WebMCP a RODO: czy AI agent może rezerwować termin bez Twojej zgody?

Klientka pyta ChatGPT: „Zarezerwuj mi wizytę u fryzjera na piątek o 14:00." Jeśli salon ma wdrożony WebMCP, agent AI może to zrobić bezpośrednio, bez klikania przez nią w formularz. Brzmi jak ułatwienie. I jest — ale tylko jeśli salon zadbał o jedną rzecz: wyraźną granicę między tym, co agent może zrobić sam, a tym, co wymaga potwierdzenia.

To nie jest kwestia techniczna. To kwestia RODO.

Dlaczego to ważne w 2026

WebMCP to protokół W3C WebMCP Community Group, który pozwala stronom opisać dostępne akcje w sposób zrozumiały dla modeli AI. Zamiast zgadywać, jak wypełnić formularz, agent czyta deklarację właściciela strony: „mam wyszukiwarkę terminów" albo „mam formularz kontaktowy, który przyjmuje imię i e-mail".

W 2026 roku coraz więcej asystentów AI (ChatGPT Operator mode, Claude Computer Use, Gemini Actions) potrafi wykonywać zadania w imieniu użytkownika: klikać, wypełniać formularze, inicjować transakcje. McKinsey szacuje, że do 2027 roku ponad 30% interakcji e-commerce w Europie będzie inicjowanych przez agentów AI, nie przez bezpośrednie kliknięcia (McKinsey Digital, 2025).

Dla właściciela salonu, kliniki czy sklepu pojawia się pytanie, którego nie było rok temu: co się dzieje z danymi mojego klienta, gdy to AI wypełnia formularz?

RODO (Rozporządzenie 2016/679) nie było pisane z myślą o agentach AI, ale jego zasady stosują się w pełni. Art. 22 mówi wprost: osoby fizyczne mają prawo do tego, żeby nie podlegać decyzji podjętej wyłącznie przez zautomatyzowane przetwarzanie, jeśli ta decyzja wywołuje wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływa.

Rezerwacja terminu z podaniem danych osobowych to decyzja z prawnym skutkiem. Agent AI, który robi ją bez pytania użytkownika, wchodzi na grząski grunt.

Czym WebMCP różni się od zwykłego formularza

Klasyczny formularz rezerwacji: użytkownik go widzi, wypełnia ręcznie i klika „Wyślij". Każdy krok to świadoma decyzja człowieka.

WebMCP: agent AI wypełnia formularz programowo, w tle, bez bezpośredniej interakcji użytkownika z interfejsem Twojej strony. Użytkownik dał zgodę asystentowi AI (np. ChatGPT) na wykonanie zadania w swoim imieniu — ale czy dał zgodę Twojej firmie na przetwarzanie jego danych?

Krok po kroku: jak wdrożyć WebMCP zgodnie z RODO

1. 01
   Podziel akcje na dwa typy

   Przejrzyj wszystkie formularze na swojej stronie i przypisz je do dwóch grup.

   Akcje bezpieczne (agent może wykonać samodzielnie): sprawdzenie dostępnych terminów, wyszukanie produktu po parametrach, odczyt godzin otwarcia i cennika, sprawdzenie stanu zamówienia (bez danych wrażliwych).

   Akcje wymagające potwierdzenia: rezerwacja z podaniem imienia, e-maila lub telefonu, zakup produktu, wypełnienie formularza kontaktowego, anulowanie lub zmiana istniejącej rezerwacji.

   Słabo

   Wdrażam WebMCP na całej stronie i zostawiam domyślne ustawienia.

   Lepiej

   Oznaczam każdą akcję atrybutem data-mcp-requires-confirmation="true" dla formularzy zbierających dane osobowe i data-mcp-safe="true" dla akcji tylko odczytujących.

   forms · booking-vs-search.htmlKopiuj

   <!-- Wyszukiwanie wolnych terminów — bezpieczne, brak danych osobowych -->
   <form data-mcp-action="search-availability" data-mcp-safe="true">
   <input type="date" name="date" data-mcp-param="preferredDate" />
   <input type="text" name="service" data-mcp-param="serviceType" />
   <button type="submit">Sprawdź dostępność</button>
   </form>
   
   <!-- Finalna rezerwacja — wymaga potwierdzenia przez użytkownika -->
   
   <form data-mcp-action="book-appointment" data-mcp-requires-confirmation="true">
   <input type="text" name="name" data-mcp-param="clientName" />
   <input type="email" name="email" data-mcp-param="clientEmail" />
   <input type="tel" name="phone" data-mcp-param="clientPhone" />
   <button type="submit">Zarezerwuj</button>
   </form>

2. 02
   Zaktualizuj politykę prywatności

   Twoja polityka prywatności powinna teraz opisywać nie tylko to, jak zbierasz dane, ale też to, że mogą być przesłane przez automatycznych agentów AI działających w imieniu użytkownika.

   Słabo

   Dane zbieramy przez formularze kontaktowe na stronie.

