Jeżeli jedna osoba podłącza do konsumenckiego AI system zawierający dane setek lub tysięcy innych ludzi, czy treść może stać się materiałem do ulepszania przyszłych modeli – mimo że osoby opisane w tych danych nigdy nie wybrały AI i nie wiedzą o takim wykorzystaniu?
01 / Pytanie, od którego wszystko się zaczyna
Czy karmimy AI danymi finansowymi?
Tak – jeżeli przez „karmienie” rozumiemy przekazanie danych do kontekstu i infrastruktury systemu AI. Najpoważniejsza hipoteza tego tekstu zaczyna się jednak krok dalej: co, jeśli te dane zostaną użyte do trenowania albo dalszego dostrajania modelu? Wtedy przestają być tylko treścią jednej rozmowy. Mogą wpłynąć na parametry systemu, który później odpowiada milionom użytkowników.
Nawet gdy dostawca deklaruje brak treningu, dane mogą zostać odczytane przez usługę, znaleźć się w historii rozmowy, logach bezpieczeństwa, systemach monitorowania albo u podwykonawców. Zakres zależy od produktu, planu, ustawień i umowy. Dla człowieka opisanego w CRM-ie, dokumentacji medycznej, aktach pracowniczych, szkolnym systemie albo fakturze najważniejsze jest jednak coś prostszego: jego dane opuściły system źródłowy, choć to nie on nacisnął „Pozwól”.
Najpierw pytamy, czy AI dobrze odpowie. Ja pytam krok wcześniej: czyje dane właśnie dostało – i kto zgodził się na tę rozmowę?
Przemek. PIANO
To nie jest tekst przeciwko AI. To apel przeciwko niewidzialnemu przepływowi danych: wygodnemu dla osoby obsługującej narzędzie, niewidocznemu dla osoby, której informacje właśnie stały się treścią zapytania.
02 / Cudza decyzja, Twoje dane
Nie musisz używać AI, żeby Twoje dane trafiły do AI.
System firmowy lub publiczny nie opisuje wyłącznie osoby, która ma do niego login. CRM zawiera klientów i kontakty. Kadry – pracowników i kandydatów. System medyczny – pacjentów. Szkoła – dzieci i rodziców. Urząd – obywateli. Program do faktur – kontrahentów, rachunki, adresy, NIP-y i historię płatności. Jedno kliknięcie użytkownika może więc otworzyć drzwi do danych wielu ludzi.
Nie wybierają asystenta używanego przez firmę, choć system opisuje ich relacje, zakupy, płatności i kontakt.
Nie musi używać AI, aby jego objawy, leczenie lub terminy znalazły się w narzędziu wybranym przez placówkę.
Dokumenty mogą ujawniać wynagrodzenie, ocenę pracy, absencje, kompetencje i historię zatrudnienia.
Instytucja może przetwarzać ich dane w AI, choć nigdy nie założyli konta u dostawcy modelu.
Potwierdza, kto uruchomił integrację. Nie dowodzi automatycznie, że każda osoba, której dane znajdują się w dokumentach, została poinformowana, że zakres jest niezbędny ani że wybrany dostawca AI jest właściwy dla tego celu.
03 / Porządek w słowach
„Karmienie modelu” to trzy różne zjawiska.
| Zjawisko | Co się dzieje | O co trzeba zapytać |
|---|---|---|
| Kontekst zapytania | Model otrzymuje dane, aby przygotować odpowiedź w tej rozmowie. | Jakie pola wysyłamy i czy są potrzebne do celu? |
| Retencja i obsługa usługi | Treść może pozostać w historii, kopiach bezpieczeństwa, logach lub systemach kontroli nadużyć. | Jak długo, gdzie, kto ma dostęp i jak dane usunąć? |
| Trening i ulepszanie | Dane mogą – zależnie od produktu, ustawień i warunków – służyć do poprawy modeli lub usługi. | Czy dotyczy to tego produktu i planu, czy można to wyłączyć i co stanowi umowa? |
OpenAI pozwala użytkownikom produktów konsumenckich wyłączyć użycie nowych rozmów do ulepszania modeli, a dla produktów biznesowych deklaruje brak treningu na danych klienta domyślnie. Anthropic podobnie rozdziela produkty konsumenckie i komercyjne.567
Zdanie „model na pewno nauczy się moich faktur” jest więc zbyt szerokie. Zdanie „dane mogą trafić do infrastruktury dostawcy AI, a ich dalszy los zależy od konkretnego produktu i zasad” jest precyzyjne – i wystarczająco poważne.
Hipoteza ma techniczny fundament. Badacze pokazali, że modele językowe potrafią zapamiętywać fragmenty danych treningowych, a część takich treści można później odzyskać przez odpowiednio skonstruowane zapytania. Demonstracje obejmowały m.in. dane identyfikujące, rozmowy i inne sekwencje pochodzące ze zbiorów treningowych. Nie dowodzi to, że każdy rekord zostanie zapamiętany ani że zwykłe pytanie ujawni go od razu. Dowodzi, że odtworzenie danych treningowych nie jest wyłącznie literacką dystopią.1314
04 / Bezpiecznik, nie peleryna-niewidka
„Tylko do odczytu” nie znaczy „tylko do oglądania”.
