Zanim coś udostępnisz: prywatność AI wymaga czegoś więcej niż obietnicy

Wprowadzenie: rozmowa staje się twoim życiem

Otwierasz asystenta AI, żeby napisać trudną odpowiedź. Wklejasz wiadomość, wyjaśniasz relację i dodajesz kilka szczegółów, którymi nie dzieliłeś się nigdzie indziej. Innego dnia przesyłasz umowę, omawiasz niedokończony pomysł albo łączysz swoją skrzynkę odbiorczą, żeby asystent mógł zrozumieć, co wymaga twojej uwagi.

Żadne z tych działań nie sprawia wrażenia publikowania czegokolwiek. Prosisz o pomoc.

A jednak te informacje mogą przechodzić przez infrastrukturę, systemy przechowywania, procesy przeglądu i obowiązki prawne, które z okna rozmowy pozostają w dużej mierze niewidoczne. Asystent może wydawać się osobisty na długo przed tym, zanim sposób obchodzenia się z twoimi danymi rzeczywiście odpowie temu oczekiwaniu.

Moje stanowisko jest proste: prywatność AI nie powinna zależeć wyłącznie od tego, co firma obiecuje zrobić po otrzymaniu twoich informacji. Powinna też zależeć od tego, czemu jej systemy zapobiegają jeszcze zanim dane trafią do modelu. Polityki są ważne. Muszą jednak stać za nimi techniczne zabezpieczenia.

Przygotowałem ten artykuł przy wsparciu zespołu Dvina. Analizuje on udokumentowane incydenty i obecne praktyki w ChatGPT, Claude, Cursor, Perplexity, Manus, Muse od Meta i Dvina. Celem jest wyjaśnienie, dlaczego prywatność musi stać się centralnym priorytetem inżynieryjnym, gdy AI coraz mocniej wkracza w nasze życie — oraz jak Dvina podchodzi do tej odpowiedzialności.

Co mówią nam te incydenty

Obawy nie są hipotetyczne. Ale różne rodzaje dowodów ujawniają różne problemy. Potwierdzone ujawnienie danych, autoryzowany przegląd przez człowieka i zarzut niewłaściwego wykorzystania badań nie powinny być przedstawiane tak, jakby były tym samym zdarzeniem.

Ujawnienie danych w ChatGPT w 2023 roku: awaria samego systemu.

20 marca 2023 roku błąd oprogramowania sprawił, że niektórzy użytkownicy ChatGPT mogli zobaczyć tytuły historii rozmów innego aktywnego użytkownika. OpenAI poinformowało, że w pewnych okolicznościach widoczna mogła być także pierwsza wiadomość nowo utworzonej rozmowy. Dochodzenie firmy wykazało możliwe ujawnienie informacji związanych z płatnościami dotyczących 1.2% subskrybentów Plus aktywnych w określonym dziewięciogodzinnym okresie. Pełne numery kart nie zostały ujawnione. OpenAI załatało błąd i powiadomiło użytkowników, których to dotyczyło. 1

Wniosek nie jest taki, że ta sama podatność nadal pozostaje otwarta. Chodzi o to, że samo zobowiązanie do ochrony prywatności nie może powstrzymać systemu przed zwróceniem informacji niewłaściwej osobie. Znaczenie mają izolacja, kontrole dostępu i ilość możliwych do zidentyfikowania informacji dostępnych do ujawnienia.

Spór sądowy z The New York Times: usunięcie danych zderzyło się z obowiązkiem prawnym.

W 2025 roku OpenAI stanęło wobec nakazu sądowego wymagającego zachowania danych, które w innym przypadku zostałyby usunięte. W październikowej aktualizacji podano, że szeroki obowiązek bezterminowego przechowywania nowych danych zakończył się 26 września 2025 roku, podczas gdy ograniczony historyczny zbiór nadal pozostawał objęty zabezpieczeniem prawnym. Pierwotny wymóg zachowania danych wyłączał niektóre produkty oraz rozwiązania z zasadą zero data retention. 2

