Poți folosi ChatGPT în firmă în siguranță dacă stabilești trei lucruri înainte: ce instrumente și ce tip de cont sunt permise, ce date nu se introduc niciodată și cine verifică rezultatele înainte să ajungă la clienți. Aceste reguli se scriu într-o politică de utilizare AI scurtă, pe care toți angajații o cunosc.
În multe firme, angajații folosesc deja instrumente AI de tip ChatGPT, Claude sau Gemini, adesea din conturi personale și fără reguli clare. Problema nu este instrumentul în sine, ci lipsa de control: ce informații pleacă din firmă, unde sunt stocate și cine răspunde dacă un text generat conține o greșeală. Ghidul de mai jos te ajută să pui ordine fără să interzici un instrument util.
Pe scurt
O politică de utilizare AI bună este scurtă și concretă: lista instrumentelor aprobate, tipul de cont permis, datele interzise, regula de verificare umană și persoana de contact pentru întrebări. Interzicerea totală rareori funcționează; oamenii ajung să folosească instrumentele pe ascuns, din conturi personale.
Atenție
Acest articol are scop informativ și nu reprezintă consultanță juridică. Reflectă situația la data scrierii (octombrie 2026). Termenii furnizorilor se schimbă, iar pentru protecția datelor consultă Regulamentul GDPR pe EUR-Lex, ghidurile ANSPDCP și, când e cazul, responsabilul cu protecția datelor sau un avocat.
De ce ai nevoie de o politică de utilizare AI în firmă?
Fără reguli, fiecare angajat decide singur ce copiază într-un chatbot. Unul lipește un contract ca să-l rezume, altul pune lista de clienți ca să scrie e-mailuri personalizate, al treilea trimite unui client un răspuns generat fără să-l verifice. Fiecare gest pare inofensiv, dar împreună creează riscuri reale: scurgeri de informații confidențiale, încălcări ale protecției datelor și erori care ajung la clienți.
O politică scrisă rezolvă și o problemă de responsabilitate. Când regulile sunt clare, angajații știu ce au voie să facă, iar managerul știe ce să verifice. În plus, regulamentul european privind inteligența artificială (AI Act) cere firmelor care folosesc AI să se asigure că personalul are cunoștințe suficiente despre aceste instrumente, iar o politică însoțită de o instruire scurtă este un mod practic de a răspunde acestei cerințe.
Ce date nu introduci niciodată în ChatGPT sau alte instrumente AI
Regula de bază: nu introduce într-un instrument AI nimic din ce nu ai trimite pe e-mail unei firme externe cu care nu ai un contract. Concret, următoarele categorii nu se introduc în instrumente neaprobate și, de regulă, nici în cele aprobate fără un motiv clar:
- Date personale ale clienților, angajaților sau candidaților: nume asociate cu date de contact, CNP, adrese, numere de telefon, istoric de comenzi.
- Categorii speciale de date: informații despre sănătate, opinii politice, apartenență sindicală, date biometrice.
- Parole, chei de acces, coduri API, date de autentificare.
- Date financiare nepublice: situații financiare interne, marje, oferte de preț către clienți, date bancare.
- Contracte, documente juridice și corespondență confidențială cu parteneri.
- Cod sursă proprietar, documentație tehnică internă, planuri de produs nepublicate.
- Orice informație acoperită de un acord de confidențialitate.
Când ai nevoie totuși de ajutor pe un astfel de document, anonimizează-l: înlocuiește numele cu „Clientul A”, elimină cifrele exacte și păstrează doar structura problemei. De multe ori răspunsul este la fel de util.
Cont personal sau plan business: de ce contează
Majoritatea furnizorilor oferă atât planuri pentru consumatori, cât și planuri pentru firme. Diferența nu ține doar de funcții, ci mai ales de modul în care sunt tratate datele introduse.
- Folosirea datelor pentru antrenare: în general, la planurile pentru consumatori setările implicite pot permite folosirea conversațiilor pentru îmbunătățirea modelelor, cu opțiunea de a dezactiva acest lucru. La planurile business, furnizorii declară de obicei că datele nu sunt folosite pentru antrenare implicit.
- Contract și protecția datelor: planurile business includ de regulă un acord de prelucrare a datelor (DPA), necesar dacă prin instrument trec date personale.
- Administrare: la planurile business poți gestiona centralizat conturile, poți retrage accesul unui angajat care pleacă și poți stabili reguli de păstrare a datelor.
- Controlul firmei asupra conținutului: în contul personal al unui angajat, firma nu are acces și nici control asupra conversațiilor, chiar dacă acestea conțin informații de serviciu.
Limită importantă
Termenii, setările de confidențialitate și planurile se schimbă periodic. Înainte să alegi un instrument, citește termenii actuali ai furnizorului, politica de confidențialitate și pagina oficială de prețuri. Nu te baza pe ce era valabil acum câteva luni sau pe ce spune un coleg.
