Rozmawiasz z chatbotem AI o problemach zdrowotnych, finansach albo sprawach osobistych i zakładasz, że treść pozostaje między Tobą a wybraną usługą? Najnowsze badanie naukowców ze Stony Brook University daje powody do ostrożności. Spośród 42 sprawdzonych platform aż 21 przekazywało tytuły rozmów zewnętrznym systemom śledzącym, a dziewięć ujawniało nawet pełną treść pytań wpisywanych przez użytkowników. Co najgorsze, w wielu przypadkach wraz z informacjami o rozmowach do firm zewnętrznych trafiały adresy e-mail.
Wyniki opublikowano 27 października w pracy naukowej Penny for Your Prompts: A Measurement Study of Contextual Leakage in AI Chat Platforms. Badacze sprawdzili zarówno popularne chatboty, jak i wyspecjalizowane narzędzia wykorzystywane do nauki, porad prawnych oraz rozmów o zdrowiu.
Co wykazało badanie 42 chatbotów AI?
Zespół naukowców przeanalizował ruch sieciowy generowany przez 25 chatbotów ogólnego przeznaczenia oraz 17 platform specjalistycznych. Wśród sprawdzanych usług znalazły się między innymi ChatGPT, Claude, Gemini, DeepSeek, Grok, Perplexity, You.com, Writesonic i Genspark.
Wyniki są zaskakujące:
- 21 z 42 platform (50%) przesyłało tytuły rozmów do zewnętrznych trackerów.
- 9 z 42 platform (21,4%) ujawniało pełne, niezmienione prompty użytkowników.
- 13 z 25 chatbotów ogólnego przeznaczenia przekazywało informacje o rozmowach zewnętrznym odbiorcom.
- 11 spośród wspomnianych 13 platform udostępniało również adresy e-mail użytkowników podmiotom śledzącym.
- 8 z 17 chatbotów specjalistycznych ujawniało tytuły rozmów, a pięć pełną treść promptów.
Naukowcy nie ograniczyli się do sprawdzenia, jakie firmy otrzymują dane. Analizowali również sposób działania skryptów JavaScript, dzięki czemu mogli ustalić, podczas jakich czynności informacje opuszczały stronę chatbota.
Warto mieć na uwadze, że przytoczone badanie dotyczyło konkretnej grupy usług. Wynik 50% nie oznacza jeszcze, że identyczny odsetek wszystkich chatbotów dostępnych na rynku narusza prywatność.
Tytuł rozmowy zdradza więcej, niż przypuszczasz
Większość chatbotów automatycznie nadaje rozmowom nazwy na podstawie wpisywanych pytań. Funkcja ułatwia odnajdywanie wcześniejszych konwersacji, szczególnie gdy korzystasz z AI codziennie. Problem zaczyna się wtedy, gdy wygenerowany tytuł trafia do systemu analitycznego firmy zewnętrznej.
Przykładowo rozmowa dotycząca zadłużenia może otrzymać nazwę "Problemy ze spłatą kredytu", a konsultacja dotycząca zdrowia - "Objawy depresji i problemy ze snem". Już sam tytuł zawiera informacje, których zapewne nie chciałbyś przekazywać reklamodawcom.
Wszystko sprowadza się do sposobu działania zwykłych narzędzi analitycznych. Systemy analityczne często pobierają tytuł aktualnie odwiedzanej strony internetowej. W przypadku chatbota nazwa strony może automatycznie zmieniać się wraz z otwieraną rozmową.
Badacze ustalili, że skrypty analityczne odczytywały między innymi zawartość elementu document.title, a następnie przesyłały ją do usług zewnętrznych. Czasami wystarczyło otworzyć wcześniejszą konwersację, żeby nastąpiło kolejne przekazanie danych.
Innymi słowy, funkcja przygotowana do mierzenia ruchu na stronie mogła zbierać informacje o prywatnych rozmowach, a dział marketingu otrzymywał dodatkowe dane, których użytkownik wcale nie zamierzał mu udostępniać.
