Ai voie să pui datele clienților în ChatGPT? Ce spune GDPR pentru o firmă mică

Ai o listă de clienți și vrei să o cureți de duplicate. Primul reflex e să lipești textul în ChatGPT. Al doilea e o strângere în stomac: am voie?

Nu ești singurul. În Carta Albă a IMM-urilor 2026, cercetare pe 1.174 de firme, cel mai mare risc perceput la AI e securitatea datelor, 54,66%. O delimitare: transparența din AI Act spune când trebuie să anunți că folosești AI. Aici e vorba despre ce ai voie să bagi în el.

Foto: Markus Winkler pe Pexels

Ai voie să pui datele clienților în ChatGPT?

Da, cu două condiții: un cont care nu antrenează modelul pe datele tale și un contract de prelucrare semnat cu furnizorul. Niciun articol din GDPR nu interzice inteligența artificială. Regulamentul cere doar să știi unde ajung datele, pe ce temei și cu cine ai hârtia.

Comitetul European pentru Protecția Datelor a analizat subiectul în Opinia 28/2024 și nu a interzis nimic. Iar Eurostat dă România ultima în UE în 2025, cu 5,2% față de 20,0% media europeană, dar numai la firmele cu cel puțin 10 angajați. Microîntreprinderile nu sunt în eșantion.

Ce se întâmplă, de fapt, cu textul pe care îl lipești în chat?

Pleacă la serverele furnizorului, se stochează o perioadă și, în funcție de cont, poate ajunge material de antrenament. Pe conturile de consumator ChatGPT setarea de antrenare e pornită, iar tu trebuie să o oprești manual. Pe business și pe API, OpenAI spune că nu antrenează.

Am recitit paginile la sursă pe 17 iulie 2026. Pe openai.com/business-data scrie: „We don't train our models on your organization's data by default". Pe contul personal, butonul „Improve the model for everyone" din Data Controls trebuie oprit de tine.

Retine: oprirea butonului de antrenare nu îți dă un contract de prelucrare. Unul ține de ce face furnizorul cu textul, celălalt de relația juridică cu firma ta.

Care e diferența dintre contul personal și contul de firmă?

Contul personal e făcut pentru un om care se joacă, cel de firmă pentru o firmă care răspunde în fața legii. Primul antrenează pe datele tale și nu îți dă DPA. Al doilea nu antrenează și îți dă contractul cerut de GDPR. Același model, două regimuri juridice.

Pui date de clienți doar acolo unde poți semna un contract de prelucrare. La fel citesc documentele și avocații într-o analiză de pe JURIDICE.ro.

Ce obligații ai tu, ca firmă, când folosești un AI pe date de clienți?

Trei, toate în sarcina ta. Ești operator în sensul articolului 4 punctul 7 din GDPR, deci tu răspunzi pentru datele clienților. Îți trebuie contract de prelucrare cu furnizorul, conform articolului 28. Iar dacă datele scapă, articolul 33 cere notificare la ANSPDCP în 72 de ore.

Legea 190/2018 nu adaugă nimic special despre AI: aplici regulile vechi unei unelte noi.

Foto: Towfiqu barbhuiya pe Pexels

Cât de mari sunt amenzile în România și pentru ce se dau, de fapt?

Mai mici decât spaima care circulă, și niciodată pentru AI. Potrivit comunicatului ANSPDCP din 25 mai 2026, în primele patru luni ale anului autoritatea a primit 5.186 de plângeri și a dat 25 de amenzi, în total 1.187.492 lei. Niciuna pentru folosirea unui AI.

Se sancționează administrația, nu tehnologia.

În Italia, amenda de 15 milioane de euro dată OpenAI de Garante a fost anulată de Tribunalul din Roma pe 18 martie 2026, pe motive de competență, nu fiindcă antrenarea ar fi fost declarată legală. Procesul viza furnizorul, nu o firmă care folosea ChatGPT.

Important: aici vezi ce scrie în documentele oficiale, cu link la fiecare afirmație. Nu e consultanță juridică. Pentru cazul tău, întreabă un specialist.

Ce date nu ai voie să pui niciodată într-un chat public?

Pe un cont personal, fără contract semnat, nimic care identifică un om. Concret: nume și adrese de clienți, CNP-uri, date bancare, CV-uri, contracte cu clauze de confidențialitate, parole. Datele de sănătate și cele biometrice sunt categorii speciale, protejate suplimentar prin articolul 9 din GDPR.

Vestea bună: AI-ul nu are nevoie de numele omului. Înlocuiește „Popescu Ion" cu „Client A" și primești același răspuns.

Cum folosești AI pe datele firmei fără să încalci nimic?

Patru pași, în ordinea asta. Mută firma pe un cont de business sau pe API și semnează DPA-ul. Scrie o regulă de o pagină pentru angajați. Anonimizează ce se poate. Treci uneltele AI în evidența prelucrărilor și în politica de confidențialitate.

Pentru partea plină, am scris ce poți face concret cu ChatGPT într-o firmă mică: acolo scrie ce să faci cu el, aici ce să nu bagi în el. AI pe datele firmei, construit pe API, cu datele la tine, ține de automatizări AI. Trimite o cerere.