Korzystanie z narzędzi AI budzi wśród części prawników duży niepokój związany z bezpieczeństwem. Wynika to prawdopodobnie z połączenia dwóch okoliczności.

Korzystanie z większości narzędzi AI, które mogłyby być przydatne dla prawników wiąże się z wysyłaniem danych na serwery dostawców tych narzędzi. Ponadto, do rozwoju dużych modeli językowych, na których opierają się te narzędzia, potrzebne są ogromne ilości danych, które mogą być pozyskiwane od użytkowników.

Są to zasadne obawy, ale dostawcy narzędzi wiedzą o tym i adresują w swoich ofertach te zagadnienia.

Dostrzegła je również Krajowa Izba Radców Prawnych, która w kwietniu 2025 opublikowała dokument “AI w pracy radcy prawnego – Rekomendacje dotyczące korzystania  przez radców prawnych z narzędzi opartych na sztucznej inteligencji” (“Rekomendacje KIRP”). Dokument ten zawiera całą grupę rekomendacji dotyczących analizy, która powinna poprzedzać wdrożenie narzędzia.

Przystępując do wyboru narzędzia AI, a przed rozpoczęciem testów merytorycznych przeprowadziliśmy w JDP wstępną ocenę prawną testowanych narzędzi AI w zgodzie z Rekomendacjami KIRP. Poniżej opisujemy najważniejsze elementy naszej oceny.

Elementy oceny

Poszczególne elementy są wyodrębnione dla uporządkowania i ułatwienia procesu oceny, ale są one ściśle powiązane ze sobą i przenikają się, np. oceniając zgodność z RODO musimy wziąć pod uwagę ocenę środków bezpieczeństwa, oceniając poufność bierzemy pod uwagę umowę i środki bezpieczeństwa.

O tym, gdzie szukać informacji, które należy zweryfikować pisaliśmy w pierwszym odcinku tej serii: AI w pracy prawnika.

Kwestie umowne

Po pierwsze ocenialiśmy standardowe kwestie umowne takie jak:

Po drugie ocenialiśmy kwestie charakterystyczne dla systemów AI:

Po trzecie, ocenialiśmy również kwestie poufności i ochrony danych osobowych, o których poniżej.

Zgodność przetwarzania danych z prawem

Wiele zadań prawników wiąże się z przetwarzaniem danych osobowych, dlatego ocena narzędzi AI pod względem ochrony danych osobowych jest niezbędna.

W pierwszej kolejności należy zrozumieć, jak przetwarzane są dane, ponieważ w zależności od przyjętej architektury rozwiązania w przetwarzanie zaangażowanych może być kilka podmiotów przetwarzających.

Najważniejsze kwestie, które analizowaliśmy to:

Ze względu na innowacyjność rozwiązań opartych o AI, ograniczone możliwości wykonywania praw osób, których dane dotyczą oraz przetwarzanie szczególnych kategorii danych osobowych konieczne jest, w naszej ocenie, przeprowadzenie oceny skutków dla ochrony danych (DPIA).

Środki bezpieczeństwa

Ten element był dla nas kluczowy w ocenie dostawcy. Badaliśmy przy tym następujące kwestie:

Poufność

Mając zweryfikowane środki bezpieczeństwa, konieczne było sprawdzenie, czy umowa z dostawcą zawiera odpowiednie postanowienia dotyczące poufności. Kluczowe są zobowiązania dostawcy do:

Sprawdzaliśmy również ewentualne ograniczenia odpowiedzialności w zakresie poufności.

Narzędzia wspomagające pracę prawników a AI Act

Podchodząc do analizy narzędzia, musieliśmy również odpowiedzieć na pytanie, co w tym kontekście wynika dla nas z AI Act.

Dokonaliśmy więc klasyfikacji testowanych systemów według AI Act i uznaliśmy, że korzystając z systemów AI wspierających pracę prawników:

1nie stosujemy zakazanych praktyk w zakresie AI;

2nie korzystamy z systemów wysokiego ryzyka;

3nie stajemy się dostawcą modeli ogólnego przeznaczenia;

4nie dotyczą nas obowiązki z art. 50.

Jedynym obowiązkiem, jaki wynika dla nas z AI Act, jest obowiązek zapewnienia odpowiedniego poziomu wiedzy o AI w organizacji, tzw. AI literacy, o którym pisaliśmy w poprzednim newsletterze: Jak przygotować organizację na spełnienie obowiązku AI literacy z art. 4 AI Act?

Podsumowanie

Analizując prawne kwestie wdrożenia narzędzia AI wspomagającego pracę prawników, należy pamiętać o:

  • odpowiednich zabezpieczeniach umownych, w szczególności zabezpieczeniu kwestii odpowiedzialności i praw do treści wejściowych i wyjściowych;
  • zgodności przetwarzania danych z prawem;
  • weryfikacji środków bezpieczeństwa, jakie oferują dostawcy;
  • kwestiach poufności informacji.

Obowiązki regulacyjne, jakie spoczywają na wdrażającym takie narzędzia polegają na przeprowadzaniu oceny skutków dla ochrony danych (DPIA) i zapewnieniu stosownego poziomu wiedzy o korzystaniu z AI w organizacji.

O wymaganej i rekomendowanej dokumentacji będziemy pisać w kolejnych odcinkach newslettera.

przycisk pobierz newsletter

Kontakt

Zapraszamy do kontaktu z naszym zespołem specjalizującym się w prawie nowych technologii, jeśli:

Michał Pietrzyk – radca prawny, Senior Associate w zespole IP/IT, Digital Transformation and Automation Lead