baza wiedzyPo czym poznać, że narzędzie AI nadaje się do pracy w kancelarii

moja ocena Sześć pytań do dostawcy porządkuje ocenę, ale jej nie zastępuje. Odpowiedzi zbiera się na piśmie, a ryzyko ocenia radca prawny w odniesieniu do własnej praktyki i rodzaju spraw.

Co się właściwie ocenia

Ocena narzędzia dotyczy warunków, na jakich dostawca przyjmuje materiał ze spraw, a nie tego, jak zgrabnie narzędzie pisze. Ramy wyznaczają dwa zestawy przepisów: Regulamin wykonywania zawodu radcy prawnego, który wymaga zabezpieczenia informacji objętych tajemnicą adekwatnego do rodzaju informacji i ryzyka ich ujawnienia (§ 3) oraz kontroli dostępu i zabezpieczenia systemu przy dokumentach elektronicznych (§ 4 ust. 2), a także RODO, jeżeli w materiale są dane osobowe.

Pytania do dostawcy przed zakupem

1. Gdzie odbywa się przetwarzanie. W jakim państwie przetwarza się i przechowuje dane, kto jest podwykonawcą i czy dostawca powiadamia o zmianie podwykonawcy. Przekazanie danych poza Unię wymaga podstawy z rozdziału V RODO (art. 44 i następne: decyzja o odpowiednim stopniu ochrony albo odpowiednie zabezpieczenia z art. 46). Powierzenie dalszemu podmiotowi wymaga zgody administratora (art. 28 ust. 2 RODO).
2. Czy model uczy się na wprowadzanych treściach. Rzecz nie w tym, czy istnieje przełącznik w ustawieniach, tylko czy wyłączenie uczenia jest zapisane w umowie. Ustawienie, które można cofnąć jednostronnie, nie jest zobowiązaniem.
3. Czy jest umowa powierzenia i osobna klauzula poufności. Umowa z art. 28 ust. 3 RODO obejmuje dane osobowe. Tajemnica zawodowa sięga dalej i obejmuje także dokumenty i ustalenia, które danymi osobowymi nie są, dlatego potrzebna jest odrębna klauzula rozciągnięta na wszystko, co trafia do narzędzia.
4. Co dzieje się z historią zapytań. Jak długo przechowywane są zapytania i wyniki, kto po stronie dostawcy ma do nich dostęp, w jakim trybie są usuwane i czy usunięcie obejmuje kopie zapasowe. To odpowiada wprost wymaganiom § 4 ust. 2 Regulaminu i art. 32 RODO.
5. Czy jest przedstawiciel w Unii. Jeżeli dostawca nie ma jednostki organizacyjnej w Unii, a jego przetwarzanie podlega RODO na podstawie art. 3 ust. 2, ma obowiązek wyznaczyć na piśmie przedstawiciela w Unii (art. 27 RODO, z wyjątkami z ust. 2). Pytanie dotyczy nazwy podmiotu i adresu, a nie samego zapewnienia, że przedstawiciel istnieje.
6. Czy dostawca podaje ograniczenia narzędzia. Do czego narzędzie nie jest przeznaczone, na jakich zadaniach zawodzi, jak oznacza treści wygenerowane. Obowiązki przejrzystości z art. 50 AI Act stosuje się od 2 sierpnia 2026 r., przy czym systemy wprowadzone do obrotu przed tą datą mają czas na dostosowanie znakowania treści do 2 grudnia 2026 r.

Przykład: wybór narzędzia do wyszukiwania w dokumentach

Trzyosobowa kancelaria chce narzędzia, które przeszuka jej zbiór umów i przygotuje zestawienia klauzul. Wysyła te same sześć pytań do trzech dostawców i prosi o odpowiedź na piśmie.

Pierwszy odsyła odnośnik do strony z opisem produktu i zapewnienie o wysokich standardach bezpieczeństwa. Drugi przesyła wzór umowy powierzenia, ale na pytanie o państwo przetwarzania odpowiada, że dane są w chmurze, i nie podaje listy podwykonawców. Trzeci odpowiada punkt po punkcie: wskazuje serwerownie w dwóch państwach Unii, załącza listę podwykonawców z procedurą powiadamiania o zmianie, przesyła projekt umowy z zapisem wyłączającym uczenie na treściach klienta, opisuje okres przechowywania zapytań i tryb usuwania, podaje przedstawiciela w Unii oraz krótką notę o ograniczeniach narzędzia z przykładami zadań, na których ono zawodzi.

