Rejestr zgłoszeń ma siedem pól. Narzędzie z AI, które je wypełnia, wymaga umowy, nie zakupu

Od 27 grudnia 2024 r. do końca 2025 r. do Rzecznika Praw Obywatelskich wpłynęło 690 spraw, z których zgłoszeniami zewnętrznymi okazały się 223. Dla kanału wewnętrznego takiej statystyki nie ma, ale kierunek pracy jest ten sam: zanim zaczyna się wyjaśnianie, trzeba rozstrzygnąć, czy pismo w ogóle jest zgłoszeniem. To czynność z ustawy, nie redakcja tekstu — i dlatego narzędzie, które „obsłuży zgłoszenia z AI”, trafia dokładnie w miejsce obstawione trzema bramkami, których regulamin dostawcy nie zdejmuje.

Wolumen będzie rósł. W badaniu CBOS z sierpnia 2026 r. 43 proc. badanych zadeklarowało, że powiadomiłoby przełożonych o koledze przyjmującym łapówki — o 16 punktów procentowych więcej niż w 2019 r., na próbie 938 osób badanych od 2 do 12 lipca 2026 r. Ten sam raport podaje rzecz ważniejszą dla osoby po stronie odbiorcy: wśród pracowników gotowych zgłosić naruszenie 90 proc. to osoby przekonane, że mają w pracy bezpieczną i poufną ścieżkę. Poufność nie jest tu wymogiem formalnym do odhaczenia. Jest warunkiem, bez którego kanał nie ma ruchu.

Co w tej robocie jest tekstem, a co czynnością z ustawy

Rozdzielenie tych dwóch rzeczy rozstrzyga, gdzie model wolno postawić. Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów nie opisuje „obsługi zgłoszenia” jako jednego zadania, tylko jako serię czynności z własnymi terminami i własnymi upoważnieniami.

Dwie rzeczy w tej tabeli bywają mylone w praktyce. Trzy miesiące to termin na informację zwrotną, a nie na zamknięcie sprawy — ustawa nie wyznacza maksymalnego czasu samego postępowania wyjaśniającego. I drugie: siedmiodniowy termin na potwierdzenie liczy się od otrzymania pisma, więc zaczyna biec także wtedy, gdy wciąż nie wiesz, czy pismo jest zgłoszeniem w rozumieniu ustawy.

Siedem pól rejestru i trzy lata przechowywania

Rejestr zgłoszeń wewnętrznych obejmuje numer zgłoszenia, przedmiot naruszenia prawa, dane osobowe sygnalisty i osoby, której dotyczy zgłoszenie, adres do kontaktu, datę zgłoszenia, informację o podjętych działaniach następczych i datę zakończenia sprawy. Żadne z tych pól nie nazywa się „streszczenie” ani „ocena wiarygodności”. Dane z rejestru przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub postępowania nimi zainicjowane.

To jest praktyczne ograniczenie dla każdego wyniku pracy modelu. Streszczenie, które powstanie po drodze, nie jest polem rejestru — a jeśli wkleisz je do pola „informacja o podjętych działaniach następczych”, wchodzi do zbioru przechowywanego trzy lata razem z jego błędami i z jego domysłami o ludziach.

Osobno działa obowiązek minimalizacji. Ustawa mówi, że dane niemające znaczenia dla rozpatrywania zgłoszenia nie są zbierane, a przypadkowo zebrane usuwa się — i wyznacza na to termin 14 dni od chwili ustalenia, że nie mają znaczenia dla sprawy. Polecenie typu „wypisz wszystkie osoby wymienione w zgłoszeniu i ich role” produkuje dokładnie taki zbiór: nazwiska, które nie są przedmiotem sprawy, zapisane w nowym miejscu, z nowym terminem na usunięcie i nowym ryzykiem.

Narzędzie, które czyta zgłoszenia, jest podmiotem zewnętrznym

Procedura zgłoszeń wewnętrznych wskazuje jednostkę, osobę albo podmiot zewnętrzny upoważniony do przyjmowania zgłoszeń. Jeżeli ta rola trafia na zewnątrz, upoważnienie podmiotu zewnętrznego wymaga zawarcia umowy o powierzenie obsługi przyjmowania zgłoszeń, potwierdzania przyjęcia, przekazywania informacji zwrotnej i dostarczania informacji o procedurze, a ta umowa określa prawa i obowiązki dotyczące przetwarzania danych osobowych w zakresie, o którym mówi art. 28 ust. 3 RODO.

Dalej jest zdanie, które przesądza sens całego zakupu: zawarcie takiej umowy nie uchyla odpowiedzialności podmiotu prawnego za dochowanie obowiązków, w szczególności zachowania poufności, udzielenia informacji zwrotnej i podjęcia działań następczych. Kupienie systemu nie przenosi odpowiedzialności na dostawcę. Przenosi dane. Rozbieżność między tym, co umowa obiecuje, a tym, co faktycznie przechodzi na drugą stronę, nie jest zresztą specyfiką zgłoszeń — ten sam rozjazd widać w umowach na kod, gdzie klient dostaje „pełnię praw”, a plik licencji mówi co innego, i w obu przypadkach czyta się dokument źródłowy, nie ofertę.

