Agenci od gigantów: dostęp do naszych dokumentów i tokeny, które właśnie podrożały dwukrotnie

Film porównuje nowych „zawsze włączonych” agentów: dots od OpenAI (DevDay, 29 września 2026), Muse od Meta (8 września), Grok Bot od SpaceXAI, czyli połączonych SpaceX, xAI i Cursora (11 sierpnia), oraz otwartego Hermes Agent. Agenci gigantów pracują na komputerach w chmurze dostawcy, logują się do Twojej poczty, kalendarza i aplikacji i działają dalej, gdy zamkniesz laptopa.

Wynika z tego, że giganci technologiczni owszem dadzą nam agentów u siebie — takich, którzy mogą robić wszystko i mają dostęp do naszych dokumentów, co już samo w sobie budzi niepokój. Do tego taki agent pracuje bez przerwy i w tle zużywa bardzo dużo tokenów. A tokeny właśnie podrożały dwukrotnie: od 30 października w planie ChatGPT Pro za 200 USD limit Codex i ChatGPT Work spada z 20-krotności planu Plus do 10-krotności — ta sama cena za połowę pracy. Nowy plan kosztuje 500 USD miesięcznie.

Agents from the tech giants: access to our documents, and tokens that just doubled in price

The video compares the new “always-on” agents: dots from OpenAI (DevDay, 29 September 2026), Muse from Meta (8 September), Grok Bot from SpaceXAI — the merged SpaceX, xAI and Cursor (11 August) — and the open-source Hermes Agent. The giants' agents run on computers in the provider's cloud, sign into your e-mail, calendar and apps, and keep working after you close the laptop.

The takeaway: the tech giants will indeed give us agents on their own platforms that can do anything and have access to our documents — which is unsettling in itself. On top of that, such an agent works non-stop and burns a lot of tokens in the background. And those tokens have just doubled in price: from 30 October, the Codex and ChatGPT Work allowance in the $200 ChatGPT Pro plan drops from 20 times the Plus plan to 10 times — the same price for half the work. A new plan costs $500 a month.

Pracownicy nie rezygnują z AI, nawet gdy firma tego zakazuje

Badanie ARC Rynek i Opinia z marca 2026 r., przeprowadzone przez internet na próbie 1026 osób pracujących przy komputerze co najmniej trzy dni w tygodniu. Pokazuje skalę zjawiska nazywanego shadow AI — korzystania z narzędzi AI poza wiedzą i kontrolą pracodawcy.

Pracownicy

Firmy

Autorzy zalecają jasne zasady zamiast samych zakazów, szkolenia z ryzyk, bezpieczne narzędzia z licencją i kontrolę przepływu danych. To pokrywa się z tym, co powtarzam na konsultacjach: zakaz nie działa, bo nie usuwa powodu. Działa dopiero danie ludziom narzędzia, które jest równie wygodne i jednocześnie dozwolone.

Employees don't give up AI, even when the company bans it

An online survey by ARC Rynek i Opinia from March 2026, among 1,026 people in Poland who work at a computer at least three days a week. It shows the scale of what is called shadow AI — using AI tools without the employer's knowledge or control.

Employees

Companies

The authors recommend clear rules rather than bans alone, training on the risks, secure licensed tools and control over data flows. That matches what I say in every consultation: a ban doesn't work because it doesn't remove the reason. What works is giving people a tool that is just as convenient and also permitted.

OpenRouter rozdziela ruch: eu.openrouter.ai i us.openrouter.ai

OpenRouter to pośrednik, przez którego firmy wysyłają zapytania do kilkuset modeli wielu dostawców. Uruchomił dwa osobne adresy regionalne. Zapytanie wysłane na adres europejski jest odszyfrowywane w UE i trafia wyłącznie do dostawców działających w UE. Jeśli żaden z nich nie obsługuje wybranego modelu, zapytanie kończy się błędem, zamiast wyjechać poza region. Funkcja jest dostępna w planach Business i Enterprise.