Późniejszy rozwój sytuacji należy odczytywać osobno: w grudniu 2025 roku Reuters poinformował, że sędzia nakazał OpenAI przekazanie 20 milionów zanonimizowanych logów czatów w sprawie o prawa autorskie, odrzucając jego zastrzeżenia i opierając się na deidentyfikacji oraz zabezpieczeniach ochronnych. Był to nakaz dowodowy, a nie publikacja prywatnych czatów wszystkich użytkowników w internecie. 3

Łącznie te wydarzenia pokazują, dlaczego ustawienie usuwania nie rozstrzyga wszystkich kwestii dotyczących przechowywanych informacji. Gdy kopia już istnieje, zobowiązania pozostające poza kontrolą użytkownika mogą wpływać na to, co się z nią stanie. Ograniczenie zbędnego przechowywania zmniejsza tę ekspozycję jeszcze przed rozpoczęciem sporu.

Weryfikacja przez człowieka: dostęp może być dozwolony bez naruszenia.

Dokumentacja konsumencka OpenAI wprost dopuszcza ograniczony dostęp przez upoważniony personel i dostawców usług do określonych celów, w tym dochodzeń bezpieczeństwa, wsparcia, kwestii prawnych oraz kwalifikującego się ulepszania modeli. Wytyczne konsumenckie Anthropic dopuszczają, by wyznaczeni pracownicy przeglądali rozmowy w celu egzekwowania zasad użytkowania, przy czym odrębny dostęp wiąże się z wyrażoną zgodą na przekazanie opinii. 4, 8

To udokumentowane ścieżki dostępu, a nie plotki. Nie dowodzą one, że pracownicy czytają każdą rozmowę. Dowodzą natomiast, że interfejs czatu, który sprawia wrażenie prywatnego, nie musi stanowić technicznej bariery przed dostępem po stronie dostawcy.

Obecna dokumentacja Anthropic dodaje ważny przykład po stronie biznesowej. Wyznaczone Covered Models wymagają 30-dniowego przechowywania danych w niektórych wdrożeniach, które wcześniej korzystały z zero data retention, z kontrolowaną weryfikacją przez człowieka i wyjątkami. Zasada ta ma granice związane z modelem, platformą i kwalifikowalnością; nie jest to ogólna zmiana dotycząca każdego produktu Claude. Plany konsumenckie opisano jako nieobjęte zmianą, ponieważ te powierzchnie już przechowują dane wejściowe i wyjściowe. 9

Monitorowanie bezpieczeństwa ma uzasadniony cel. Wyzwanie inżynieryjne polega na realizacji tego celu przy jednoczesnym minimalizowaniu ilości wrażliwych informacji dostępnych dla systemów monitorujących i osób dokonujących przeglądu. Uzasadnienie związane z bezpieczeństwem nie sprawia, że kwestia prywatności znika.

Kontrowersja matematyczna: nierozstrzygnięty zarzut, realny problem zaufania

Kontrowersja z września 2026 roku wokół ogłoszenia OpenAI dotyczącego Naviera–Stokesa wzbudziła inną obawę: co dzieje się wtedy, gdy asystent pomagający w prywatnych badaniach należy do firmy prowadzącej własne badania?

Spór dotyczył nieopublikowanej pracy matematycznej i przypisania zasług. Doniesienia opisywały, jak matematycy Tristan Buckmaster i Levent Alpöge korzystali w swojej pracy z narzędzi AI, a Buckmaster podawał w wątpliwość, czy ich prywatne materiały mogły przyczynić się do wyniku OpenAI. 10

OpenAI kwestionuje tę wersję wydarzeń. W opublikowanej odpowiedzi firma stwierdza, że ani jej badacze, ani jej przedstawiciele nie widzieli pracy tej dwójki przed publikacją. W aktualizacji z datą 10 września dodano ponadto, że dochodzenie wykluczyło jakikolwiek wpływ promptów Buckmastera w Codexie z poprzednich dwóch miesięcy, w tym poprzez trening. To ograniczone czasowo stwierdzenie jest bardziej precyzyjne niż wcześniejsza wersja przedstawiona w części doniesień. 11

Publiczne relacje pozostają sporne. Źródła przeanalizowane tutaj nie potwierdzają niezależnie, że OpenAI wykorzystało te prywatne rozmowy do uzyskania swojego wyniku.