Do tego dochodzi warunek dostępu. Podmiot prawny gwarantuje, że procedura i czynności związane z przyjmowaniem zgłoszeń zapewniają ochronę poufności tożsamości sygnalisty, osoby, której dotyczy zgłoszenie, oraz osoby trzeciej, i że dostęp mają wyłącznie osoby upoważnione. Na gruncie tego przepisu pytanie „czy mogę wkleić zgłoszenie do asystenta, którego mamy w firmie” ma odpowiedź proceduralną, nie techniczną: albo to narzędzie jest w procedurze i w umowie, albo jest nieupoważnionym kanałem.

Rok pozbawienia wolności stoi przy jednej czynności, nie przy całym procesie

Ustawa zabezpiecza tożsamość sygnalisty sankcją karną, a nie tylko wymogiem organizacyjnym. Ujawnienie tożsamości sygnalisty, osoby pomagającej w zgłoszeniu lub osoby powiązanej wbrew przepisom ustawy podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Działania odwetowe to grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2, a przy działaniu uporczywym do lat 3. Brak ustanowienia procedury albo ustanowienie jej z istotnym naruszeniem wymogów ustawy jest wykroczeniem zagrożonym karą grzywny.

Dane osobowe sygnalisty pozwalające ustalić jego tożsamość nie podlegają ujawnieniu nieupoważnionym osobom, chyba że za jego wyraźną zgodą. Wyjątek dotyczy ujawnienia, które jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów w związku z postępowaniami organów publicznych, przygotowawczymi lub sądowymi. „Potrzebowałem streszczenia” nie mieści się w tym wyjątku w żadnym wariancie.

Praktyczna konsekwencja: anonimizacja przed wklejeniem nie jest obejściem problemu, bo sama anonimizacja wymaga przeczytania zgłoszenia przez osobę upoważnioną, a treść zgłoszenia często identyfikuje autora bez nazwiska — przez opis stanowiska, zdarzenia i daty. Tam, gdzie zespół jest mały, usunięcie imienia nie usuwa tożsamości.

Gdzie model realnie skraca pracę

Zostaje obszar bez danych osobowych ze zgłoszeń, i jest on większy, niż się wydaje:

• Projekt samej procedury zgłoszeń wewnętrznych wobec listy z art. 25 ust. 1 — osiem punktów, które muszą się w niej znaleźć, to materiał czysto normatywny. Procedura wchodzi w życie po upływie 7 dni od podania jej do wiadomości osób wykonujących pracę, więc datę publikacji planuje się wstecz od dnia, w którym ma obowiązywać.
• Szablony: potwierdzenie przyjęcia, wezwanie o dodatkowe informacje, informacja zwrotna. Pisane raz, na pustych polach, bez żadnej treści sprawy.
• Lista kontrolna kwalifikacji: pytania, które zadajesz pismu, żeby rozstrzygnąć, czy mieści się w zakresie ustawy. Model układa listę, odpowiedzi wpisuje człowiek upoważniony.
• Informacja o procedurze dla kandydatów do pracy — ustawa wymaga jej przekazania wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy, co bywa pomijane przy wdrożeniu.
• Materiał szkoleniowy i tłumaczenie procedury dla zespołów wielojęzycznych.

Czego w tym obszarze nie ma: oceny wiarygodności zgłoszenia, rekomendacji działań następczych, podsumowania akt sprawy ani klasyfikacji „zgłoszenie / nie zgłoszenie”. Pierwsze trzy to czynności bezstronnej jednostki z art. 25 ust. 1 pkt 3. Czwarta jest kwalifikacją prawną, za którą odpowiada podmiot, nie dostawca.

Co ustalić przed włączeniem narzędzia

Kolejność rozstrzygnięć, która porządkuje temat w firmie:

• Czy narzędzie ma widzieć treść zgłoszeń. Jeżeli tak, musi być wpisane do procedury jako podmiot zewnętrzny i objęte umową z art. 28 — albo działać w infrastrukturze, w której jest przetwarzającym na tych samych warunkach co reszta systemu.
• Kto jest osobą upoważnioną i czy lista upoważnień obejmuje administratorów narzędzia. Dostęp techniczny jest dostępem.
• Co trafia do rejestru, a co ginie po sprawie. Wynik pracy modelu domyślnie nie jest dokumentem sprawy.
• Kto pilnuje dwóch dat. Siedem dni i trzy miesiące są obowiązkiem podmiotu także wtedy, gdy narzędzie nie odpowiedziało.

Decyzja, którą masz podjąć, jest binarna i warto ją podjąć świadomie, zanim ktoś wklei pierwsze zgłoszenie. Albo narzędzie zostaje poza treścią zgłoszeń i pracuje na procedurze, szablonach i szkoleniu — wtedy wdrożenie jest kwestią tygodnia i nie dotyka ustawy. Albo wchodzi do kanału, a wtedy jest elementem procedury, umowy powierzenia i listy upoważnień, i nie wdraża się go równolegle do pierwszej sprawy. Trzeciego wariantu, w którym asystent pomaga „tylko przy streszczeniu”, ustawa nie przewiduje.