Czy wolno wpisać dane ucznia do ChatGPT? Co mówi RODO

Krótka odpowiedź: opis konkretnego ucznia nie powinien trafiać do darmowego, publicznego ChatGPT, dopóki szkoła nie jest w stanie wykazać zgodności takiego przetwarzania. Nie chodzi o to, że sztuczna inteligencja jest zła albo że narzędzie jest nielegalne. Dane z orzeczenia to szczególna kategoria danych osobowych, a obowiązek wykazania zgodności leży po stronie administratora, czyli szkoły.

To kwestia RODO, a nie nowego AI Act. Warto te dwa akty rozdzielić, bo w rozmowach o sztucznej inteligencji w szkole ciągle się je myli.

Poniżej wyjaśniam, dlaczego tak jest, co realnie wolno, ile realnie grozi szkole i jak korzystać ze sztucznej inteligencji przy dokumentacji, nie narażając placówki.

Ten tekst nie jest opinią prawną, więc w konkretnej sytuacji warto skonsultować się z inspektorem ochrony danych. Wszystkie przepisy, na które się powołuję, sprawdziłem w tekstach źródłowych: RODO i AI Act w EUR-Lex, a ustawę o ochronie danych osobowych w Dzienniku Ustaw.

Dane ucznia a ChatGPT: dlaczego orzeczenie zmienia zasady

Informacje z orzeczenia, czyli diagnoza, stan zdrowia i niepełnosprawność, to dane dotyczące zdrowia. RODO definiuje je jako „dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej (…) ujawniające informacje o stanie jej zdrowia” (art. 4 pkt 15).

Takie dane należą do szczególnych kategorii danych osobowych, a art. 9 ust. 1 RODO zaczyna się od słów „Zabrania się przetwarzania”. Nie jest to zakaz bezwzględny, bo ust. 2 wymienia wyjątki i szkoła ma podstawy, żeby prowadzić WOPFU oraz IPET. Co dokładnie muszą zawierać te dokumenty, opisałem w artykule o strukturze WOPFU i IPET zgodnej z §6 rozporządzenia.

Rzecz w tym, że te podstawy dotyczą szkoły, a nie dowolnego narzędzia, do którego ktoś wkleja opis dziecka. Podstawa prawna nie przenosi się automatycznie na zewnętrznego dostawcę.

Warto też wiedzieć, kto za to odpowiada. Administratorem danych jest szkoła jako podmiot, który „ustala cele i sposoby przetwarzania danych osobowych” (art. 4 pkt 7 RODO), a obowiązki administratora wykonuje dyrektor szkoły. To administrator odpowiada za zgodność przetwarzania danych z RODO, w tym za wybór narzędzi i organizację procesu przetwarzania. Nauczyciele odpowiadają natomiast za stosowanie zasad przyjętych w szkole.

Czy ChatGPT jest zgodny z RODO? Trzy rzeczy, które musi wykazać szkoła

Pytanie postawione w ten sposób nie ma dobrej odpowiedzi, bo zgodność nie jest cechą narzędzia. Liczy się to, co szkoła potrafi wykazać, a przy darmowym koncie są z tym trzy trudności. Każda osobno wystarczy, żeby uznać wpisywanie opisu konkretnego ucznia za ryzykowne.

1. Brak indywidualnej umowy powierzenia (art. 28 ust. 3 RODO). Jeżeli zewnętrzny podmiot ma przetwarzać dane w imieniu szkoły, przetwarzanie „odbywa się na podstawie umowy lub innego instrumentu prawnego”. Przy darmowym koncie szkoła nie zawiera indywidualnej umowy powierzenia ani nie negocjuje jej warunków. Korzysta z warunków świadczenia usług przygotowanych jednostronnie przez dostawcę. Zwykle nie ma też po swojej stronie środków organizacyjnych, które pozwoliłyby spełnić wymagania stawiane administratorowi danych.

2. Przekazanie danych poza Europejski Obszar Gospodarczy (art. 44-49 RODO). Sam transfer nie jest zakazany, ale jest dopuszczalny tylko na jednej z podstaw wskazanych w rozporządzeniu, na przykład na podstawie decyzji o adekwatności albo standardowych klauzul umownych. Szkoła powinna być w stanie wykazać podstawę transferu i ocenić warunki oferowane przez dostawcę (art. 5 ust. 2, zasada rozliczalności).

3. Minimalizacja i poufność (art. 5 ust. 1 lit. c i f RODO). Dane mają być „ograniczone do tego, co niezbędne” oraz przetwarzane „w sposób zapewniający odpowiednie bezpieczeństwo”. Treść rozmów może być wykorzystywana do trenowania modeli, ale zależy to od rodzaju konta, ustawień użytkownika i polityki dostawcy. Zasady te mogą się zmieniać, dlatego przed wdrożeniem narzędzia warto sprawdzić aktualną dokumentację dostawcy.

Kary RODO dla szkoły: ile realnie grozi placówce

Przy tekstach o RODO pojawia się zwykle liczba 20 milionów euro albo 4 procent obrotu. Dla szkoły publicznej ta liczba jest nieprawdziwa i wolę powiedzieć to wprost, zamiast straszyć.