To dobry krok, ale dotyczy miejsca przetwarzania, a nie tego, czyje prawo obowiązuje firmę, która przetwarza. OpenRouter, Inc. to spółka amerykańska, a w sierpniu 2026 r. Stripe — również firma z USA — ogłosił, że ją przejmuje. Dokumentacja regionów mówi o zapytaniach i odpowiedziach. Nie obejmuje wprost danych konta ani rozliczeń. Polityka prywatności OpenRouter przewiduje natomiast ujawnianie danych na zgodne z prawem żądania organów publicznych.

Co prawo USA pozwala zrobić z danymi — niezależnie od adresu serwera

• CLOUD Act18 U.S.C. § 2713 · 2018

  Dostawca podlegający prawu USA musi wydać dane, które ma w posiadaniu lub pod kontrolą, bez względu na to, czy serwer stoi w Stanach, czy w Europie. Do treści zwykle potrzebny jest nakaz sądu — ale amerykańskiego, nie europejskiego. Sąd może jednocześnie zakazać dostawcy informowania kogokolwiek, także klienta, tzw. gag order (18 U.S.C. § 2705(b)).

• FISA, sekcja 70250 U.S.C. § 1881a

  Nadzór wymierzony w osoby spoza USA — czyli także w klientów z Europy. Nie ma nakazu na konkretną osobę: sąd FISA raz w roku zatwierdza ogólne certyfikaty, a dostawca dostaje polecenie współpracy z obowiązkiem zachowania tajemnicy. Ustawowa podstawa programu wygasła 12 czerwca 2026 r., ale certyfikaty zatwierdzone w marcu 2026 r. pozwalają prowadzić go do marca 2027 r. Kongres rozmawia o odnowieniu.

• National Security Letters18 U.S.C. § 2709

  FBI wydaje je samo, bez udziału sądu. Dotyczą danych o abonencie i rejestrów połączeń, a nie treści. Zwykle idzie z nimi zakaz ujawnienia, że żądanie w ogóle padło. Sąd bada takie pismo dopiero wtedy, gdy dostawca je zaskarży.

Dlaczego to nie jest teoria: przekazywanie danych do USA wisi na jednym porozumieniu

Przekazywanie danych osobowych do USA opiera się dziś na porozumieniu EU-U.S. Data Privacy Framework z 2023 r. Trybunał UE utrzymał je 3 września 2025 r., ale 31 października 2025 r. wniesiono odwołanie do TSUE i sprawa wciąż czeka na rozstrzygnięcie. Dwa poprzednie porozumienia — Safe Harbor w 2015 r. i Privacy Shield w 2020 r. — TSUE unieważnił właśnie z powodu zakresu amerykańskiego nadzoru.

Jeśli TSUE podważy także to porozumienie, firmy korzystające z amerykańskich usług znów staną przed pytaniem, na jakiej podstawie przekazują dane.

OpenRouter splits its traffic: eu.openrouter.ai and us.openrouter.ai

OpenRouter is a gateway through which companies send requests to hundreds of models from many providers. It now runs two separate regional addresses. A request sent to the European address is decrypted inside the EU and routed only to providers operating in the EU. If none of them serves the chosen model, the request fails instead of leaving the region. The feature is available on the Business and Enterprise plans.

That is a good step, but it concerns where processing happens, not whose law governs the company doing it. OpenRouter, Inc. is a US company, and in August 2026 Stripe — also a US company — announced it would acquire it. The regional documentation covers prompts and completions; it does not expressly cover account or billing data. OpenRouter's privacy policy, meanwhile, provides for disclosing data in response to lawful requests from public authorities.

What US law allows with data — wherever the server stands

• CLOUD Act18 U.S.C. § 2713 · 2018

  A provider subject to US law must hand over data in its possession, custody or control, whether the server is in the United States or in Europe. Content usually requires a warrant — but from a US court, not a European one. The court can also forbid the provider from telling anyone, including the customer — a so-called gag order (18 U.S.C. § 2705(b)).

