42 prokuratorów bierze OpenAI pod lupę. Co to znaczy dla Twojej firmy?
12 czerwca 2026 koalicja 42 prokuratorów generalnych USA wręczyła OpenAI subpoenę. Cztery dni wcześniej spółka złożyła do SEC poufny wniosek S-1 w sprawie IPO planowanego na wrzesień, przy wycenie 850 mld – 1 bln USD.
Jeśli Twoja firma używa ChatGPT albo API OpenAI — pierwsze pytanie brzmi: czy trzeba się ewakuować na Claude’a do końca tygodnia.
Krótka odpowiedź: nie. Dłuższa odpowiedź jest jednak ciekawsza, bo realne ryzyko dla polskiego MŚP nie idzie z Manhattanu, tylko z Brukseli. I właśnie teraz jest moment, żeby zrobić higienę.
Co się właściwie wydarzyło
Subpoena to nie pozew. To wezwanie do wydania dokumentów w toku śledztwa. Koalicję koordynuje Letitia James, prokurator generalna Nowego Jorku. Zakres pytań obejmuje sześć obszarów:
- Praktyki reklamowe i metody zatrzymywania użytkowników w produkcie
- Sposób przetwarzania danych konsumenckich i zdrowotnych
- Interakcje modeli z nieletnimi i seniorami
- Wewnętrzne polityki bezpieczeństwa
- Dokumentacja wewnętrzna dotycząca rozwoju modeli deep-learning
- Zjawisko sycophancy — czyli skłonność modeli do mówienia użytkownikowi tego, co chce usłyszeć
Punkt 6 dotyczy mechaniki RLHF (reinforcement learning from human feedback) i nie jest unikalny dla OpenAI. Każdy duży LLM trenowany w ten sposób — Claude, Gemini, Llama — ma ten problem w jakimś stopniu. To istotne, jeśli ktoś sugeruje, że migracja na innego dostawcę rozwiązuje sprawę. Nie rozwiązuje.
Rzecznik OpenAI zapowiedział „konstruktywną współpracę”. Merytorycznej odpowiedzi na razie nie ma.
Tło: pozwy cywilne
W tle subpoeny toczy się seria postępowań cywilnych. Ważne zastrzeżenie: poniższe kwalifikacje pochodzą od stron procesowych i nie są ustaleniami sądu.
- Sierpień 2025 — rodzina 16-letniego Adama Raine’a złożyła pierwszy pozew typu wrongful death przeciw OpenAI
- Luty 2026 — siedem rodzin w Kalifornii pozywa w związku ze strzelaniną Tumbler Ridge
- 1 czerwca 2026 — Floryda składa pierwszy stanowy pozew cywilny (AG Uthmeier przeciw OpenAI i Samowi Altmanowi osobiście)
- 13 czerwca 2026 — Kanadyjka pozywa OpenAI w sprawie samobójstwa córki
Powodowie zarzucają, że GPT-4o został „rushed to market” (wypchnięty na rynek zbyt szybko), a w niektórych przypadkach miał działać jako „suicide coach”. Powtarzam: to twierdzenia stron, nie wyroki.
Wątek wspólny tych spraw: interakcje modeli z osobami w kryzysie psychicznym, często nieletnimi. To samo, czego dotyczą punkty 2 i 3 subpoeny.
Co to konkretnie zmienia dla polskiej firmy używającej ChatGPT
Bezpośrednio? Nic. Subpoena to amerykańskie postępowanie regulacyjne, nie zakaz świadczenia usług. API OpenAI działa, ChatGPT Enterprise i Team działają, rachunek przyjdzie 1. dnia miesiąca jak zwykle.
Co się zmienia pośrednio:
- Ryzyko vendor lock-in rośnie. Jeśli przed wrześniowym IPO regulatorzy USA przykręcą śrubę — zmienią się ceny, dostępność modeli, polityka retencji danych, albo wszystko naraz. Spółka pod presją regulacyjną przed debiutem giełdowym to nie jest fundament, na którym chcesz mieć zbudowany cały customer support.
