baza wiedzyCo musi znaleźć się w umowie z dostawcą narzędzia AI

stan ustalony Umowa powierzenia przetwarzania w pełnym brzmieniu z art. 28 ust. 3 RODO, a ponadto zakaz uczenia modelu na materiałach kancelarii, lista podwykonawców z prawem sprzeciwu, termin usunięcia danych po zakończeniu współpracy i osobna klauzula poufności obejmująca tajemnicę zawodową.

Uwaga terminologiczna na wstępie: w tym tekście „dostawca” znaczy kontrahent kancelarii, czyli firma, która sprzedaje dostęp do narzędzia. To co innego niż „dostawca” w rozumieniu AI Act, gdzie jest to rola przypisana do systemu i opisana w osobnym opracowaniu.

Podstawa prawna

Dostawca narzędzia w chmurze przetwarza dane osobowe w imieniu kancelarii, więc jest podmiotem przetwarzającym. Art. 28 ust. 3 RODO wymaga umowy, która określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych oraz kategorie osób, których dane dotyczą, i nakłada na dostawcę obowiązki wymienione w literach od a do h. Art. 28 ust. 9 RODO wymaga formy pisemnej, w tym elektronicznej. Regulamin serwisu wystarczy tylko wtedy, gdy zawiera wszystkie te elementy, a zwykle ich nie zawiera.

Punktem wyjścia jest litera a: dostawca przetwarza dane wyłącznie na udokumentowane polecenie administratora. Cokolwiek robi z nimi we własnym celu, wykracza poza polecenie. Art. 28 ust. 10 RODO wskazuje skutek: podmiot przetwarzający, który naruszając rozporządzenie sam określa cele i sposoby przetwarzania, jest w odniesieniu do tego przetwarzania uznawany za administratora.

Trenowanie modelu na materiałach kancelarii

Uczenie modelu na tym, co kancelaria wgrywa, jest przetwarzaniem w celu dostawcy. W umowie ma być napisane, że dane wejściowe i wyniki nie służą do trenowania ani dostrajania modelu i nie podlegają przeglądowi przez pracowników dostawcy. Trzy rzeczy trzeba sprawdzić: czy zakaz obejmuje także podwykonawcę udostępniającego model, czy dotyczy planu taryfowego, który kancelaria faktycznie kupuje, i czy nie da się go wyłączyć przestawieniem ustawień konta.

Miejsce przetwarzania i podpowierzenie

Art. 28 ust. 2 RODO: dostawca nie korzysta z innego podmiotu przetwarzającego bez uprzedniej szczegółowej albo ogólnej pisemnej zgody administratora, a przy zgodzie ogólnej informuje o zamierzonych zmianach i pozwala im się sprzeciwić. W umowie oznacza to aktualną listę podwykonawców w załączniku, termin uprzedzenia o zmianie i prawo wypowiedzenia po zgłoszeniu sprzeciwu. Osobno trzeba ustalić państwa przetwarzania i podstawę przekazania poza Europejski Obszar Gospodarczy, czyli decyzję o adekwatności albo standardowe klauzule umowne (art. 44 i nast. RODO). Art. 28 ust. 4 RODO nakłada na dostawcę te same obowiązki wobec podwykonawcy i zostawia mu pełną odpowiedzialność wobec kancelarii.

Retencja, usuwanie i wyjście z umowy

Art. 28 ust. 3 lit. g RODO: po zakończeniu świadczenia usług dostawca usuwa albo zwraca dane, zależnie od decyzji administratora, i usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich dalsze przechowywanie. Ten wyjątek tłumaczy, dlaczego dostawca nie kasuje wszystkiego natychmiast, i warto go w umowie ograniczyć do wskazanych podstaw.

Umowa ma podać, którą drogę wybiera kancelaria, w jakim terminie liczonym w dniach oraz co dzieje się z kopiami zapasowymi i zapisami dziennika zdarzeń. Do tego termin bieżący: jak długo treść zapytań i odpowiedzi pozostaje na serwerze w trakcie umowy i czy da się to skrócić. Na wyjście: format eksportu, okres przejściowy na pobranie danych i możliwość wypowiedzenia, gdy dostawca zmieni warunki jednostronnie.

Audyt i zmiany modelu w trakcie umowy

Art. 28 ust. 3 lit. h RODO daje prawo do informacji niezbędnych do wykazania spełnienia obowiązków oraz do audytów i inspekcji. Więksi dostawcy zastępują to raportem z certyfikacji. Można to przyjąć, warto jednak zapisać, że raport przekazywany jest co roku i że po poważnym zdarzeniu kancelaria może zadać pytania na piśmie z terminem odpowiedzi. Osobną sprawą jest podmiana wersji modelu: wyniki potrafią się wtedy zmienić bez uprzedzenia, więc do umowy powinien wejść obowiązek poinformowania o istotnej zmianie wersji z wyprzedzeniem.

Odpowiedzialność i jej ograniczenia

Wzory dostawców ograniczają odpowiedzialność do wysokości opłaty rocznej i wyłączają utracone korzyści. Przy narzędziu, które dotyka akt klientów, warto zabiegać o wyłączenie tego limitu dla naruszenia ochrony danych i naruszenia poufności. Jeżeli dostawca nie ustąpi, decyzja i tak jest do podjęcia, tyle że świadomie: ryzyko zostaje wtedy po stronie kancelarii i trzeba to odnotować.

