6 sierpnia 2026 · Filip Olender

RODO a AI w gabinecie — co musisz sprawdzić u dostawcy narzędzia

Korzystanie z AI na danych pacjentów jest legalne — pod warunkiem, że odrobisz pracę domową z wyboru dostawcy. RODO nie zakazuje ani chmury, ani modeli AI; wymaga za to, żebyś jako administrator danych powierzał je podmiotom dającym „wystarczające gwarancje” (art. 28). Poniżej konkretna checklista, o co pytać — pisana z pozycji dostawcy, który sam musiał przejść każdy z tych punktów, budując Zaplanuj Leczenie. Jedno zastrzeżenie: to nie jest porada prawna; w nietypowych przypadkach skonsultuj się ze swoim IOD albo prawnikiem.

Role: Ty jesteś administratorem, dostawca procesorem

Gabinet albo praktyka lekarska jest administratorem danych pacjentów — to Ty decydujesz o celach i sposobach przetwarzania. Dostawca narzędzia AI działa jako podmiot przetwarzający (procesor) na Twoje polecenie.

Ta konstrukcja ma konsekwencję, o której łatwo zapomnieć: za wybór narzędzia odpowiadasz Ty. „Nie wiedziałem, gdzie dostawca trzyma dane” nie jest linią obrony — dlatego poniższe pytania warto zadać przed wdrożeniem, nie po.

1. Umowa powierzenia przetwarzania (DPA)

Bez umowy powierzenia (art. 28 ust. 3 RODO) nie ma o czym rozmawiać. Umowa musi określać przedmiot i czas przetwarzania, jego charakter i cel, kategorie danych i osób oraz obowiązki procesora — w tym pomoc w realizacji praw pacjentów i zgłaszanie naruszeń.

Czerwone flagi: dostawca nie wie, co to DPA, odsyła do ogólnego regulaminu albo obiecuje umowę „na życzenie”, ale nie umie jej pokazać. Dobry sygnał: umowa jest częścią produktu. W Zaplanuj Leczenie DPA akceptujesz w aplikacji przy zakładaniu konta — z pełną listą podwykonawców (subprocesorów) w treści i zobowiązaniem do powiadamiania o zmianach tej listy z wyprzedzeniem.

2. Gdzie fizycznie przetwarzane są dane

Trzy pytania: gdzie stoi baza danych, którędy dane przechodzą „w locie” i czy któryś podwykonawca przetwarza je poza Europejskim Obszarem Gospodarczym. Transfer poza EOG nie jest zakazany, ale wymaga podstawy prawnej — najczęściej standardowych klauzul umownych (SCC) lub ram EU-US Data Privacy Framework — i uczciwego wskazania, których dostawców dotyczy.

U nas wygląda to tak: baza danych stoi w regionie UE (Frankfurt), a dane pacjentów są szyfrowane w warstwie aplikacji jeszcze przed zapisem. Zapytania do modeli AI trafiają do dostawców z infrastrukturą w USA — na podstawie SCC i EU-US DPF, po pseudonimizacji imion i z zakazem trenowania, o których niżej. Pełna mapa subprocesorów z lokalizacjami jest wprost w DPA. Tego samego poziomu szczegółowości wymagaj od każdego dostawcy.

3. Czy modele trenują na danych Twoich pacjentów

Pytanie, które oddziela poważnych dostawców od reszty: czy treść zapytań — notatki, plany — jest logowana u dostawcy modeli i używana do ich trenowania? Odpowiedź musi brzmieć „nie”, potwierdzona ustawieniami klasy API/enterprise, nie deklaracją marketingową. Konsumenckie wersje popularnych chatbotów mogą domyślnie wykorzystywać rozmowy do ulepszania modeli — dlatego „lekarz wkleja notatkę o pacjencie do darmowego chatbota” to najgorszy możliwy wariant wdrożenia AI w gabinecie.