Kancelaria wybiera trzeciego, ale nie od razu do wszystkich spraw. Przez trzy miesiące narzędzie działa na umowach wzorcowych i sprawach zakończonych. Powstaje jednostronicowa lista tego, czego do narzędzia nie wolno wprowadzać, i rubryka użycia w karcie sprawy. Po trzech miesiącach zespół sprawdza, w ilu przypadkach zestawienie klauzul wymagało poprawki, i na tej podstawie decyduje o rozszerzeniu użycia. Przy tej decyzji cena nie powinna przeważać nad warunkami przetwarzania danych.

Typowy błąd

Ocenianie narzędzia po tym, jak dobrze pisze, i testowanie go na pytaniu, na które zna się odpowiedź. Więcej mówi test odwrotny: zadanie, na które prawidłowa odpowiedź brzmi „takiego przepisu nie ma” albo „nie da się tego ustalić z tych dokumentów”. Narzędzie, które w takiej sytuacji coś dopisuje, będzie dopisywać także wtedy, gdy nikt tego nie sprawdzi. Drugi częsty błąd to traktowanie nazwy planu taryfowego jako odpowiedzi na pytanie o warunki przetwarzania.

Siedziba dostawcy a organ, który go nadzoruje

Włoski organ ochrony danych nałożył na dostawcę modelu karę 15 mln euro, zarzucając brak podstawy prawnej przetwarzania danych wykorzystanych do trenowania, braki w informowaniu użytkowników i niedopełnienie obowiązku zgłoszenia naruszenia. Trybunał w Rzymie uchylił tę decyzję 18 marca 2026 r., przyjmując, że po ustanowieniu przez spółkę jednostki w Irlandii uruchamia się mechanizm współpracy organów i właściwy staje się organ wiodący, a nie organ włoski; zarzutów co do istoty sąd nie badał. Pełny opis sprawy razem ze stanem na dziś jest w rejestrze orzeczeń.

Wniosek praktyczny dotyczy nie kary, lecz właściwości: to, gdzie dostawca ma jednostkę organizacyjną, przesądza o tym, kto go nadzoruje i do kogo trafi skarga. Stąd pytanie o siedzibę i przedstawiciela nie jest formalnością.

Czego dziś nie da się rozstrzygnąć

Nie ma urzędowego wykazu narzędzi dopuszczonych do pracy w kancelarii i żaden certyfikat dostawcy nie zastępuje własnej oceny.

Organem nadzoru rynku w Polsce jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (art. 5 ust. 1 ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003). Przepisy o kontroli, postępowaniu przed organem nadzoru i karach zaczynają obowiązywać 28 października 2026 r. (art. 127), więc praktyki tego organu jeszcze nie ma.

Reżim systemów wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 r., przy czym punkt 8 tego załącznika dotyczy systemów przeznaczonych do stosowania przez organ wymiaru sprawiedliwości lub w jego imieniu, a nie narzędzi kancelarii. Kwalifikacja konkretnego narzędzia zależy od jego przeznaczenia; służy do tego test klasyfikacji.

Źródła: rozporządzenie (UE) 2016/679 (RODO), art. 3 ust. 2, art. 27, art. 28 ust. 2 i 3, art. 32, art. 44 i art. 46; Regulamin wykonywania zawodu radcy prawnego, § 3 i § 4 ust. 2; rozporządzenie (UE) 2024/1689 (AI Act), art. 4, art. 50 i załącznik III pkt 8; tekst pierwotny, zmieniony rozporządzeniem (UE) 2026/1744; ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003); sprawa włoskiego organu ochrony danych wobec OpenAI i jej dalszy bieg, rejestr orzeczeń poz. 10. Sprawdzone 5.08.2026. Treść ma charakter ogólny i nie zastępuje oceny konkretnej sprawy. Kryteria doboru i cykl przeglądu opisuje metodologia.