Situácia okolo umelej inteligencie sa vyvíja rýchlym tempom a zmluvné podmienky globálnych poskytovateľov sa menia takmer nepretržite. Keď dnes hodnotíme, či sú AI nástroje vhodné pre advokátsku prax a či spĺňajú prísny „Režim C – spracovateľ“ podľa pravidiel Slovenskej advokátskej komory (SAK), zisťujeme zaujímavý posun.

Väčšina AI nástrojov na úrovni Business alebo Team, teda v plánoch vhodných pre malé a jednoosobové kancelárie, je dnes veľmi blízko k tomu, aby formálne splnila podmienky komory pre režim C.

Ako laik v oblasti práva sa nechcem púšťať do kategorických záverov o tom, čo presne advokáti smú a nesmú robiť. Problém je totiž ukrytý v technických detailoch a mnohé ustanovenia sú vyslovene vecou interpretácie a hrania sa so slovíčkami.

Zamerajme sa preto na tri kľúčové oblasti, ktoré sú z pohľadu praxe najviac sporné a pohybujú sa na samej hrane súladu s predpismi:

spätná väzba používateľov,
rezidencia dát a prenosy mimo EÚ,
logovanie a auditovateľnosť z pohľadu GDPR.

1. Pasca spätnej väzby: Palec hore / palec dole verzus zákaz trénovania

Základným pilierom Režimu C podľa SAK je explicitná zmluvná garancia, že poskytovateľ AI nebude zadávané klientske dáta využívať na trénovanie svojich modelov („no-training policy“). Pri firemných plánoch je toto dnes už štandardom.

Problém však nastáva vo chvíli, keď do hry vstúpi používateľské rozhranie a nevinné hodnotiace tlačidlá (pales hore a dole).

Anthropic Claude Team: problém spätnej väzby

V pláne Anthropic Claude Team je netrénovanie predvolene zapnuté. Ak však unavený koncipient alebo advokát klikne na tlačidlo spätnej väzby, teda palec hore alebo palec dole, celá konverzácia sa právne reklasifikuje ako „Feedback“.

Podmienky Anthropicu jasne hovoria, že v tej chvíli sa dáta ukladajú až na 5 rokov a poskytovateľ ich môže použiť na trénovanie a ľudskú kontrolu. Najväčší problém verzie Team je ten, že administrátor nemá technickú možnosť tieto tlačidlá v rozhraní zablokovať alebo skryť.

Hra so slovíčkami: stačí interný zákaz?

Z pohľadu textu pravidiel SAK zmluva podmienky netrénovania formálne spĺňa.
Otázka však znie: je pre súlad dostatočné, ak advokát zavedie interný zákaz klikania na palce, alebo je povinný vybrať si nástroj, ktorý takéto rizikové správanie zamestnancom technicky vôbec neumožní? Posúďte sami ako právnici.

OpenAI ChatGPT Business: iný režim, ale stále riziko kontroly

Pri OpenAI ChatGPT Business samotné kliknutie na palec funguje inak – nepredstavuje automatický súhlas s trénovaním modelov. Na to OpenAI vyžaduje separátny celofiremný administrátorský opt-in krok.
Dáta sa však odosielajú do interných systémov kvality a môžu podliehať ľudskej kontrole inžiniermi. Avšak garantujú mlčanlivosť svojich zamestnancov v DPA zmluve.

Microsoft Copilot a Google Workspace: technické pozadie riešenia spätnej väzby

Microsoft Copilot a Google Gemini Workspace hodnotiace tlačidlá zo svojho rozhrania neodstránili, no ich technické pozadie je odlišné.
Microsoft garantuje, že spätná väzba smeruje iba do internej diagnostiky a nekončí v tréningovom sete základných modelov, pričom administrátori majú možnosť tieto funkcie plošne zablokovať cez rozsiahle M365 politiky.
Pri Google Gemini Workspace odoslaný feedback stráca ochranu pred ľudskou kontrolou („no human review“), keďže sa preklasifikuje na servisné dáta prístupné inžinierom spoločnosti Google, a administrátor navyše nemá v konzole Workspace možnosť tieto hodnotiace tlačidlá špecificky a plošne vypnúť. Dáta nejdu na tréning, ale radšej tiež tlačidlá nepoužívať.

