ChatGPT în firmă și GDPR: ce date nu pui și cum anonimizezi?

Codrin Strâmbu, fondator FlowStone Agency · 16 octombrie 2026 · 11 min citire

Angajații tăi folosesc probabil deja ChatGPT pentru emailuri, oferte, rezumate sau analiza unui CV. Mulți o fac din contul personal și nu știu ce date au voie să pună acolo. În articol găsești un tabel cu datele permise, de anonimizat și interzise, diferența dintre contul personal și cel de firmă și un model de regulă internă de o pagină.

Răspuns scurt: când folosești ChatGPT în firmă, regula prudentă față de GDPR e să tratezi ca dată personală orice informație care poate duce la o persoană. Nu pune în conturi personale date despre clienți sau angajați și nu pune nicăieri CNP-uri, date medicale, salarii sau copii de acte. Mută echipa pe un plan de firmă (de exemplu ChatGPT Business, Enterprise sau API), unde OpenAI nu antrenează implicit modelele pe datele voastre și poate semna un DPA, apoi anonimizează restul și pune regula în scris.

Ce date nu pui în ChatGPT în firmă, din perspectiva GDPR?

Pornește de la o regulă prudentă: tratezi ca dată personală orice informație care poate duce la o persoană, direct sau indirect. Numele e doar un exemplu. Un email, un telefon, o adresă sau combinația „contabila de la firma X din Roman” pot fi la fel de revelatoare. Definiția exactă e în textul oficial al GDPR pe EUR-Lex, iar cazurile de graniță le lămurești cu un DPO.

Unele date cer prudență maximă: informațiile despre sănătate, CNP-ul, salariile și copiile de acte. Regimul lor juridic diferă de la un tip la altul, așa că nu le pune în aceeași categorie când discuți cu juristul. Pentru regula internă contează doar că toate stau în coloana roșie.

Într-o analiză publicată pe legalup.ro, avocata Ruxandra Sava enumeră documente pe care angajații ajung să le încarce în ChatGPT: copii de CI, contracte de muncă, adeverințe de salariu, certificate de naștere și CNP-uri. Firma a primit aceste date cu un scop precis, iar trimiterea lor într-un cont personal iese din acel scop.

Riscul vine din locul în care ajung datele. Într-un cont personal, firma nu are contract cu furnizorul, nu poate șterge conversațiile și nu vede ce s-a încărcat. Scenariul descris în același articol: contul personal al angajatului e spart, datele ajung publice, iar persoanele afectate fac sesizare la ANSPDCP.

Subiectul e urmărit și de autorități. Autoritățile europene de protecție a datelor au analizat ChatGPT într-un grup de lucru dedicat, iar Comitetul European pentru Protecția Datelor a publicat un raport al acestui grup în mai 2024. Dacă ai un magazin online, verifică și dacă ce faci efectiv cu datele clienților se potrivește cu paginile obligatorii, inclusiv politica de confidențialitate.

Tabelul semafor: ce e permis, ce anonimizezi, ce e interzis

Ca să nu discuți fiecare caz separat, împarte datele în trei culori. Verde merge în orice instrument AI aprobat de firmă. Galben merge doar pe contul de firmă și doar după anonimizare. Roșu nu intră într-un chat general, indiferent de cont.

Datele din coloana roșie pot ajunge totuși într-un proces cu AI, dar pe altă cale decât fereastra de chat. Dacă un proces chiar are nevoie de ele, îl discuți cu un specialist GDPR și construiești un flux dedicat, cu contract, acces limitat și jurnal al operațiunilor.

În practică, majoritatea sarcinilor utile stau în verde: un anunț de angajare, o ofertă-tip, un email de răspuns pentru o situație generală, rezumatul unei legi. Aici AI-ul economisește timp fără să atingă date personale.

Cont personal sau ChatGPT Business: ce se schimbă pentru GDPR?

Diferența principală e cine controlează datele. Pe pagina despre confidențialitatea planurilor de firmă, actualizată în ianuarie 2026, OpenAI spune că nu antrenează modelele pe datele de business în mod implicit. Regula se aplică pentru ChatGPT Business, Enterprise, ChatGPT for Healthcare, Edu, ChatGPT for Teachers și platforma API.

Coloana Business rezumă documentația OpenAI citată în această secțiune. Pentru conturile personale, firma nu are contract cu furnizorul și nu le administrează setările, deci nu are pe ce garanții să se bazeze. De aceea regula prudentă e să scoți conturile personale din orice muncă cu date ale firmei.

