Dyktowanie głosowe a RODO: dokąd naprawdę trafiają Twoje dane w 2026 roku

Kiedy dyktujesz e-mail, notatkę służbową czy pismo procesowe, wypowiadasz na głos informacje, które często są poufne: nazwiska, kwoty, szczegóły sprawy. Pytanie nie brzmi tylko „czy transkrypcja jest dokładna?”, ale „dokąd trafia mój głos i kto może mieć do niego dostęp?”. To właśnie reguluje RODO. Ten przewodnik wyjaśnia, czego rozporządzenie naprawdę wymaga od narzędzia do dyktowania głosowego, dlaczego lokalizacja serwera nie wystarczy i jak rozpoznać zgodne, suwerenne rozwiązanie.

Twój głos to dana osobowa

Pierwsza kwestia, często źle rozumiana: nagranie głosowe jest daną osobową w rozumieniu RODO od momentu, gdy pozwala, bezpośrednio lub pośrednio, zidentyfikować osobę. Sam głos, wypowiedziane na głos imię i nazwisko, podany ustnie numer klienta: to wszystko podlega rozporządzeniu. RODO ma więc zastosowanie do dyktowania głosowego od chwili, gdy człowiek zaczyna mówić.

Czy oznacza to, że są to dane „wrażliwe”? Niekoniecznie, a ten niuans ma znaczenie. Według CNIL, francuskiego organu ochrony danych osobowych, głos staje się daną biometryczną (kategorią wrażliwą, objętą art. 9 RODO) dopiero wtedy, gdy system wykorzystuje go do rozpoznawania lub uwierzytelniania mówcy na podstawie cech głosowych. Narzędzie do dyktowania tego nie robi: zamienia mowę na tekst, nie identyfikuje nikogo po głosie. Praktyczna konsekwencja:

• Dźwięk jest daną osobową, ale nie daną biometryczną, ponieważ nie dochodzi do identyfikacji głosowej.
• Dyktowana treść natomiast może być wszystkim, tylko nie błaha: wspomniana dokumentacja medyczna, dane bankowe, nazwisko klienta i charakter jego sprawy. To właśnie tam koncentruje się prawdziwe ryzyko.

Innymi słowy, niebezpieczeństwo nie polega na tym, że barwa Twojego głosu mogłaby Cię zidentyfikować; polega na tym, że to, co dyktujesz, zostaje zapisane, ponownie wykorzystane lub udostępnione osobie trzeciej. Dlatego tak ważne jest, by dokładnie wiedzieć, co narzędzie robi z Twoim nagraniem.

Czego RODO naprawdę wymaga od narzędzia do dyktowania głosowego

RODO to nie tylko baner z prośbą o zgodę. Dla usługi, która transkrybuje Twój głos, naprawdę liczy się sześć obowiązków:

• Jasno określony cel i podstawa prawna. Twoje dane służą wyłącznie do stworzenia transkrypcji, niczego więcej.
• Minimalizacja danych. Narzędzie powinno przetwarzać wyłącznie to, co ściśle niezbędne. CNIL w swojej białej księdze o asystentach głosowych zaleca nawet, by na serwery przesyłać tylko dane niezbędne.
• Ograniczenie przechowywania. RODO zabrania przechowywania danych dłużej, niż to konieczne. W przypadku dyktowania najlepsze rozwiązanie jest proste: zero retencji, dźwięk jest usuwany od razu po transkrypcji.
• Brak ponownego wykorzystania. Twój głos i tekst nie mogą służyć do trenowania modeli AI bez Twojej zgody.
• Uregulowany podmiot przetwarzający. Dostawca musi zaoferować Ci umowę powierzenia przetwarzania danych (DPA, art. 28 RODO), wymieniającą jego podwykonawców i ich zabezpieczenia.
• Bezpieczeństwo i kontrolowane transfery. Szyfrowanie, poważne środki techniczne, a przede wszystkim ścisłe zasady, jeśli dane opuszczają Unię Europejską (art. 44 i kolejne).

