Korespondencja między adwokatami a klientem w epocie AI: Które PII może zniszczyć ochronę przywileju
Problem
Adwokat otrzymuje skan dokumentu od klienta z osobistymi danymi finansowymi:
SKAN: rachunek bankowy z imieniem, datą urodzenia i SSN klienta
PRAWONIK: "ChatGPT, transkrybuj to"
PROBLEM: Czy to narusza "attorney-client privilege"?
Prawo US dotyczące Attorney-Client Privilege
W USA, korespondencja między adwokatem a klientem jest chroniona przed ujawnieniem w procesach sądowych. Ale jest kilka wyjątków:
Furtherance Exception: Jeśli korespondencja jest w celu popełnienia przestępstwa, przywilej się załamuje.
Crime-Fraud Exception: Jeśli klient pyta prawonika jak dokonać oszustwa, przywilej się załamuje.
Public Nature Exception: Jeśli informacja jest już publiczna, przywilej jej nie chroni.
Problem z AI
Gdy wysyłasz dokument do ChatGPT:
- Dokument przechodzi sieć OpenAI
- OpenAI przechowuje rozmowę przez 30 dni
- OpenAI może używać rozmowy do treningu modelu (bez jawnej zgody)
- SSN i inne PII z dokumentu są teraz w treningowym zbiorze AI
Ryzyka
1. Utraty przywileju: Wysłanie dokumentu do publicznej AI może być interpretowane jako publiczne ujawnienie, co łamie "confidentiality" wymaganą dla przywileju.
2. Naruszenia bezpieczeństwa danych: Jeśli SSN i inne PII są wyciągnięte, prawonik może być odpowiedzialny.
3. Niezamierzonego ujawnienia: Jeśli OpenAI AI generuje dokument zawierający informacje podobne do klienta, może to być uważane za przeciek.
Poprawa praktyk
1. Niestandardowe platformy AI: Kancelarie prawne powinny używać:
- Private LLM deployment (np. Ollama na serwerach kancelarii)
- Azure OpenAI z Data Protection Agreement
- Nie publiczny ChatGPT
2. Anonimizacja przed AI: Zawsze:
- Usuwaj SSN, numery telefonów, adresy domowe
- Zmień imiona na pseudonimy (Client A, Client B)
- Zastąp daty na względne ("+30 dni", "-6 miesięcy")
3. Dokumentacja: Prowadź dziennik:
- Kto wysłał dokument gdzie
- Co było anonimizowane
- Czy było wymóż na Data Retention
Przykład poprawnej procedury
Prawonik otrzymuje skan dokumentu klienta z PII:
1. Skan lokalnie (bez wysyłania do chmury)
2. Usuń SSN, numery kont, adresy
3. Zmień imiona na "Client" / "Spouse"
4. Wyślij do lokalnego ChatGPT (Ollama)
5. Otrzymaj transkrypcję z redakcjami
6. Usuń tymczasowy plik
RODO wymogi (jeśli prawonik jest w UE)
Jeśli prawonik wysyła dane do OpenAI (USA):
- RODO Art. 44 wymaga Standard Contractual Clauses (SCC)
- RODO Art. 46 wymaga Assessment Data Transfer
- Jeśli klient jest w UE, dane nie mogą być transferowane bez zgody
Zaključak
W epocie AI, attorney-client privilege wymaga dodatkowych zabezpieczeń:
- Niestandardowych platform AI
- Anonimizacji przed wysłaniem
- Dokumentacji procesu
Nie wystarczy więcej polegać na "zakładzie" że AI nie będzie używać danych.