Legal AI a tajemnica zawodowa: co wolno wgrać do narzędzia

Tajemnica adwokacka wynika z Prawa o adwokaturze, a tajemnica radcowska z ustawy o radcach prawnych. W obu przypadkach obejmuje wszystko, o czym prawnik dowiedział się w związku z udzielaniem pomocy prawnej, niezależnie od formy i źródła tej informacji. Nie jest ograniczona w czasie, trwa także po zakończeniu sprawy, i nie może jej uchylić sam klient w sposób dowolny. Obowiązuje również osoby, którymi prawnik posługuje się w pracy: aplikantów, sekretariat, pracowników kancelarii.

Kodeksy etyki obu samorządów wymagają ponadto, żeby prawnik zapewnił ochronę informacji objętych tajemnicą także wtedy, gdy korzysta z usług zewnętrznych, na przykład z systemów informatycznych czy usług w chmurze. To właśnie ten obowiązek jest kluczowy przy wyborze narzędzia AI. Pytanie nie brzmi „czy wolno używać AI”, tylko „czy to konkretne narzędzie daje wystarczające gwarancje poufności”.

Wgranie dokumentu to powierzenie informacji

Każdy dokument wgrany do narzędzia AI trafia na serwery jego dostawcy. Z perspektywy tajemnicy zawodowej to sytuacja podobna do korzystania z poczty w chmurze albo z zewnętrznego systemu do zarządzania dokumentami. Jest dopuszczalna, jeśli dostawca zapewnia poufność, kontrolę dostępu i jasne zasady przetwarzania. Nie jest dopuszczalna, jeśli nie wiadomo, kto ma dostęp do treści, gdzie jest przechowywana i do czego może zostać użyta.

Kancelaria jest administratorem danych osobowych klientów i innych osób, których dotyczą akta: stron przeciwnych, świadków, pracowników, członków rodzin. Dostawca narzędzia AI, który przetwarza te dane w imieniu kancelarii, jest podmiotem przetwarzającym. Oznacza to obowiązek zawarcia umowy powierzenia przetwarzania danych zgodnej z art. 28 RODO i sprawdzenia, czy dostawca daje wystarczające gwarancje ochrony.

Szczególnej uwagi wymagają:

• dane szczególnych kategorii z art. 9 RODO, takie jak dane o zdrowiu, które pojawiają się w sprawach odszkodowawczych, rodzinnych i pracowniczych,
• dane dotyczące wyroków skazujących i czynów zabronionych z art. 10 RODO, obecne w sprawach karnych,
• przekazywanie danych poza Europejski Obszar Gospodarczy, które wymaga odpowiedniej podstawy z rozdziału V RODO,
• okres przechowywania danych przez dostawcę i możliwość ich usunięcia na żądanie kancelarii.

Dostawcy konsumenckich czatów AI

Ogólnodostępne czaty AI w wersjach dla osób prywatnych mają często inne warunki niż wersje biznesowe. Zależnie od dostawcy i ustawień rozmowy mogą być przechowywane dłużej, przeglądane w ramach kontroli jakości albo wykorzystywane do rozwijania modeli. Przed wklejeniem jakiegokolwiek fragmentu akt do takiego narzędzia trzeba przeczytać jego warunki. Jeśli nie da się ustalić, co dzieje się z treścią, bezpieczniej założyć, że narzędzie nie nadaje się do materiałów objętych tajemnicą.

Nie ma jednej listy, która obowiązuje każdą kancelarię, ale da się ułożyć rozsądną zasadę w trzech poziomach.

• Bez ograniczeńtreść przepisów, publicznie dostępne orzeczenia, własne wzory pism bez danych klientów, pytania ogólne o instytucje prawne.
• Po anonimizacjiopis stanu faktycznego bez imion, nazwisk, adresów, numerów PESEL, numerów rachunków i sygnatur, gdy chcesz skorzystać z narzędzia, co do którego nie masz pełnych gwarancji.
• Tylko w narzędziu z gwarancjamipełne akta sprawy, korespondencja z klientem, dokumentacja medyczna, dane finansowe, czyli wszystko, czego nie da się sensownie zanonimizować.

Anonimizacja brzmi prosto, ale przy obszernych aktach rzadko jest skuteczna. Z połączenia dat, miejsc, kwot i opisu zdarzeń często da się ustalić, o kogo chodzi. Dlatego do pracy na pełnych aktach potrzebne jest narzędzie, które spełnia wymagania tajemnicy i RODO, a nie ręczne wycinanie nazwisk.

Zanim kancelaria wgra pierwsze akta, warto uzyskać od dostawcy jasne odpowiedzi na kilka pytań i zachować je w dokumentacji:

• Czy dostawca zawiera umowę powierzenia przetwarzania danych i jaka jest jej treść.
• Gdzie są przechowywane dokumenty i wyniki analizy, w tym kopie zapasowe.
• Czy treść dokumentów jest wykorzystywana do trenowania lub ulepszania modeli.
• Kto po stronie dostawcy ma dostęp do treści i w jakich sytuacjach.
• Czy dane są szyfrowane i w jaki sposób.
• Czy kancelaria może nadawać uprawnienia do konkretnych spraw i widzieć, kto co otwierał.
• Jak długo dane są przechowywane i jak kancelaria może je usunąć lub wyeksportować.
• Jacy podwykonawcy uczestniczą w przetwarzaniu i czy dane opuszczają EOG.