Spór ten mimo wszystko ujawnia pytanie, na które warto odpowiedzieć jasno: gdy ludzie powierzają AI niedokończoną pracę, co chroni informacyjną wartość tej pracy? Usunięcie nazwiska autora z dowodu nie usuwa samego dowodu. Deidentyfikacja strategii komercyjnej nie czyni z niej dobra publicznego.

Dlatego silna ochrona prywatności wymaga zabezpieczeń zarówno tożsamości, jak i treści. Użytkownicy powinni móc zrozumieć, czy ich materiały mogą trafić do procesów treningu, badań, ewaluacji lub przeglądu — oraz jakie techniczne mechanizmy wymuszają te granice.

Cztery pytania, których nigdy nie należy sprowadzać do jednego

Znaczna część zamieszania bierze się z traktowania „prywatności” jako jednej właściwości. W praktyce o tym, co dzieje się z rozmową, decydują cztery odrębne pytania.

Trening: Czy treść może pomóc w rozwijaniu lub ulepszaniu modelu? Rezygnacja zmienia jeden z dozwolonych sposobów wykorzystania informacji. Niekoniecznie zmienia jednak to, czy informacja została przesłana lub zapisana.

Dostęp: Które systemy i które osoby mogą ją przeglądać? Szyfrowanie podczas transmisji i przechowywania jest ważne, ale nie zapobiega automatycznie temu, by uprawniona usługa odszyfrowała treść na potrzeby przetwarzania lub przeglądu.

Przechowywanie: Co pozostaje, gdzie i jak długo? Usunięcie czatu z interfejsu, skasowanie rekordów produkcyjnych, wygaśnięcie kopii zapasowych i wyłączenie danych z przyszłego treningu to różne operacje.

Działania: Co połączony asystent może odczytać, zmienić lub wysłać? Gdy może już działać w obrębie Twoich kont, prywatność zależy także od uprawnień i kontroli nad danymi wychodzącymi.

Przydatne porównanie prywatności powinno rozdzielać te pytania. Płatna subskrypcja, przełącznik szkolenia lub etykieta zadania prywatnego nie mogą odpowiedzieć na wszystkie cztery.

Jak wypadają te usługi na tle siebie

Poniższa tabela koncentruje się na użyciu indywidualnym, chyba że wskazano inny zakres. Podsumowuje przeanalizowaną dokumentację, a nie wyniki niezależnego audytu bezpieczeństwa.

Usługa	Podejście do szkolenia	Osobna granica, którą trzeba zrozumieć
ChatGPT	Treści indywidualne mogą być wykorzystywane do ulepszania; mechanizmy kontroli wykluczają nowe rozmowy i zadania Codex. Temporary Chat jest wyłączony. 4, 5	Autoryzowany dostęp i retencja pozostają odrębnymi kwestiami. Codex ma też osobne ustawienie szkolenia dla pełnego środowiska.
Claude	Ulepszanie modelu konsumenckiego zależy od wyboru użytkownika; opinie i zastosowania związane z bezpieczeństwem podlegają odrębnym zasadom. Incognito jest wyłączone z ogólnego ulepszania. 6	Nadal obowiązują wyjątki dotyczące przeglądu i retencji. Niektóre komercyjne Covered Models mają dodatkowe wymogi retencji. 7–9
Cursor	Privacy Mode wyklucza dane klienta ze szkolenia Cursor i opisuje uzgodnienia z dostawcami dotyczące braku retencji, z zastrzeżeniem wskazanych wyjątków. 12	Żądania nadal przechodzą przez backend Cursor. Znaczenie mają dochodzenia dotyczące nadużyć, buforowanie i powiadomienia specyficzne dla modeli.
Perplexity	Zbieranie danych do szkolenia konsumenckiej AI jest domyślnie włączone, także w Pro i Max; użytkownicy mogą zrezygnować z niego na przyszłość. 13	Rezygnacja nie zatrzymuje przetwarzania na potrzeby działania usługi ani zgodności z prawem. Warunki Enterprise są inne.
Manus	Dokumentacja Team wymienia możliwość rezygnacji ze szkolenia; w ramach tego przeglądu nie udało się zweryfikować ostatecznej zasady szkolenia dla planu indywidualnego. 15	Domyślna prywatność zadań indywidualnych opisuje widoczność udostępniania, a nie pełne ograniczenie wykorzystania przez dostawcę. 14
Meta’s Muse	Dokumentacja startowa opisuje domyślne szkolenie na zanonimizowanych danych interakcji, z możliwością rezygnacji. 16	Anonimizacja przed szkoleniem to nie to samo co maskowanie przed inferencją. Ograniczenia operatora w momencie startu różnią się od planowanego Confidential VM.
Dvina	Rozmowy, pliki, prompty i dane przestrzeni roboczej nie są wykorzystywane do szkolenia modeli AI. 17, 18	Automatyczne maskowanie dotyczy wcześniejszej granicy: wykryte identyfikatory osobowe są zastępowane przed przetwarzaniem przez model.