Niektóre chatboty przekazywały całe prompty
Szczególnie niepokojące są przypadki przesyłania pełnych pytań wpisywanych do chatbota. Naukowcy wykryli podobne zachowanie w dziewięciu platformach. Cztery należały do grupy chatbotów ogólnego przeznaczenia, a pięć do narzędzi specjalistycznych.
W badaniu opisano między innymi usługę You.com, która podczas pomiarów umieszczała treść promptu w adresie URL. Zewnętrzne mechanizmy Google Ads odczytywały następnie adres wraz z zawartym w nim pytaniem.
W przypadku Writesonic oraz ZenoChat badacze wykryli przechwytywanie treści promptów przez Microsoft Clarity. Narzędzie służące do analizy zachowania odwiedzających odczytywało informacje z elementów strony, zanim chatbot zdążył wygenerować tytuł rozmowy.
Różnice występowały również w liczbie wysyłanych żądań. Według autorów You.com generował średnio 62 żądania zawierające tytuł rozmowy na jeden prompt do usług Google, natomiast Genspark - 40. W przypadku pełnej treści promptów You.com odnotowano średnio 92 podobne żądania. Wyniki badania dotyczą liczby zarejestrowanych żądań sieciowych zawierających określone informacje.
Adres e-mail pozwala powiązać rozmowę z użytkownikiem
Już sam temat rozmowy może zdradzić sporo prywatnych informacji. Gdy do kompletu dochodzi adres e-mail, sytuacja robi się znacznie poważniejsza.
Ustalono, że spośród 13 chatbotów ogólnego przeznaczenia ujawniających informacje o rozmowach aż 11 przekazywało trackerom również adresy e-mail użytkowników. W ośmiu przypadkach jedna firma zewnętrzna otrzymywała obydwa rodzaje danych, co umożliwiało ich powiązanie.
Adres nie zawsze był przesyłany w zwykłej postaci. Czasami wykorzystywano jego skrót kryptograficzny, który również może umożliwiać identyfikację użytkownika.
Wśród przykładów opisanych w publikacji znalazł się Writesonic, gdzie informacje pozwalające powiązać rozmowę z adresem e-mail docierały do sześciu różnych firm.
Badacze zwrócili też uwagę na koncentrację ruchu analitycznego. W grupie 25 chatbotów ogólnego przeznaczenia 41,8% żądań kierowanych do trackerów trafiało do Google, 12,2% do Microsoftu, 8,6% do ByteDance, a 8,3% do Meta. Łącznie cztery przedsiębiorstwa odpowiadały za ponad 70% zarejestrowanego ruchu do usług śledzących.
Warto wiedzieć, że samo otrzymywanie żądań analitycznych nie oznacza automatycznie, że każde zawierało prywatne informacje użytkownika. Autorzy badania przeanalizowali osobno przypadki, w których rzeczywiście występowała treść rozmów.
Chatboty medyczne i prawne również miały problem z prywatnością
Szczególną uwagę zwracają wyniki dotyczące wyspecjalizowanych platform AI. Użytkownicy powierzają im przecież informacje o zdrowiu psychicznym, problemach rodzinnych, sytuacji finansowej czy postępowaniach prawnych.
W przebadanej grupie 17 platform specjalistycznych osiem przekazywało tytuły konwersacji, a pięć pełne prompty. Wszystkie osiem usług ujawniających kontekst rozmowy udostępniało również adres e-mail podmiotom zewnętrznym.
Badacze zarejestrowali między innymi przesyłanie pytań dotyczących lęku i bezsenności, a także sytuacji imigracyjnej użytkownika.
Niepokojący przykład stanowiła platforma AI Lawyer. Podczas pomiarów wysyłała tytuł rozmowy oraz adres e-mail w tym samym żądaniu do usług Meta i ByteDance.
