Dane przetwarzane przez dział prawny są szczególnie wrażliwe, dlatego korzystanie z AI w tym obszarze wymaga dodatkowej ostrożności.

Na czym polega ta usługa

Usługa obejmuje ocenę bezpieczeństwa danych przy korzystaniu z narzędzi AI w dziale prawnym oraz rekomendacje odpowiednich zabezpieczeń.

Dla kogo ma sens

Usługa jest przydatna dla firm posiadających dział prawny, który rozważa lub już korzysta z narzędzi AI.

Ile to trwa

Ocena bezpieczeństwa mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Specyfika przetwarzania danych prawnych a mechanizmy sztucznej inteligencji

Działy prawne w przedsiębiorstwach oraz kancelarie każdego dnia operują informacjami o najwyższym stopniu wrażliwości. Do tej kategorii należą projekty umów handlowych, dokumentacja sporów sądowych, opinie prawne, dane osobowe pracowników i kontrahentów, a także tajemnice przedsiębiorstwa (informacje techniczne, technologiczne i organizacyjne posiadające wartość gospodarczą). Wykorzystanie nowoczesnych technologii, takich jak narzędzia AI (Artificial Intelligence, czyli sztuczna inteligencja), pozwala na znaczące skrócenie czasu potrzebnego na analizę setek stron dokumentacji, porównywanie klauzul umownych czy redagowanie pism procesowych.

Jednocześnie specyfika działania publicznych modeli językowych wiąże się z istotnym ryzykiem ujawnienia tajemnicy zawodowej lub naruszenia poufności. Standardowe, bezpłatne lub konsumenckie narzędzia internetowe bardzo często wykorzystują wprowadzane zapytania (prompty) do dalszego dotrenowywania algorytmów. Oznacza to, że poufny fragment negocjowanej umowy wklejony w okno przeglądarki może stać się częścią zbioru uczącego i w przyszłości pojawić się w odpowiedzi wygenerowanej dla innego użytkownika sieci. Z tego względu wdrożenie sztucznej inteligencji w środowisku prawnym wymaga precyzyjnej kontroli technicznej nad każdym etapem przepływu danych.

Główne warianty wdrażania sztucznej inteligencji w środowisku prawnym

Bezpieczne korzystanie z modeli uczenia maszynowego zależy od wybranego modelu architektury IT. W zależności od struktury firmy, liczby pracowników oraz wymagań regulacyjnych stosuje się kilka różnych rozwiązań technicznych:

Modele lokalne uruchamiane on-premise (instalacja oprogramowania i wag modelu bezpośrednio na stacjach roboczych lub serwerze firmowym). W tym wariancie dane w ogóle nie opuszczają sieci lokalnej biura. Modele LLM (Large Language Model, czyli duży model językowy zoptymalizowany pod kątem rozumienia tekstu) są uruchamiane na maszynach wyposażonych w wydajne procesory oraz karty graficzne z dużą ilością pamięci VRAM (Video RAM, czyli pamięć podręczna karty graficznej). Całe przetwarzanie odbywa się bez połączenia z zewnętrznymi serwerami dostawców AI, co zapewnia pełną poufność.
Dedykowane instancje chmurowe z polityką zero data retention (zasada nieprzechowywania i niewykorzystywania zapytań klienta do trenowania modeli). W tym wariancie wykorzystuje się komercyjne środowiska chmurowe, takie jak Microsoft Azure lub Google Cloud, w ramach umów enterprise (umów dla klientów biznesowych). Komunikacja odbywa się przez szyfrowany interfejs API (Application Programming Interface, czyli interfejs programistyczny pozwalający na wymianę informacji między aplikacjami), a dostawca gwarantuje brak logowania i przetwarzania treści zapytań.
Systemy RAG zintegrowane z wewnętrznym repozytorium (Retrieval-Augmented Generation, czyli generowanie odpowiedzi wspomagane przeszukiwaniem lokalnej bazy wiedzy). Rozwiązanie to łączy model językowy z bazą dokumentów firmy (np. zasobami na serwerze plików lub w systemie zarządzania dokumentami). Model nie uczy się na stałe zawartości plików, lecz w czasie rzeczywistym wyszukuje właściwy fragment i na jego podstawie formułuje odpowiedź.
Integracja z pakietem biurowym Microsoft 365. Wdrożenie asystentów AI bezpośrednio w programach edytora tekstu i poczty elektronicznej, powiązane z centralną usługą Active Directory (usługa katalogowa Microsoft służąca do zarządzania tożsamościami i uprawnieniami użytkowników w sieci firmowej). Wymaga to odpowiedniej konfiguracji etykiet poufności i uprawnień dostępu.

