, o ile zna się kilka zasad.
Pytanie o ChatGPT to wycinek większego tematu — całościowy obraz AI w medycynie pokazuje, gdzie jeszcze pojawiają się granice prawne.
Dlaczego piszemy o tym z tej perspektywy
Patrzymy jak wykonawca systemów medycznych (m.in. wdrożenie systemu dla sieci placówek medycznych, ~150 placówek: integracje z P1 i ZUS, bezpieczeństwo, RODO), a nie sprzedawca narzędzi AI. Dlatego piszemy o styku modeli AI z RODO w placówce od strony tego, co realnie decyduje o efekcie i zgodności.
W tym artykule wyjaśniam, co wolno, czego nie, czym różni się darmowy ChatGPT od rozwiązania wdrożonego w placówce i jak korzystać z AI bezpiecznie. To uzupełnienie szerszego tekstu o zastosowaniach AI dla lekarzy i część tematu AI i systemy dla medycyny. To nie jest porada prawna, tylko praktyczne wyjaśnienie zasad.
W projektach, które prowadzimy dla placówek medycznych, prawie nigdy nie zaczynamy od pytania „które narzędzie AI wybrać", tylko od tego, gdzie dziś leżą dane pacjentów i kto ma do nich dostęp. W praktyce najczęstszym ryzykiem nie jest złośliwy wyciek, tylko zwykła wygoda: ktoś wkleja fragment dokumentacji do darmowego czatu, żeby zrobić coś szybciej. Dlatego do tematu podchodzimy compliance-first, a poniżej pokazuję te same kryteria, według których sami oceniamy, czy konkretne narzędzie AI nadaje się do pracy na danych medycznych.
Krótka odpowiedź
Samo narzędzie nie jest ani zgodne, ani niezgodne z RODO. Decyduje to, jak go używasz i w jakim wariancie. Do zadań bez danych pacjenta ChatGPT jest pomocny i bezpieczny. Do pracy na danych identyfikujących pacjenta darmowa wersja się nie nadaje, ale rozwiązanie wdrożone w placówce, z umową powierzenia i kontrolą nad danymi, już tak.
Pytanie nie brzmi „czy ChatGPT jest zgodny z RODO", tylko „do czego i w jakiej wersji go używam". To samo narzędzie bywa w jednym scenariuszu w porządku, a w innym łamie przepisy.
Dlaczego dane medyczne to szczególne ryzyko
Dane o zdrowiu to dane szczególnej kategorii w rozumieniu art. 9 RODO, czyli objęte ostrzejszym reżimem niż zwykłe dane osobowe. Wprowadzając je do publicznego narzędzia, tracisz kontrolę nad tym, gdzie są przetwarzane, czy są wykorzystywane do uczenia modeli i kto ma do nich dostęp. Bez umowy powierzenia przetwarzania nie spełniasz podstawowego wymogu, a odpowiedzialność za naruszenie spoczywa na placówce, nie na dostawcy narzędzia.
Anonimizacja vs pseudonimizacja
To rozróżnienie jest kluczowe, bo decyduje o tym, czy dane nadal podlegają RODO.
- Anonimizacja to nieodwracalne usunięcie danych identyfikujących, tak że nie da się już powiązać informacji z konkretną osobą. Dane w pełni zanonimizowane nie są danymi osobowymi i nie podlegają RODO.
- Pseudonimizacja to zastąpienie danych identyfikujących kodem lub pseudonimem, przy zachowaniu możliwości ponownej identyfikacji za pomocą dodatkowego klucza. Dane spseudonimizowane nadal są danymi osobowymi i podlegają RODO, ale ryzyko jest mniejsze.
W praktyce pełna anonimizacja danych medycznych jest trudna, bo nawet zestaw pozornie niewinnych szczegółów potrafi prowadzić do identyfikacji. Dlatego przy AI najczęściej mówimy o pseudonimizacji i dodatkowych zabezpieczeniach, a nie o założeniu, że dane przestały być chronione.
Kto odpowiada za dane
W RODO placówka jest zwykle administratorem danych pacjentów, a dostawca narzędzia AI, który przetwarza je w jej imieniu, podmiotem przetwarzającym. Aby takie przetwarzanie było legalne, potrzebna jest umowa powierzenia przetwarzania (DPA), która określa zakres, cel i zabezpieczenia. Kluczowa konsekwencja jest taka, że to administrator, czyli placówka, odpowiada wobec pacjenta i regulatora, nawet jeśli do naruszenia doszło po stronie dostawcy. Darmowy ChatGPT używany prywatnie nie daje takiej umowy, więc cały ciężar odpowiedzialności zostaje na placówce.