Tajemnica zawodowa jako warstwa osobna

Art. 3 ust. 3 ustawy o radcach prawnych: radca zachowuje w tajemnicy wszystko, o czym dowiedział się w związku z udzieleniem pomocy prawnej. Art. 3 ust. 4: obowiązek nie może być ograniczony w czasie. Art. 15 ust. 2 Kodeksu Etyki Radcy Prawnego obejmuje tajemnicą także dokumenty tworzone przez radcę i korespondencję z klientem, niezależnie od formy utrwalenia. Art. 23 tego kodeksu: „Radca prawny obowiązany jest zabezpieczyć przed niepowołanym ujawnieniem wszelkie informacje objęte tajemnicą zawodową”.

Umowa powierzenia sama tego nie załatwia, bo dotyczy danych osobowych, a tajemnica obejmuje również informacje, które danymi osobowymi nie są. Stąd osobna klauzula poufności na cały materiał sprawy, bez ograniczenia w czasie, z obowiązkiem niezwłocznego zawiadomienia kancelarii o żądaniu dostępu zgłoszonym przez organ.

Przykład: kancelaria trzyosobowa kupuje dostęp do narzędzia w chmurze

Dwóch radców i sekretariat. Narzędzie ma streszczać akta i wyszukiwać w dokumentach. Dostawca ma siedzibę w Irlandii, model udostępnia mu podwykonawca ze Stanów Zjednoczonych.

Najpierw ustalenie zakresu. Do narzędzia trafiałyby pisma procesowe, umowy klientów i korespondencja, czyli dane osobowe i materiał objęty tajemnicą. Regulamin nie wystarczy.

Potem pismo do dostawcy z listą pytań. Czy podpisujecie umowę powierzenia w brzmieniu art. 28 ust. 3 RODO? Czy dane służą do trenowania i czy zakaz obejmuje podwykonawcę? Gdzie są serwery? Kto jest podwykonawcą i jak informujecie o zmianie listy? Jak długo przechowujecie treść zapytań? Co dzieje się z danymi po rozwiązaniu umowy i w jakim terminie? Jak wykazujecie zgodność? Czy uprzedzacie o zmianie wersji modelu? Jaka jest granica odpowiedzialności?

Odpowiedzi wracają po dwóch dniach. Umowa powierzenia jest. Wyłączenie trenowania obowiązuje dopiero w droższym planie dla firm. Serwery w Irlandii, podwykonawca przetwarza w Stanach Zjednoczonych na standardowych klauzulach umownych. Treść zapytań przechowywana 30 dni, na wniosek do zera. Usunięcie po rozwiązaniu umowy w ciągu 90 dni. Zamiast audytu raport roczny. O zmianie wersji dostawca nie uprzedza. Odpowiedzialność do wysokości opłaty rocznej.

Na tej podstawie zapadają decyzje. Kancelaria kupuje droższy plan i występuje o zerową retencję. Do umowy wchodzi lista podwykonawców z 30-dniowym uprzedzeniem o zmianie i prawem wypowiedzenia. Skrócenia terminu usunięcia dostawca nie przyjmuje, więc zostaje 90 dni i wspólnicy zapisują to jako ryzyko przyjęte. Braku uprzedzenia o zmianie wersji też nie udaje się przełamać, więc kancelaria ustala u siebie kwartalne sprawdzenie jakości wyników na tym samym zestawie testowym. Do czasu wyjaśnienia statusu podwykonawcy akta spraw karnych do narzędzia nie trafiają.

Typowy błąd

Zaakceptowanie regulaminu i uznanie sprawy za zamkniętą, bo dostawca powołuje się na zgodność z RODO. Zdarza się też, że umowa powierzenia jest podpisana, ale nikt nie sprawdził, czy kupiony plan taryfowy ma wyłączone uczenie modelu, albo że w umowie nie ma terminu usunięcia danych, przez co po rozstaniu z dostawcą nie ma czego egzekwować.

Czego dziś nie da się rozstrzygnąć

Nie ma rozstrzygnięcia, czy przekazanie dostawcy chmury materiałów objętych tajemnicą zawodową jest ujawnieniem tajemnicy, czy czynnością techniczną w ramach organizacji pracy. Stanowiska są rozbieżne i nie jest znane publikowane orzeczenie sądu dyscyplinarnego, które by je uzgodniło. Otwarte jest też, czy raport z certyfikacji wyczerpuje prawo z art. 28 ust. 3 lit. h RODO wobec dostawcy, który nie wpuszcza klientów do centrum danych.

Przepisy polskiej ustawy o systemach sztucznej inteligencji dotyczące kontroli, postępowania i kar zaczynają obowiązywać 28 października 2026 r. (art. 127), a Przewodniczącego Komisji powołuje się w terminie dwóch miesięcy od wejścia ustawy w życie, czyli od 11 sierpnia 2026 r. Praktyki organu jeszcze nie ma i przez najbliższe miesiące nie będzie. Warto też pamiętać, że karę administracyjną nakłada się na podmiot obowiązany do przestrzegania rozporządzenia (art. 104 ust. 1 ustawy), a jest nim także radca prowadzący kancelarię jednoosobowo, natomiast art. 112 i art. 113 przewidują osobną odpowiedzialność za wykroczenie, sięgającą osoby fizycznej działającej za organizację.

Źródła: rozporządzenie (UE) 2016/679 (RODO), art. 28 ust. 2, 3, 4, 9 i 10 oraz art. 44 i nast.; ustawa z dnia 6 lipca 1982 r. o radcach prawnych, art. 3 ust. 3-5 (tekst jednolity Dz.U. 2024 poz. 499); Kodeks Etyki Radcy Prawnego, art. 15 ust. 2 i art. 23; ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), art. 104, 112, 113 i 127. Sprawdzone 5.08.2026. Treść ma charakter ogólny i nie zastępuje oceny konkretnej sprawy. Kryteria doboru i cykl przeglądu opisuje metodologia.