Tryb tylko do odczytu jest ważny: chroni integralność systemu. Asystent nie powinien utworzyć, zmienić ani skasować faktury. Nie chroni jednak automatycznie poufności. Żeby odpowiedzieć, narzędzie musi odczytać dane i przekazać wynik dalej.
- System źródłowyPrzechowuje faktury, klientów i rozliczenia.
- Integracja lub APIPobiera wybrane dane po autoryzacji.
- Klient AIWkłada wynik do kontekstu rozmowy.
- Dostawca modeluPrzetwarza treść według zasad konkretnej usługi.
Bezpieczny transport mówi, że paczka dotarła do właściwego adresata. Nie odpowiada na pytanie, czy należało ją wysłać, co adresat zrobi z zawartością i czyją własnością była.
Dlatego pytanie o bezpieczeństwo integracji i pytanie o dalsze przetwarzanie danych muszą stać obok siebie. OAuth, szyfrowanie i cofnięcie tokenu są potrzebne. Nie są odpowiedzią na retencję, lokalizację danych, trening ani prawa osób, których dane znalazły się w wyniku.
05 / Skala robi różnicę
Kiedy model będzie miał dość danych, aby odpowiadać z dużą precyzją?
Nie istnieje jedna liczba rekordów, po której model nagle „wie”. Trafność zależy nie tylko od rozmiaru całego zbioru, lecz od tego, ile wiarygodnych i możliwych do połączenia informacji dotyczy konkretnej osoby. Milion anonimowych wpisów może powiedzieć o niej mniej niż kilkanaście dokumentów zawierających to samo nazwisko, adres, e-mail, numer telefonu, NIP lub inne stabilne identyfikatory.
Ile osób i jak wiele obszarów ich życia opisuje zbiór: pracę, zdrowie, zakupy, relacje, majątek, edukację.
Czy rekordy z różnych źródeł da się przypisać do tej samej osoby za pomocą identyfikatorów i kontekstu.
Powtarzające się informacje oraz trafnie sformułowane pytanie zwiększają szansę odtworzenia zapamiętanej treści.
Pojemność modelu, sposób treningu, deduplikacja, filtry odpowiedzi i testy prywatności zmieniają poziom ryzyka.
Badania nie wyznaczają uniwersalnego progu, ale pokazują kierunek: zapamiętywanie rośnie wraz z pojemnością modelu, liczbą powtórzeń przykładu i ilością kontekstu w zapytaniu. W obrębie badanych rodzin większe modele zapamiętywały więcej niż mniejsze. To oznacza, że odpowiedź może stać się trafna stopniowo – albo dla części osób skokowo – zanim ktokolwiek ogłosi, że przekroczono bezpieczną granicę.17
Dostawca modelu musiałby badać pokrycie danych, możliwość łączenia tożsamości, zapamiętywanie, ekstrakcję i trafność dla poszczególnych grup. Sam użytkownik nie zobaczy kontrolki „model zna już 73% życia tej osoby”. Brak takiej kontrolki nie oznacza braku wiedzy w modelu.
Wyobraźmy sobie scenę z niedalekiej przyszłości. Pani w urzędzie ma kolejkę, trzy systemy, siedem okien i termin „na wczoraj”. Ktoś pokazuje jej asystenta, który w kilka sekund podsumuje sprawę obywatela. Wygoda jest prawdziwa. Presja też. A człowiek po drugiej stronie okienka nawet nie wie, że właśnie został częścią promptu.
Teraz podnieśmy stawkę. Rządzący, zachwyceni slajdem numer 47 pod tytułem „AI + KSeF = administracja 5.0”, wpadają na pomysł, aby danymi z faktur „ulepszyć” model dla administracji. KSeF jest oficjalnym systemem wystawiania, przesyłania, odbierania i przechowywania faktur ustrukturyzowanych, więc hipotetyczny zbiór treningowy miałby skalę nieporównywalną z pojedynczym kontem firmy.11
Dlatego zdanie „ile zarabia mój znajomy z Facebooka?” jest prowokacją, ale nie fantazją bez mechanizmu. Facebook byłby tu tylko miejscem, z którego znam imię, nazwisko i relację. Hipoteza zakłada, że oznaczone danymi konkretnej osoby dokumenty finansowe trafiły wcześniej do treningu modelu. Późniejsze pytanie mogłoby uruchomić jeden z dwóch niebezpiecznych mechanizmów: odtworzenie zapamiętanego fragmentu albo wygenerowanie wniosku na podstawie poznanych powiązań. Badania nad ekstrakcją danych treningowych pokazują, że pierwszy mechanizm jest możliwy; RODO traktuje automatyczną ocenę lub przewidywanie sytuacji ekonomicznej człowieka jako profilowanie.81213
Nie wyszukiwarka. Wyuczony model.
- „Ile zarabia mój znajomy z Facebooka?”Model mógł wcześniej zobaczyć faktury, rozliczenia albo inne dokumenty przypisane do tej osoby.
- „Z kim współpracuje ta osoba?”Relacje biznesowe mogą zostać odtworzone lub wywnioskowane z kontrahentów, powtarzających się transakcji i treści dokumentów.