Zagrożenia i błędy przy samodzielnym korzystaniu z narzędzi AI

W wielu przedsiębiorstwach pracownicy działów prawnych zaczynają korzystać z narzędzi sztucznej inteligencji na własną rękę, zanim firma zdąży wdrożyć odpowiednie procedury i zabezpieczenia techniczne. Prowadzi to do powstania szeregu krytycznych zagrożeń:

Zjawisko Shadow IT (samowolne korzystanie przez pracowników z niezatwierdzonych przez administratora aplikacji internetowych). Prawnicy szukający szybkiego sposobu na podsumowanie obszernego pisma wklejają całe akapity do publicznych serwisów webowych. Brak centralnej kontroli uniemożliwia ustalenie, jakie informacje opuściły infrastrukturę firmy.
Brak weryfikacji jurysdykcji i regulaminów usług. Korzystanie z zagranicznych platform bez sprawdzenia, gdzie fizycznie zlokalizowane są serwery przetwarzające dane, może prowadzić do naruszenia przepisów RODO (Ogólne Rozporządzenie o Ochronie Danych Osobowych) oraz zasad transferu danych poza Europejski Obszar Gospodarczy.
Niewłaściwa konfiguracja uprawnień w sieci lokalnej. Przy wdrażaniu narzędzi przeszukujących firmowe dyski sieciowe zdarza się, że model zyskuje dostęp do wszystkich katalogów. W rezultacie pracownik o niższym poziomie uprawnień może zadać pytanie modelowi i otrzymać odpowiedź zawierającą dane z poufnych folderów zarządu lub kadr.
Przesyłanie danych w formie nieszyfrowanej. Konfiguracja połączeń z modelami AI bez wymuszenia protokołów szyfrowania TLS (Transport Layer Security, czyli protokół zapewniający bezpieczną transmisję danych w sieci) naraża firmę na przechwycenie ruchu przez osoby nieuprawnione.
Bezrefleksyjne zaufanie do zjawiska halucynacji (tendencja modeli językowych do generowania zmyślonych faktów, artykułów ustaw lub sygnatur wyroków sądowych). Brak wdrożenia mechanizmów weryfikacji źródeł prowadzi do błędów merytorycznych w przygotowywanych pismach.

Kiedy problemem nie jest sam model AI, lecz infrastruktura IT

Bardzo często obawy o bezpieczeństwo lub niska efektywność narzędzi sztucznej inteligencji wynikają ze słabości podstawowej infrastruktury sprzętowej i sieciowej w biurze. Prawidłowa ocena środowiska technicznego pozwala rozróżnić błędy oprogramowania od problemów ze sprzętem:

Przede wszystkim lokalne uruchamianie modeli wymaga odpowiednio przygotowanych stacji roboczych lub serwerów. Jeśli komputer wyposażony jest w zbyt małą ilość pamięci RAM (Random Access Memory, czyli pamięć operacyjna komputera) lub kartę graficzną o niewystarczającej pojemności VRAM, model będzie działał bardzo wolno lub zawieszał cały system operacyjny. W takich sytuacjach problemem nie jest błąd sztucznej inteligencji, lecz brak zasobów sprzętowych.