Poniższe szczegóły wyjaśniają, gdzie te rozróżnienia stają się istotne w codziennym użyciu.

ChatGPT i Claude: podjęte działanie zmienia regułę.

OpenAI pozwala użytkownikom wyłączyć szkolenie bez usuwania zwykłej historii czatu. Temporary Chat dodatkowo zmienia sposób obsługi rozmowy, ale jego dokumentacja nadal dopuszcza przegląd pod kątem nadużyć i opisuje 30-dniowy okres usunięcia. Użytkownicy Codex powinni też odróżniać ustawienie treści dla całego konta od osobnego ustawienia dla pełnego środowiska. 4, 5

W przypadku Claude na szczególną uwagę zasługują opinie. Anthropic twierdzi, że kliknięcie kciuka w górę, kciuka w dół lub zgłoszenie błędu może wiązać się z przechowywaniem powiązanej rozmowy przez maksymalnie pięć lat i wykorzystywaniem jej do celów obejmujących szkolenie modelu. Włączenie ogólnego ulepszania modelu pozwala też, by kwalifikujące się materiały pozbawione identyfikatorów pozostawały w pipeline’ach szkoleniowych przez maksymalnie pięć lat. Nie są to te same zasady co zwykłe usuwanie czatu. 6, 7

W efekcie jedna osoba może podejmować kilka decyzji dotyczących prywatności w obrębie jednego produktu, nie zdając sobie sprawy, że są to odrębne decyzje. Projekt produktu powinien jasno pokazywać te różnice w miejscu użycia.

Cursor i Perplexity: etykieta produktu nie jest granicą przetwarzania.

Privacy Mode w Cursor wprowadza istotne ograniczenia dotyczące szkolenia i retencji po stronie dostawców. Nie sprawia jednak, że edytor działa wyłącznie lokalnie: Cursor podaje, że żądania nadal przechodzą przez jego backend, nawet przy kluczu API dostarczonym przez użytkownika. Dokumentacja opisuje też tymczasowe szyfrowane buforowanie plików oraz wyjątki związane z dochodzeniami dotyczącymi nadużyć lub wyznaczonymi modelami. 12

Perplexity pokazuje inne rozróżnienie. Jego konta Free, Pro i Max podlegają konsumenckim mechanizmom kontroli szkolenia, przy czym zbieranie danych jest domyślnie włączone. Opublikowana rezygnacja dotyczy danych zbieranych później, a nie wstecznego usunięcia wcześniejszych danych szkoleniowych. Wykupienie osobistej subskrypcji nie czyni z niego konta Enterprise. 13

W obu przypadkach istotne pytanie brzmi: co zmienia wybrany tryb i typ konta — a nie to, co zdaje się sugerować nazwa produktu.

Manus i Muse: prywatne przestrzenie robocze nadal potrzebują wyraźnych granic.