Te kryteria można zweryfikować. Poważny dostawca odpowiada na każde z nich pisemnie. To właśnie ostatni punkt, transfery poza UE, najczęściej zawodzi i jest najgorzej rozumiany.

Jedno przydatne wyjaśnienie, by rozwiać częste nieporozumienie: AI Act, europejskie rozporządzenie o sztucznej inteligencji, w ogóle się tym nie zajmuje. Reguluje to, co wolno robić systemowi AI, a nie miejsce przetwarzania Twoich danych ani jurysdykcję, której podlega dostawca. Ten podział ról opisujemy szczegółowo w naszym artykule o tym, co AI Act naprawdę nakłada na Twoje narzędzia AI.

Dostawca jest Twoim podmiotem przetwarzającym: co musi zawierać artykuł 28

To część, którą najczęściej pomijają kupujący, a jednocześnie ta, która niesie odpowiedzialność. Kiedy dyktujesz treści zawodowe, Ty jesteś administratorem tych danych, a dostawca jest Twoim podmiotem przetwarzającym. Artykuł 28 RODO nie pozostawia tej relacji dobrej woli stron: wymaga pisemnej umowy, czyli umowy powierzenia przetwarzania danych, i wymienia, co ta umowa musi zawierać.

Czytając DPA, warto zwrócić uwagę na klauzule, które w praktyce mają największe znaczenie:

• Udokumentowane instrukcje. Dostawca może przetwarzać Twoje dane wyłącznie na Twoje polecenie i w celu, który sam określiłeś. To właśnie ta klauzula zakazuje ponownego wykorzystania danych do trenowania modeli.
• Poufność personelu. Każda osoba mająca dostęp do danych musi być związana obowiązkiem zachowania poufności.
• Środki bezpieczeństwa z artykułu 32. Szyfrowanie w trakcie transmisji i w spoczynku, kontrola dostępu oraz zadeklarowana zdolność do przywrócenia dostępności danych po incydencie.
• Nazwani i autoryzowani podwykonawcy. Dostawca nie może zaangażować kolejnego podmiotu bez Twojej zgody i musi informować Cię o każdej zmianie. DPA, który nie nazywa całego łańcucha, nie spełnia swojej roli.
• Wsparcie w realizacji praw osób, których dane dotyczą. Jeśli ktoś zwróci się do Ciebie o dostęp lub usunięcie danych, dostawca musi pomóc Ci odpowiedzieć w wymaganym terminie.
• Usunięcie lub zwrot danych po zakończeniu umowy, oraz informacje umożliwiające audyt, potrzebne do zweryfikowania wszystkiego powyżej.

Dostawca, który na pytanie odpowiada „jesteśmy zgodni z RODO”, nie przedstawiając tego dokumentu, tak naprawdę nie odpowiedział. Poproś o DPA przed podpisaniem umowy, nie po incydencie.

Okres przechowywania i co dzieje się z Twoimi prawami

Ograniczenie przechowywania to obowiązek, który narzędzia do dyktowania najczęściej naruszają, ponieważ przechowywanie dźwięku jest wygodne dla dostawcy: zasila kontrolę jakości i rozwój modeli. RODO w odpowiedzi zadaje wprost pytanie: jak długo dźwięk jest niezbędny do celu, na który się zgodziłeś, a w przypadku transkrypcji szczera odpowiedź brzmi: tyle sekund, ile trzeba, by wygenerować tekst. Wszystko ponad to jest okresem przechowywania, który trzeba uzasadnić, udokumentować i ujawnić.

Okres przechowywania decyduje też o tym, jak realne są Twoje prawa. Prawo dostępu, sprostowania, usunięcia i przenoszenia danych dotyczy tego, co dostawca faktycznie przechowuje. Ma to praktyczną konsekwencję, którą warto zrozumieć: przy prawdziwej polityce zerowej retencji na serwerze nie ma nic do przejrzenia ani usunięcia, bo dźwięk już nie istnieje, a tekst znajduje się na Twoim własnym urządzeniu. Gdy narzędzie przechowuje historię Twoich dyktowań, realizacja tych praw staje się prawdziwą pracą, a dostawca musi być w stanie ją wykonać w ciągu miesiąca.