Ocena ryzyka (DPIA) i AI Act
Przetwarzanie danych szczególnej kategorii na dużą skalę często wymaga oceny skutków dla ochrony danych (DPIA), czyli udokumentowanej analizy ryzyka przed wdrożeniem. Do tego dochodzi AI Act, unijne rozporządzenie o sztucznej inteligencji, które wchodzi etapami i nakłada dodatkowe obowiązki na zastosowania AI w obszarach wrażliwych, w tym w ochronie zdrowia. Nie trzeba być prawnikiem, żeby wyciągnąć wniosek praktyczny: wdrożenie AI w placówce warto z góry udokumentować i oprzeć na rozwiązaniu, które wspiera zgodność, a nie improwizować na publicznym czacie.
Jak sprawdzamy zgodność narzędzia AI z RODO
Zanim dopuścimy jakiekolwiek narzędzie AI do pracy na danych pacjentów, przechodzimy przez stałą listę kryteriów. Nie zastępuje ona oceny inspektora ochrony danych ani prawnika, ale pozwala szybko odrzucić rozwiązania, które z założenia się nie nadają. W praktyce sprawdzamy siedem rzeczy:
- Gdzie hostowane są dane: czy przetwarzanie odbywa się w Polsce lub UE, czy poza obszarem, nad którym nie masz kontroli.
- Umowa powierzenia przetwarzania (DPA): czy dostawca w ogóle ją oferuje i co dokładnie obejmuje.
- Trening na Twoich danych: czy dostawca umownie wyklucza wykorzystanie Twoich danych do uczenia modeli.
- Minimalizacja i pseudonimizacja: czy da się ograniczyć zakres danych do niezbędnego minimum i pracować na danych bez bezpośredniej identyfikacji.
- Kontrola dostępu i audit trail: czy widać, kto, kiedy i do czego miał dostęp.
- Nadzór człowieka: czy wynik AI zawsze zatwierdza człowiek, a narzędzie nie podejmuje decyzji samodzielnie.
- Udokumentowanie wdrożenia: czy proces da się opisać i w razie potrzeby objąć oceną skutków (DPIA).
Najszybszy sposób, żeby zobaczyć, dlaczego to ma znaczenie, to zestawić typowe warianty użycia z poziomem ryzyka. Tabela poniżej jest oczywiście uproszczeniem i ostateczną ocenę zawsze warto potwierdzić z inspektorem ochrony danych, ale dobrze pokazuje kierunek myślenia:
| Wariant użycia | Dane identyfikujące | Poziom ryzyka RODO |
|---|---|---|
| Darmowy ChatGPT, ogólne pytania | brak | niskie |
| Darmowy ChatGPT, fragment dokumentacji | tak | wysokie, niedopuszczalne |
| Wariant biznesowy bez umowy powierzenia | tak | wysokie |
| Dane spseudonimizowane, narzędzie z DPA | pośrednio | ograniczone |
| Rozwiązanie wdrożone, DPA, hosting w UE | tak, z zabezpieczeniami | kontrolowane, dopuszczalne |
Czy darmowy ChatGPT można używać przy pacjencie
Do darmowego, publicznego ChatGPT nie należy wprowadzać danych pozwalających zidentyfikować pacjenta: imienia i nazwiska, PESEL, dokładnych dat i szczegółów, które razem prowadzą do konkretnej osoby. W tej wersji nie masz umowy powierzenia, gwarancji lokalizacji przetwarzania ani pewności, że dane nie posłużą do treningu. To nie znaczy, że darmowy ChatGPT jest bezużyteczny w medycynie, znaczy tylko, że nie jest miejscem na dane pacjentów.
Co wolno, a czego nie
Najprościej rozdzielić to na dwie listy.
Można (bez danych identyfikujących):
- pytania o ogólną wiedzę medyczną i wyjaśnienia pojęć,
- tłumaczenia tekstów i upraszczanie języka,
- szkicowanie pism, procedur, materiałów edukacyjnych,
- porządkowanie własnych notatek pozbawionych danych pacjenta.
