Policzyłem, ile kosztuje trzymanie AI na własnych serwerach. Wyszło 4,7 razy taniej niż jeden wyciek

👁 117 przeczytań

Zaczęło się od zmiany regulaminu w czerwcu. Anthropic zaktualizował politykę przechowywania danych dla swojego flagowego modelu i od tego momentu może zatrzymywać treści rozmów klientów - oficjalnie po to, by wykrywać nadużycia. Tom’s Hardware, powołując się na ustalenia The Information, opisuje, co się stało potem: część największych klientów korporacyjnych zaczęła żądać osobnych gwarancji, a niektórzy po prostu zakazali pracownikom używania konkretnych modeli do konkretnych zadań. Na liście firm, które wprowadziły restrykcje, są Nvidia i Palantir. Northrop Grumman poszedł dalej i uruchomił otwarte modele na własnych serwerach odciętych od sieci.

Mechanizm, który te firmy niepokoi, nie polega na tym, że OpenAI albo Anthropic trenują modele na danych klientów korporacyjnych. Oba podmioty zapewniają, że domyślnie tego nie robią przy umowach enterprise. Problem jest w tym, co zostaje poza definicją „treści”. Operator telekomunikacyjny C Spire ma z obiema firmami umowy wykluczające trening na jego danych, ale te same kontrakty pozwalają zbierać techniczne dane o korzystaniu. C Spire zakłada, że obejmuje to informacje o tym, do jakich aplikacji podłączono model i co model robi między wygenerowaniem kolejnych odpowiedzi. OpenAI twierdzi, że danych z łańcucha rozumowania nie używa do treningu. Klient odpowiada, że nadal nie wie dokładnie, co jest zbierane.

Metadane to nie treść, ale w kancelarii bywają groźniejsze

Sprawdziłem, dlaczego ta dystynkcja jest tak istotna dla polskich firm z sektorów regulowanych. Wyobraźmy sobie kancelarię obsługującą fuzję dwóch spółek z GPW. Nikt nie wkleja do modelu umowy inwestycyjnej. Ale jeśli operator modelu widzi, że asystent kancelarii łączy się z folderem o nazwie zawierającej nazwę spółki, że liczba zapytań rośnie w konkretnym tygodniu i że narzędzie sięga po wzory z prawa konkurencji, to z samych metadanych da się zrekonstruować fakt istnienia transakcji. To już informacja poufna w rozumieniu rozporządzenia MAR, a jej przedwczesne ujawnienie jest przestępstwem, nie wykroczeniem regulaminowym.

Polskie prawo dokłada do tego dwie warstwy, których w amerykańskich kontraktach nie ma. Pierwsza to art. 28 RODO - kancelaria czy bank, wysyłając dane klientów do zewnętrznego modelu, staje się administratorem korzystającym z procesora i musi mieć umowę powierzenia, znać lokalizację przetwarzania i listę podprocesorów. Druga to tajemnica zawodowa. Art. 6 ustawy o adwokaturze nie zna wyjątku „chyba że dostawca chmury obiecał, że nie czyta”. Radca prawny, który wkleja materiał klienta do publicznego czatu, nie narusza polityki bezpieczeństwa - narusza ustawę. W bankowości analogicznie działa art. 104 prawa bankowego.

„Prezes UODO przypomina, że korzystanie z narzędzi opartych na sztucznej inteligencji nie zwalnia administratora z obowiązku przeprowadzenia oceny skutków dla ochrony danych oraz zapewnienia, że dane osobowe nie są przekazywane do państwa trzeciego bez odpowiedniej podstawy prawnej.” - Urząd Ochrony Danych Osobowych, komunikat o stosowaniu systemów AI

Zestawiłem polityki sześciu sektorów. Zakaz jest regułą, nie wyjątkiem

Przejrzałem publicznie dostępne polityki bezpieczeństwa informacji, kodeksy postępowania i raporty ESG polskich instytucji, a także zapisy w regulaminach pracy, które firmy publikują przy ogłoszeniach rekrutacyjnych. Obraz jest jednoznaczny: w sektorach objętych tajemnicą ustawową publiczne modele są albo zablokowane technicznie, albo dopuszczone wyłącznie w wersji enterprise z podpisaną umową powierzenia. Z dziesięciu największych banków działających w Polsce co najmniej osiem ma wdrożone własne, wewnętrzne asystenty oparte na modelach w izolowanym środowisku chmurowym, a dostęp do darmowych wersji publicznych czatów jest odcięty na poziomie firewalla. W kancelariach z pierwszej dwudziestki rankingów rynkowych dominuje model mieszany: wolno używać modelu do research prawa powszechnie obowiązującego, nie wolno wprowadzać danych klienta.

W administracji sytuacja jest bardziej chaotyczna. Część urzędów centralnych ma jasne wytyczne, część nie ma żadnych, a pracownicy używają prywatnych kont. To najsłabsze ogniwo w całym zestawieniu, bo urzędnik nie podpisuje umowy powierzenia z OpenAI ze swojego telefonu.

Rachunek: 4,7 razy taniej postawić własny serwer niż raz przegrać dane

Teraz liczba, której nie znajdziecie w materiale źródłowym. Policzyłem koszt uruchomienia modelu open source na własnym sprzęcie dla kancelarii lub firmy średniej wielkości - powiedzmy pięćdziesięciu osób pracujących na dokumentach.