- Niepewność co do polityk korporacyjnych. OpenAI w trakcie śledztwa może zmienić Terms of Service, dodać nowe ograniczenia content policy, wprowadzić obowiązkową weryfikację wieku. Każde z tych potrafi zepsuć Twoją integrację z dnia na dzień.
- Ryzyko reputacyjne. Jeśli klient pyta „czy moje dane są bezpieczne u Was?”, a Wasz workflow opiera się na firmie, o której piszą w kontekście pozwów o samobójstwa nieletnich — masz problem komunikacyjny niezależnie od tego, czy zarzuty się potwierdzą.
To nie powód do paniki. To powód, żeby pomyśleć o tym jak o disaster recovery: nie bo Twój dostawca dziś pada, tylko żeby nie zginąć, jeśli kiedyś padnie.
Prawdziwe ryzyko: AI Act + RODO
Polski MŚP używający AI ma na biurku ważniejszy deadline niż rozprawy w Nowym Jorku: 2 sierpnia 2026 — pełne wejście w życie EU AI Act dla systemów wysokiego ryzyka.
Co to oznacza dla systemów zakwalifikowanych jako high-risk:
- Ocena zgodności (conformity assessment) przed wdrożeniem
- Dokumentacja techniczna systemu
- Oznaczenie CE
- Rejestracja w bazie EU dla systemów high-risk
- System zarządzania jakością i monitorowania po wdrożeniu
Sankcje są poważne i liczone od globalnego obrotu, nie od polskich przychodów:
| Typ naruszenia | Maks. sankcja |
|---|---|
| Praktyki zakazane (Art. 5) | 35 mln EUR lub 7% globalnego obrotu |
| Inne naruszenia AI Act | 15 mln EUR lub 3% globalnego obrotu |
| Naruszenie RODO (osobno) | 20 mln EUR lub 4% globalnego obrotu |
I tu ważne: nie ma generalnego wyłączenia dla SME. Są jedynie uproszczenia dokumentacyjne dla firm zatrudniających do 750 osób i przy obrocie do 150 mln EUR. Twoja dwuosobowa kancelaria budująca asystenta AI do oceny zdolności kredytowej klientów też podlega AI Act.
Minimum higieny AI w polskiej firmie
Checklist do zrobienia w tym kwartale, niezależnie od tego, czy zostajesz przy ChatGPT, czy się dywersyfikujesz:
- [ ] Podpisana DPA z OpenAI (Data Processing Agreement). Dla użytkowników API jest dostępna na żądanie, dla ChatGPT Enterprise/Team jest standardem. Bez DPA przetwarzanie danych osobowych klientów = naruszenie RODO.
- [ ] Zero Data Retention włączone na koncie API. Domyślnie OpenAI przechowuje dane do 30 dni do celów monitorowania nadużyć. ZDR wyłącza retencję. Wniosek przez formularz.
- [ ] Wewnętrzny regulamin AI dla pracowników. Pisany prostym językiem, dwie strony A4. Co wolno, czego nie wolno, gdzie zgłaszać wątpliwości. Bez tego trafią Wam dane klientów do darmowego ChatGPT przez nieuwagę pierwszego stażysty.
- [ ] Mapa use case’ów AI w firmie z oceną ryzyka. Tabela: do czego używamy AI, jakie dane wpadają, czy klient o tym wie, czy jest zgoda, czy decyzja AI ma wpływ na klienta. To podstawa pod AI Act i zwykła sanity check.
- [ ] Zakaz wrzucania danych klientów do darmowego ChatGPT. Darmowa wersja trenuje na Twoich promptach. Wszystko, co tam wkleisz, może trafić do następnej wersji modelu. Tylko API z ZDR albo Enterprise.