Kolejnym aspektem jest stan zabezpieczeń urządzeń końcowych. Nawet najlepiej zabezpieczony model AI nie chroni danych, jeśli na komputerach prawników brakuje aktualnych poprawek systemu Windows lub Linux, a dyski twarde nie są zaszyfrowane funkcją BitLocker (narzędzie szyfrowania całych wolumenów dyskowych w systemach Windows) lub LUKS (Linux Unified Key Setup, czyli standard szyfrowania dysków w systemach Linux). W przypadku kradzieży lub zgubienia niezabezpieczonego sprzętu lokalna baza danych modelu oraz historia zapytań stają się łatwym łupem.

Istotną rolę odgrywa również konfiguracja sieci biurowej. Brak wydzielonych sieci VLAN (Virtual Local Area Network, czyli wirtualna sieć lokalna izolująca ruch poszczególnych działów firmy) oraz brak bezpiecznego tunelu VPN (Virtual Private Network, czyli szyfrowane połączenie umożliwiające bezpieczną pracę zdalną) sprawia, że komunikacja z wewnętrznym serwerem AI może być podatna na podsłuch wewnątrz sieci lokalnej.

Jak przebiega audyt i zabezpieczenie środowiska IT dla działu prawnego

Ocena bezpieczeństwa oraz wdrożenie rekomendowanych rozwiązań realizowane są w sposób uporządkowany, z zachowaniem najwyższych standardów ochrony informacji:

Podpisanie umowy o poufności. Przed przystąpieniem do jakichkolwiek analiz technicznych podpisywana jest bezpłatna umowa NDA (Non-Disclosure Agreement, czyli umowa o zachowaniu poufności), która formalnie zabezpiecza interesy klienta.
Inwentaryzacja wykorzystywanych narzędzi i urządzeń. Sprawdzane są stacje robocze, laptopy, serwery oraz oprogramowanie biurowe wykorzystywane przez prawników. Identyfikowane są punkty styku z zewnętrznymi usługami internetowymi.
Weryfikacja konfiguracji sieciowej i uprawnień. Analizie podlegają reguły w usłudze Active Directory, konfiguracja zapór sieciowych (firewall, czyli system filtrujący ruch sieciowy) oraz uprawnienia do współdzielonych zasobów dyskowych.
Dobór optymalnego modelu AI. W zależności od potrzeb przygotowywane jest środowisko lokalne (on-premise) oparte na systemach Linux lub Windows Server albo bezpieczna konfiguracja chmurowa z certyfikacją zgodności z wymogami ochrony danych.
Wdrożenie systemów DLP i ochrony punktów końcowych (Data Loss Prevention, czyli oprogramowanie zapobiegające nieautoryzowanemu kopiowaniu danych, oraz Endpoint Security, czyli zaawansowana ochrona komputerów przed złośliwym oprogramowaniem). Systemy te monitorują próby wklejania poufnych informacji do nieautoryzowanych formularzy w przeglądarkach.
Opracowanie wytycznych technicznych dla użytkowników. Przygotowywane są przejrzyste zasady dotyczące bezpiecznego formułowania promptów, anonimizacji danych (usuwania nazwisk, numerów PESEL i kwot przed przetworzeniem) oraz weryfikacji wyników.

Często zadawane pytania dotyczące bezpieczeństwa AI w dziale prawnym

Czy korzystanie z darmowych narzędzi AI w przeglądarce narusza tajemnicę zawodową?

W zdecydowanej większości przypadków wklejanie danych objętych tajemnicą zawodową lub tajemnicą przedsiębiorstwa do darmowych, publicznych serwisów AI stanowi bezpośrednie ryzyko naruszenia poufności. Regulaminy darmowych usług zazwyczaj wprost wskazują, że dane użytkowników są rejestrowane i wykorzystywane do trenowania przyszłych wersji modeli. Aby zachować pełną zgodność z zasadami etyki zawodowej i przepisami prawa, należy korzystać wyłącznie z lokalnych modeli zainstalowanych na własnym sprzęcie lub dedykowanych rozwiązań chmurowych z gwarancją braku zapisu danych.