Manus podaje, że zadania indywidualne są prywatne, chyba że zostaną udostępnione. Jego dokumentacja Team wyjaśnia też, że właściciele mogą uzyskiwać dostęp do treści sesji zespołu. To użyteczne zasady widoczności, ale nie ustanawiają one polityki szkolenia dla planu indywidualnego. W ramach tego przeglądu nie udało się pobrać pełnej strony prywatności Manus, więc ta kwestia pozostaje niezweryfikowana, zamiast być uzupełniana na podstawie innego planu. 14, 15

Dokumentacja startowa Muse jest wyjątkowo jednoznaczna, jeśli chodzi o różnicę między ograniczeniami operacyjnymi a technicznym uniemożliwieniem dostępu. Meta twierdzi, że Secure VM dostępny przy starcie ogranicza dostęp personelu za pomocą polityk, ale nie uniemożliwia dostępu, gdy jest on potrzebny do obsługi, wsparcia lub zabezpieczenia usługi. Confidential VM, który ma kryptograficznie uniemożliwiać dostęp operatora, został opisany jako rozwiązanie planowane i testowane w ograniczonym zakresie. Planowane zabezpieczenie nie powinno być traktowane tak, jakby było już dostępne dla wszystkich. 16

Muse trzyma też rzeczywiste dane uwierzytelniające konektorów z dala od swojego głównego agenta i umieszcza zatwierdzanie działań pod odrębnym organem uprawnień. To ilustruje cenną zasadę: agent nie powinien otrzymywać sekretu ani uprawnienia tylko dlatego, że mogłoby to być wygodne. 16

Przenieś ochronę do punktu przed ekspozycją

Wykluczenie ze szkolenia reguluje sposób wykorzystania danych. Maskowanie zmienia dane dostępne do przetwarzania. Ograniczona retencja zmniejsza liczbę kopii, które pozostają. Kontrole uprawnień ograniczają to, co agent może zrobić. Te zabezpieczenia się uzupełniają, a etap, na którym każde z nich działa, ma znaczenie.

Rozważmy prosty przykład: napisanie wiadomości follow-up do klienta pod konkretny adres e-mail. Model może potrzebować celu, tonu i istotnych ustaleń. Może natomiast nie potrzebować prawdziwego imienia i nazwiska klienta ani jego adresu, by przygotować treść wiadomości. Zastąpienie wykrytych identyfikatorów placeholderami przed inferencją ogranicza zakres danych, które trafiają do modelu, a jednocześnie zachowuje użyteczną strukturę zadania.

To co innego niż wysłanie oryginalnego tekstu i obietnica usunięcia identyfikatorów dopiero przed jakimś późniejszym użyciem.

Ta sama zasada wykracza poza identyfikatory osobowe. Poufne badania wymagają kontroli nad samą treścią badawczą; połączone konta wymagają ściśle ograniczonych uprawnień; przechowywane rekordy wymagają określonych okresów retencji i egzekwowalnych ograniczeń dostępu. Maskowanie tożsamości jest jednym z elementów takiego projektu, a nie substytutem ochrony istoty wynalazku czy dokumentu.

W całej branży prowadzone są istotne prace w tym obszarze. OpenAI udostępniło lokalnie uruchamialny Privacy Filter w kwietniu 2026 roku, a dokumentacja Meta Muse opisuje izolację techniczną oraz rozwijany, silniejszy model confidential computing. Działania te wzmacniają argument za wbudowaniem prywatności w sam system. Samo wydanie narzędzia lub publikacja roadmapy nie stanowi jednak jeszcze dowodu, że każda rozmowa konsumencka już dziś otrzymuje odpowiadającą temu ochronę. 16, 19

Standardem powinna być ochrona, jaką dana osoba otrzymuje w produkcie, z którego korzysta dzisiaj.

Dvina: prywatność jako część zwykłej interakcji

Podejście Dvina wprowadza tę wcześniejszą ochronę bezpośrednio do doświadczenia korzystania z asystenta. Zgodnie z udokumentowanym projektem system lokalnie wykrywa wrażliwe dane osobowe, gdy użytkownicy piszą lub przesyłają treści, szyfruje wykryte dane osobowe i podstawia placeholdery przed przetwarzaniem przez model. Model pracuje na tych placeholderach, a nie na oryginalnych wykrytych identyfikatorach. 17, 18

Różnica ma praktyczne znaczenie. Użytkownik nie powinien przerywać każdego zadania, by ręcznie usuwać nazwiska i dane kontaktowe, ani polegać wyłącznie na obietnicy dotyczącej tego, co stanie się po tym, jak model już je otrzyma. Ochrona powinna towarzyszyć samej interakcji.

