Jak zrobić własny CRM z AI? I kto zadba o dane Twoich klientów?

Na LinkedInie i X co chwilę ktoś pokazuje, jak w weekend zbudował własny CRM z pomocą AI. Zamiast płacić za HubSpota, kilka wieczorów z Claude Code czy Lovable i jest: kontakty, lejek sprzedaży, notatki z rozmów, przypomnienia. Według Google Trends zainteresowanie samym Claude Code jest dziś w Polsce ponad dwa razy większe niż rok temu.

To nie jest tekst przeciwko AI. Sami korzystamy z niego na co dzień i uczymy tego zespoły. Chodzi o jeden moment: ten, w którym prototyp dostaje prawdziwe dane. Bo Twój CRM wie o firmie więcej niż Twój księgowy. Są w nim klienci i ich dane kontaktowe, notatki z rozmów, wyniki sprzedaży, faktury, raporty i cały know-how tego, jak sprzedajesz. Od chwili, gdy to wszystko tam trafia, weekendowy projekt staje się systemem, za który odpowiadasz, także przed UODO.

Jak dziś robi się własny CRM z AI

Schemat jest prosty. Opisujesz w czacie, czego potrzebujesz, a narzędzie, np. Claude Code, Lovable, Cursor czy Bolt, generuje aplikację. Jako bazę danych i logowanie zwykle podpowiada gotową usługę w chmurze (np. Supabase albo Firebase), a jako hosting np. Netlify czy Vercel. Po kilku godzinach masz działający prototyp. I to naprawdę działa: jako prototyp to świetny sposób, żeby sprawdzić, jakiego CRM-u potrzebujesz.

Obie historie są ciekawe i dobrze pokazują, ile dziś da się zrobić. W obu prawie nie ma jednak mowy o tym, gdzie fizycznie leżą dane, jak wyglądają kopie zapasowe i co z RODO. To nie zarzut wobec autorów, tylko dobra ilustracja tego, na czym skupiają się takie historie: na kosztach i szybkości.

Gdzie zaczyna się ryzyko

Aplikacja może działać bez zarzutu i jednocześnie stać otworem. Najczęściej problem nie leży w samym AI ani w narzędziach, tylko w ustawieniach, które nikt świadomie nie wybrał.

Domyślna konfiguracja

Supabase to dobre narzędzie: tabele tworzone w jego panelu mają domyślnie włączone zasady dostępu do wierszy (RLS). Tabele tworzone skryptami albo przez agenta AI trzeba jednak zabezpieczyć samodzielnie. Bez tego publiczny klucz, który i tak jest w kodzie strony, wystarczy, żeby czytać i zmieniać dane. Tak właśnie wyglądały głośne incydenty:

• W 2025 roku przegląd 1645 aplikacji zbudowanych w Lovable wykazał, że 170 z nich (ok. 10%) miało bazę dostępną bez logowania, z e-mailami, telefonami, danymi płatności i kluczami API.
• Firma Escape.tech przeanalizowała w październiku 2025 roku ponad 5600 aplikacji z kreatorów AI i znalazła 175 przypadków ujawnionych danych osobowych, w tym dokumentacji medycznej i numerów kont bankowych.
• W lutym 2026 roku serwis Moltbook, którego twórca chwalił się, że zbudował go „na vibe codingu”, miał klucz do bazy w kodzie strony i żadnych reguł dostępu. Na zewnątrz trafiło ok. 1,5 mln tokenów API i dziesiątki tysięcy adresów e-mail.

Więcej o tym, co mówią badania o kodzie pisanym przez AI, piszemy w artykule Czy AI zrobi sklep internetowy?.

Gdzie fizycznie leżą dane

AI ustawia to, co jest domyślne, a domyślne nie zawsze oznacza Unię Europejską. Na przykład funkcje serwerowe nowych stron w Netlify działają domyślnie w USA, a regiony w UE są dostępne w płatnych planach. Supabase pozwala wybrać region w UE (np. Frankfurt czy Irlandię), ale trzeba to zrobić świadomie. Przekazanie danych poza Europejski Obszar Gospodarczy jest możliwe (Netlify ma np. certyfikację EU-US Data Privacy Framework), ale musi mieć podstawę prawną i znaleźć się w Twojej dokumentacji RODO. Z każdym dostawcą, który przetwarza dane Twoich klientów, potrzebujesz też umowy powierzenia.

Codzienność, o której nikt nie pisze w postach

Kopie zapasowe i sprawdzenie, że da się z nich odtworzyć dane. Uprawnienia: kto widzi czyje kontakty i co się dzieje, gdy handlowiec odchodzi z firmy. Logi, czyli informacja, kto i kiedy pobrał dane. Aktualizacje bibliotek, w których co chwilę ktoś znajduje luki. I na końcu najważniejsze: gdy coś przestaje działać, często jest tylko jedna osoba, która rozumie tę aplikację, a i ona pisała ją razem z AI.

W wolnym tłumaczeniu: Replit wymknął się spod kontroli w trakcie zamrożenia zmian i usunął całą bazę danych. Szef Replit przyznał, że to nie powinno się zdarzyć, a firma oddzieliła potem bazy testowe od produkcyjnych. Ta historia dobrze pokazuje, dlaczego AI nie powinno mieć dostępu do działającego systemu bez kontroli człowieka i kopii zapasowej.

