Co musi znaleźć się w umowie z dostawcą narzędzia AI

Pojęcie „dostawca” oznacza tu kontrahenta kancelarii, czyli firmę, która sprzedaje dostęp do narzędzia. To co innego niż „dostawca” w rozumieniu AI Act, gdzie jest to rola przypisana do systemu i opisana w osobnym opracowaniu.

Podstawa prawna

Dostawca narzędzia w chmurze przetwarza dane osobowe w imieniu kancelarii, więc jest podmiotem przetwarzającym. Art. 28 ust. 3 RODO wymaga umowy, która określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych oraz kategorie osób, których dane dotyczą, i nakłada na dostawcę obowiązki wymienione w literach od a do h. Art. 28 ust. 9 RODO wymaga formy pisemnej, w tym elektronicznej. Regulamin serwisu wystarczy tylko wtedy, gdy zawiera wszystkie te elementy, a zwykle ich nie zawiera.

Punktem wyjścia jest litera a, zgodnie z którą dostawca przetwarza dane wyłącznie na udokumentowane polecenie administratora. Cokolwiek robi z nimi we własnym celu, wykracza poza polecenie. Zgodnie z art. 28 ust. 10 RODO podmiot przetwarzający, który naruszając rozporządzenie sam określa cele i sposoby przetwarzania, jest w odniesieniu do tego przetwarzania uznawany za administratora.

Trenowanie modelu na materiałach kancelarii

Uczenie modelu na tym, co kancelaria wgrywa, jest przetwarzaniem w celu dostawcy. W umowie ma być napisane, że dane wejściowe i wyniki nie służą do trenowania ani dostrajania modelu i nie podlegają przeglądowi przez pracowników dostawcy. Trzeba sprawdzić osobno, czy zakaz obejmuje także podwykonawcę udostępniającego model, czy dotyczy planu taryfowego, który kancelaria faktycznie kupuje, i czy nie da się go wyłączyć przestawieniem ustawień konta.

Miejsce przetwarzania i podpowierzenie

Zgodnie z art. 28 ust. 2 RODO dostawca nie korzysta z innego podmiotu przetwarzającego bez uprzedniej szczegółowej albo ogólnej pisemnej zgody administratora, a przy zgodzie ogólnej informuje o zamierzonych zmianach i pozwala im się sprzeciwić. W umowie oznacza to aktualną listę podwykonawców w załączniku, termin uprzedzenia o zmianie i prawo wypowiedzenia po zgłoszeniu sprzeciwu. Osobno trzeba ustalić państwa przetwarzania i podstawę przekazania poza Europejski Obszar Gospodarczy, czyli decyzję o adekwatności albo standardowe klauzule umowne (art. 44 i nast. RODO). Art. 28 ust. 4 RODO nakłada na dostawcę te same obowiązki wobec podwykonawcy i zostawia mu pełną odpowiedzialność wobec kancelarii.

Retencja, usuwanie i wyjście z umowy

Zgodnie z art. 28 ust. 3 lit. g RODO po zakończeniu świadczenia usług dostawca usuwa albo zwraca dane, zależnie od decyzji administratora, i usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich dalsze przechowywanie. Ten wyjątek tłumaczy, dlaczego dostawca nie kasuje wszystkiego natychmiast. W umowie ograniczaj go do wskazanych podstaw.

Umowa ma podać, którą drogę wybiera kancelaria, w jakim terminie liczonym w dniach oraz co dzieje się z kopiami zapasowymi i zapisami dziennika zdarzeń. Do tego dochodzi termin bieżący, czyli jak długo treść zapytań i odpowiedzi pozostaje na serwerze w trakcie umowy i czy da się to skrócić. Na wyjście składają się format eksportu, okres przejściowy na pobranie danych i możliwość wypowiedzenia, gdy dostawca zmieni warunki jednostronnie.

Audyt i zmiany modelu w trakcie umowy

Art. 28 ust. 3 lit. h RODO daje prawo do informacji niezbędnych do wykazania spełnienia obowiązków oraz do audytów i inspekcji. Więksi dostawcy zastępują to raportem z certyfikacji. Można to przyjąć. Zapisz przy tym, że raport przekazywany jest co roku i że po poważnym zdarzeniu kancelaria może zadać pytania na piśmie z terminem odpowiedzi. Osobną sprawą jest podmiana wersji modelu. Wyniki potrafią się wtedy zmienić bez uprzedzenia, więc do umowy powinien wejść obowiązek poinformowania o istotnej zmianie wersji z wyprzedzeniem.

Odpowiedzialność i jej ograniczenia

Wzory dostawców ograniczają odpowiedzialność do wysokości opłaty rocznej i wyłączają utracone korzyści. Przy narzędziu, które dotyka akt klientów, zabiegaj o wyłączenie tego limitu dla naruszenia ochrony danych i naruszenia poufności. Jeżeli dostawca nie ustąpi, decyzja i tak jest do podjęcia, tyle że świadomie. Ryzyko zostaje wtedy po stronie kancelarii i trzeba to odnotować.