• FISA Section 70250 U.S.C. § 1881a

  Surveillance aimed at people outside the US — which includes customers in Europe. There is no warrant for a specific person: the FISA court approves general certifications once a year, and the provider receives a directive to assist, with a duty of secrecy. The statutory authority lapsed on 12 June 2026, but certifications approved in March 2026 allow the programme to run until March 2027. Congress is discussing renewal.

• National Security Letters18 U.S.C. § 2709

  Issued by the FBI itself, with no court involved. They cover subscriber information and connection records, not content, and usually come with a ban on revealing that the request was ever made. A court looks at such a letter only if the provider challenges it.

Why this isn't theoretical: data transfers to the US hang on a single framework

Transfers of personal data to the US currently rely on the 2023 EU-U.S. Data Privacy Framework. The EU General Court upheld it on 3 September 2025, but an appeal to the Court of Justice was lodged on 31 October 2025 and is still pending. The two previous frameworks — Safe Harbor in 2015 and Privacy Shield in 2020 — were struck down by the Court of Justice precisely because of the scope of US surveillance.

If the Court of Justice undermines this framework as well, companies relying on US services will once again face the question of what legal basis they have for transferring data.

UODO: zanim wdrożysz narzędzie AI, sprawdź, czy jest zgodne z RODO

Prezes UODO udostępnia gotowe listy pytań do samodzielnego sprawdzenia narzędzia AI przed wdrożeniem — w czterech wersjach: dla firm budujących lub dotrenowujących własne modele, dla MŚP korzystających z gotowych narzędzi, dla sektora publicznego i rozszerzoną, obejmującą także AI Act. Wypełnioną listę warto zachować: jest dowodem, że sprawdziłeś te kwestie przed uruchomieniem, czyli realizacją zasady rozliczalności.

Według wersji dla MŚP więcej niż trzy odpowiedzi „nie” oznaczają, że przed dalszym korzystaniem z narzędzia trzeba skonsultować się ze specjalistą. Ta sama lista zastrzega, że nie wystarcza, gdy w grę wchodzą dane wrażliwe albo dane trafiają poza EOG — wtedy trzeba sięgnąć po wersję rozszerzoną.

AI Act — rozporządzenie (UE) 2024/1689, pełny tekst po polsku

Najważniejsze dla firmy wdrażającej AI: art. 4 o kompetencjach personelu, art. 5 o praktykach zakazanych, art. 50 o obowiązku informowania użytkownika, że rozmawia z systemem AI, oraz załącznik III wyznaczający obszary wysokiego ryzyka — w tym rekrutację i ocenę pracowników.

Uwaga na role: kupując narzędzie, stajesz się podmiotem stosującym. Jeśli złożysz własne środowisko i opatrzysz je nazwą swojej firmy, w świetle rozporządzenia stajesz się dostawcą systemu AI, z pełnym zestawem obowiązków.

Polish data protection authority (UODO): check an AI tool against the GDPR before you deploy it

The President of UODO publishes ready-made checklists for vetting an AI tool yourself before deployment, in four versions: for organisations building or fine-tuning their own models, for SMEs using off-the-shelf tools, for the public sector, and an extended version that also covers the AI Act. Keep the completed list: it is evidence that you looked into these issues before going live — accountability in practice.

According to the SME version, more than three “no” answers mean you should consult a specialist before continuing to use the tool. The same list warns that it is not enough where sensitive data is involved or data leaves the EEA — in that case the extended version is needed.

The AI Act — Regulation (EU) 2024/1689, full text

Most relevant for a company deploying AI: Article 4 on staff AI literacy, Article 5 on prohibited practices, Article 50 on telling users they are dealing with an AI system, and Annex III listing high-risk areas — including recruitment and employee evaluation.

Watch the roles: when you buy a tool, you become a deployer. If you assemble your own environment and put your company's name on it, under the regulation you become a provider of an AI system, with the full set of obligations.