01
Imię i nazwisko ucznia
Razem z klasą albo szkołą wystarczy, żeby wskazać konkretne dziecko. Samo imię w treści typu „Kuba z 6b nie radzi sobie z…” jest już daną osobową.
Ochrona danych
Czego nie wolno wpisywać do ChatGPT w szkole
Najczęstszy błąd nie polega na tym, że ktoś używa sztucznej inteligencji. Polega na tym, że wkleja do niej dane, których nie wolno wynieść ze szkoły — i nie ma pojęcia, że właśnie to zrobił.
Punkt wyjścia
Publiczny czat to firma zewnętrzna, nie zeszyt
Kiedy wklejasz treść do publicznego narzędzia AI, przekazujesz ją przedsiębiorstwu spoza szkoły. Nie ma znaczenia, że robisz to z dobrą intencją i że nikt tego nie zobaczy. Z punktu widzenia ochrony danych dane właśnie opuściły placówkę.
Administratorem danych osobowych w szkole jest szkoła, reprezentowana przez dyrektora — nie nauczyciel, który akurat kliknął. To przesuwa odpowiedzialność w miejsce, o którym rzadko się mówi na radzie pedagogicznej.
We roku UODO poinformował o wszczęciu postępowania wobec dostawcy ChatGPT w sprawie przetwarzania danych. Stanowisko urzędu jest spokojniejsze, niż sugerują nagłówki: korzystanie z AI nie jest wykluczone, ale narzędzie musi zapewniać odpowiednio wysoki poziom bezpieczeństwa danych. To dobra wiadomość.
Sedno sprawy
Problemem nie jest technologia — problemem jest wklejanie do niej rzeczy, które nie powinny nigdzie wyjeżdżać.
Czerwona lista
Sześć rzeczy, które nie mają prawa trafić do czatu
Kolejność nie jest przypadkowa. Zaczyna się od tych, przy których nikt nie ma wątpliwości, a kończy na tych, przy których wszyscy je mają.
02
Orzeczenia, opinie poradni, dane o zdrowiu
To szczególna kategoria danych — RODO chroni je mocniej niż pozostałe. Diagnoza, orzeczenie o potrzebie kształcenia specjalnego czy informacja o lekach nie mają prawa opuścić szkoły w ten sposób.
03
Sytuacja rodzinna i sprawy socjalne
Wywiady środowiskowe, sprawy opiekuńcze, informacje o rodzicach. Wrażliwe podwójnie: dotyczą dziecka i osób dorosłych, które nigdy nie miały z narzędziem kontaktu.
04
Korespondencja z rodzicami
Prośba „przeredaguj mi tę odpowiedź do mamy Zosi” przenosi do czatu całą treść skargi razem z nazwiskami. Zdarza się to częściej niż wszystko powyższe razem wzięte.
05
Sprawy pracownicze
Oceny pracy, wnioski dyscyplinarne, uzasadnienia decyzji kadrowych. Dane pracowników są chronione tak samo jak dane uczniów, a dyrektorzy pamiętają o tym rzadziej.
06
Dokumenty wewnętrzne z danymi
Protokoły rady pedagogicznej, listy z numerami PESEL, projekty uchwał z nazwiskami. Wklejenie fragmentu „do sprawdzenia stylu” wysyła całość.
Druga strona
Czego wolno używać — czyli prawie wszystkiego
Cała codzienna praca dydaktyczna mieści się poza czerwoną listą. Scenariusze zajęć, karty pracy, zestawy zadań, pomysły na lekcję powtórzeniową, tłumaczenia, przeredagowanie własnego tekstu, podsumowanie publicznego dokumentu, przygotowanie wystąpienia na radę — nic z tego nie wymaga danych osobowych.
Kiedy sprawa naprawdę dotyczy konkretnego dziecka, zacznij od zmiany sposobu opisu. Zamiast „Kuba z 6b, orzeczenie o dysleksji, nie nadąża z czytaniem” napisz „uczeń klasy szóstej z trudnościami w czytaniu”. Odpowiedź będzie równie użyteczna.
Ale nie zatrzymuj się na skreśleniu imienia. Samo usunięcie nazwiska to zwykle pseudonimizacja, a nie anonimizacja — w małej szkole klasa, rzadkie orzeczenie albo opis zdarzenia nadal wskazują konkretne dziecko. Sprawdzianem nie jest to, czy usunąłeś nazwisko, tylko czy po tym opisie ktokolwiek w szkole rozpozna, o kogo chodzi.
Zanim wkleisz
Trzy pytania, które zajmują pięć sekund
Regulamin, którego nikt nie pamięta, nie chroni nikogo. Te trzy pytania pamięta się, bo są krótkie i dotyczą sytuacji, w której właśnie jesteś.
01
Czy po tym tekście da się rozpoznać konkretną osobę?