- „Jakie nieruchomości posiada ta osoba?”Jeżeli dane o własności, adresach, umowach lub finansowaniu trafiły do zbioru treningowego, model może próbować powiązać je z nazwiskiem.
W tej hipotezie model nie otwiera wyszukiwarki i nie odpytuje rejestru w czasie rzeczywistym. Generuje odpowiedź z wzorców i fragmentów zakodowanych w jego parametrach podczas treningu. Dla pytającego rezultat może wyglądać tak samo jak odnaleziony rekord – choć w rzeczywistości może być wiernym odtworzeniem, niepełnym wnioskiem albo halucynacją.1314
Ważne sprostowanie: model nie jest bazą danych, nie zapamiętuje każdego rekordu i może odpowiedzieć błędnie. Suma faktur, przychód, obrót, dochód i wynagrodzenie również nie są tym samym. Przyszły klient AI mógłby więc ujawnić prawdziwy fragment danych, stworzyć przybliżony profil albo po prostu przekonująco zmyślić. Z perspektywy człowieka każda z tych możliwości niesie inne, ale realne ryzyko.
Nie twierdzę, że KSeF przekazuje dziś faktury do treningu modelu ani że ChatGPT zna zarobki wskazanej osoby. Pytam, jakie konsekwencje może mieć normalizacja zasilania modeli danymi finansowymi, jeśli podobna praktyka zostanie kiedyś zastosowana na dużą skalę.
W takim projekcie pytania powinny pojawić się przed demonstracją: czy dane w ogóle mogą służyć do treningu, jak są anonimizowane, czy identyfikatory naprawdę usunięto, jak bada się zapamiętywanie, jak zapobiega się odtwarzaniu rekordów, jak usuwa się wpływ danych z już wytrenowanego modelu i jak obywatel dowie się o takim wykorzystaniu. Jeśli te odpowiedzi trafiają dopiero na slajd 48, prezentacja ma złą kolejność.
06 / Prawo nie jest urządzeniem sieciowym
RODO tutaj pomoże. Ale nie tak, jak chcielibyśmy wierzyć.
RODO wymaga legalności, przejrzystości, minimalizacji, ograniczenia celu, bezpieczeństwa i rozliczalności. Może wymagać umowy powierzenia, oceny ryzyka, oceny skutków, podstawy transferu i realizacji praw osoby. To realne obowiązki i realne środki ochrony.8
Ale RODO nie jest firewallem. Nie zatrzyma technicznie zapytania wysłanego z prywatnego konta. Nie wyciągnie danych z już zapisanej historii jednym zaklęciem. Nie sprawi, że model lokalny i konsumencki chatbot staną się tym samym produktem. Prawo pomaga ocenić, zapobiegać, dochodzić praw i wyciągać konsekwencje – nie zastępuje architektury, konfiguracji ani ludzkiej decyzji.
Regulacja spotyka człowieka w chwili emocji. Ciekawość: „zobaczmy, co AI powie”. Pośpiech: „raport jest potrzebny na już”. Zaufanie: „przecież jest OAuth i tryb tylko do odczytu”. Satysfakcja, kiedy pierwsza odpowiedź działa. W takim momencie użytkownik nie musi świadomie wybrać treningu – wystarczy, że nie wie o domyślnym ustawieniu ukrytym w innym miejscu. RODO może wymagać przejrzystości, minimalizacji i rozliczalności, ale bez edukacji, polityki organizacji oraz bezpiecznej wartości domyślnej nie powstrzyma kliknięcia.
| RODO może wymagać | RODO nie wykona za nas |
|---|---|
| Jasnego celu, podstawy prawnej i minimalnego zakresu. | Automatycznego usunięcia zbędnych pól przed wysłaniem. |
| Informowania osób i rozliczalności administratora. | Wyświetlenia informacji człowiekowi, jeśli projekt jej nie przewidział. |
| Oceny dostawców, transferów i zabezpieczeń. | Wyboru właściwego planu AI ani konfiguracji retencji. |
| Reakcji na incydent i realizacji praw osoby. | Technicznego cofnięcia wszystkich kopii u wielu podmiotów jednym kliknięciem. |
„Mamy RODO” nie jest odpowiedzią, podobnie jak „mamy regulamin”. Pytanie brzmi: jak obowiązki zostały zamienione na ograniczenia techniczne, instrukcje, audyt i prawdziwą informację dla ludzi?
07 / Ryzyka bez science fiction
Co naprawdę może pójść źle?
- Ujawnienie danych osoby trzeciejUżytkownik pyta o własny biznes, lecz odpowiedź zawiera dane kontrahenta, pracownika albo klienta.
- Niewłaściwy produkt AIKonto konsumenckie i firmowe mogą mieć inne warunki, retencję, kontrolę administratora i zasady ulepszania modeli.
- Domyślne ustawienie wygrywa z uwagąUżytkownik skupia się na działającej funkcji, a nie na przełączniku treningu znajdującym się w osobnej części ustawień konta.
- Emocja zamienia test w produkcjęCiekawość, presja czasu lub zachwyt pierwszą odpowiedzią sprawiają, że prawdziwe dane pojawiają się wcześniej niż procedura.
