01
Imię i nazwisko ucznia
Razem z klasą albo szkołą wystarczy, żeby wskazać konkretne dziecko. Samo imię w treści typu „Kuba z 6b nie radzi sobie z…” jest już daną osobową.
Ochrona danych
Czego nie wolno wpisywać do ChatGPT w szkole
Najczęstszy błąd nie polega na tym, że ktoś używa sztucznej inteligencji. Polega na tym, że wkleja do niej dane, których nie wolno wynieść ze szkoły — i nie ma pojęcia, że właśnie to zrobił.
Punkt wyjścia
Publiczny czat to firma zewnętrzna, nie zeszyt
Kiedy wklejasz treść do publicznego narzędzia AI, przekazujesz ją przedsiębiorstwu spoza szkoły. Nie ma znaczenia, że robisz to z dobrą intencją i że nikt tego nie zobaczy. Z punktu widzenia ochrony danych dane właśnie opuściły placówkę.
Administratorem danych osobowych w szkole jest szkoła, reprezentowana przez dyrektora — nie nauczyciel, który akurat kliknął. To przesuwa odpowiedzialność w miejsce, o którym rzadko się mówi na radzie pedagogicznej.
We roku UODO poinformował o wszczęciu postępowania wobec dostawcy ChatGPT w sprawie przetwarzania danych. Stanowisko urzędu jest spokojniejsze, niż sugerują nagłówki: korzystanie z AI nie jest wykluczone, ale narzędzie musi zapewniać odpowiednio wysoki poziom bezpieczeństwa danych. To dobra wiadomość.
Sedno sprawy
Problemem nie jest technologia — problemem jest wklejanie do niej rzeczy, które nie powinny nigdzie wyjeżdżać.
Czerwona lista
Sześć rzeczy, które nie mają prawa trafić do czatu
Kolejność nie jest przypadkowa. Zaczyna się od tych, przy których nikt nie ma wątpliwości, a kończy na tych, przy których wszyscy je mają.
02
Orzeczenia, opinie poradni, dane o zdrowiu
To szczególna kategoria danych — RODO chroni je mocniej niż pozostałe. Diagnoza, orzeczenie o potrzebie kształcenia specjalnego czy informacja o lekach nie mają prawa opuścić szkoły w ten sposób.
03
Sytuacja rodzinna i sprawy socjalne
Wywiady środowiskowe, sprawy opiekuńcze, informacje o rodzicach. Wrażliwe podwójnie: dotyczą dziecka i osób dorosłych, które nigdy nie miały z narzędziem kontaktu.
04
Korespondencja z rodzicami
Prośba „przeredaguj mi tę odpowiedź do mamy Zosi” przenosi do czatu całą treść skargi razem z nazwiskami. Zdarza się to częściej niż wszystko powyższe razem wzięte.
05
Sprawy pracownicze
Oceny pracy, wnioski dyscyplinarne, uzasadnienia decyzji kadrowych. Dane pracowników są chronione tak samo jak dane uczniów, a dyrektorzy pamiętają o tym rzadziej.
06
Dokumenty wewnętrzne z danymi
Protokoły rady pedagogicznej, listy z numerami PESEL, projekty uchwał z nazwiskami. Wklejenie fragmentu „do sprawdzenia stylu” wysyła całość.
Druga strona
Czego wolno używać — czyli prawie wszystkiego
Cała codzienna praca dydaktyczna mieści się poza czerwoną listą. Scenariusze zajęć, karty pracy, zestawy zadań, pomysły na lekcję powtórzeniową, tłumaczenia, przeredagowanie własnego tekstu, podsumowanie publicznego dokumentu, przygotowanie wystąpienia na radę — nic z tego nie wymaga danych osobowych.
Kiedy sprawa naprawdę dotyczy konkretnego dziecka, zacznij od zmiany sposobu opisu. Zamiast „Kuba z 6b, orzeczenie o dysleksji, nie nadąża z czytaniem” napisz „uczeń klasy szóstej z trudnościami w czytaniu”. Odpowiedź będzie równie użyteczna.
Ale nie zatrzymuj się na skreśleniu imienia. Samo usunięcie nazwiska to zwykle pseudonimizacja, a nie anonimizacja — w małej szkole klasa, rzadkie orzeczenie albo opis zdarzenia nadal wskazują konkretne dziecko. Sprawdzianem nie jest to, czy usunąłeś nazwisko, tylko czy po tym opisie ktokolwiek w szkole rozpozna, o kogo chodzi.
Zanim wkleisz
Trzy pytania, które zajmują pięć sekund
Regulamin, którego nikt nie pamięta, nie chroni nikogo. Te trzy pytania pamięta się, bo są krótkie i dotyczą sytuacji, w której właśnie jesteś.
01
Czy po tym tekście da się rozpoznać konkretną osobę?
Nie tylko po nazwisku. Klasa, rzadka choroba, opis sytuacji rodzinnej — w małej szkole każde z osobna wystarczy.
02
Czy podpisałbym się pod tym, gdyby jutro trafiło do internetu?
To nie jest pytanie retoryczne. Traktuj publiczny czat jak rozmowę przy otwartym oknie — bo z punktu widzenia ochrony danych właśnie nią jest.
03
Czy szkoła ma umowę z dostawcą tego narzędzia?