Nie tylko po nazwisku. Klasa, rzadka choroba, opis sytuacji rodzinnej — w małej szkole każde z osobna wystarczy.
02
Czy podpisałbym się pod tym, gdyby jutro trafiło do internetu?
To nie jest pytanie retoryczne. Traktuj publiczny czat jak rozmowę przy otwartym oknie — bo z punktu widzenia ochrony danych właśnie nią jest.
03
Czy szkoła ma umowę z dostawcą tego narzędzia?
Administratorem danych jest szkoła, nie nauczyciel. Zanim dane uczniów trafią do narzędzia, szkoła musi ustalić rolę dostawcy i podstawę przetwarzania — a gdy dostawca przetwarza dane w jej imieniu, zawrzeć umowę powierzenia. Sama zgoda nauczyciela na regulamin tego nie załatwia.
Stan prawny
Przepis, który zmienił się w
Obowiązek
Dotyczy także szkół
Artykuł 4 unijnego aktu o sztucznej inteligencji wiąże nie tylko dostawców narzędzi, lecz także podmioty, które je stosują — a więc również szkoły i placówki oświatowe. Obowiązuje od roku.
Zmiana
Z rezultatu na staranne działanie
roku rozporządzenie (UE) 2026/1744 zastąpiło artykuł 4 w całości. Zamiast zapewnić odpowiedni poziom kompetencji trzeba teraz podejmować środki wspierające ich rozwój — łagodniej, ale nadal obowiązkowo.
Nadzór
Kto tego pilnuje i czym grozi
roku zaczynają obowiązywać przepisy o nadzorze rynku — same organy państwa wyznaczały wcześniej. Artykuł 99 ust. 4, który wylicza widełki kar pieniężnych, nie wymienia artykułu 4, więc unijnej stawki za brak działań szkoleniowych nie ma. To jednak nie znaczy, że nic nie grozi: ust. 1 nakazuje państwom członkowskim ustanowić kary i inne środki egzekwowania — także ostrzeżenia i środki niepieniężne — za naruszenia rozporządzenia. Co od 28 października może robić w Polsce Komisja — jak wyglądają kontrola, skargi i mechanizm kar — opisałem w poradniku o ustawie o systemach AI w szkole.
Nie ma jednego narzuconego kursu ani obowiązkowego certyfikatu. Przepis każe podejmować środki wspierające rozwój kompetencji, dostosowane do wiedzy technicznej i doświadczenia ludzi, do wykształcenia i wyszkolenia, do kontekstu użycia oraz do tego, wobec kogo narzędzie jest stosowane. Dokumentowania artykuł 4 nie nakazuje — plan szkoleń, materiały czy lista uczestników to rozsądna praktyka dowodowa, nie ustawowy warunek zgodności. Zanim krajowe przepisy o karach zaczną działać w praktyce, największym ryzykiem i tak pozostaje nie kara, tylko wyciek danych. Pierwszą godzinę po takim zdarzeniu i trzy odrębne ścieżki zgłoszenia rozpisałem w poradniku o cyberbezpieczeństwie w szkole.
To nie opinia prawna, tylko praktyczne wskazówki z sal szkoleniowych. W konkretnej sprawie decyduje inspektor ochrony danych placówki — i to jego warto zaprosić do rozmowy, zanim powstanie szkolny regulamin korzystania z AI.
Zakaz
Emocji ucznia odczytywać nie wolno
Wnioskowanie o emocjach człowieka z danych biometrycznych jest w placówkach oświatowych zakazane — i to nie w przyszłości, tylko od roku. Wyjątek przepis przewiduje wyłącznie dla celu medycznego i bezpieczeństwa. Nie uchyla go zgoda dyrektora ani rodzica, bo to zakaz, a nie wymóg podstawy przetwarzania.
Nie chodzi o każdą kamerę w szkole. Przepis opisuje system, który z danych biometrycznych wywnioskowuje emocje albo zamiary — samo wykrycie ruchu czy gestu tym nie jest. Ale jeżeli narzędzie obiecuje, że rozpozna nastrój, zaangażowanie albo znudzenie ucznia, to jest dokładnie ten przypadek i żaden regulamin tego nie naprawi.
Reżim przyszły
Cztery zastosowania, przy których zasady się zmienią
Załącznik III do aktu o sztucznej inteligencji wymienia zastosowania w edukacji uznane za potencjalnie wysokiego ryzyka: decydowanie o dostępie albo przyjęciu do szkoły, ocenianie efektów uczenia się, określanie poziomu kształcenia oraz monitorowanie niedozwolonego zachowania podczas testów. To nie znaczy, że każde narzędzie z AI w szkole jest wysokiego ryzyka — decyduje przeznaczenie i funkcja, a nie nazwa produktu ani etykieta dopisana przez producenta.