2. Rezidencia dát a prenosy mimo EÚ

Metodické usmernenie SAK v článku 6 kladie silný dôraz na geografické umiestnenie dát s jasnou preferenciou pre servery v rámci Európskeho hospodárskeho priestoru (EHP).
Ak dochádza k prenosom do tretích krajín, musia byť kryté platným mechanizmom, napríklad štandardnými zmluvnými doložkami – SCCs.
Aj tu však narážame na interpretáciu, ale malo by to byť v poriadku.

Claude Team a ChatGPT Business: USA ako primárne miesto uloženia

Claude Team a ChatGPT Business ukladajú dáta primárne na serveroch v USA.
Právne je tento prenos ošetrený doložkami SCCs v spracovateľskej zmluve (DPA), čo SAK formálne povoľuje. Z pohľadu komory je to teda v poriadku, hoci fyzickú „preferenciu“ EÚ tieto nástroje nespĺňajú.

Microsoft Copilot a Google Gemini Workspace: Dáta v EÚ ako štandard

V prípade firemných licencií Microsoft 365 Copilot a Google Gemini Workspace je situácia s rezidenciou dát priaznivejšia a napĺňa preferenciu SAK
Microsoft v rámci svojho záväzku „EU Data Boundary“ zabezpečuje, že dáta (ich uloženie aj samotné spracovanie modelom) zostávajú fyzicky v Európe.
Výnimkou by bola len situácia, ak by administrátor pre Copilot manuálne povolil využívanie modelov Claude od Anthropicu, kedy dáta na samotné spracovanie odchádzajú do USA.
Podobne aj Google Workspace vo svojich firemných plánoch umožňuje administrátorom zvoliť si región spracovania dát a garantovať tak ich zotrvanie výlučne v Európskej únii.

3. Logovanie a auditovateľnosť: kritická hranica GDPR

Z môjho pohľadu technológa najväčší problém firemných AI nástrojov nespočíva v pravidlách SAK, ale na samotnej hrane súladu s GDPR.

Bezpečnostné minimá SAK totiž pre Režim C priamo nevyžadujú, aby mal advokát k dispozícii detailné softvérové auditné logy obsahu. Stačí mu poctivo vedený manuálny interný register („AI-use register“). Otázna je však prax a to, ako sa to reálne dodržiava.

Z pohľadu GDPR je však absencia logov rizikom kvôli zásade zodpovednosti („Accountability“). Ak ako prevádzkovateľ nemáte prístup k logom o tom, čo vaši ľudia do systému zadávajú, ste v podstate slepí.

Autonómni AI agenti problém ešte zväčšujú

Tento problém sa stáva vypuklým najmä pri čoraz populárnejšej autonómnej práci AI agentov.
V praxi sa kancelárie rady prezentujú pokročilými riešeniami, ako je napríklad Claude Code alebo Claude Cowork, ktoré dokážu samostatne analyzovať existujúce dokumenty priamo na diskoch používateľov.
Ak takýto autonómny nástroj necháte pracovať nad klientskymi spismi, dáta odchádzajú na servery poskytovateľa.
Pri akýchkoľvek nových AI nástrojoch si však treba vždy dať veľký pozor na to, či sú už oficiálne vydané ako plnohodnotné biznisové produkty, alebo či bežia len v testovacej „Beta“ verzii, pre ktorú poskytovatelia zvyčajne odmietajú poskytnúť prísne zmluvné garancie netrénovania a ochrany dát.

Anonymizácia v praxi nie je triviálna

Nemám veľké oči o tom, ako dôsledne dokážu unavení zamestnanci v rýchlosti dáta anonymizovať. Poctivá anonymizácia a pseudonymizácia kontextu zmluvy často trvá dlhšie než samotná práca s AI.
Z môjho technického pohľadu a vnímania IT architektúry (hoci nie som právnik a neponúkam kategorické právne závery) pri plne zabezpečených firemných nástrojoch, akými sú Microsoft Copilot alebo Google Gemini Workspace, už takáto prácna anonymizácia ani nie je technicky potrebná.
Keďže s týmito dátami pracuje umelá inteligencia v rovnakom uzavretom a zmluvne chránenom prostredí, v akom už máte tieto dokumenty aj tak bežne uložené na svojom firemnom cloude (SharePoint, OneDrive či Google Drive), nepredstavuje ich analýza umelou inteligenciou z hľadiska toku dát tretej strane žiadne nové bezpečnostné riziko.

