Poate fi, dacă folosești un abonament pentru firme și ții anumite date departe de el. Abonamentele personale, inclusiv cele plătite ca ChatGPT Plus sau Claude Pro, pot folosi conversațiile tale la antrenarea modelelor și pot lăsa evaluatori să le citească. Pe abonamentele pentru firme, datele tale nu sunt folosite implicit la antrenare și primești contractul cerut de GDPR.
Alege deci un abonament pentru firme, cu acord de prelucrare a datelor, nu pune acolo CNP-uri, date medicale, de card sau parole și scoate numele de care sarcina nu are nevoie.
Tot ce urmează e valabil în octombrie 2026 și nu e consultanță juridică. Condițiile se schimbă, așa că verifică linkurile.
Ce se întâmplă cu textul pe care îl lipești
Emailul unui client lipit într-o unealtă AI ajunge pe serverele furnizorului. Patru lucruri decid riscul:
- Antrenarea: dacă textul tău ajută la următorul model.
- Păstrarea: cât timp îl ține furnizorul, și după ce ștergi conversația.
- Accesul: cine de la furnizor îl poate citi.
- Locul: în ce țară e stocat.
La antrenare, Comitetul European pentru Protecția Datelor (CEPD) consideră anonim un model antrenat pe date personale doar dacă e foarte puțin probabil ca cineva să scoată acele date din el prin întrebări. Google le cere chiar el utilizatorilor Gemini: „nu introduce date care sunt confidențiale sau pe care nu ai dori ca un evaluator să le vadă”.
Un abonament plătit nu e automat unul pentru firme
ChatGPT Plus și Pro, Claude Pro și Max și abonamentele Google AI plătite sunt toate personale. Condițiile pentru firme vin doar cu un abonament de firmă sau un cont de serviciu.
| Unealtă | Abonamente personale | Abonamente pentru firme |
|---|---|---|
| ChatGPT | Free, Plus, Pro: poate antrena pe conversații, dacă nu refuzi | Business, Enterprise, API: implicit, nu antrenează |
| Claude | Free, Pro, Max: antrenează dacă îi permiți | Team, Enterprise, API: implicit, nu antrenează |
| Gemini | Cont personal: antrenează cât e pornită „Păstrează activitatea” | Cont Workspace: fără antrenare sau evaluare umană în afara firmei |
| Copilot | Cont Microsoft personal: condiții pentru consumatori | Cont de serviciu: protecția datelor pentru organizații |
- ChatGPT. Poți refuza antrenarea din Settings > Data controls, dar un vot pe un răspuns (degetul în sus sau în jos) poate trimite toată conversația la antrenare. Abonamentele pentru firme nu sunt folosite implicit la antrenare, iar API-ul păstrează datele până la 30 de zile, ca să detecteze abuzurile, dacă OpenAI nu îți aprobă păstrare zero (zero data retention).
- Claude. Din 2025, utilizatorii personali aleg dacă conversațiile lor antrenează Claude. Dacă acceptă, Anthropic păstrează datele dezidentificate până la cinci ani. Abonamentele comerciale nu sunt folosite la antrenare, iar API-ul șterge datele în cel mult 30 de zile.
- Gemini. Cu „Păstrează activitatea” pornită, Google poate antrena pe conversațiile tale și pune evaluatori să citească unele dintre ele, pe care le păstrează până la trei ani. Cu setarea oprită, conversațiile tot sunt păstrate 72 de ore. Pe un cont Workspace, nimeni nu îți evaluează conținutul și nu antrenează pe el în afara firmei fără permisiune.
- Copilot. Cu un cont de serviciu, Microsoft prelucrează datele în numele tău și nu își antrenează modelele de bază pe ce scrii. Un cont personal intră sub condițiile pentru consumatori.
Unde sunt stocate datele
GDPR limitează trimiterea datelor personale în afara UE (capitolul V). Pe abonamentele pentru firme:
- OpenAI stochează datele în Europa pentru clienții API eligibili și spațiile noi ChatGPT Enterprise și Edu, dar nu și pentru ChatGPT Business.
- Anthropic stochează datele în SUA. Claude rămâne în UE doar prin cloudul Amazon, Google sau Microsoft.
- Google le permite administratorilor Workspace cu Business Standard sau mai mult să țină datele în Europa, inclusiv conversațiile cu Gemini.
- Microsoft ține datele firmelor din UE în EU Data Boundary, cu excepția căutărilor pe web și a modelelor Anthropic folosite în Copilot.
Datele trimise în SUA se sprijină pe cadrul UE-SUA de protecție a datelor (Data Privacy Framework) sau pe clauze contractuale standard. Tribunalul UE l-a menținut în 2025, un recurs e pe rol, iar în iulie 2026 CEPD a cerut Comisiei să-l reanalizeze după o hotărâre a Curții Supreme a SUA despre independența FTC, unul dintre organismele care îl aplică. Cadrul rămâne în vigoare până e abrogat sau anulat, dar datele ținute în UE depind mult mai puțin de rezultat.