Po kolei. RODO przewiduje dwa pułapy kar. Do 20 000 000 euro, a dla przedsiębiorstwa alternatywnie 4 procent obrotu, za naruszenie podstawowych zasad przetwarzania oraz przepisów o przekazywaniu danych, czyli art. 5, 6, 7, 9 i 44-49 (art. 83 ust. 5). Do 10 000 000 euro albo 2 procent za obowiązki z art. 25-39, a w tym przedziale mieści się art. 28, czyli brak indywidualnej umowy powierzenia (art. 83 ust. 4). Wariant procentowy dotyczy przedsiębiorstwa, a szkoła nim nie jest.

Najważniejszy jest jednak art. 83 ust. 7 RODO. Pozostawia on państwu członkowskiemu rozstrzygnięcie, „czy i w jakim zakresie administracyjne kary pieniężne można nakładać na organy i podmioty publiczne”. Polska z tego skorzystała.

Art. 102 ust. 1 pkt 1 ustawy o ochronie danych osobowych ustala dla jednostek sektora finansów publicznych karę do 100 000 złotych. Szkoła prowadzona przez samorząd działa jako jednostka budżetowa, a te wymienia art. 9 pkt 3 ustawy o finansach publicznych, więc mieści się w tym limicie. Szkoła prowadzona przez podmiot prywatny do tego sektora nie należy, więc limit jej nie obejmuje.

100 000 złotych to nie 20 milionów euro. Dla budżetu placówki to nadal poważna kwota, a do tego dochodzi to, co zwykle boli bardziej: postępowanie przed Urzędem Ochrony Danych Osobowych, odpowiedzialność dyrektora jako osoby wykonującej obowiązki administratora i rozmowa z rodzicami o tym, gdzie trafił opis ich dziecka.

Anonimizacja danych ucznia: usunięcie imienia nie wystarcza

Najczęstszy odruch brzmi tak: zamienię imię na „[uczeń]” i będzie bezpiecznie. Niestety, to nie wystarcza.

Zamiana imienia przy zachowaniu szczegółowego opisu, czyli klasy, diagnozy, sytuacji rodzinnej i konkretnych zachowań, to pseudonimizacja, a nie anonimizacja. RODO rozstrzyga to wprost: „Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej” (motyw 26).

Ten sam motyw każe brać pod uwagę „wszelkie rozsądnie prawdopodobne sposoby” identyfikacji, bezpośredniej i pośredniej. W małej szkole, gdzie w klasie jest jeden uczeń z danym orzeczeniem, do rozpoznania dziecka wystarczy sam opis.

Wniosek praktyczny jest prosty. Korzystając z ogólnodostępnego narzędzia AI, najbezpieczniej ograniczyć się do ogólnych pytań metodycznych i opisów pozbawionych danych pozwalających zidentyfikować konkretnego ucznia. Jeżeli do narzędzia nie trafiają dane osobowe ani informacje umożliwiające identyfikację dziecka, taka czynność co do zasady nie stanowi przetwarzania danych osobowych w rozumieniu RODO.

Czy szkoła może korzystać z AI? Co wolno, a czego nie

To nie jest tekst o tym, że sztuczna inteligencja w szkole jest zakazana. AI powinno rozszerzać możliwości nauczyciela, a nie zastępować jego odpowiedzialności. Przy takim podejściu potrafi realnie odciążyć, pod warunkiem że dane zostają tam, gdzie powinny.

Wolno na przykład:

• Pytać ogólnie o metody, na przykład „Jakie metody pracy sprawdzają się u ucznia ze spektrum autyzmu, który ma trudność z wypowiedziami na forum klasy?”, bez opisu konkretnego dziecka.
• Prosić o przeredagowanie własnego, ogólnego tekstu, na przykład opisu metody, który nie zawiera danych ucznia.
• Korzystać z narzędzi, z którymi szkoła ma umowę powierzenia i które ograniczają zakres przekazywanych danych.

Granica jest prosta. Opis konkretnego ucznia to nie to samo co ogólne pytanie o metodę pracy. W pierwszym przypadku do narzędzia mogą trafiać dane osobowe, co oznacza konieczność zapewnienia zgodności z RODO, w tym odpowiedniej podstawy przetwarzania oraz właściwych środków technicznych i organizacyjnych. W drugim przypadku, jeśli opis nie pozwala zidentyfikować konkretnego dziecka, RODO co do zasady nie znajduje zastosowania.

Jeśli pracujesz z uczniami w spektrum autyzmu, przyda Ci się też artykuł o tym, dlaczego strach jest dla nich najtrudniejszą emocją do rozpoznania.

AI Act a szkoła: rozpoznawanie emocji i systemy oceniające

Tu warto uważać, bo to osobne przepisy, a w mediach często mieszają je z RODO.