   Lepiej

   Dane osobowe mogą być przesyłane przez asystentów AI (np. ChatGPT, Claude) działających w imieniu użytkownika na podstawie wcześniej udzielonej przez niego zgody temu asystentowi. W każdym przypadku przetwarzamy dane wyłącznie w celu realizacji rezerwacji i na podstawie art. 6 ust. 1 lit. b RODO (umowa).

   Uwaga dla kliniki stomatologicznej: jeśli dane obejmują informacje o usłudze (np. „wizyta profilaktyczna"), mogą to być dane wrażliwe kategorii specjalnej (art. 9 RODO). Tam konsultacja prawna jest obowiązkowa, nie opcjonalna.

3. 03
   Wybierz mechanizm weryfikacji zgody

   Gdy agent AI wykonuje akcję wymagającą potwierdzenia, musi istnieć moment, w którym użytkownik świadomie zatwierdza przekazanie danych do Twojej firmy. Masz trzy opcje:

   Mechanizm A: potwierdzenie po stronie asystenta AI. Agent pokazuje użytkownikowi: „Zaraz prześlę do salonu Twoje imię, e-mail i wybrany termin. Czy potwierdzasz?" Użytkownik klika TAK w interfejsie AI. Zgodne z RODO, ale wymaga, żeby asystent AI był skonfigurowany do pytania o zgodę.

   Mechanizm B: potwierdzenie po stronie Twojej strony. Po akcji agenta strona zwraca komunikat: „Rezerwacja jest prawie gotowa. Kliknij link, żeby potwierdzić i wyraź zgodę na przetwarzanie danych." Bezpieczniejsze prawnie, ale dodaje krok.

   Mechanizm C: fallback na tradycyjny formularz. Agent AI nie finalizuje rezerwacji samodzielnie — otwiera formularz na stronie z wypełnionymi polami i daje użytkownikowi samodzielne kliknięcie „Wyślij". Najłatwiejsze wdrożeniowo, zgodne z RODO.

   Dla salonu kosmetycznego z małą liczbą rezerwacji: zacznij od mechanizmu C. Ryzyko prawne minimalne, wdrożenie proste.

4. 04
   Opisz akcje w server-cards.json

   WebMCP wymaga opisu dostępnych akcji w pliku server-cards.json lub bezpośrednio w atrybutach HTML. Opisując akcje, zaznacz wymagania dotyczące zgody:

   server-cards.jsonKopiuj

   {
   "name": "Salon Fryzjerski Kowalska",
   "version": "1.0",
   "actions": [
     {
       "id": "search-availability",
       "name": "Sprawdź dostępne terminy",
       "type": "query",
       "requiresPersonalData": false,
       "requiresConfirmation": false,
       "description": "Zwraca dostępne terminy dla wybranej usługi i daty. Nie zbiera danych osobowych."
     },
     {
       "id": "book-appointment",
       "name": "Zarezerwuj termin",
       "type": "mutation",
       "requiresPersonalData": true,
       "requiresConfirmation": true,
       "personalDataFields": ["clientName", "clientEmail", "clientPhone"],
       "legalBasis": "art. 6 ust. 1 lit. b RODO",
       "description": "Tworzy rezerwację. Wymaga danych osobowych i potwierdzenia przez użytkownika."
     }
   ]
   }

   Model AI, który czyta ten plik przed wykonaniem akcji, wie, że book-appointment wymaga potwierdzenia. Jeśli nie jest odpowiednio zaprojektowany, Twoja strona powinna być ostatnią linią obrony.

5. 05
   Dodaj adres kontaktowy dla spraw RODO

   Gdy agent AI działa w imieniu użytkownika, pytanie „kto odpowiada za dane?" nie jest już oczywiste. Twoja strona musi zawierać czytelne informacje: kto jest administratorem danych (Twoja firma, nazwa, adres, NIP), jak można wycofać zgodę lub usunąć dane, jak długo przechowujesz dane z rezerwacji.

   Minimalne wdrożenie: stopka strony z linkiem do polityki prywatności i adres e-mail do spraw RODO. Jeśli działasz w branży medycznej lub edukacyjnej, wymagany jest formalny Inspektor Ochrony Danych (IOD).

6. 06
   Przetestuj przepływ agenta

   Zanim opublikujesz konfigurację WebMCP, przetestuj dwa scenariusze.

   Scenariusz A (akcja bezpieczna): poproś asystenta AI lub symulator o sprawdzenie wolnych terminów bez podawania swoich danych. Sprawdź, czy strona nie zbiera żadnych danych osobowych.

   Scenariusz B (akcja wymagająca zgody): poproś agenta o pełną rezerwację. Sprawdź, czy pojawia się krok potwierdzenia. Jeśli dane trafiają do bazy bez żadnego kroku potwierdzenia przez użytkownika, masz problem z RODO.

Gotowe wzorce do wdrożenia

Wzorzec 1: Komunikat o przetwarzaniu danych przez agenta AI

Dodaj ten tekst przy każdym formularzu zbierającym dane osobowe, który jest dostępny przez WebMCP:

„Twoje dane mogą być przesłane przez asystenta AI działającego w Twoim imieniu. Przetwarzamy je wyłącznie w celu realizacji rezerwacji (art. 6 ust. 1 lit. b RODO). Więcej: [Polityka prywatności]."