- Rozmowa staje się drugim archiwumDane z bezpiecznego systemu zaczynają żyć w historii czatu, eksportach i kopiach.
- Zbyt szeroka autoryzacjaCel wymaga sumy, a narzędzie może pobrać identyfikatory, adresy, rachunki lub pełne rekordy.
- Łańcuch narzędzi rośnieKlient AI, model, wtyczka, monitoring i podwykonawcy tworzą więcej miejsc przetwarzania niż widzi użytkownik.
- Łączenie zbiorów i profilowanieInformacja niewinna w jednym systemie może po dopasowaniu do danych z innego źródła ujawnić relacje, zachowania albo przewidywaną sytuację ekonomiczną konkretnej osoby.
- Zapamiętanie danych treningowychNie każdy rekord zostanie utrwalony, lecz badania pokazują, że niektóre sekwencje można później odtworzyć z modelu za pomocą zapytań.
- Fałszywa odpowiedź brzmiąca jak wyciekModel może pomylić obrót z dochodem albo całkowicie zmyślić kwotę, a odbiorca i tak potraktuje ją jak informację wydobytą z faktur.
- Brak audytu organizacjiPo miesiącu nikt nie potrafi powiedzieć, kto pytał, o jakie dane, w jakim celu i z którego konta.
- Fałszywe poczucie bezpieczeństwa„Read-only”, kłódka i zielony komunikat zostają odebrane jako gwarancja całego dalszego życia danych.
- Normalizacja bez namysłuPierwsza integracja jest wyjątkiem, piąta staje się zwyczajem, a setna – infrastrukturą publiczną.
Nie twierdzę, że jeden rekord użyty w treningu natychmiast staje się publiczną wiedzą wyszukiwalną przez każdego. Twierdzę, że po użyciu danych do treningu przestajemy kontrolować je tak prosto jak rekord w tabeli, a nauka zna już przypadki odtwarzania treści ze zbiorów treningowych. To wystarczy, aby zapytać o przyszłe konsekwencje przed pierwszym, niewinnym „ulepszmy tym model”.
08 / Fakturownia — studium przypadku 1 z 3
Na naszym podwórku techniczna droga już istnieje.
Fakturownia dodała integrację MCP, dzięki której asystent AI może odpowiadać na pytania o faktury, klientów i rozliczenia. To praktyczna funkcja: zamiast eksportu i ręcznego liczenia użytkownik pyta zwykłym językiem. Jest zarazem lokalnym studium przypadku większego zjawiska: jedna osoba może przekazać asystentowi informacje o setkach kontrahentów, którzy nie uczestniczą w konfiguracji.12
Potocznie można powiedzieć, że użytkownik „podpina się przez API”, lecz dokładniej: klient AI łączy się ze zdalnym serwerem MCP Fakturowni przez HTTP. Użytkownik nie wkleja tokenu API. Właściciel konta sam dodaje adres zakończony /mcp, loguje się do Fakturowni przez OAuth, ogląda ekran zgody i klika „Pozwól”. Dopiero potem asystent może wywołać narzędzie i pobrać dane.2
- Dodaje serwer MCPW ustawieniach klienta AI wpisuje adres własnego konta Fakturowni zakończony „/mcp”.
- Loguje się jako właścicielFakturownia otwiera własny ekran logowania i sprawdza rolę użytkownika.
- Kliknięciem udziela zgodyNa ekranie OAuth widzi aplikację i funkcje, którym pozwala czytać dane.
- Zadaje pytanieKlient AI pobiera wynik i umieszcza go w kontekście rozmowy z modelem.
Z odpowiedzi przekazanej rekacji PIANO wynika, że Fakturownia sprawdza uprawnienia i zwraca zamknięty zestaw pól. Następnie klient MCP wkłada wynik do kontekstu modelu. W tym momencie dane trafiają do infrastruktury wybranego dostawcy AI – chyba że używany jest model lokalny.4
Zakres jest ograniczony, ale nie błahy. Narzędzie dotyczące klienta może zwrócić m.in. NIP, kontakt, adres, bank, rachunek i pole uwag. To wystarczy, aby integrację traktować jak dostęp do systemu finansowego, a nie jak niewinny gadżet do czatu.
09 / Fakturownia – studium przypadku 2 z 3
Czy ChatGPT może użyć tych danych do treningu?
Na konsumenckim koncie – może, jeśli odpowiednie ustawienie pozostaje włączone. Aktualna dokumentacja OpenAI mówi, że w planach Free, Plus, Go i Pro informacje pobrane z aplikacji mogą służyć do trenowania modeli, gdy opcja „Improve the model for everyone” jest aktywna. W osobistych przestrzeniach Free, Plus i Pro udostępnianie danych jest domyślnie włączone; użytkownik może je wyłączyć w Profil → Settings → Data Controls.1516
| Produkt lub plan | Własne połączenie MCP | Trening na przekazanych treściach |
|---|---|---|
| ChatGPT Free | Nie – aktualna tabela planów nie udostępnia „Custom (MCP)”. | Udostępnianie rozmów jest domyślnie włączone, ale Fakturowni nie da się podłączyć jako własnego MCP tym planem. |
| ChatGPT Plus / Pro | Tak. | Informacje z aplikacji mogą zostać użyte, jeśli „Improve the model for everyone” jest włączone. Na osobistym koncie ustawienie jest domyślnie aktywne. |
| ChatGPT Business / Enterprise / Edu | Tak. | OpenAI deklaruje brak użycia danych workspace do treningu domyślnie. |
| OpenAI API Platform | To odrębny produkt i odrębna ścieżka integracji. | Dane wejściowe i wyjściowe API nie służą do treningu domyślnie. |
Domyślna obietnica braku treningu dla platformy API nie przechodzi automatycznie na osobiste konto ChatGPT. W tym case study ChatGPT jest klientem aplikacji MCP, a o możliwym użyciu treści do ulepszania modeli decydują zasady planu ChatGPT i ustawienie Data Controls.