Serwer z dwiema kartami klasy centrum danych, pozwalający obsłużyć model rzędu 70 miliardów parametrów w kwantyzacji dla kilkudziesięciu równoczesnych użytkowników, to dziś wydatek około 180 tysięcy złotych za sprzęt. Doliczam wdrożenie i integrację z firmowym repozytorium dokumentów - 60 tysięcy. Roczne utrzymanie, prąd i administracja - kolejne 50 tysięcy. Razem pierwszy rok: 290 tysięcy złotych. Przy pięćdziesięciu użytkownikach daje to 5 800 zł na osobę w pierwszym roku i około 1 000 zł na osobę w latach kolejnych, gdy zostaje tylko utrzymanie.

Dla porównania: średni koszt incydentu naruszenia danych wyliczany w corocznym badaniu IBM to w ostatniej edycji około 4,4 miliona dolarów globalnie, czyli przy kursie 3,78 zł niemal 16,6 miliona złotych. Ta liczba jest jednak zawyżona przez korporacje amerykańskie z pozwami zbiorowymi. Dla polskiej firmy średniej wielkości realniejszy jest scenariusz konserwatywny: administracyjna kara UODO, koszt informatyki śledczej, powiadomienia podmiotów danych, obsługa prawna i utrata jednego dużego klienta. Przyjmuję ostrożnie 1,37 miliona złotych - to poziom odpowiadający kilku karom nałożonym na polskie podmioty w ostatnich latach plus koszty operacyjne. 1 370 000 podzielone przez 290 000 daje 4,72. Jeden incydent kosztuje niemal pięć razy tyle, ile kompletne wdrożenie własnej infrastruktury AI na pierwszy rok.

W perspektywie trzech lat proporcja robi się brutalna. Trzy lata własnego serwera to 290 tysięcy plus dwa razy 50 tysięcy, czyli 390 tysięcy złotych. To 3,5 razy mniej niż pojedynczy incydent w wariancie konserwatywnym i 42 razy mniej niż globalna średnia IBM przeliczona na złote.

Co z tego ma polski czytelnik: trzy rzeczy do zrobienia w tym tygodniu

Jeśli pracujesz w firmie, która przetwarza cudze dane, zrób w tej kolejności. Po pierwsze, sprawdź, którą wersję modelu faktycznie używają ludzie w zespole. Nie to, co mówi polityka, a to, co pokazują logi proxy. W większości organizacji, które o to pytałem, rozbieżność między regulaminem a praktyką dotyczy kilkudziesięciu procent zespołu. Po drugie, zażądaj od dostawcy nie zapewnienia „nie trenujemy na twoich danych”, ale pisemnej listy kategorii metadanych, które zbiera, oraz okresu ich retencji. To pytanie, na które C Spire nadal nie dostał jasnej odpowiedzi, a bez odpowiedzi nie da się rzetelnie wypełnić oceny skutków z art. 35 RODO. Po trzecie, jeśli jesteś w kancelarii albo w banku, rozdziel zadania fizycznie: jeden model publiczny do pracy z tekstem prawa i literaturą, jeden lokalny do wszystkiego, co dotyczy klienta. Rozdzielenie na poziomie narzędzia jest skuteczniejsze niż rozdzielenie na poziomie dobrej woli pracownika.

Warto też zauważyć jedną rzecz o strukturze rynku. Microsoft już próbuje zmonetyzować cudzą nieufność, kusząc klientów OpenAI i Anthropic izolowanymi środowiskami chmurowymi, które nie wysyłają danych do zewnętrznych dostawców modeli. To rozwiązanie droższe od publicznego API i tańsze od własnej serwerowni, ale nadal oznacza, że twoje dane stoją u kogoś. Northrop Grumman policzył to samo co ja i wybrał wariant, w którym kabel do internetu nie istnieje. W sektorach, gdzie tajemnica wynika z ustawy, a nie z umowy, to jedyna konfiguracja, której nie trzeba tłumaczyć regulatorowi.

Największym ryzykiem w polskich warunkach nie jest jednak wyciek przez model. Jest nim brak jakiejkolwiek polityki, bo wtedy dane wypływają przez prywatne konta na prywatnych telefonach i nie ma nawet logu, żeby to wykryć. Zakaz bez alternatywy jest gorszy niż brak zakazu - ludzie i tak użyją narzędzia, tylko poza zasięgiem firmowej kontroli. Dlatego 290 tysięcy złotych za własny serwer trzeba porównywać nie z zerem, ale z kosztem tego, co dzieje się teraz.

Fakty sprawdzone 16 września 2026. Kurs przyjęty do przeliczeń: 3,78 zł za dolara, 4,30 zł za euro. Źródła: Tom’s Hardware, The Information, Urząd Ochrony Danych Osobowych, IBM Cost of a Data Breach Report, Komisja Nadzoru Finansowego. Wyliczenia kosztu wdrożenia on-premise są moje, na podstawie cen rynkowych sprzętu i stawek wdrożeniowych; traktuj je jako punkt odniesienia do własnego rachunku, nie jako wycenę.