Transfery poza UE i kwestia jurysdykcji

Artykuł 44 i kolejne regulują to, co dzieje się, gdy dane opuszczają Unię Europejską. W praktyce amerykański dostawca opiera się albo na Data Privacy Framework, decyzji stwierdzającej odpowiedni poziom ochrony przyjętej 10 lipca 2023 roku, albo na standardowych klauzulach umownych Komisji Europejskiej. W obu przypadkach transfer staje się zgodny z prawem, i to naprawdę ma znaczenie.

To jednak tylko połowa analizy. Pod spodem kryje się osobne pytanie: które państwo może zmusić dostawcę do przekazania Twoich danych, gdy już je posiada. Amerykański Cloud Act obejmuje każdego dostawcę podlegającego jurysdykcji USA, niezależnie od tego, gdzie znajdują się serwery, dlatego „hostowane w Europie” i „poza zasięgiem amerykańskich władz” to nie to samo stwierdzenie. To temat sam w sobie, który omawiamy szczegółowo, wraz z orzecznictwem, toczącym się odwołaniem od DPF i czterema kontrolami do przeprowadzenia u każdego dostawcy, w naszym przewodniku dlaczego hostowanie w Europie to za mało.

Czego RODO wymaga od Ciebie, nie tylko od narzędzia

Wybór zgodnego z prawem dostawcy nie zwalnia Cię z własnych obowiązków. Trzy z nich obowiązują od momentu, gdy zaczynasz dyktować treści zawodowe:

• Twój rejestr czynności przetwarzania (art. 30). Jeśli dyktujesz treści zawierające dane osobowe, narzędzie ma swoje miejsce w rejestrze: cel, kategorie danych, dostawca jako podmiot przetwarzający, okres przechowywania i wszelkie transfery poza UE. To jedna linijka w tabeli, nie projekt, ale kontrola o nią zapyta. Artykuł 30 ust. 5 zwalnia z tego obowiązku organizacje zatrudniające mniej niż 250 osób, ale zwolnienie znika, gdy przetwarzanie nie ma charakteru okazjonalnego lub dotyczy poufnych danych klientów, co jest dokładnie przypadkiem kancelarii czy biura, które dyktuje codziennie.
• Ocena skutków dla ochrony danych (art. 35), albo i nie. DPIA jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko dla praw ludzi. Dyktowanie, które po prostu zamienia Twoją własną mowę na tekst, bez przechowywania i bez identyfikacji biometrycznej, zwykle samo w sobie nie osiąga tego progu. Dyktowanie na dużą skalę danych wrażliwych, na przykład informacji zdrowotnych, zmienia ten rachunek, a wtedy ocena spoczywa na Tobie, nie na dostawcy.
• Osoby, o których mówisz. Kiedy dyktujesz akta klienta, ten klient również jest osobą, której dane dotyczą. Twoja dotychczasowa polityka prywatności zwykle to obejmuje, ale powinna odzwierciedlać fakt, że treść transkrybuje podmiot przetwarzający. Tak samo jest w przypadku potencjalnego klienta, którego notatki ze spotkania dyktujesz, co omawiamy w naszym przewodniku dyktowanie głosowe dla zespołów sprzedaży.

Zawody związane tajemnicą zawodową: prawnicy, notariusze, księgowi

Dla adwokata, notariusza czy biegłego księgowego RODO wiąże się z jeszcze surowszym obowiązkiem: tajemnicą zawodową. Podyktowanie nazwiska klienta i charakteru jego sprawy do narzędzia, które mogłoby zostać zmuszone do ujawnienia tych danych, oznacza wystawienie na ryzyko informacji objętych tajemnicą zawodową.

Francuska Krajowa Rada Adwokacka (CNB) jasno to stwierdziła w swoim przewodniku deontologicznym dotyczącym sztucznej inteligencji: korzystanie z narzędzi AI nigdy nie może uzasadniać uchylenia tajemnicy zawodowej i nigdy nie wolno powierzać danych nią objętych ogólnodostępnej generatywnej AI. Przewodnik podkreśla też, że rozwiązania hostowane w Unii Europejskiej, które nie wykorzystują ponownie zapytań do trenowania swoich modeli, prezentują wyraźnie niższy profil ryzyka niż narzędzia ogólnodostępne.