Tajemnica zawodowa jako warstwa osobna

Zgodnie z art. 3 ust. 3 ustawy o radcach prawnych radca zachowuje w tajemnicy wszystko, o czym dowiedział się w związku z udzieleniem pomocy prawnej. Zgodnie z art. 3 ust. 4 obowiązek ten nie może być ograniczony w czasie. Art. 15 ust. 2 Kodeksu Etyki Radcy Prawnego obejmuje tajemnicą także dokumenty tworzone przez radcę i korespondencję z klientem, niezależnie od formy utrwalenia. Art. 23 tego kodeksu: „Radca prawny obowiązany jest zabezpieczyć przed niepowołanym ujawnieniem wszelkie informacje objęte tajemnicą zawodową”.

Umowa powierzenia sama tego nie załatwia, bo dotyczy danych osobowych, a tajemnica obejmuje również informacje, które danymi osobowymi nie są. Stąd osobna klauzula poufności na cały materiał sprawy, bez ograniczenia w czasie, z obowiązkiem niezwłocznego zawiadomienia kancelarii o żądaniu dostępu zgłoszonym przez organ.

Przykładowa kancelaria trzyosobowa kupująca dostęp do narzędzia w chmurze

Dwóch radców i sekretariat. Narzędzie ma streszczać akta i wyszukiwać w dokumentach. Dostawca ma siedzibę w Irlandii, model udostępnia mu podwykonawca ze Stanów Zjednoczonych.

Najpierw ustalenie zakresu. Do narzędzia trafiałyby pisma procesowe, umowy klientów i korespondencja, czyli dane osobowe i materiał objęty tajemnicą. Regulamin nie wystarczy.

Potem pismo do dostawcy z listą pytań. Czy podpisujecie umowę powierzenia w brzmieniu art. 28 ust. 3 RODO? Czy dane służą do trenowania i czy zakaz obejmuje podwykonawcę? Gdzie są serwery? Kto jest podwykonawcą i jak informujecie o zmianie listy? Jak długo przechowujecie treść zapytań? Co dzieje się z danymi po rozwiązaniu umowy i w jakim terminie? Jak wykazujecie zgodność? Czy uprzedzacie o zmianie wersji modelu? Jaka jest granica odpowiedzialności?

Odpowiedzi wracają po dwóch dniach. Umowa powierzenia jest. Wyłączenie trenowania obowiązuje dopiero w droższym planie dla firm. Serwery w Irlandii, podwykonawca przetwarza w Stanach Zjednoczonych na standardowych klauzulach umownych. Treść zapytań przechowywana 30 dni, na wniosek do zera. Usunięcie po rozwiązaniu umowy w ciągu 90 dni. Zamiast audytu raport roczny. O zmianie wersji dostawca nie uprzedza. Odpowiedzialność do wysokości opłaty rocznej.

Na tej podstawie zapadają decyzje. Kancelaria kupuje droższy plan i występuje o zerową retencję. Do umowy wchodzi lista podwykonawców z 30-dniowym uprzedzeniem o zmianie i prawem wypowiedzenia. Skrócenia terminu usunięcia dostawca nie przyjmuje, więc zostaje 90 dni i wspólnicy zapisują to jako ryzyko przyjęte. Braku uprzedzenia o zmianie wersji też nie udaje się przełamać, więc kancelaria ustala u siebie kwartalne sprawdzenie jakości wyników na tym samym zestawie testowym. Do czasu wyjaśnienia statusu podwykonawcy akta spraw karnych do narzędzia nie trafiają.

Poleganie na regulaminie dostawcy i podpisanie umowy bez sprawdzenia jej treści

Zaakceptowanie regulaminu i uznanie sprawy za zamkniętą, bo dostawca powołuje się na zgodność z RODO. Zdarza się też, że umowa powierzenia jest podpisana, ale nikt nie sprawdził, czy kupiony plan taryfowy ma wyłączone uczenie modelu, albo że w umowie nie ma terminu usunięcia danych, przez co po rozstaniu z dostawcą nie ma czego egzekwować.

Zagadnienia nierozstrzygnięte

Nie ma rozstrzygnięcia, czy przekazanie dostawcy chmury materiałów objętych tajemnicą zawodową jest ujawnieniem tajemnicy, czy czynnością techniczną w ramach organizacji pracy. Stanowiska są rozbieżne i nie jest znane publikowane orzeczenie sądu dyscyplinarnego, które by je uzgodniło. Otwarte jest też, czy raport z certyfikacji wyczerpuje prawo z art. 28 ust. 3 lit. h RODO wobec dostawcy, który nie wpuszcza klientów do centrum danych.

Przepisy polskiej ustawy o systemach sztucznej inteligencji dotyczące kontroli, postępowania i kar mają zastosowanie od 28 października 2026 r. (art. 127), a Przewodniczącą Komisji Sejm powołał uchwałą z 18 września 2026 r. (M.P. 2026 poz. 945). Praktyki organu jeszcze nie ma i przez najbliższe miesiące nie będzie. Karę administracyjną nakłada się na podmiot obowiązany do przestrzegania rozporządzenia (art. 104 ust. 1 ustawy), a jest nim także radca prowadzący kancelarię jednoosobowo, natomiast art. 112 i art. 113 przewidują osobną odpowiedzialność za wykroczenie, sięgającą osoby fizycznej działającej za organizację.