Bez logov neviete incident poriadne vyšetriť

Ak dôjde k bezpečnostnému incidentu, napríklad k úniku osobných údajov, pre účely GDPR nebudete vedieť zdokladovať a vyšetriť, aké konkrétne dáta na servery poskytovateľa odišli.
Prečo? Pretože ChatGPT Business ani Claude Team/Business neposkytujú administrátorovi prístup k obsahu konverzácií. Takzvané Compliance API je uzamknuté výhradne za najvyššími a pre malé kancelárie nedostupnými (finančne náročnými) Enterprise licenciami.
Z pohľadu pravidiel SAK tak môžete byť „papierovo“ v poriadku, no z pohľadu GDPR a prípadnej kontroly z Úradu na ochranu osobných údajov riskujete vážny problém.
Nechám to však na posúdenie právnikmi. Toto je môj technický pohľad.

Výsledný pragmatický verdikt

Ako technológ sa na celú vec pozerám prísne pragmaticky.

Rozdiel v kvalite výstupov medzi „Veľkou štvorkou“ – OpenAI, Anthropic, Google a Microsoft – je dnes pre bežného používateľa minimálny. Každá AI funguje trochu inak, no ak s ňou pracujete dlhodobejšie, dokážete z každej z nich dostať veľmi kvalitné a porovnateľné výsledky.

Nie je to o samotnom nástroji, ale o tom, ako s ním viete pracovať.

Ak je teda kvalita výstupov porovnateľná, prečo zbytočne balansovať na hrane rizika s nástrojmi, ktoré vám neumožňujú technicky kontrolovať spätnú väzbu alebo logovanie?

Z tohto dôvodu sa pre každodennú prax javia ako technicky najčistejšie riešenia Microsoft Copilot a Google Gemini Workspace. Sú kryté rovnakou architektúrou zabezpečenia ako dáta, ktoré ukladáte na OneDrive/SharePoint alebo Google Drive.

Microsoft aj Google navyše garantujú netrénovanie modelov, majú bezpečne ošetrené fungovanie spätnej väzby, rešpektujú rezidenciu dát a predovšetkým – poskytujú hlboké logovanie toho, čo sa kedy a kam odoslalo.

Malé kancelárie a problém Business/Enterprise licencií

Pre malú alebo jednoosobovú advokátsku kanceláriu je ekonomicky neúnosné kupovať si drahé Enterprise balíky od Anthropicu či OpenAI len kvôli prístupu k logom.

Zároveň treba povedať, že pre takéto kancelárie môžu byť zbytočne veľké už aj niektoré Business alebo Team verzie. Pri OpenAI ide minimálne o dve licencie, pri Anthropicu o päť licencií. Ak ide o jednoosobovú advokátsku kanceláriu alebo veľmi malý tím, už samotný vstup do týchto plánov môže byť neprimeraný voči reálnej potrebe.

Pokiaľ chcete Claude alebo ChatGPT bezpečne používať, musíte dbať na dokonalú anonymizáciu vstupov. To vás často stojí viac času než samotný manuálny úkon.

Záverečná poznámka: SAK možno áno, GDPR stále otázne

Zdá sa, že sa dostávame do fázy, keď technicky veľká štvorka AI nástrojov – Microsoft, Google, OpenAI a Anthropic – vie byť veľmi blízko k splneniu pravidiel SAK pre Režim C. Čo je dobrá správa.

Formálne sa teda mnohé riešenia môžu javiť ako použiteľné.

Stále však zostáva otvorená otázka GDPR, najmä pri logovaní, auditovateľnosti, spätnej kontrole incidentov a praktickej schopnosti advokátskej kancelárie preukázať, čo sa s klientskymi alebo osobnými údajmi reálne dialo.

Toto nechávam na posúdenie advokátom a odborníkom na GDPR. Nie som špecialista na GDPR a nechcem robiť právne závery. Z môjho technického pohľadu však niektoré nastavenia nie sú úplne komfortné.

Ako som uviedol vyššie, viaceré rozdiely sú na hrane a stoja na interpretácii, formuláciách a slovíčkach. To je právnická doména, nie moja.

Ja poukazujem iba na to, čo vidím z technického pohľadu: pri rovnakom alebo veľmi podobnom výstupe je rozumnejšie zvoliť nástroj, ktorý má technické a bezpečnostné pozadie vyriešené už v základe, než neskôr narážať na právne nuansy a incidenty, ktoré kvôli chýbajúcim logom nebudete vedieť ani len vyšetrovať.