Przykład z naszego podwórka, bez AI w tle, ale z tym samym mechanizmem: w 2023 roku UODO ukarał uczelnię kwotą 35 000 zł. Po migracji systemu dane 1461 studentów, w tym numery PESEL, były publicznie dostępne przez 27 dni i trafiły do wyszukiwarki. Zmiany testował tylko ich autor.

Kancelarie, gabinety, szkoły: tu stawka jest wyższa

W niektórych branżach własny CRM to coś więcej niż ryzyko biznesowe:

• Gabinety i placówki medyczne. Dane o zdrowiu to szczególna kategoria danych w RODO (art. 9). UODO karał w ostatnich latach placówki m.in. za brak analizy ryzyka i niezabezpieczone systemy, np. 40 000 zł dla publicznej placówki zdrowia w Pajęcznie po ataku ransomware.
• Edukacja. Dane dzieci wymagają szczególnej ochrony, a informacja o alergii dziecka to dane o zdrowiu (tak traktowała je unijna Grupa Robocza Art. 29). CRM przedszkola czy szkoły językowej szybko staje się więc bazą danych szczególnych.
• Kancelarie i biura rachunkowe. Do RODO dochodzi tajemnica zawodowa. W lipcu 2026 roku UODO ukarał biuro doradztwa podatkowego kwotą 11 594 zł po przejęciu skrzynki e-mail z danymi 111 osób, w tym dzieci zgłoszonych do ubezpieczenia. Biuro nie przeprowadziło analizy ryzyka.

Uczciwie trzeba dodać, że gotowe oprogramowanie też bywa celem ataków. W 2026 roku wyciek z systemu MyDr, z którego korzysta ok. 12 tys. placówek, dotyczył ok. 19 mln osób, a UODO rozszerzył kontrole w ochronie zdrowia. I to jest chyba najmocniejszy argument w całej tej dyskusji: skoro problem może mieć duży dostawca, który ma na bezpieczeństwo ludzi i budżet, to jaką masz pewność, że aplikację napisaną w weekend z AI zabezpieczysz lepiej w pojedynkę?

Wniosek nie brzmi więc „gotowiec zawsze jest bezpieczny”, tylko „wybieraj świadomie”: dostawcę z umową powierzenia, serwerami w UE, certyfikatami i historią reagowania na incydenty, a własne rozwiązanie tylko wtedy, gdy wiesz, kto i jak będzie je chronił.

Jeśli dojdzie do wycieku, administrator ma 72 godziny na zgłoszenie go do UODO (art. 33 RODO), a przy wysokim ryzyku musi też zawiadomić osoby, których dotyczy (art. 34). Kary mogą sięgać 20 mln euro lub 4% rocznego obrotu. Liczba zgłoszeń rośnie: w 2025 roku UODO otrzymał 22 435 zgłoszeń naruszeń, o 51% więcej niż rok wcześniej.

Kiedy własny CRM ma sens

Są sytuacje, w których własna aplikacja to dobry wybór:

• prototyp, na którym sprawdzasz swój proces, na danych testowych,
• narzędzie wewnętrzne, które nie przechowuje danych osobowych,
• bardzo nietypowy proces, którego nie obsłuży żaden gotowy CRM, nawet po integracjach.

Jeśli budujesz, zrób to porządnie: przegląd kodu przez programistę, zasady dostępu w bazie i żadnych kluczy z pełnym dostępem w kodzie strony, serwery w UE i umowy powierzenia z każdym dostawcą, kopie zapasowe sprawdzone przywróceniem, role i uprawnienia, logi, plan aktualizacji i test bezpieczeństwa, zanim trafią tam prawdziwe dane. Do tego wpis w rejestrze czynności przetwarzania i analiza ryzyka.

Od czego zacząć: gotowe CRM-y, także darmowe i tanie

Na start nie trzeba wydawać dużo. Kilka przykładów, stan na październik 2026 roku (ceny netto, przed decyzją sprawdź aktualny cennik):

• HubSpot CRM. Darmowy plan dla 2 użytkowników i 1000 kontaktów. Dane w centrach AWS w Niemczech (region przypisywany przy zakładaniu konta, warto go sprawdzić w ustawieniach), umowa powierzenia w warunkach usługi, certyfikat SOC 2, polski interfejs.
• Zoho CRM. Darmowa wersja dla 3 użytkowników i 5000 rekordów. Centra danych w UE (Amsterdam, Dublin), umowa powierzenia na prośbę, certyfikaty ISO 27001 i SOC 2, polski interfejs.
• Bitrix24. Darmowy plan z podstawowym CRM, a płatny Basic od 199 zł miesięcznie przy płatności rocznej, dla 5 użytkowników. Ważne: dane trafiają do Frankfurtu, jeśli zakładasz konto przez bitrix24.pl, a przy wersji .com do USA.
• Pipedrive. Bez darmowego planu (14 dni testu), Lite od 14 euro za użytkownika miesięcznie przy płatności rocznej. Serwery we Frankfurcie i Dublinie, umowa powierzenia w regulaminie, ISO 27001 i SOC 2, polski interfejs.
• Livespace (polski). Plan Base od 79 zł za użytkownika miesięcznie (do 3 użytkowników). Dane w AWS w Irlandii, opublikowana umowa powierzenia, polskie wsparcie.
• Firmao (polski). Plan Standard od 69 zł za użytkownika miesięcznie przy umowie rocznej. Integracje m.in. z WooCommerce, Shoperem, PrestaShop, Allegro, Symfonią i Comarch (głównie w najwyższym planie), umowa powierzenia przy rejestracji.
• Open source na własnym serwerze (np. EspoCRM, SuiteCRM, Twenty). Licencja bez opłat, ale serwer, aktualizacje, kopie i bezpieczeństwo są po Twojej stronie, czyli część obowiązków wraca jak przy własnej aplikacji.