DPA (Data Processing Addendum) e contractul prin care un furnizor se obligă să prelucreze datele doar după instrucțiunile tale. OpenAI precizează că îl poate semna pentru Business, Enterprise și API, ca sprijin pentru conformitatea cu GDPR. Excepția de la regula celor 30 de zile apare când legea cere păstrarea mai lungă sau când păstrarea e necesară pentru protecția serviciului ori a terților.

Conform documentației ChatGPT Business, fiecare membru are istoricul lui, iar ceilalți nu îi văd automat conversațiile. Statisticile de utilizare pe care le vede administratorul sunt separate de conținutul chaturilor. Adică poți controla contul fără să citești ce scrie fiecare om.

Datele roșii rămân roșii și pe contul de firmă. OpenAI menționează că angajați autorizați și contractori cu obligații de confidențialitate pot accesa conversațiile pentru suport, abuz sau obligații legale. Contul Business rezolvă contractul și controlul, iar restul obligațiilor firmei, cum ar fi informarea clienților și temeiul pentru prelucrare, le verifici cu DPO-ul sau cu avocatul.

Cum anonimizezi corect un text înainte să-l pui în ChatGPT?

Cea mai frecventă greșeală e să crezi că ai terminat după ce ai șters numele. Dacă din restul textului se poate deduce cine e persoana, textul tot o identifică. Urmează pașii de mai jos, în ordine.

1. Scoate identificatorii direcți: nume, CNP, telefon, email, adresă, IBAN, număr de înmatriculare, număr de comandă.
2. Generalizează ce poate identifica indirect: vârsta exactă devine interval, satul devine județul, data exactă devine luna.
3. Elimină detaliile rare: „singurul medic veterinar din comună” sau „șeful de depozit” într-o firmă cu 8 angajați identifică pe cineva la fel de clar ca numele.
4. Înlocuiește cu roluri: [Client A], [Angajat 1], [Furnizor]. Așa textul rămâne ușor de urmărit pentru AI.
5. Recitește ca un străin: dacă un coleg sau chiar clientul s-ar recunoaște din text, mai ai de lucru.
6. Păstrează corespondența la tine: lista „Client A = Maria Popescu” nu ajunge niciodată în chat.

Exemplu înainte și după

Înainte: „Maria Popescu, 34 de ani, din Roman, a sunat de trei ori azi de pe 0744… pentru că i s-a stricat centrala montată de noi pe 12 martie. Scrie-i un răspuns politicos.”

După: „O clientă a sunat de mai multe ori azi pentru că i s-a stricat o centrală montată de noi acum câteva luni. Scrie un răspuns politicos, în care îi propui o vizită de verificare.” Răspunsul generat e la fel de bun, iar în chat nu a ajuns nimic despre client.

Atenție la înlocuirea numelui cu un cod. Dacă tu sau altcineva puteți face legătura înapoi, cu un tabel sau din context, persoana rămâne identificabilă. Tratează astfel de texte în continuare ca date personale: merg doar pe contul de firmă, iar dacă ai dubii, le treci la roșu. Încadrarea juridică exactă ți-o poate explica un DPO, pe baza textului oficial al regulamentului.

Ce scrie într-o regulă internă de folosire a AI?

Regula trebuie să încapă pe o pagină. Altfel nu o citește nimeni. Modelul de mai jos îl poți copia, completa cu datele firmei tale și da spre semnare fiecărui angajat.

1. Cui se aplică: tuturor angajaților și colaboratorilor care folosesc instrumente AI pentru munca firmei.
2. Instrumente aprobate: [ChatGPT Business], din contul de firmă. Conturile personale nu se folosesc pentru sarcini de serviciu.
3. Date permise (verde): texte de marketing, oferte generice, documente interne fără date personale, cod fără secrete.
4. Date de anonimizat (galben): emailuri și tichete de la clienți, notițe de interviu, loguri. Se anonimizează după pașii din anexă.
5. Date interzise (roșu): CNP, copii de acte, date medicale, salarii, contracte și CV-uri întregi, parole, chei API, exporturi de baze de date.
6. Securitate: contul are autentificare în doi pași, dacă instrumentul o permite. Conturile nu se împart între colegi.
7. Verificare umană: orice text generat de AI se citește de un om înainte să ajungă la client sau într-un document oficial.
8. Responsabil: [Nume, funcție] aprobă instrumentele noi și răspunde la întrebări despre date.
9. Incidente: dacă ai introdus din greșeală date roșii, îl anunți pe responsabil în aceeași zi, ca să decideți împreună pașii următori.
10. Instruire: fiecare angajat nou primește regula și o scurtă instruire înainte să primească acces.
11. Revizuire: regula se revede la 6 luni sau când se schimbă instrumentele folosite.

