Co AI Act oznacza dla kancelarii prawnej
Kancelaria prawna korzystająca z narzędzi AI do researchu, streszczania akt i pisania projektów pism ma z AI Act (Rozporządzenie 2024/1689) trzy obowiązki: nie stosować praktyk zakazanych z art. 5, zadbać o kompetencje AI zespołu z art. 4 i oznaczać treści, jeśli publikuje materiały generowane przez AI. Reżim wysokiego ryzyka typowej kancelarii nie dotyczy.
Największe realne ryzyko leży jednak poza AI Act: to poufność akt klienta i tajemnica zawodowa. Ta kolejność jest w kancelarii odwrotna niż w większości firm i od niej zaczyna się ten artykuł.
Kancelaria i firma usługowa: specyficzne ryzyko poufności
Kancelarie prawne, firmy doradcze i inne podmioty usługowe pracujące na dokumentach klientów mają z AI Act inny problem niż większość firm. Nie chodzi tu głównie o oznaczanie treści czy chatboty, tylko o to, co dzieje się z poufnymi danymi klienta, kiedy trafiają do narzędzia AI, oraz o to, jak zespół rozumie ograniczenia tych narzędzi przy pracy merytorycznej.
Typowe zastosowania AI w kancelarii
W praktyce kancelarii i firm usługowych AI pojawia się głównie w trzech obszarach:
- Analiza i streszczanie dokumentów prawnych, umów, akt sprawy.
- Research prawny: szukanie orzecznictwa, interpretacji, precedensów.
- Pisanie pierwszych wersji pism, e-maili do klientów, notatek wewnętrznych.
Żadne z tych zastosowań samo w sobie nie wpada w kategorię systemów wysokiego ryzyka z AI Act, bo to narzędzia wspomagające pracę człowieka, nie systemy podejmujące autonomiczne decyzje o skutkach prawnych. Inaczej wygląda to w HR czy rekrutacji, gdzie ocena osoby przez AI może już wchodzić w wysokie ryzyko, zobacz AI Act w rekrutacji.
Dlaczego “wymiar sprawiedliwości” z Załącznika III nie dotyczy kancelarii
To pytanie wraca w kancelariach najczęściej, bo Załącznik III do AI Act wymienia wśród obszarów wysokiego ryzyka sprawowanie wymiaru sprawiedliwości. Zakres tego punktu jest jednak węższy, niż sugeruje sama nazwa.
Punkt 8 Załącznika III obejmuje systemy AI przeznaczone do użytku przez organ wymiaru sprawiedliwości lub w jego imieniu, wspierające badanie i interpretację faktów oraz prawa. Decyduje więc podmiot, który system stosuje, a nie tematyka pracy. Narzędzie do researchu orzecznictwa używane przez kancelarię do prowadzenia własnych spraw nie mieści się w tym punkcie.
Wyjątek, o którym warto wiedzieć: gdyby kancelaria albo firma technologiczna dostarczała takie narzędzie sądowi, wchodziłaby w rolę dostawcy systemu wysokiego ryzyka ze wszystkimi wymogami rozdziału III. Praktycznie dotyczy to dostawców oprogramowania dla sądownictwa, nie kancelarii obsługujących klientów. Zasady kwalifikacji opisuje artykuł Systemy wysokiego ryzyka.
Poufność danych klienta: kluczowe ryzyko dla kancelarii
To jest temat, który dla kancelarii waży więcej niż dla przeciętnej firmy usługowej. Wklejenie fragmentu akt sprawy, umowy albo korespondencji klienta do publicznego, darmowego narzędzia AI oznacza przekazanie tych danych poza kontrolowany obieg, często do dostawcy z siedzibą poza UE, bez umowy odpowiadającej standardom poufności prawniczej.
To nie jest kwestia bezpośrednio regulowana przez AI Act, tylko przez tajemnicę zawodową (adwokacką, radcowską) i RODO, ale w praktyce to właśnie ten obszar generuje największe ryzyko wizerunkowe i dyscyplinarne dla kancelarii korzystających z AI bez przemyślanej polityki.
Najczęstszy błąd w kancelariach to zakładanie, że skoro prawnik “tylko sprawdza sobie coś szybko” w ChatGPT, to nie ma znaczenia, jakie dane wpisał w pytaniu. W praktyce nawet fragment stanu faktycznego sprawy może wystarczyć do identyfikacji klienta.
Praktyczne zasady warte wdrożenia:
- Zakaz wklejania danych identyfikujących klienta i przeciwnika procesowego do narzędzi AI bez umowy biznesowej z odpowiednimi gwarancjami poufności.
- Preferowanie narzędzi AI oferowanych w wersji dla firm (z umową o przetwarzaniu danych), nie wersji darmowej konsumenckiej.
- Jasna instrukcja, które kategorie dokumentów (np. akta niejawne, dane wrażliwe) w ogóle nie trafiają do żadnego narzędzia AI.
Dobrą praktyką jest spisanie tych zasad w jednym krótkim dokumencie wewnętrznym, zobacz Polityka korzystania z AI w firmie.