Nie należy (w publicznym narzędziu):
- wklejać danych identyfikujących pacjenta,
- wprowadzać fragmentów dokumentacji medycznej z danymi,
- przesyłać wyników badań czy zdjęć z danymi osobowymi,
- opierać decyzji klinicznej wyłącznie na odpowiedzi modelu.
Jak korzystać z AI bezpiecznie
Jeśli chcesz, żeby AI pracowało także na danych pacjentów, potrzebujesz rozwiązania zaprojektowanego compliance-first, a nie darmowego czatu. Zasady są następujące:
- Pseudonimizacja tam, gdzie to możliwe, żeby AI pracowało na danych bez bezpośredniej identyfikacji.
- Umowa powierzenia przetwarzania z dostawcą i hosting w Polsce lub UE.
- Brak treningu na Twoich danych, potwierdzony umownie.
- Kontrola dostępu per rola i audit trail, czyli kto, kiedy i do czego miał dostęp.
- Człowiek zatwierdza każdy wynik przed użyciem, AI nie podejmuje decyzji.
Więcej o tym, jak poukładać dane w placówce, znajdziesz w tekście o danych pacjentów w Excelu a RODO oraz w artykule o AI w dokumentacji medycznej.
Darmowy ChatGPT vs rozwiązanie wdrożone
| Kryterium | Darmowy ChatGPT | Rozwiązanie wdrożone w placówce |
|---|---|---|
| Umowa powierzenia | brak | tak |
| Hosting danych | poza kontrolą | PL lub UE |
| Trening na Twoich danych | możliwy | wykluczony umownie |
| Kontrola dostępu i audit trail | brak | tak |
| Dane pacjentów | niedopuszczalne | dopuszczalne z zabezpieczeniami |
| Zastosowanie | ogólna wiedza, szkice | dokumentacja, procesy placówki |
Przykłady: można i nie można
- Można: lekarz prosi ChatGPT o uproszczenie ulotki dla pacjenta albo o przetłumaczenie zaleceń na inny język, bez danych osobowych.
- Można: przygotowanie szkicu procedury wewnętrznej albo pisma do NFZ na podstawie ogólnych punktów.
- Nie należy: wklejenie do darmowego czatu opisu wizyty z imieniem i PESEL pacjenta, żeby wygenerować wpis.
- Tak należy: ten sam wpis tworzony przez rozwiązanie wdrożone w placówce, z umową powierzenia i kontrolą danych.
W praktyce większość problemów z RODO i AI w medycynie nie wynika ze złej woli, tylko z wygody: ktoś chce zrobić coś szybciej, więc wkleja fragment dokumentacji do darmowego czatu. Dlatego najskuteczniejszym zabezpieczeniem jest prosta, jasna zasada w zespole: dane pacjenta nie trafiają do publicznych narzędzi, a do pracy na danych służy wyznaczone, wdrożone rozwiązanie. Reszta, czyli hosting, umowa powierzenia i kontrola dostępu, to konfiguracja, którą ustawia się raz, a potem po prostu działa w tle.
Checklist zgodności
- ☐ Nie wprowadzam danych identyfikujących pacjenta do publicznych narzędzi.
- ☐ Do pracy na danych używam rozwiązania z umową powierzenia i hostingiem w PL/UE.
- ☐ Mam potwierdzenie, że dane nie służą do treningu modeli dostawcy.
- ☐ Stosuję pseudonimizację tam, gdzie to możliwe.
- ☐ Mam kontrolę dostępu per rola i audit trail.
- ☐ Każdy wynik AI zatwierdza człowiek przed użyciem.
- ☐ Zespół zna te zasady i wie, czego nie wolno wklejać.
RODO to jeden z warunków, które rozkładamy w szerszym przewodniku AI w przychodni medycznej. Jeśli chcesz wdrożyć AI w placówce w sposób zgodny z RODO, pomagamy dobrać rozwiązanie i poukładać proces od strony bezpieczeństwa. Zobacz AI i systemy dla medycyny albo umów konsultację.
FAQ
Czy lekarz może używać ChatGPT?
Tak, do zadań bez danych pacjenta: ogólna wiedza, tłumaczenia, szkicowanie pism, porządkowanie notatek bez danych identyfikujących. Problem zaczyna się, gdy do publicznego narzędzia trafiają dane pozwalające zidentyfikować pacjenta. Wtedy potrzebne jest rozwiązanie z umową powierzenia.
Czy wolno wpisać dane pacjenta do ChatGPT?