Administratorem danych jest szkoła, nie nauczyciel. Zanim dane uczniów trafią do narzędzia, szkoła musi ustalić rolę dostawcy i podstawę przetwarzania — a gdy dostawca przetwarza dane w jej imieniu, zawrzeć umowę powierzenia. Sama zgoda nauczyciela na regulamin tego nie załatwia.
Stan prawny
Przepis, który zmienił się w
Obowiązek
Dotyczy także szkół
Artykuł 4 unijnego aktu o sztucznej inteligencji wiąże nie tylko dostawców narzędzi, lecz także podmioty, które je stosują — a więc również szkoły i placówki oświatowe. Obowiązuje od roku.
Zmiana
Z rezultatu na staranne działanie
roku rozporządzenie (UE) 2026/1744 zastąpiło artykuł 4 w całości. Zamiast zapewnić odpowiedni poziom kompetencji trzeba teraz podejmować środki wspierające ich rozwój — łagodniej, ale nadal obowiązkowo.
Nadzór
Kto tego pilnuje i czym grozi
roku zaczynają obowiązywać przepisy o nadzorze rynku — same organy państwa wyznaczały wcześniej. Artykuł 99 ust. 4, który wylicza widełki kar pieniężnych, nie wymienia artykułu 4, więc unijnej stawki za brak działań szkoleniowych nie ma. To jednak nie znaczy, że nic nie grozi: ust. 1 nakazuje państwom członkowskim ustanowić kary i inne środki egzekwowania — także ostrzeżenia i środki niepieniężne — za naruszenia rozporządzenia.
Nie ma jednego narzuconego kursu ani obowiązkowego certyfikatu. Liczą się działania dopasowane do rzeczywistego ryzyka i udokumentowane: plan szkoleń, materiały, lista uczestników. Zanim krajowe przepisy o karach zaczną działać w praktyce, największym ryzykiem i tak pozostaje nie kara, tylko wyciek danych.
To nie opinia prawna, tylko praktyczne wskazówki z sal szkoleniowych. W konkretnej sprawie decyduje inspektor ochrony danych placówki — i to jego warto zaprosić do rozmowy, zanim powstanie szkolny regulamin korzystania z AI.
Źródła
Każdą datę i numer z tej sekcji można sprawdzić u źródła: akt o sztucznej inteligencji (otwiera się w nowej karcie), zmiana z (otwiera się w nowej karcie) oraz komunikaty Urzędu Ochrony Danych Osobowych (otwiera się w nowej karcie).
Pytania, które padają najczęściej
Cztery rzeczy, o które pytają na każdym szkoleniu
- Czy mogę wkleić do ChatGPT pracę ucznia, żeby ją ocenić?
- Nie w postaci, w jakiej ją dostałeś. Praca zawiera nazwisko, często też informacje o sytuacji dziecka. Usuń dane identyfikujące i wklej sam tekst — wtedy to zwykły materiał do analizy językowej.
- Czy to samo dotyczy narzędzi wbudowanych w Microsoft 365 albo Google Workspace?
- Nie w takim samym stopniu. Jeśli szkoła ma podpisaną umowę powierzenia przetwarzania z dostawcą i korzysta z wersji dla instytucji edukacyjnych, dane pozostają w ramach tej umowy. Kluczowe jest jednak, czy funkcja AI jest tą umową objęta — to trzeba sprawdzić, a nie założyć.
- Kto odpowiada, jeśli nauczyciel wklei dane ucznia do czatu?
- Administratorem danych jest szkoła, reprezentowana przez dyrektora. To szkoła odpowiada za to, że nie wyznaczyła zasad i nie przeszkoliła zespołu — a nie tylko osoba, która kliknęła.
- Czy da się w ogóle bezpiecznie używać AI w szkole?
- Tak, i to na co dzień. Scenariusze lekcji, materiały ćwiczeniowe, przeredagowanie własnego tekstu, pomysły na zajęcia, tłumaczenia, podsumowania publicznych dokumentów — nic z tego nie wymaga danych osobowych.
Zasady bezpiecznego korzystania z narzędzi to jedna połowa sprawy. Druga to sposób zadawania pytań — opisałem go w metodzie Klucz 4P, a granicę prywatności w samym poleceniu pilnuje piąty punkt listy T.A.R.G.E.T. Pozostałe poradniki są w dziale Wiedza. Odrębna sprawa to moment, w którym o te dokumenty pyta ktoś z zewnątrz: ustawa daje organowi nadzoru pedagogicznego własną podstawę przetwarzania danych pracowników i uczniów, ograniczoną zakresem niezbędnym do nadzoru. Co wolno wtedy wizytatorowi, opisałem w poradniku Kontrola z kuratorium w szkole. Zasada „opisujemy sprawę, nie osobę” jest też wbudowana w narzędzie, które zbudowałem do pracy z dokumentacją szkolną — Asystenta Prawa Oświatowego: sygnalizuje nadmiar danych osobowych w piśmie i podpowiada wersję ograniczoną do niezbędnego zakresu.
Autor: Piotr Kruk — trener AI i cyberbezpieczeństwa dla oświaty i samorządów. Opublikowano , zaktualizowano .
Przeprowadzę tę rozmowę z radą pedagogiczną
Na przykładach z codziennej pracy zespołu, bez straszenia i bez żargonu prawniczego — tak, żeby po szkoleniu zespół wiedział, co wolno, a nie tylko, czego się bać. Program, czas trwania i wielkość grupy opisałem w warsztacie dla rady pedagogicznej.
Zapytanie o szkolenie