To dokładnie ten test należy zastosować do narzędzia do dyktowania: przetwarzanie w UE, zerowa retencja, brak ponownego wykorzystania i dostawca niepodlegający ustawodawstwu eksterytorialnemu. Rozwijamy ten temat szczegółowo dla kancelarii prawnych w naszym dedykowanym przewodniku dyktowanie głosowe dla prawników.

5 pytań do zadania przed wyborem narzędzia do dyktowania głosowego

Prosty sposób na podjęcie decyzji: zadaj każdemu dostawcy te pięć pytań. Odpowiedzi powinny być jasne i na piśmie.

1. Czy przechowujecie moje nagrania i transkrypcje? Prawidłowa odpowiedź brzmi: nie, natychmiastowe usunięcie po transkrypcji.
2. Czy moje dane są wykorzystywane do trenowania waszych modeli? Prawidłowa odpowiedź brzmi: nie.
3. Gdzie przetwarzane są moje dane i przez jaką firmę? Szukaj przetwarzania w UE przez europejską firmę, nie tylko „centrum danych w Europie”.
4. Czy podlegacie Cloud Act lub innej ustawie eksterytorialnej? Europejski dostawca niebędący własnością amerykańskiej spółki-matki może odpowiedzieć „nie”. Jeśli odpowiedź jest wymijająca, nasz przewodnik o Cloud Act pokazuje, jak zweryfikować to samodzielnie.
5. Czy oferujecie DPA zgodny z artykułem 28 RODO? Niezbędne przy użytku zawodowym.

Najsurowsza opcja: 100% lokalnie

Bądźmy szczerzy: jeśli chcesz mieć absolutną gwarancję, że Twój głos nigdy nie opuści Twojego komputera, najbardziej ochronnym rozwiązaniem nie jest chmura, lecz przetwarzanie 100% lokalne. Nic nie trafia do sieci: ani RODO, ani Cloud Act nawet nie wchodzą w grę, bo żadne dane nie są wysyłane do osoby trzeciej. Narzędzia open source, takie jak Handy (bezpłatne, na licencji open source, dla Windows, macOS i Linuksa), przeprowadzają transkrypcję bezpośrednio na Twoim urządzeniu, bez wysyłania czegokolwiek na serwer.

Kompromis jest realny i opisujemy go w naszym porównaniu dyktowanie głosowe lokalnie kontra w chmurze: 100% lokalnie najczęściej oznacza surową transkrypcję, bez czyszczenia czy formatowania przez AI, i wymaga dość mocnego komputera. Dla wielu profesjonalistów wyzwaniem jest więc odzyskanie wygody chmury, czystego tekstu, w dowolnej aplikacji i na dowolnym komputerze, bez rezygnacji z suwerenności. Właśnie to jest celem Fast Dictate.

Podejście Fast Dictate

Fast Dictate to europejska alternatywa stworzona, by odpowiedzieć na te pytania wprost:

• Zero przechowywania danych w każdym planie. Twój dźwięk jest transkrybowany, a następnie natychmiast usuwany, i nigdy nie jest wykorzystywany do trenowania modeli.
• Plan Pro: przetwarzanie wyłącznie we Francji, na serwerach certyfikowanych ISO/IEC 27001, poza zasięgiem amerykańskiego Cloud Act, z zaawansowanym DPA zgodnym z RODO. Stworzony dla prawników, notariuszy i każdego, kto pracuje z poufnymi aktami.
• Plany Free i Standard: szybka infrastruktura międzynarodowa, wciąż przy zerowym przechowywaniu danych.
• Działa wszędzie: Word, Gmail, Notion, przeglądarka, dowolne pole tekstowe, za pomocą jednego skrótu klawiszowego na Windows i Mac.
• Plan bezpłatny: 2000 słów tygodniowo, bez karty kredytowej.

Najczęściej zadawane pytania