Mała firma, kilka osób: zacznij od darmowego planu HubSpota albo Zoho i przy zakładaniu konta upewnij się, że dane są w UE. Potrzebujesz polskiego wsparcia i faktury w złotówkach: spójrz na Livespace albo Firmao. Kancelaria, gabinet czy szkoła: zanim cokolwiek wybierzesz, poproś dostawcę o umowę powierzenia, informację o lokalizacji danych i certyfikatach, a przy danych o zdrowiu rozważ system tworzony dla Twojej branży.

Trzecia droga: gotowy CRM i integracje

Nie trzeba wybierać między gotowcem a dopasowaniem do firmy. Najczęściej najlepiej sprawdza się gotowy CRM połączony z resztą systemów: sklep przekazuje do niego klientów i zamówienia, ERP faktury i rozrachunki, formularze na stronie nowe zapytania, a automatyzacje (np. Make czy n8n) zdejmują z zespołu powtarzalną pracę. Przykład: HubSpot połączony z WooCommerce daje w jednym miejscu historię zakupów, segmenty klientów i maile, bez budowania CRM od zera. Takie połączenia robi się przez gotowe aplikacje z marketplace’u CRM-u albo integrację na zamówienie, gdy proces jest nietypowy. Więcej o tym, jak dobrze zaplanować wymianę danych, piszemy w artykule Integracja WooCommerce z ERP.

10 pytań, zanim wrzucisz dane klientów do własnej aplikacji

1. Gdzie fizycznie leżą dane i czy wybrałem region w UE?
2. Czy mam umowę powierzenia z każdym dostawcą (baza, hosting, poczta)?
3. Czy baza ma zasady dostępu, a w kodzie strony nie ma kluczy z pełnym dostępem?
4. Kto ma dostęp do czego i czy da się to ograniczyć dla każdej osoby?
5. Czy mam kopie zapasowe i czy sprawdziłem, że da się z nich odtworzyć dane?
6. Czy ktoś poza mną (i poza AI) przejrzał kod?
7. Kto aktualizuje biblioteki i jak często?
8. Czy aplikacja zapisuje, kto i kiedy zmienił lub pobrał dane?
9. Czy przetwarzam dane o zdrowiu albo dane dzieci?
10. Czy wiem, co zrobię w ciągu 72 godzin od wykrycia wycieku?

Jeśli na kilka z tych pytań odpowiedź brzmi „nie wiem”, to dobry moment, żeby zatrzymać prawdziwe dane po stronie gotowego narzędzia, a własną aplikację rozwijać dalej jako prototyp.

Najczęstsze pytania

Czy CRM w Excelu jest bezpieczniejszy?

To inne ryzyko, nie mniejsze. Plik krąży mailem i na pendrive’ach, nie ma uprawnień ani historii zmian. Na sam start wystarczy, ale z danymi klientów lepiej przejść na gotowy CRM, nawet w darmowym planie.

Jaki CRM dla małej firmy na początek?

Darmowy plan HubSpota albo Zoho, z danymi w UE. Jeśli zależy Ci na polskim wsparciu, Livespace albo Firmao. Najważniejsze, żeby dostawca dawał umowę powierzenia i jasno mówił, gdzie przechowuje dane.

Czy muszę zgłosić wyciek z własnej aplikacji?

Tak, jeśli naruszenie może powodować ryzyko dla osób, których dotyczy: masz na to 72 godziny. Nie każde naruszenie wymaga zgłoszenia do UODO, ale tę ocenę trzeba zrobić i udokumentować.

Czy mogę używać AI przy pracy z CRM?

Tak, i warto. Wiele gotowych CRM-ów ma już wbudowane funkcje AI albo połączenia z asystentami. Ważne, żeby wiedzieć, jakie dane trafiają do modelu i na jakich warunkach.

Pomagamy wybrać gotowy CRM i połączyć go ze sklepem, ERP i formularzami, tak żeby pracował z resztą firmy. Zobacz, jak robimy integracje z ERP, PIM i CRM, a jeśli chcesz, żeby Twój zespół korzystał z AI bez ryzyka dla danych, sprawdź nasze konsultacje i szkolenia. Możesz też od razu opisać swój proces w formularzu bezpłatnej wyceny.