ChatGPT și GDPR: ce trebuie să știi
Dacă prin instrumentul AI trec date personale, Regulamentul general privind protecția datelor (GDPR) se aplică pe deplin. Câteva întrebări de bază pe care firma trebuie să le aibă rezolvate:
Temeiul legal
Orice prelucrare de date personale are nevoie de un temei legal: contract, obligație legală, interes legitim, consimțământ și altele prevăzute de GDPR. Faptul că un instrument este util nu este, în sine, un temei. Persoanele vizate trebuie informate, de regulă prin nota de informare, că datele lor pot fi prelucrate și cu ajutorul unor furnizori de servicii AI.
Contractul cu furnizorul (DPA)
Furnizorul instrumentului AI acționează de obicei ca persoană împuternicită, adică prelucrează datele în numele firmei tale. GDPR cere un contract scris cu clauze specifice. Planurile business oferă de regulă un astfel de acord; contul personal al unui angajat, de obicei, nu.
Transferuri în afara Spațiului Economic European
Mulți furnizori de AI sunt din afara UE. Transferul datelor personale către țări terțe este permis doar cu garanții prevăzute de GDPR, cum ar fi o decizie de adecvare sau clauzele contractuale standard. Verifică unde sunt prelucrate datele și ce mecanism de transfer folosește furnizorul; unii oferă și opțiuni de stocare în Europa.
Pentru prelucrări cu risc ridicat, de exemplu analiza automată a datelor despre angajați, poate fi necesară o evaluare de impact asupra protecției datelor înainte de a începe. Autoritatea competentă în România este ANSPDCP.
Verificarea răspunsurilor: AI-ul poate greși convingător
Modelele de limbaj pot formula răspunsuri fluente și sigure pe ele, dar greșite: cifre inventate, articole de lege care nu există, surse citate incorect. Riscul nu este că AI-ul greșește, ci că greșeala arată credibil.
- Orice text care ajunge la un client, partener sau autoritate este citit și asumat de un om înainte de trimitere.
- Cifrele, datele calendaristice, prețurile și trimiterile la legi se verifică în sursa originală.
- Pentru informații juridice, fiscale sau medicale, AI-ul poate fi un punct de plecare, nu o concluzie.
- Codul generat se revizuiește și se testează ca orice alt cod, inclusiv din perspectiva securității.
- Responsabilitatea pentru rezultat rămâne a persoanei care îl folosește, nu a instrumentului.
Exemplu de politică de utilizare AI: checklist
O politică eficientă încape pe una-două pagini. Folosește lista de mai jos ca schelet și adapteaz-o la firma ta, împreună cu cine se ocupă de protecția datelor:
- Scop: de ce folosește firma instrumente AI și pentru ce tipuri de sarcini (redactare, rezumare, cercetare, traducere, programare).
- Instrumente aprobate: lista exactă, cu tipul de cont permis (de regulă contul business al firmei, nu conturi personale).
- Date interzise: lista categoriilor care nu se introduc niciodată, cu exemple concrete din activitatea firmei.
- Anonimizare: cum se pregătește un document înainte de a fi folosit cu AI.
- Verificare umană: ce tipuri de rezultate trebuie verificate și de cine, înainte de utilizare externă.
- Transparență: când se menționează că un conținut a fost generat sau asistat de AI.
- Instrumente noi: procedura prin care un angajat cere aprobarea unui instrument care nu e pe listă.
- Incidente: ce face un angajat dacă a introdus din greșeală date sensibile și cui raportează.
- Instruire: o sesiune scurtă la angajare și reluată periodic.
- Revizuire: politica se actualizează la schimbări de furnizori, termeni sau legislație, cu un responsabil numit.
Sfat practic
Pune lângă politică o pagină cu exemple concrete din firma ta: „așa da” și „așa nu”. Oamenii rețin mult mai ușor un exemplu decât o regulă abstractă.
Când un instrument general nu este soluția potrivită
Un chatbot general este foarte bun pentru sarcini individuale, dar are limite când vine vorba de documentele firmei, de permisiuni pe roluri sau de integrarea cu alte sisteme. Dacă echipa ajunge să copieze zilnic aceleași documente interne în chat, este un semn că ai nevoie de un asistent configurat pe sursele tale, cu acces controlat și jurnalizare. La fel, dacă datele sunt foarte sensibile, poate fi mai potrivită o soluție cu control mai strict asupra locului în care sunt prelucrate datele.
Cum te ajută WEB-AZ
Lucrăm cu modele de la mai mulți furnizori și construim asistenți AI care răspund din documentele firmei, cu permisiuni pe roluri și reguli clare privind datele. Te putem ajuta să alegi o arhitectură potrivită nivelului de sensibilitate al datelor tale. Partea juridică, adică politica finală, temeiurile legale și contractele, rămâne în sarcina juristului sau a responsabilului cu protecția datelor, cu care lucrăm împreună.
Pași următori