- [ ] Human-in-the-loop tam, gdzie AI rekomenduje decyzję klientowi. Sycophancy + halucynacje = AI powie klientowi to, co chce usłyszeć, niekoniecznie to, co prawdziwe. Człowiek przed kliknięciem „wyślij”.
Czego nie robić niezależnie od dostawcy
Te use case’y są wysokoryzykowe pod AI Act i są dokładnie tym, czego dotyczy śledztwo w USA:
- Interakcje czatbota z nieletnimi bez nadzoru rodzicielskiego
- Porady zdrowotne, psychologiczne, terapeutyczne (nawet jako „informacyjne”)
- Autonomiczne decyzje prawne lub finansowe wobec konsumenta (scoring, odmowa kredytu, rozstrzyganie reklamacji)
- Profilowanie emocjonalne klientów
Jeśli któryś z tych use case’ów masz w produkcji — przed 2 sierpnia 2026 zatrudnij prawnika znającego AI Act. To nie miejsce na DIY.
Dywersyfikacja dostawcy: alternatywy dla ChatGPT
Nie chodzi o to, żeby uciekać z OpenAI. Chodzi o to, żeby mieć możliwość uciec w godzinę, jeśli będzie trzeba. To się robi przez warstwę abstrakcji w kodzie — zamiast wołać bezpośrednio OpenAI SDK, masz własną klasę LLMProvider, której implementację podmieniasz konfiguracją.
Warianty do trzymania jako backup:
| Model | Dostawca | Hosting w UE | Mocna strona | Słaba strona |
|---|---|---|---|---|
| Claude (Sonnet, Opus) | Anthropic / AWS Bedrock | TAK (Bedrock Frankfurt, Irlandia) | Najlepszy do tekstów długich, kodu, analiz prawnych | Droższy od GPT-4o-mini przy dużym wolumenie |
| Mistral Large / Small | Mistral AI | TAK (EU-native, francuska firma) | Pełna zgodność z UE od dnia pierwszego, dobry polski | Słabszy benchmark od Claude/GPT-4 w złożonych zadaniach |
| Llama 3.3, Qwen, DeepSeek (open-source) | Together.ai / Groq / Fireworks | Częściowo (zależy od regionu) | Najtaniej, brak vendor lock-in, można self-host | Wymaga więcej własnej pracy nad jakością odpowiedzi |
| Gemini 2.0 | Google Cloud | TAK (Vertex AI europe-west) | Bardzo długi kontekst (1M tokenów), multimodalność | Mniej dojrzała integracja niż OpenAI w narzędziach trzecich |
Praktyka: trzymaj jeden model produkcyjny (np. GPT-4o przez API), drugi przygotowany w kodzie jako fallback (np. Claude Sonnet przez Bedrock). Raz na kwartał test, że przełączenie działa. To wszystko.
Wnioski
Subpoena dla OpenAI nie oznacza, że ChatGPT zaraz przestanie działać. Oznacza, że spółka wchodzi w trudny okres tuż przed IPO, a Twoja firma — jeśli polega na jednym dostawcy AI — wchodzi razem z nią.
Dwa zadania na ten kwartał: pierwsze to higiena (DPA, ZDR, regulamin, mapa use case’ów). Drugie to przygotowanie do dywersyfikacji (warstwa abstrakcji w kodzie, jeden backup gotowy do przełączenia).
I rzecz, której wielu nie chce słyszeć: AI Act 2 sierpnia 2026 jest realniejszym ryzykiem niż wszystkie postępowania w USA razem wzięte. Jeśli budujesz cokolwiek, co ocenia, decyduje albo rekomenduje wobec konsumenta — masz mniej niż dwa miesiące na ogarnięcie zgodności.
Jeśli chcesz przejść przez tę listę z kimś, kto wdrażał AI w polskich firmach i czytał AI Act, w B2B Solution robimy audyt wdrożenia AI — od mapy use case’ów po architekturę z fallbackiem między dostawcami. Napisz: [email protected].