To nie jest dowód, że każda odpowiedź z Fakturowni trafia do zbioru treningowego. OpenAI używa sformułowania „may use”, nie „uses every record”. Nie znamy też liczby użytkowników integracji ani odsetka osób, które wyłączyły trening. Wiemy jednak, że na konsumenckim planie Plus lub Pro istnieje kompletna, domyślnie otwarta ścieżka: połączenie MCP → dane w rozmowie → możliwość wykorzystania ich do ulepszania modeli.
Przypadkowo pozostawione ustawienie nie jest decyzją podjętą raz. Jest stanem, który trwa.
Dopóki właściciel nie cofnie autoryzacji w Fakturowni, klient AI zachowuje możliwość kolejnych odczytów. Dopóki na osobistym koncie ChatGPT pozostaje włączone „Improve the model for everyone”, nowe rozmowy – również te zawierające informacje pobrane z aplikacji – mogą być wykorzystywane do ulepszania modeli. Każde następne pytanie może więc ponownie uruchomić ten sam łańcuch.
| Działanie użytkownika | Co zatrzymuje | Czego nie cofa |
|---|---|---|
| Cofnięcie aplikacji AI w Fakturowni | Kolejne odczyty danych z konta. | Nie usuwa istniejących rozmów ani danych przekazanych wcześniej dostawcy AI. |
| Wyłączenie „Improve the model for everyone” | Według OpenAI nowe rozmowy nie będą używane do treningu modeli. | Nie odbiera aplikacji technicznego dostępu do Fakturowni; autoryzację trzeba cofnąć osobno. |
„Non stop” wymaga więc doprecyzowania. Model nie pobiera każdej faktury bez przerwy i nie ma dowodu, że każdy wynik zostanie wykorzystany do treningu. Otwarta pozostaje jednak stała możliwość kolejnych odczytów oraz kwalifikowania nowych rozmów do ulepszania modeli. Z perspektywy ryzyka to nie pojedynczy incydent, lecz okno pozostawione uchylone aż do wykonania dwóch osobnych czynności.
To nie jest już wyłącznie wizja przyszłości. Nie potrafimy policzyć, ile osób połączyło Fakturownię, ile pozostawiło domyślne ustawienie ani które rozmowy OpenAI rzeczywiście wybierze do ulepszania modeli. Ale wszystkie potrzebne warunki – własne MCP w ChatGPT Plus/Pro, dane pobierane do rozmowy i domyślnie włączone udostępnianie na osobistym koncie – istnieją dzisiaj. Hipoteza dotyczy więc skali i skutków procesu, którego techniczna możliwość jest już obecna.
Co zabezpieczyła Fakturownia — i gdzie kończy się jej kontrola?
Autoryzację może nadać właściciel, a jego rola jest ponownie sprawdzana przy żądaniach.
Dostęp nie wymaga przekazywania hasła asystentowi, a token można unieważnić.
MCP nie tworzy, nie zmienia i nie usuwa dokumentów.
Narzędzia nie otrzymują dowolnego dostępu do całej bazy.
Blokuje kolejne odczyty, choć nie usuwa danych pobranych wcześniej przez AI.
Standardowe logi techniczne są utrzymywane 60 dni; odpowiedzi nie są dodatkowo magazynowane przez MCP.
To sensowne zabezpieczenia integracji. Granica jest jednak wyraźna: po zwróceniu odpowiedzi Fakturownia nie kontroluje ustawienia „Improve the model for everyone”, retencji, historii, lokalizacji ani wykorzystania danych przez wybranego dostawcę AI. Firma opisuje tę granicę na aktualnej stronie usługi i w regulaminie.13
Pozostają też kierunki rozwoju: osobne zakresy dla poszczególnych narzędzi, anonimizacja lub maskowanie, allowlista klientów AI i pełniejszy audyt dostępny właścicielowi. Zabezpieczenie wejścia jest potrzebne. Minimalizacja tego, co wychodzi, byłaby kolejnym krokiem.
10 / Fakturownia – studium przypadku 3 z 3
Odpowiedzialna reakcja nie usuwa ryzyka. Pokazuje, jak o nim mówić.
Po pytaniach Fakturownia nie schowała się za zdaniem „integracja jest bezpieczna”. Przekazała siedem stron odpowiedzi, opisała drogę danych, podział odpowiedzialności i braki obecnej wersji. Zaktualizowała stronę funkcji, bazę wiedzy, ekran zgody i dodała osobny regulamin MCP.