Wzorzec 2: Atrybuty HTML dla standardowych formularzy

<!-- Formularz kontaktowy — wymaga potwierdzenia -->
<form
data-mcp-action="contact-inquiry"
data-mcp-requires-confirmation="true"
data-mcp-legal-basis="consent"
data-mcp-retention="12 months"
>
<!-- pola formularza -->
</form>

<!-- Formularz wyceny bez danych osobowych — bezpieczny -->
<form
data-mcp-action="price-estimate"
data-mcp-safe="true"
data-mcp-requires-confirmation="false"
>
<!-- pola formularza -->
</form>

Wzorzec 3: Odpowiedź serwera dla akcji wymagających potwierdzenia

{
"status": "pending_confirmation",
"message": "Rezerwacja czeka na potwierdzenie. Link wysłany na adres {email}.",
"confirmationRequired": true,
"confirmationMethod": "email"
}

Checklista wdrożenia WebMCP zgodnie z RODO

Plan wdrożenia na 7 dni

1. 1Dzień

   Inwentaryzacja — przejdź wszystkie strony swojej witryny. Wypisz każdy formularz: nazwa, co zbiera, czy zbiera dane osobowe. Tabelka w arkuszu kalkulacyjnym wystarczy.

2. 2Dzień

   Decyzja o mechanizmie potwierdzenia — na podstawie inwentaryzacji wybierz mechanizm A, B lub C dla każdego formularza zbierającego dane osobowe. Dla małego salonu zacznij od mechanizmu C.

3. 3Dzień

   Atrybuty HTML — dodaj atrybuty data-mcp-* do formularzy. To niewidoczne dla użytkownika znaczniki, nie musisz zmieniać wyglądu strony.

4. 4Dzień

   server-cards.json — stwórz lub zaktualizuj plik server-cards.json. Jeśli nie masz tego pliku, dzień 4 jest na jego napisanie od podstaw.

5. 5Dzień

   Polityka prywatności — zaktualizuj politykę prywatności. Jeśli używasz gotowego wzorca od prawnika lub platformy, dodaj akapit o agentach AI. Jeśli nie masz polityki prywatności — to jest właśnie ten dzień.

6. 6Dzień

   Testy — przetestuj oba scenariusze z kroku 6. Sprawdź, czy backend zachowuje się zgodnie z oczekiwaniami.

7. 7Dzień

   Przegląd i publikacja — sprawdź, czy polityka prywatności jest dostępna z każdej podstrony. Opublikuj konfigurację WebMCP.

Najczęstsze błędy

Jak mierzyć efekty wdrożenia

Zgodność z RODO nie ma jednego wskaźnika. Ale kilka sygnałów mówi, że wdrożenie idzie w dobrym kierunku:

1. Zero skarg od użytkowników na nieautoryzowane rezerwacje — przez pierwsze 30 dni po wdrożeniu WebMCP monitoruj zgłoszenia.
2. Logi serwera pokazują pending_confirmation dla akcji wymagających zgody, zamiast bezpośredniego zapisu do bazy.
3. Polityka prywatności zawiera wzmiankę o agentach AI — sprawdzalne przez Urząd Ochrony Danych Osobowych (UODO).
4. Formularz potwierdzenia ma mierzalny conversion rate — jeśli wdrożyłeś mechanizm B, sprawdzaj, ile rezerwacji czeka na potwierdzenie, a ile jest finalizowanych.
5. Audit AI score w kategorii WebMCP rośnie — narzędzie Audit AI weryfikuje m.in. obecność atrybutów WebMCP i opis akcji w server-cards.json.

FAQ

Dla kogo ta rada nie jest dobra

Ten poradnik zakłada, że prowadzisz prostą stronę z formularzem rezerwacji: salon, klinika, mały sklep, firma usługowa. Jeśli:

• przetwarzasz dane medyczne, finansowe lub dane dzieci — potrzebujesz dedykowanej analizy prawnej, nie tego artykułu,
• prowadzisz duży sklep e-commerce z setkami transakcji dziennie — wdrożenie WebMCP wymagało będzie full-stack dewelopera i audytu prawnego,
• używasz platformy SaaS (np. Shopify, Calendly) — sprawdź, czy platforma już wdrożyła WebMCP i jakie daje gwarancje RODO; bezpośrednia edycja atrybutów HTML może być niemożliwa.

Podsumowanie

WebMCP pozwala AI agentom wykonywać akcje na Twojej stronie. To nie jest futurystyczny scenariusz — ChatGPT Operator mode i Claude Computer Use działają już dziś. Dwa atrybuty HTML i zaktualizowana polityka prywatności to minimum, żeby to działało zgodnie z RODO. Sprawdź, jak wygląda AI-readiness Twojej strony, na auditai.cc — narzędzie weryfikuje m.in. obecność konfiguracji WebMCP i zaznacza brakujące elementy.

Źródła