W kategorii edukacyjnej średnio około 24% żądań kierowanych do trackerów zawierało informacje związane z rozmową lub użytkownikiem. Dla analizowanych chatbotów prawnych odsetek wynosił 9%, a zdrowotnych 3%. Autorzy podkreślają jednak, że wyniki zależały mocno od pojedynczych platform i nie można ich przenosić na całe branże.
ChatGPT i Grok usunęły problematyczne trackery
Pomiary przeprowadzono między 6 a 20 maja 2026 roku, natomiast publikacja badania pojawiła się dopiero 27 października. W międzyczasie część firm zmieniła konfigurację swoich usług.
Autorzy wprost informują, że ChatGPT oraz Grok usunęły problematyczne trackery przed zakończeniem prac nad publikacją. Naukowcy zweryfikowali wprowadzone zmiany, dlatego wcześniejszych obserwacji nie traktujemy jako dowodu na występowanie identycznego problemu obecnie.
Poprawkę wdrożył również TheLawGPT, zmieniając konfigurację odpowiedniego narzędzia śledzącego. Część pozostałych dostawców potwierdziła otrzymanie zgłoszenia lub przekazała informacje do odpowiednich zespołów.
Warto przy tym zwrócić uwagę na zakres przeprowadzonych testów. Badania obejmowały przeglądarkowe wersje usług, bezpłatne konta i połączenia realizowane z lokalizacji w Stanach Zjednoczonych, przy zaakceptowanej zgodzie na śledzenie. Nie sprawdzano działania aplikacji mobilnych, płatnych planów ani skuteczności odrzucania opcjonalnych plików cookie.
Jak ograniczyć przekazywanie prywatnych informacji?
Nie ma powodu, żeby po przeczytaniu wyników badania od razu rezygnować z chatbotów AI. Lepiej po prostu pilnować, co wpisujesz w oknie rozmowy. Szczególnie gdy poruszasz sprawy zdrowotne, finansowe czy zawodowe, bo nie każda informacja musi trafiać do internetu wraz z całym zestawem prywatnych szczegółów.
Przede wszystkim nie wpisuj pełnych danych osobowych, numerów dokumentów, informacji o klientach ani poufnych dokumentów, jeżeli nie masz pewności co do zasad ich przetwarzania. W wielu sytuacjach wystarczy anonimowy opis problemu.
Musisz również sprawdzić ustawienia prywatności oraz zgody na analitykę. Blokowanie zewnętrznych trackerów w przeglądarce może ograniczyć część podobnych transmisji, jednak nie daje całkowitej ochrony. Sam tryb incognito również nie gwarantuje, że strona nie wyśle zawartości rozmowy do zewnętrznej usługi.
Jeżeli regularnie pracujesz z poufnymi dokumentami, sensownym rozwiązaniem może być lokalny model AI, działający na własnym komputerze bez przesyłania promptów do internetowego dostawcy. Oczywiście pod warunkiem odpowiedniej konfiguracji i braku dodatkowych integracji wysyłających dane na zewnątrz.
Moim zdaniem najbardziej niepokojące jest to, jak łatwo zwykłe narzędzia analityczne mogą dobrać się do informacji z naszych rozmów z AI. Wpisujesz pytanie, dostajesz odpowiedź i nawet nie podejrzewasz, że gdzieś w tle działają skrypty, które mogą przekazywać fragmenty konwersacji kolejnym firmom. A przecież chatbotom coraz częściej zwierzamy się ze spraw, których za żadne pieniądze nie wrzucilibyśmy na Facebooka. Dostawcy AI powinni wreszcie porządnie zadbać o prywatność użytkowników, bo niezależnie od tego, czy chodzi o całe pytanie, czy kilka słów z tytułu rozmowy, podobne informacje nie powinny wędrować po internecie bez naszej wiedzy.
Opracowanie własne na podstawie publikacji Penny for Your Prompts: A Measurement Study of Contextual Leakage in AI Chat Platforms . Cała publikacja jest dostępna bezpłatnie w serwisie arXiv.
Wszystkie wizualizacje opierają się na danych z raportu.