Brak odpowiedzi na któreś z tych pytań jest sam w sobie odpowiedzią. Dostawca, który kieruje ofertę do kancelarii, powinien mieć je przygotowane na piśmie.

Nawet najlepsze narzędzie nie zastąpi zasad obowiązujących zespół. Wystarczy krótki dokument, który mówi:

• z jakich narzędzi AI wolno korzystać przy sprawach klientów, a z jakich nie,
• kto może wgrywać akta i do których spraw,
• co zawsze sprawdza prawnik przed wykorzystaniem wyniku, czyli przepisy, sygnatury, terminy, kwoty i fakty,
• jak postępować z danymi szczególnych kategorii,
• kiedy informować klienta o wykorzystaniu AI w jego sprawie.

Samorządy zawodowe publikują stanowiska i rekomendacje dotyczące korzystania ze sztucznej inteligencji w pracy prawnika. Warto co jakiś czas sprawdzić aktualne wytyczne swojej izby, bo ta dziedzina zmienia się szybko. Na poziomie Unii Europejskiej obowiązuje także rozporządzenie o sztucznej inteligencji (AI Act), którego obowiązki wchodzą w życie etapami i dotyczą przede wszystkim dostawców systemów AI.

Informowanie klienta

Przepisy nie nakładają ogólnego obowiązku informowania klienta o każdym użytym narzędziu, tak jak nie informuje się go o edytorze tekstu. Jeśli jednak AI przetwarza jego dane szczególnych kategorii albo klient w umowie zastrzegł określone zasady poufności, warto uwzględnić to w umowie lub w informacji o przetwarzaniu danych. Przejrzystość buduje zaufanie, a klient, który sam wybiera kancelarię nowoczesną, zwykle przyjmuje to ze zrozumieniem.

Jurysci jest systemem dla kancelarii, więc akta, karty spraw i wyniki analizy AI są zapisane przy sprawie, w kancelarii, która je wgrała. Połączenie jest szyfrowane, a opis sprawy od klienta dodatkowo w bazie danych. W planie Większa kancelaria dochodzą role i uprawnienia (partner, prawnik, aplikant, sekretariat), dziennik zdarzeń i eksport danych, a w planie Kancelaria sieciowa SSO oraz umowa powierzenia na wzorze kancelarii. Szczegóły opisujemy na stronie bezpieczeństwo danych kancelarii.

Wynik AI dla prawników jest zawsze pomocą dla prawnika. Szkic, decyzje i podpis należą do niego, a platforma nie świadczy pomocy prawnej i nie jest stroną umowy klienta z kancelarią. Tak samo działa Jurysci Inbox: zbiera opis sprawy od klienta i układa go w kartę, ale odpowiedź wysyła prawnik.

Krótka lista kontrolna

Zanim zdecydujesz, czy wgrać dany dokument do narzędzia legal AI, zadaj sobie trzy pytania:

• Czy wiem, gdzie trafi ten dokument i kto będzie miał do niego dostęp?
• Czy mam z dostawcą umowę powierzenia i czy dokument nie zostanie użyty do trenowania modeli?
• Czy zanonimizowana wersja wystarczy do tego, co chcę zrobić?

Jeśli na pierwsze dwa pytania nie masz odpowiedzi, a na trzecie odpowiedź brzmi „nie”, dokument nie powinien trafić do tego narzędzia.

Zasady łatwiej stosować na konkretnych sytuacjach. Oto kilka, które powtarzają się w kancelariach najczęściej.

Aplikant chce szybko streścić protokół rozprawy i wkleja go do ogólnodostępnego czatu na prywatnym koncie. To typowy przypadek, w którym informacje objęte tajemnicą trafiają do dostawcy, z którym kancelaria nie ma umowy powierzenia. Rozwiązaniem nie jest zakaz korzystania z AI, tylko wskazanie narzędzia, z którego wolno korzystać przy sprawach.

Prawnik prosi AI o ogólne wyjaśnienie instytucji prawnej, na przykład różnicy między przedawnieniem a terminem zawitym, bez żadnych danych sprawy. Tu tajemnica zawodowa nie jest zagrożona, bo do narzędzia nie trafia nic, czego prawnik dowiedział się od klienta.

Klient przesyła dokumentację medyczną w sprawie o odszkodowanie. To dane szczególnych kategorii, a do tego objęte tajemnicą. Mogą być analizowane wyłącznie w narzędziu, które kancelaria sprawdziła pod kątem umowy powierzenia, szyfrowania i kontroli dostępu.

Kancelaria przejmuje sprawę w toku i dostaje akta od poprzedniego pełnomocnika. Analiza całych akt przez AI oszczędza tu najwięcej czasu, ale tylko wtedy, gdy wynik zostaje przy sprawie w systemie kancelarii, a nie w historii rozmów na koncie jednego pracownika.

Po zakończeniu sprawy

Tajemnica nie kończy się wraz ze sprawą. Warto ustalić, jak długo akta i wyniki analizy mają zostać w narzędziu, kto ma do nich dostęp po zakończeniu sprawy i jak je usunąć, gdy przestaną być potrzebne. Te same zasady powinny obejmować kopie robocze pism przygotowanych z pomocą AI.