Ce îți cere GDPR
Pentru datele clienților, GDPR te numește operator, iar furnizorul de AI e „persoană împuternicită”, adică le prelucrează în numele tău. Articolul 28 îți permite să lucrezi doar cu persoane împuternicite „care oferă garanții suficiente”, pe baza unui contract care spune ce pot face cu datele: acordul de prelucrare a datelor (DPA). Îl oferă toți cei patru, pe abonamentele pentru firme: OpenAI, Anthropic, Google și Microsoft. Abonamentele personale vin doar cu o politică de confidențialitate.
Articolul 5 cere ca datele să fie „adecvate, relevante și limitate la ceea ce este necesar”, deci dă-i AI-ului doar ce îi trebuie pentru sarcină. În România, de aplicarea GDPR se ocupă ANSPDCP.
Ce rămâne în sistemele tale
Unele date nu au ce căuta într-un chat AI, iar într-un flux automatizat intră doar cu un motiv clar și cu garanții:
- Date medicale și alte categorii speciale. Datele despre sănătate, religie, origine etnică, orientare sexuală, apartenență la sindicat, cele biometrice și genetice sunt interzise implicit de articolul 9, cu excepții înguste. O clinică stomatologică cu 12 oameni ar putea folosi AI pentru reamintirile de programare, dar fișele de tratament rămân în programul clinicii.
- CNP-ul și copiile de buletin. Legea 190/2018 cere garanții, inclusiv un responsabil cu protecția datelor, când o firmă prelucrează pe baza interesului legitim un număr de identificare național: CNP-ul, seria de buletin, pașaportul sau permisul. Nu încărca în ChatGPT copia de buletin a unui client ca să-i extragă datele.
- Date de card și bancare. Oricine stochează, prelucrează sau transmite date de card intră sub standardul de securitate PCI DSS, iar un chat AI nu e securizat pentru așa ceva.
- Parole și chei de acces. Pe ChatGPT Business, administratorii spațiului pot citi conversațiile membrilor, iar pe abonamentele personale pot și oamenii furnizorului, în anumite cazuri. Cine poate citi conversația poate citi și parola.
Când un flux construit de noi are nevoie de astfel de date, le ținem în conturile tale și trimitem modelului doar câmpurile necesare unui pas, printr-un furnizor care nu se antrenează pe ele. Ce e sensibil poate rula în UE sau pe serverul tău.
Scoate ce nu-i trebuie sarcinii
Să zicem că exporți facturile din SmartBill ca să afli ce produse se vând împreună. AI-ului îi trebuie produsele și sumele, nu numele și adresele cumpărătorilor.
Pseudonimizarea înseamnă să înlocuiești numele și celelalte date de identificare cu etichete, de pildă „Client 14”, și să păstrezi în sistemul tău lista care leagă fiecare etichetă de o persoană reală. Furnizorul vede conținutul fără să știe despre cine e vorba. Pentru tine rămân date personale, fiindcă ai lista (considerentul 26), dar o scurgere de date la furnizor ar dezvălui mult mai puțin.
Ce să verifici săptămâna asta
- Află cine folosește ce unealtă AI și cu ce cont. Întreabă fără să cauți vinovați. Cauți emailuri de la clienți lipite într-un ChatGPT personal.
- Verifică abonamentul. Free, Plus, Pro sau Max înseamnă abonament personal. Mută munca pe un abonament pentru firme sau pe un cont de serviciu.
- Verifică antrenarea. Pe conturile personale, caută „Improve the model for everyone” (ChatGPT), „Help improve our AI models” (Claude) sau „Păstrează activitatea” (Gemini).
- Verifică butoanele de feedback. Un vot pe un răspuns poate trimite toată conversația. Administratorii pot opri evaluarea în spațiile ChatGPT și în Claude Team și Enterprise.
- Verifică păstrarea datelor și regiunea în setările de administrare.
- Găsește DPA-ul, acceptă-l sau semnează-l și pune o copie la dosarul GDPR al firmei.
- Scrie ce nu intră niciodată: date medicale, CNP-uri și copii de buletin, date de card, parole.
Dacă cineva îți construiește automatizări cu AI, întreabă ce furnizor de AI primește datele tale, pe ce abonament, cât timp și unde le păstrează, și cere să vezi DPA-ul.
Ca să vezi unde apar date personale într-unul dintre procesele tale, descrie-l în planul de automatizare gratuit, care include o notă despre datele personale. Lasă numele pe dinafară.
Vrei să discutăm?
Programează o discuție sau povestește-ne în câteva rânduri despre un proces.