W Zaplanuj Leczenie zakaz logowania i trenowania jest wymuszany technicznie przy każdym pojedynczym zapytaniu do modelu. Nagrania głosu nie są zapisywane po naszej stronie — audio przechodzi przez transkrypcję wyłącznie w pamięci, a dostawcy rozpoznawania mowy pracują w trybie zero-retencji: nagranie nie jest u nich przechowywane po transkrypcji, a od sierpnia 2026 transkrypcja odbywa się na endpoincie w UE. Pełna lista podwykonawców z rolami jest w naszej umowie powierzenia — i tego samego żądaj od każdego dostawcy.

4. Pseudonimizacja i minimalizacja danych

Zasada minimalizacji w praktyce: model AI ma dostać tylko to, czego potrzebuje do zadania. Do ułożenia planu leczenia model nie potrzebuje imienia pacjenta — więc nie powinien go widzieć. U nas imię i nazwisko podane w formularzu jest przed wysyłką do modelu podmieniane na anonimowy token i wraca do dokumentu dopiero po naszej stronie.

Uczciwość wymaga dopowiedzenia: treść kliniczna — zęby, zabiegi, koszty — musi trafić do modelu, bo to istota usługi. Dlatego pseudonimizacja nie zastępuje pozostałych punktów tej listy, tylko je uzupełnia.

5. Szyfrowanie, kontrola dostępu, rejestry

Standard, poniżej którego nie warto schodzić: szyfrowanie danych w bazie i w transmisji, izolacja danych między kontami, logowanie dwuskładnikowe oraz dziennik dostępu do danych pacjentów — kto i kiedy po nie sięgał (wspiera rozliczalność i rejestr czynności z art. 30). Do tego procedura naruszeń: procesor musi Cię powiadomić na tyle szybko, żebyś zdążył z ewentualnym zgłoszeniem do UODO w 72 godziny — u nas to zobowiązanie do powiadomienia w 48 godzin.

6. Koniec współpracy i prawa pacjentów

Sprawdź, zanim zaczniesz, jak wygląda wyjście: czy wyeksportujesz komplet danych (art. 20), czy konto da się usunąć razem z danymi (art. 17) i co dzieje się z danymi po wygaśnięciu subskrypcji. U nas po zakończeniu subskrypcji masz 90 dni na eksport, a potem dane są trwale usuwane.

I rzecz najważniejsza dla porządku prawnego: narzędzie do planów leczenia nie jest systemem dokumentacji medycznej. Obowiązek prowadzenia i archiwizacji dokumentacji (co do zasady 20 lat) pozostaje po Twojej stronie, w Twoim systemie — narzędzie jest kopią roboczą, która ułatwia pracę, a nie archiwum, na które przenosisz odpowiedzialność.

Checklista do rozmowy z dostawcą

• Czy podpisujemy umowę powierzenia (DPA) i czy jest w niej lista subprocesorów?
• Gdzie stoi baza danych i które dane wychodzą poza EOG, na jakiej podstawie?
• Czy dostawcy modeli AI mają zakaz logowania i trenowania na naszych danych?
• Co jest pseudonimizowane przed wysyłką do modelu?
• Czy dane są szyfrowane w bazie i czy istnieje dziennik dostępu do danych pacjentów?
• W jakim czasie dowiem się o naruszeniu?
• Jak wyeksportuję i usunę dane po zakończeniu współpracy?

Dostawca, który odpowiada na te pytania konkretnie i na piśmie, zdejmuje z Ciebie większość ryzyka wdrożenia AI. Jeśli prowadzisz klinikę i odpowiadasz za zgodność całego zespołu, ta checklista przydaje się podwójnie — perspektywę właściciela opisujemy na stronie dla właścicieli gabinetów. Szerszy kontekst tego, w czym AI realnie pomaga gabinetowi, znajdziesz w przeglądzie AI dla dentystów, a pełną listę naszych zabezpieczeń na stronie bezpieczeństwo danych.

Jeśli szukasz narzędzia, które ma te odpowiedzi udzielone z góry — z DPA akceptowaną w aplikacji, pseudonimizacją i szyfrowaniem danych pacjentów w standardzie — załóż konto i sprawdź Zaplanuj Leczenie we własnym gabinecie. Pierwsze 30 dni jest bezpłatne.