Do darmowego, publicznego ChatGPT nie należy wprowadzać danych identyfikujących pacjenta. Dane o zdrowiu to dane szczególnej kategorii (art. 9 RODO), a w darmowej wersji nie masz umowy powierzenia ani kontroli nad przetwarzaniem. Dopuszczalne są dane poddane pseudonimizacji lub rozwiązanie wdrożone z zabezpieczeniami.
Czy ChatGPT jest zgodny z RODO?
Samo narzędzie nie jest ani zgodne, ani niezgodne, decyduje sposób użycia i wariant. Darmowy do danych pacjentów się nie nadaje. Rozwiązania wdrożone z umową powierzenia, hostingiem w UE i brakiem treningu na Twoich danych można skonfigurować zgodnie z RODO.
Jak bezpiecznie używać AI przy danych medycznych?
Nie wklejaj danych identyfikujących do publicznych narzędzi, używaj pseudonimizacji, wybieraj rozwiązania z umową powierzenia i hostingiem w PL lub UE bez treningu na Twoich danych, stosuj kontrolę dostępu i audit trail, a wynik AI zawsze zatwierdzaj jako człowiek.
Czym różni się darmowy ChatGPT od rozwiązania wdrożonego w placówce?
Darmowy to usługa publiczna bez umowy powierzenia i bez kontroli nad lokalizacją oraz wykorzystaniem danych. Rozwiązanie wdrożone działa z gwarancjami umownymi: hosting w UE, brak treningu na Twoich danych, kontrola dostępu, audit trail i integracja z systemami.
Co grozi za naruszenie RODO przy danych medycznych?
Dane o zdrowiu są chronione surowiej, a naruszenia mogą skutkować wysokimi karami finansowymi oraz utratą zaufania pacjentów. Dlatego korzystanie z AI przy danych pacjentów wymaga świadomej decyzji i zabezpieczeń, a nie wklejania danych do pierwszego dostępnego czatu.
Czy mogę używać Gemini, Claude lub innych modeli zamiast ChatGPT?
Zasada jest ta sama niezależnie od dostawcy. W wersji publicznej i darmowej nie wprowadzaj danych identyfikujących pacjenta. Do pracy na danych potrzebujesz wariantu biznesowego lub wdrożonego z umową powierzenia, hostingiem w UE i gwarancją braku treningu na Twoich danych. Liczy się konfiguracja i umowa, a nie nazwa modelu.
Czy potrzebna jest zgoda pacjenta na użycie AI?
To zależy od podstawy prawnej przetwarzania i celu. Samo użycie AI jako narzędzia pomocniczego w ramach prowadzenia dokumentacji nie zawsze wymaga osobnej zgody, ale pacjent powinien być rzetelnie poinformowany o przetwarzaniu danych, a w części przypadków zgoda lub inna przesłanka z art. 9 RODO jest konieczna. Zakres najlepiej ustalić z inspektorem ochrony danych.
Czy anonimizacja danych wystarcza, żeby bezpiecznie używać AI?
Jeśli dane są w pełni i nieodwracalnie zanonimizowane, przestają być danymi osobowymi i RODO ich nie dotyczy. Problem w tym, że pełna anonimizacja danych medycznych jest trudna, bo zestaw szczegółów potrafi prowadzić do identyfikacji. Dlatego w praktyce stosuje się pseudonimizację plus zabezpieczenia, a nie zakłada, że dane są już poza RODO.
Jak sprawdzić, czy narzędzie AI jest zgodne z RODO?
Sprawdź siedem rzeczy: gdzie fizycznie hostowane są dane, czy jest umowa powierzenia przetwarzania, czy dostawca umownie wyklucza trening modeli na Twoich danych, czy narzędzie wspiera pseudonimizację i minimalizację danych, czy ma kontrolę dostępu per rola i audit trail, czy człowiek zatwierdza wynik AI oraz czy wdrożenie jest udokumentowane (w razie potrzeby DPIA). Samo narzędzie nie jest zgodne ani niezgodne, decyduje konfiguracja i umowy, a zakres najlepiej potwierdzić z inspektorem ochrony danych lub prawnikiem.
Źródła
- UODO: Sztuczna inteligencja a ochrona danych osobowych — stanowiska i materiały polskiego organu nadzorczego dotyczące przetwarzania danych osobowych w systemach AI.
- Komisja Europejska: AI w ochronie zdrowia — unijne ramy i wytyczne dotyczące stosowania sztucznej inteligencji w ochronie zdrowia.