„Pana pytania, podobnie jak wcześniejsza dyskusja pod artykułem, zmotywowały nas do lepszego komunikowania usługi.”
„Ta granica powinna być czytelniejsza także w komunikacji marketingowej.”
Zagrożenie to jedno, odpowiedzialna firma to drugie. Dobry duch nie polega na uznaniu, że po zmianie komunikacji ryzyko zniknęło. Polega na zauważeniu morderczej pracy zespołu, który przyjął pytania, poprawił produktową informację i nazwał granice własnej kontroli.
Fakturownia nie jest głównym bohaterem tego tekstu. Jest dowodem, że firma może potraktować trudne pytania jak pracę nad produktem – zamiast jak problem.
11 / Apel do ludzi, firm i instytucji
Zanim pozwolisz AI czytać dane ludzi.
Do firm: nie pytajcie wyłącznie, czy integracja działa. Ustalcie cel, zakres danych, zatwierdzony produkt i plan AI, retencję, transfery, odpowiedzialność oraz – przede wszystkim – czy treść może służyć do treningu lub ulepszania modeli. Nie używajcie prywatnych kont do danych produkcyjnych. Zacznijcie od danych syntetycznych.
Do twórców SaaS i integracji: pokażcie użytkownikowi pełną drogę danych przed kliknięciem. Projektujcie osobne zakresy, agregaty, maskowanie i dzienniki zdarzeń. Interfejs odpowiedzialności powinien być równie dobry jak interfejs połączenia.
Do urzędów i rządzących: jeśli kiedyś ktoś zaproponuje trenowanie „AI na KSeF-ie”, zacznijcie od slajdu 48: podstawy prawnej, minimalizacji, anonimizacji, testów zapamiętywania, możliwości usunięcia wpływu danych z modelu i informacji dla obywatela. Dopiero potem pokażcie demo. Technologiczny zachwyt jest miły, ale obywatel nie powinien być jego danymi treningowymi.
Do każdego z nas: pytajmy nie tylko o własne dane. Osoba obsługująca narzędzie widzi przycisk zgody. Kontrahent, klient, pracownik i obywatel najczęściej go nie zobaczą.
Nie pytam tylko, czy AI przeczyta fakturę dzisiaj. Pytam, czy za kilka lat odpowie komuś na pytanie o mnie dlatego, że dzisiaj zobaczyło tę fakturę podczas treningu.
Przemek. PIANO
Nie chcę zatrzymywać AI. Chcę zatrzymać automatyczny odruch, w którym cudze dane stają się paliwem wygody, zanim ktokolwiek nazwie cel, granice i odpowiedzialność. Jeżeli po tym tekście przed kolejnym „Połącz” pojawi się choć jedna uczciwa minuta namysłu – apel zadziałał.
przemek@piano.contact
12 / Materiał źródłowy
Źródła i dokumentacja
- Fakturownia MCP – strona funkcji. Zakres funkcji, zabezpieczenia integracji i informacja o dalszym przetwarzaniu przez wybranego dostawcę AI. Dostęp: 12 sierpnia 2026 r.
- Integracja Fakturowni z asystentem AI przez MCP — Baza Wiedzy. Konfiguracja, zakres funkcji i bezpieczeństwo techniczne. Dostęp: 12 sierpnia 2026 r.
- Regulamin usługi Fakturownia MCP. Role, zakres danych, autoryzacja, logowanie, dalsze przetwarzanie i odpowiedzialność stron.
- „Pytania MCP” – odpowiedzi Fakturowni na 32 pytania redakcji. Dokument PDF, 7 stron, przekazany autorowi 10 sierpnia 2026 r.
- OpenAI – Data Controls FAQ. Kontrola użycia rozmów konsumenckich do ulepszania modeli.
- OpenAI – Enterprise Privacy. Zasady dotyczące danych biznesowych, treningu i retencji.
- Anthropic – użycie danych do treningu. Rozróżnienie produktów konsumenckich i komercyjnych.
- Rozporządzenie (UE) 2016/679 – RODO. Definicje przetwarzania i profilowania, w tym łączenie zbiorów oraz ocena lub przewidywanie sytuacji ekonomicznej osoby.
- Model Context Protocol – specyfikacja oraz Security Best Practices.
- Urząd Ochrony Danych Osobowych – sztuczna inteligencja. Materiały o ochronie danych w systemach AI.
- Ministerstwo Finansów – Krajowy System e-Faktur oraz oficjalny zakres KSeF.
- Europejska Rada Ochrony Danych – wytyczne o zautomatyzowanym podejmowaniu decyzji i profilowaniu. Materiał objaśniający analizowanie danych osobowych w celu oceny m.in. sytuacji ekonomicznej człowieka.
- Carlini i in. – „Extracting Training Data from Large Language Models”. Badanie pokazujące możliwość odzyskiwania pojedynczych przykładów treningowych, w tym danych identyfikujących, poprzez odpytywanie modelu.
- Nasr i in. – „Scalable Extraction of Training Data from (Production) Language Models”. Badanie ekstrakcji zapamiętanych danych z modeli otwartych i produkcyjnych oraz ograniczeń samych zabezpieczeń warstwy dialogowej.