Dvina wyklucza też rozmowy użytkowników, pliki, prompty i dane przestrzeni roboczej z trenowania modeli. To połączenie ma znaczenie: zobowiązanie do niewykorzystywania danych do treningu ogranicza ich ponowne użycie, podczas gdy ochrona na etapie pre-processingu ogranicza ilość danych osobowych ujawnianych modelowi już na samym początku. 17, 18

To podejście wspierają również inne warstwy. Dvina opisuje szyfrowane przechowywanie rozmów, rozdzielenie między zapisanymi wiadomościami a tożsamością użytkownika oraz hosting danych w UE z ochroną na poziomie GDPR. Każdy z tych elementów dotyczy innej części procesu przetwarzania, zamiast przerzucać cały ciężar na jedno ustawienie dotyczące treningu. 17, 18

To rozróżnienie techniczne jest precyzyjne: wykryte identyfikatory osobowe są zastępowane w danych wejściowych modelu, podczas gdy otaczający je kontekst zadania pozostaje dostępny do przetworzenia. Prywatność staje się częścią przepływu danych, a nie tylko preferencją, o której użytkownicy muszą pamiętać i którą muszą samodzielnie zarządzać.

Dla mnie to bardziej użyteczny kierunek rozwoju AI: pozwolić ludziom wnosić do pracy istotny kontekst, a jednocześnie projektować system tak, by ujawniał mniej ich tożsamości, niż wymaga dane zadanie.

Wniosek: prywatność zdecyduje o tym, jak daleko ludzie wpuszczą AI do swojego życia

Asystenci AI stają się bardziej użyteczni, im lepiej rozumieją nasze okoliczności. To tworzy odpowiedzialność za ochronę informacji stojących za tym zrozumieniem. Proszenie ludzi o szerszy dostęp przy jednoczesnym oferowaniu jedynie kolejnej strony z ustawieniami nie jest wystarczającą odpowiedzią.

Dostępne dowody wskazują na kilka odrębnych rodzajów ryzyka. Oprogramowanie może ujawniać dane między kontami. Przechowywane rozmowy mogą stać się przedmiotem żądań prawnych. Autoryzowany przegląd może istnieć bez naruszenia bezpieczeństwa. Spory dotyczące prywatnych badań mogą podważać zaufanie, nawet jeśli zarzut nie został niezależnie potwierdzony.

Te ryzyka wymagają pracy inżynieryjnej, a nie tylko lepszego sformułowania komunikatów. Wykrywanie danych wrażliwych, ochrona na etapie pre-processingu, rozdzielenie tożsamości, ograniczona retencja i egzekwowalne uprawnienia powinny otrzymywać stałą uwagę jako podstawowe zdolności bezpieczeństwa AI. Użyteczność asystenta i ochrona jego użytkownika muszą rozwijać się równolegle.

W Dvina pomagamy nadawać ton tej zmianie, czyniąc ochronę przed przetwarzaniem przez model częścią fundamentu produktu. Ambicją nie jest proszenie o większe zaufanie za pomocą mocniejszych deklaracji. Chodzi o to, by ograniczyć, jak wiele zaufania musi opierać się wyłącznie na obietnicy.

Ludzie powinni móc szukać pomocy, rozwijać pomysł i dzielić się kontekstem potrzebnym, by pójść naprzód, bez traktowania każdej rozmowy jak potencjalnego zrzeczenia się prywatności. Budowanie takiego poczucia bezpieczeństwa to jedno z najważniejszych zadań stojących dziś przed AI.

Źródła i zakres

Źródła przeanalizowano 22 September 2026. Artykuł opiera się na dokumentacji dostawców i materiałach reporterskich z przypisaniem źródeł; nie stanowi niezależnego audytu bezpieczeństwa. Główny zakres porównania obejmuje plany indywidualne. Wyjątki dotyczące ofert komercyjnych, API i konkretnych modeli zostały wskazane osobno. Sekcja matematyczna rozróżnia zgłaszane obawy od zaktualizowanej odpowiedzi OpenAI; żadna z tych kwestii nie jest przedstawiana jako niezależne ustalenie. Zasada Manus dotycząca trenowania w planie indywidualnym pozostaje niezweryfikowana, ponieważ nie udało się pobrać pełnej polityki prywatności.