Niewłaściwe przetwarzanie danych ucznia to kwestia RODO, z pułapami opisanymi wyżej. Niezgodność z AI Act to sprawa AI Act. Za praktyki zakazane z art. 5 pułap wynosi 35 000 000 euro albo 7 procent obrotu przedsiębiorstwa (art. 99 ust. 3), a za inne naruszenia 15 000 000 euro albo 3 procent (art. 99 ust. 4). To pułapy z rozporządzenia, natomiast konkretne przepisy o karach i organach ustanawiają państwa członkowskie (art. 99 ust. 1).

Dla szkoły liczą się z tego dwie rzeczy.

AI Act zakazuje wykorzystywania w szkołach systemów AI służących do wyciągania wniosków o emocjach uczniów, z wyjątkiem zastosowań medycznych i związanych z bezpieczeństwem. Przepis mówi o „wyciąganiu wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych” (art. 5 ust. 1 lit. f). Zakaz obowiązuje od 2 lutego 2025 roku.

Systemy oceniające wchodzą do kategorii wysokiego ryzyka od 2 sierpnia 2026 roku. Załącznik III pkt 3 lit. b wymienia systemy przeznaczone „do celów oceny efektów uczenia się”, a rozporządzenie stosuje się właśnie od tej daty (art. 113).

To temat na osobny artykuł. Tutaj kluczowe jest jedno: pytanie o wpisywanie danych ucznia do ChatGPT rozstrzyga RODO, a nie AI Act.

WOPFU i IPET a ChatGPT: jak korzystać z AI zgodnie z prawem

Kluczowe znaczenie mają dwa elementy.

Pierwszy to odpowiednie uregulowanie relacji z dostawcą narzędzia. Jeżeli dostawca przetwarza dane wyłącznie w imieniu szkoły, co do zasady wymaga to zawarcia umowy powierzenia zgodnie z art. 28 ust. 3 RODO.

Drugi to takie ułożenie narzędzia, żeby w ogóle nie potrzebowało danych identyfikujących ucznia, bo pracuje na obserwacjach funkcjonalnych i w miejsce imienia wstawia placeholder.

Drugi element jest mocniejszy od pierwszego, ale nie sprowadza się do wykreślenia trzech pól. Narzędzie, które nie przyjmuje imienia, nazwiska ani numeru PESEL i pracuje na opisie funkcjonalnym, na przykład „uczeń ma trudność z wypowiedziami na forum, dobrą pamięć faktów”, obniża ryzyko tylko wtedy, gdy sam opis nie pozwala wskazać konkretnego dziecka.

Kryterium jest to samo co przy anonimizacji: liczy się brak możliwości identyfikacji, a nie usunięcie pojedynczych danych. Im bardziej opis jest ogólny i funkcjonalny, tym mniej po stronie szkoły zostaje do wykazania.

W tym kierunku będzie szedł Asystent WOPFU i IPET, nad którym pracuję.

Narzędzie będzie generowało szkic mocnych stron i metod pracy na podstawie Twoich obserwacji zapisanych funkcjonalnie, bez imienia, nazwiska i numeru PESEL, a przede wszystkim bez danych pozwalających wskazać konkretne dziecko. Pełną kontrolę nad treścią zachowuje pedagog, a narzędzie skraca drogę do pierwszej wersji dokumentu. Informację o starcie wyślę osobom z listy.

Polityka AI w szkole: co zrobić już teraz

• Ustal zasadę, że do darmowych, publicznych narzędzi AI kierujemy tylko ogólne pytania metodyczne, a opis konkretnego ucznia zostaje w dokumentacji szkoły.
• Spisz to w polityce korzystania ze sztucznej inteligencji, żeby kadra wiedziała, co wolno, i nie musiała zgadywać.
• Sprawdzaj umowę powierzenia przy każdym narzędziu, do którego miałyby trafiać dane uczniów.

Problemem nie jest to, że nauczyciele lekkomyślnie sięgają po sztuczną inteligencję. Problemem jest brak prostych narzędzi i jasnych ram, które pozwalają robić to bezpiecznie. To kwestia systemu, a nie winy pedagoga.

Najczęstsze pytania

---

Pobierz przewodnik: jak napisać WOPFU i IPET

Zebrałem w jednym miejscu to, czego sam szukałem, kiedy pierwszy raz siadałem do tych dokumentów. Przewodnik „Jak napisać WOPFU i IPET 2026” jest bezpłatny, ma 11 stron w formacie PDF, a wystarczy zapis na listę:

• struktura WOPFU i IPET zgodna z §6 rozporządzenia, punkt po punkcie,
• wypełnione fragmenty na przykładzie fikcyjnego, zanonimizowanego profilu ucznia, czyli mocne strony i metody pracy,
• słownik metod pracy z autorami, tabela form pomocy psychologiczno-pedagogicznej oraz checklist zgodności z §6,
• sekcja 8 o bezpieczeństwie danych ucznia przy korzystaniu z AI, czyli zasada z tego artykułu w wersji do pokazania radzie pedagogicznej.

---

O autorze: jestem nauczycielem informatyki i studentem pedagogiki specjalnej. Tworzę narzędzia do dokumentacji SPE, projektowane tak, żeby dane ucznia nie opuszczały szkoły. Ten tekst ma charakter informacyjny i nie zastępuje konsultacji z inspektorem ochrony danych.