- OpenAI – Apps in ChatGPT. Dostępność własnych aplikacji MCP według planu oraz zasady użycia informacji pobranych z aplikacji do treningu modeli.
- OpenAI – wyłączenie treningu przy zachowaniu historii. Informacja o domyślnie aktywnym udostępnianiu danych w osobistych planach Free, Plus i Pro oraz instrukcja wyłączenia opcji.
- Carlini i in. – „Quantifying Memorization Across Neural Language Models”. Badanie zależności zapamiętywania od pojemności modelu, powtórzeń danych i długości kontekstu użytego w zapytaniu.
- PAP / Bankier.pl – „Cyberatak na MyDr. Gawkowski: Możliwy wyciek danych blisko 19 mln Polaków”. Bieżące informacje o skali incydentu, wielkości bazy, liczbie placówek i działaniach państwa; publikacja i aktualizacja z 12 sierpnia 2026 r.
- OSOZ – „Cyberatak: jak się chronić, jak reagować?”. Wnioski z debaty z udziałem CSIRT CeZ, CBZC i UODO o podatności ochrony zdrowia, kopiach zapasowych, MFA, reagowaniu i zabezpieczaniu dowodów.
- Hu i in. – „LoRA: Low-Rank Adaptation of Large Language Models”. Metoda ograniczająca liczbę trenowanych parametrów i zapotrzebowanie na pamięć przy dostrajaniu istniejącego modelu.
- Stanford CRFM – „Alpaca: A Strong, Replicable Instruction-Following Model”. Historyczny przykład dostrojenia modelu 7B na 52 tys. instrukcji przy deklarowanym koszcie poniżej 600 dolarów, wraz z opisem ograniczeń eksperymentu.
- Meta AI – „Introducing Llama 3.1”. Opis modeli o dostępnych wagach, które można pobierać, uruchamiać i dostosowywać do własnych zastosowań.
Stan źródeł i publicznej dokumentacji: 12 sierpnia 2026 r. Scenariusze wykorzystania danych finansowych, KSeF lub danych objętych incydentem MyDr do trenowania albo dostrajania modelu są hipotezami o ryzyku — nie informacją, że obecnie dochodzi do takiego treningu. Potwierdzony incydent i hipoteza jego dalszych konsekwencji są w tekście celowo rozdzielone. Artykuł ma charakter edukacyjny i nie stanowi porady prawnej.
13 / Dopisek z dnia publikacji
A jeśli haker nie sprzeda danych – tylko wytrenuje na nich „model ludzi”?
Ten artykuł miał być opublikowany 12 sierpnia 2026 roku o godzinie 19:00. Tego samego dnia rzeczywistość dopisała do niego trzynasty rozdział. Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował o cyberataku na MyDr i możliwym wycieku danych dotyczącym blisko 19 milionów obywateli. Według przekazanych publicznie informacji baza miała ponad 2 TB, firma mówiła o około 19 milionach rekordów możliwych do powiązania, a z jej oprogramowania korzystało około 12 tysięcy placówek medycznych.18
To są informacje z pierwszego dnia i mogą być jeszcze korygowane w toku śledztwa. Nie wiemy dziś, jaki dokładnie zakres danych każdej osoby znalazł się w zbiorze, ile rekordów się powtarza ani co rzeczywiście zrobili z nimi sprawcy. Wiemy natomiast wystarczająco dużo, aby zobaczyć lukę w naszym myśleniu o wycieku.
Wcześniejsze rozdziały opisywały drogę legalną i dobrowolną: człowiek podłącza usługę do AI, narzędzie odczytuje dane, a świadomość użytkownika, ustawienia planu i odpowiedzialność firmy decydują o dalszym ryzyku. W tej drodze można jeszcze zapytać, ostrzec, ograniczyć zakres i wycofać dostęp. Haker nie pyta o zgodę, nie pokazuje ekranu ustawień i nie potrzebuje interfejsu MCP.
Kajdanki nie cofają gradientu.
Państwo zapowiada „bezwzględne ściganie” sprawców. I dobrze – identyfikacja, zatrzymanie, zabezpieczenie nośników i wyrok są potrzebne. Ale w epoce AI pojawia się pytanie, którego nie rozwiązuje sama obietnica pościgu: co da zatrzymanie człowieka, jeżeli wcześniej powstały kopie zbioru, indeks do automatycznego przeszukiwania albo wyspecjalizowany model zbudowany na skradzionych danych?
Nie trzeba budować drugiego ChatGPT od zera. Sprawca może stworzyć system RAG, który wyszukuje fakty w skradzionym zbiorze i podaje je modelowi przy każdym pytaniu. Może dostroić istniejący model do rozpoznawania zależności charakterystycznych dla tej bazy. Może też wytrenować węższy klasyfikator, który oceni prawdopodobieństwo choroby, podatności na szantaż, reakcji na fałszywy komunikat z przychodni albo skuteczności konkretnego scenariusza oszustwa. Technicznie to trzy różne rzeczy. Dla osoby, której dane zostały wykorzystane, różnica może być akademicka: system odpowiada o niej, kojarzy ją z innymi i pomaga dobrać działanie.