Czym różni się lokalny model AI od rozwiązania chmurowego?

Lokalny model AI (on-premise) jest w całości zainstalowany na komputerze lub serwerze w firmie. Żadne zapytania ani przetwarzane dokumenty nie są przesyłane przez internet, dzięki czemu firma zachowuje całkowitą, fizyczną kontrolę nad danymi. Z kolei model chmurowy przetwarza zapytania na zewnętrznych serwerach dostawcy (np. w centrach danych). Wersje biznesowe usług chmurowych oferują szyfrowanie i gwarancję nieużywania danych do nauki modeli, jednak wymagają stałego połączenia z internetem i zaufania do procedur bezpieczeństwa dostawcy chmury.

Czy do uruchomienia lokalnego modelu AI potrzebny jest kosztowny serwer?

Nie zawsze konieczny jest zakup dedykowanego serwera. Do podstawowych zadań, takich jak streszczanie dokumentów, wyszukiwanie informacji w umowach czy wstępna redakcja pism, wystarczy nowoczesna stacja robocza lub wydajny komputer stacjonarny wyposażony w nowoczesny procesor, minimum 32 GB pamięci RAM oraz kartę graficzną z odpowiednią ilością pamięci VRAM. W przypadku większych zespołów prawnych rekomenduje się uruchomienie jednej centralnej maszyny w sieci lokalnej, która obsługuje zapytania ze wszystkich komputerów pracowników biura.

Jak technicznie zablokować pracownikom możliwość wklejania wrażliwych umów do internetu?

Do tego celu stosuje się systemy DLP (Data Loss Prevention) oraz odpowiednie reguły na zaporze sieciowej (firewall). Oprogramowanie to może automatycznie wykrywać próby skopiowania numerów PESEL, numerów kont bankowych, nazw spółek czy typowych klauzul umownych do okien przeglądarek internetowych i blokować takie operacje. Dodatkowo na poziomie sieci lokalnej można całkowicie zablokować dostęp do nieautoryzowanych portali oferujących usługi AI.

Czy przed rozpoczęciem audytu środowiska IT podpisywana jest umowa NDA?

Tak, przed przystąpieniem do jakichkolwiek prac audytowych, konfiguracji serwerów czy wglądu w strukturę sieci podpisujemy bezpłatną umowę o zachowaniu poufności (NDA). Dzięki temu prawnicy oraz osoby zarządzające przedsiębiorstwem mają pełną gwarancję prawną, że struktura ich systemów, konfiguracje oraz wszelkie dane techniczne pozostaną ściśle chronione.

Wdrożenie i wsparcie techniczne bezpośrednio w siedzibie firmy

Bezpieczna integracja narzędzi sztucznej inteligencji z codzienną pracą działu prawnego wymaga połączenia wiedzy z zakresu infrastruktury sprzętowej, systemów operacyjnych oraz bezpieczeństwa sieciowego. Wszelkie prace audytowe, instalacje lokalnych modeli oraz konfiguracje stacji roboczych i serwerów wykonujemy bezpośrednio u klienta. Działamy w modelu mobilnym na terenie całej Warszawy oraz w promieniu do 40 km w okolicznych powiatach, takich jak pruszkowski, piaseczyński, legionowski, otwocki, wołomiński, warszawski zachodni oraz grodziski. Zapewniamy kompleksową pomoc techniczną, dobór podzespołów komputerowych, konfigurację systemów Windows i Linux, gwarancję do 12 miesięcy na wykonane usługi oraz wsparcie techniczne po wdrożeniu do 30 dni.

22 378 48 09

Bezpieczeństwo danych przy korzystaniu z AI w dziale prawnym