Punctul 9 e cel mai important. Scenariul periculos nu e greșeala unui angajat, ci greșeala ascunsă de teamă. Spune clar că raportarea rapidă nu se pedepsește, altfel nu vei afla nimic la timp.

Instruirea poate fi scurtă. O sesiune de circa 30 de minute, în care treci prin tabelul semafor cu exemple din firma ta, e un început bun. Pentru o clinică dentară din Iași, exemplele vor fi fișe și programări. Pentru o firmă de construcții din Cluj, vor fi contracte și pontaje.

Când merită să integrezi AI direct în procesele firmei?

Un chat general e bun pentru texte și idei. Când AI-ul ar trebui să citească zilnic mesaje de clienți, programări sau cereri de ofertă, copierea manuală în ChatGPT devine lentă și riscantă. Fiecare copiere e o decizie luată de un om grăbit.

În proiectele de automatizare, cea mai des întâlnită problemă pe care o văd e lipsa unei decizii clare despre ce date au voie să ajungă în AI. Un flux integrat rezolvă asta din construcție: datele trec doar prin pașii definiți, iar câmpurile sensibile pot fi excluse înainte să ajungă la model.

Noi construim astfel de fluxuri de automatizare cu AI în n8n, o platformă de automatizare instalată pe serverul clientului (self-hosted), conectată la modele GPT sau Claude prin API. Fiecare pas e logat, iar agentul AI escaladează la un om când nu e sigur. Un chatbot sau agent vocal AI pornește de la 400 EUR, o automatizare de la 500 EUR, plus o recurență lunară pentru mentenanță.

Integrarea merită când volumul de mesaje e mare sau datele sunt sensibile. Dacă echipa folosește AI doar pentru texte și oferte, un cont Business și regula internă sunt suficiente. Găsești exemple concrete în ghidul despre automatizări pentru afaceri mici și în analiza costurilor pentru un chatbot pe WhatsApp Business.

Întrebări frecvente

Pot fi amendat dacă un angajat pune date de clienți în ChatGPT?

Da, riscul există: firma răspunde pentru securitatea datelor pe care le-a colectat, iar dacă acestea scapă printr-un cont personal, persoanele afectate pot face sesizare la ANSPDCP, care poate sancționa firma. Cuantumul unei eventuale amenzi îl evaluezi cu un avocat specializat în protecția datelor.

ChatGPT folosește datele firmei pentru antrenarea modelelor?

Pe planurile ChatGPT Business, Enterprise și pe API, OpenAI declară că nu antrenează modelele pe datele tale în mod implicit. Conturile personale ale angajaților nu sunt acoperite de DPA-ul firmei, iar setările lor țin de angajat, deci nu te baza pe ele pentru date de serviciu.

Trebuie să semnez un DPA cu OpenAI?

OpenAI oferă un Data Processing Addendum pentru ChatGPT Business, Enterprise și API, tocmai pentru conformitatea cu GDPR. Dacă angajații lucrează cu date personale ale clienților, e pasul firesc, iar un DPO îți poate confirma dacă situația ta îl cere.

Pot pune un CV în ChatGPT ca să-l analizez?

Nu un CV întreg și nu dintr-un cont personal. Pe contul de firmă poți lucra cu experiența și competențele, după ce scoți numele, datele de contact, fotografia, data nașterii și orice detaliu care identifică persoana.

Este suficient să șterg numele ca să anonimizez un document?

Nu. Telefonul, adresa, vârsta exactă, funcția sau un detaliu rar pot identifica persoana la fel de bine ca numele. Un test practic: dacă persoana sau un coleg s-ar recunoaște din text, documentul nu e încă gata de pus în AI.

Concluzie

Regula de decizie pentru ChatGPT în firmă și GDPR e simplă: verde în orice instrument aprobat de firmă, galben doar anonimizat și pe contul de firmă, roșu niciodată într-un chat general. Mută echipa pe un plan cu DPA, adoptă regula de o pagină și verific-o cu un specialist GDPR. Dacă vrei ca AI-ul să lucreze direct în procesele firmei, cu datele sub control, vezi ce implementăm pe pagina de automatizări și agenți AI sau scrie-ne prin formularul de contact.

Vrei să automatizezi un proces din firma ta?

Spune-ne ce faceți manual acum și primești o ofertă clară, cu fluxurile propuse și termenul de livrare.

Cere ofertă