Obowiązek kompetencji zespołu (art. 4)
Niezależnie od poufności, kancelaria podlega obowiązkowi z art. 4 AI Act: każda osoba korzystająca z narzędzi AI w pracy powinna rozumieć ich ograniczenia. Dla prawników ma to szczególne znaczenie, bo modele językowe potrafią z dużą pewnością siebie generować nieistniejące orzeczenia, błędne cytaty przepisów czy nieaktualne interpretacje, tzw. halucynacje. Za granicą zdarzały się już przypadki prawników składających do sądu pisma z wymyślonymi przez AI cytatami orzeczeń.
Praktyczny wniosek dla kancelarii: wynik pracy AI w obszarze prawnym zawsze wymaga weryfikacji źródłowej przez osobę z uprawnieniami, nigdy nie powinien trafiać do pisma procesowego czy opinii bez sprawdzenia. To dokładnie ten rodzaj wiedzy, który powinno przekazywać szkolenie z art. 4, opisane szerzej w artykule Szkolenie zespołu z art. 4.
Firmy usługowe poza prawem: podobny wzorzec
Firmy doradcze, konsultingowe, księgowo-podatkowe o profilu zbliżonym do kancelarii (patrz też AI Act dla biur rachunkowych) mają analogiczny profil ryzyka: niskie ryzyko formalne z AI Act, ale realne ryzyko poufności i realny obowiązek kompetencji zespołu. Różnica jest głównie w rodzaju danych: w kancelarii to akta i tajemnica zawodowa, w firmie doradczej to często dane finansowe i strategiczne klienta.
Narzędzia AI dedykowane branży prawniczej a narzędzia ogólne
Warto rozróżnić dwie kategorie narzędzi, z których korzysta kancelaria: ogólne modele językowe (ChatGPT, Claude, Copilot) używane do researchu czy pisania, oraz wyspecjalizowane narzędzia prawnicze (np. systemy do przeszukiwania baz orzecznictwa z wbudowaną AI), które często mają już wbudowane mechanizmy ograniczające ryzyko poufności i halucynacji, bo są projektowane z myślą o tym konkretnym zawodzie. Narzędzia wyspecjalizowane zwykle oferują też umowy o przetwarzaniu danych dostosowane do wymogów tajemnicy zawodowej, co jest istotną przewagą nad darmowymi, ogólnymi chatbotami. Nie zwalnia to jednak z obowiązku weryfikacji wyników, bo nawet wyspecjalizowane narzędzie prawnicze oparte na AI może się mylić.
Co zrobić w praktyce
| Krok | Cel | Priorytet |
|---|---|---|
| Zasady poufności dla AI | Ochrona danych klienta i tajemnicy zawodowej | Najwyższy |
| Szkolenie zespołu (art. 4) | Świadomość ograniczeń i halucynacji AI | Wysoki |
| Wybór narzędzi biznesowych zamiast darmowych | Umowa o przetwarzaniu danych z dostawcą | Wysoki |
| Rejestr narzędzi AI | Przegląd, kto czego używa w firmie | Średni |
Jeśli kancelaria albo firma usługowa nie ma jeszcze żadnej z tych rzeczy spisanej, dobrym punktem startu jest audyt strony, a przy większych organizacjach pakiet z cennika obejmujący szkolenie i dokumentację.
Dokumentowanie decyzji o wykorzystaniu AI w sprawie
Dobrą praktyką, wykraczającą poza minimum wymagane przez AI Act, jest wewnętrzne odnotowywanie, w których sprawach i w jakim zakresie zespół korzystał z narzędzi AI przy analizie dokumentów czy przygotowaniu pisma. Nie chodzi o szczegółowy dziennik każdego zapytania, tylko o prostą notatkę pozwalającą później zrekonstruować, na ile dany dokument powstał z udziałem AI, gdyby pojawiło się pytanie o źródło konkretnej informacji czy tezy w piśmie. Taka notatka bywa też przydatna wewnętrznie, przy przekazywaniu sprawy między prawnikami w kancelarii.
Najczęściej zadawane pytania
Czy korzystanie z AI do researchu prawnego jest zakazane?
Nie. AI Act nie zakazuje takiego zastosowania. Problemem nie jest samo korzystanie, tylko brak weryfikacji wyników i nieostrożne wklejanie danych klienta do narzędzi bez odpowiednich gwarancji poufności.
Czy muszę informować klienta, że korzystałem z AI przy przygotowaniu opinii albo pisma?
AI Act tego wprost nie wymaga w tej sytuacji, bo to nie jest treść publikowana jako informacja dla szerokiego odbiorcy. Niektóre kancelarie decydują się na taką przejrzystość jako element polityki wewnętrznej i budowania zaufania klienta.
Czy dane klienta wklejone do ChatGPT są bezpieczne?
Zależy od wersji narzędzia. Darmowa, konsumencka wersja większości popularnych chatbotów nie daje gwarancji poufności odpowiadających standardom tajemnicy zawodowej. Wersje biznesowe z umową o przetwarzaniu danych są bezpieczniejsze, ale wymagają świadomej konfiguracji.
Czy obowiązek szkolenia z art. 4 dotyczy też wspólników kancelarii, nie tylko pracowników?
Tak. Obowiązek dotyczy każdej osoby korzystającej z narzędzi AI w ramach działalności firmy, niezależnie od formy zatrudnienia czy pozycji w strukturze.