Obowiązki podmiotu stosującego taki system — nadzór człowieka, informowanie osoby, której dotyczy rozstrzygnięcie, przechowywanie rejestrów zdarzeń — zaczną obowiązywać roku. Termin był wcześniej o szesnaście miesięcy bliższy; przesunęło go rozporządzenie (UE) 2026/1744. Przy narzędziu wdrożonym wcześniej dochodzi przepis przejściowy, który wiąże skutki ze zmianami istotnymi i przewiduje osobną granicę dla systemów przeznaczonych dla organów publicznych. To jest pytanie do dostawcy oprogramowania, nie do dyrektora.
Osobno stoi prawo do wyjaśnienia: akt przyznaje osobie, której dotyczy decyzja oparta na takim systemie, możliwość żądania jasnego wyjaśnienia roli AI. Kiedy dokładnie zaczyna ono działać wobec systemów z załącznika III — nie jest dziś jednoznaczne i nie będę udawał, że jest. Sprawa czeka na rozstrzygnięcie Trybunału Sprawiedliwości.
Co można zrobić już teraz: spisać, które funkcje AI są w szkole faktycznie używane — funkcje, nie nazwy programów — i przy każdej zapytać dostawcę, czy według niego wchodzi w załącznik III. Odpowiedź warto mieć na piśmie, bo to on nią odpowiada, nie szkoła.
art. 6 ust. 2 i załącznik III, art. 26–27, art. 86, art. 111 i art. 113 aktu o sztucznej inteligencji w brzmieniu po rozporządzeniu (UE) 2026/1744
Źródła
Każdą datę i numer z tej sekcji można sprawdzić u źródła: akt o sztucznej inteligencji (otwiera się w nowej karcie), zmiana z (otwiera się w nowej karcie) oraz komunikaty Urzędu Ochrony Danych Osobowych (otwiera się w nowej karcie).
Pytania, które padają najczęściej
Cztery rzeczy, o które pytają na każdym szkoleniu
- Czy mogę wkleić do ChatGPT pracę ucznia, żeby ją ocenić?
- Nie w postaci, w jakiej ją dostałeś. Praca zawiera nazwisko, często też informacje o sytuacji dziecka. Usuń dane identyfikujące i wklej sam tekst — wtedy to zwykły materiał do analizy językowej.
- Czy to samo dotyczy narzędzi wbudowanych w Microsoft 365 albo Google Workspace?
- Nie w takim samym stopniu. Jeśli szkoła ma podpisaną umowę powierzenia przetwarzania z dostawcą i korzysta z wersji dla instytucji edukacyjnych, dane pozostają w ramach tej umowy. Kluczowe jest jednak, czy funkcja AI jest tą umową objęta — to trzeba sprawdzić, a nie założyć.
- Kto odpowiada, jeśli nauczyciel wklei dane ucznia do czatu?
- Administratorem danych jest szkoła, reprezentowana przez dyrektora. To szkoła odpowiada za to, że nie wyznaczyła zasad i nie przeszkoliła zespołu — a nie tylko osoba, która kliknęła.
- Czy da się w ogóle bezpiecznie używać AI w szkole?
- Tak, i to na co dzień. Scenariusze lekcji, materiały ćwiczeniowe, przeredagowanie własnego tekstu, pomysły na zajęcia, tłumaczenia, podsumowania publicznych dokumentów — nic z tego nie wymaga danych osobowych.
Zasady bezpiecznego korzystania z narzędzi to jedna połowa sprawy. Druga to sposób zadawania pytań — opisałem go w metodzie Klucz 4P, a granicę prywatności w samym poleceniu pilnuje piąty punkt listy T.A.R.G.E.T. Pozostałe poradniki są w dziale Wiedza. Odrębna sprawa to moment, w którym o te dokumenty pyta ktoś z zewnątrz: ustawa daje organowi nadzoru pedagogicznego własną podstawę przetwarzania danych pracowników i uczniów, ograniczoną zakresem niezbędnym do nadzoru. Co wolno wtedy wizytatorowi, opisałem w poradniku Kontrola kuratorium w szkole. Zasada „opisujemy sprawę, nie osobę” jest też wbudowana w narzędzie, które zbudowałem do pracy z dokumentacją szkolną — Asystenta Prawa Oświatowego: sygnalizuje nadmiar danych osobowych w piśmie i podpowiada wersję ograniczoną do niezbędnego zakresu.
Autor: Piotr Kruk — trener AI i cyberbezpieczeństwa, twórca Asystenta Prawa Oświatowego. Prowadzi warsztaty z AI dla rad pedagogicznych, poradni i urzędów. Opublikowano , zaktualizowano .
Przeprowadzę tę rozmowę z radą pedagogiczną
Na przykładach z codziennej pracy zespołu, bez straszenia i bez żargonu prawniczego — tak, żeby po szkoleniu zespół wiedział, co wolno, a nie tylko, czego się bać. Program, czas trwania i wielkość grupy opisałem w warsztacie dla rady pedagogicznej.
Zapytanie o szkolenie