Nie cyfrowego człowieka z filmów science fiction. Mam na myśli system statystyczny, który dzięki dużemu zbiorowi uczy się łączyć ślady, klasyfikować osoby, przewidywać cechy i generować odpowiedzi, których nie da się znaleźć jednym zapytaniem w Google. Jego siłą nie musi być nieomylność. Wystarczy, że przy masowej skali jest trafniejszy od przypadku i tańszy od pracy człowieka.
Jeszcze niedawno trenowanie sieci neuronowych na zachowaniu milionów osób wymagało jednocześnie ogromnego zbioru danych, infrastruktury i zespołu dostępnego przede wszystkim platformom takim jak Facebook, Instagram, YouTube czy TikTok. Dziś istnieją modele z wagami możliwymi do pobrania, moc obliczeniową można wynająć, a metody takie jak LoRA radykalnie zmniejszają koszt dostrajania istniejącego modelu.2022 Już w 2023 roku zespół Stanforda opisał eksperyment z dostrojeniem modelu 7B za mniej niż 600 dolarów, z ważnymi zastrzeżeniami co do jakości i bezpieczeństwa.21
To nie znaczy, że każdy może dziś wytrenować od podstaw model światowej klasy. Znaczy coś bardziej przyziemnego i dlatego niepokojącego: przystosowanie gotowego modelu do pracy na skradzionym korpusie przestało być przywilejem największych platform. Dane medyczne są tutaj studium przypadku. Tę samą logikę można zastosować do danych finansowych, lokalizacyjnych, urzędowych, korespondencji albo zbiorów łączących kilka tych światów.
Jak wielkie platformy mogły hipotetycznie używać sieci neuronowych, aby wydłużać czas korzystania z aplikacji – i co ta historia mówi o możliwym „modelowaniu człowieka” – opiszę w następnym artykule. Tutaj wystarczy zauważyć zmianę epoki: narzędzie, które kiedyś wymagało korporacji, staje się komponentem do pobrania, wynajęcia i dostrojenia.
Pytania do rządzących – zanim odpowiedzią znów będzie tylko PESEL
Zastrzeżenie numeru PESEL jest rozsądnym działaniem ochronnym i warto je wykonać, gdy zalecają to służby. Nie odpowiada jednak na ryzyko profilowania zdrowotnego, spersonalizowanego phishingu, szantażu ani uczenia systemu na danych, których nie da się „zastrzec”. Dlatego chciałbym usłyszeć odpowiedzi także na te pytania:
- Czy państwowy plan reakcji odróżnia wyciek danych od ich wtórnego wykorzystania przez AI?Śledztwo powinno pytać nie tylko, gdzie jest baza, lecz także czy powstały jej kopie, indeksy wektorowe, adaptery lub modele pochodne.
- Kto będzie monitorował pochodne skradzionego zbioru?Ogłoszenie na forum przestępczym można znaleźć. Model uruchomiony lokalnie, przekazany poza Polskę albo ukryty jako usługa może nie nosić nazwy MyDr.
- Czy zabezpieczone zostaną informacje o strukturze i łączliwości rekordów?Sama liczba wierszy nie mówi, jakie relacje można odtworzyć między pacjentem, placówką, terminem, świadczeniem i innymi zbiorami.
- Jak wygląda obowiązek usunięcia produktu zbudowanego z cudzych danych?Usunięcie pliku źródłowego nie jest dowodem usunięcia indeksu, dostrojonego adaptera ani zachowania, które model już nabył.
- Jak państwo ochroni ludzi przed skutkami, których nie blokuje zastrzeżenie PESEL?Fałszywy telefon z przychodni, wiadomość dopasowana do stanu zdrowia, szantaż lub dyskryminacja wymagają innego systemu ostrzegania i wsparcia.
- Kto i jak wykryje użycie danych za rok, trzy lub dziesięć lat?Kopia nie traci ważności wraz z końcem konferencji prasowej. Może zostać połączona z następnym wyciekiem, gdy narzędzia będą jeszcze tańsze i skuteczniejsze.
- Czy audyty sektora zdrowia obejmą scenariusz celowego dostrajania AI przez napastnika?Ochrona zdrowia już dziś mierzy się z brakami w MFA, testowaniu kopii zapasowych i reagowaniu na incydenty.19 Modelowanie danych powinno wejść do katalogu zagrożeń, ćwiczeń i zabezpieczania dowodów.
Najgroźniejsze pytanie nie brzmi już wyłącznie: „kto ukradł bazę?”. Brzmi: „czego można nauczyć system, kiedy takich baz będzie miał wystarczająco dużo – i czy zauważymy moment, w którym zacznie odpowiadać o konkretnych ludziach z niepokojącą precyzją?”.
Nie twierdzę, że dane MyDr zostały użyte do trenowania modelu. Stawiam hipotezę, którą administracja, firmy i służby powinny umieć dziś sprawdzić, a nie dopiero wtedy, gdy ktoś pokaże działające demo. Bo po wycieku walczymy już nie tylko o odzyskanie pliku. Walczymy o to, aby cudze życie nie stało się niewidzialnym parametrem czyjegoś narzędzia.