Uznesenie predsedníctva Slovenskej advokátskej komory č. 12/4/2025 v znení uznesenia č. 21/14/2025 dovoľuje advokátovi vložiť do nástroja umelej inteligencie informácie chránené mlčanlivosťou alebo osobné údaje len v troch prípadoch (čl. 4). Koncipio je cloudová služba, preto prichádza do úvahy režim (c): poskytovateľ koná ako spracovateľ na základe zmluvy podľa čl. 28 GDPR vrátane zmluvnej mlčanlivosti. Jeho podmienky podrobne určuje čl. 6 metodického usmernenia, ktoré je prílohou uznesenia č. 21/14/2025.
Nižšie je ku každej podmienke, ako ju Koncipio plní a čo ostáva na vás. Je to informácia poskytovateľa, nie právne stanovisko: poskytovateľa má podľa čl. 6 ods. 1 usmernenia „primerane overiť“ advokát.
Obsah dokumentu
1. Ktorý režim sa uplatní
Režim (a), lokálny nástroj, Koncipio nespĺňa: usmernenie výslovne uvádza, že infraštruktúra v zdieľanom verejnom cloude „nespĺňa podmienky režimu (a)“ a „spadá pod režim (c) (spracovateľ)“ (čl. 5 ods. 3). Ak sú splnené podmienky režimu (c), nástroj je podľa rozhodovacieho testu v čl. 4 usmernenia „možné použiť bez súhlasu klienta“.
Zmluva o spracúvaní a všetky záruky uvedené nižšie platia v plnom rozsahu pre každý účet, bezplatný aj platený.
2. Zmluvné minimá (čl. 6 ods. 2 usmernenia)
písm. a)
Stav: Splnené
„platná spracovateľská zmluva (DPA) podľa príslušných predpisov o ochrane osobných údajov (najmä článok 28 GDPR)“
Zmluva o spracúvaní osobných údajov je prílohou č. 1 obchodných podmienok a uzatvára sa v elektronickej podobe ich prijatím pri registrácii (čl. 28 ods. 9 GDPR). Obsahuje náležitosti podľa čl. 28 ods. 3 GDPR. Každý náš sprostredkovateľ je viazaný vlastnou zmluvou o spracúvaní; odkazy na ne sú v zozname sprostredkovateľov.
písm. b)
Stav: Splnené
„zmluvný záväzok mlčanlivosti poskytovateľa, jeho zamestnancov a všetkých ďalších spracovateľov“
Čl. 5 zmluvy o spracúvaní: mlčanlivosť zachovávame najmenej v rozsahu, v akom ju máte vy podľa § 23 ods. 1 zákona o advokácii; sú ňou viazané všetky osoby, ktoré sa na prevádzke podieľajú; každý ďalší sprostredkovateľ je k mlčanlivosti osôb s prístupom k údajom zaviazaný zmluvou podľa čl. 28 GDPR (napríklad zmluva o spracúvaní Anthropic, čl. B.7, a Voyage AI, čl. 7). Ak orgán verejnej moci požiada o údaje, informujeme vás, aby ste mohli mlčanlivosť uplatniť.
písm. c)
Stav: Splnené s výhradou
„kľúčová garancia: zákaz použitia dát na tréning alebo iné vlastné obchodné účely poskytovateľa“
Čl. 6 zmluvy o spracúvaní zakazuje trénovanie aj akékoľvek vlastné využitie údajov a rozširuje zákaz na sprostredkovateľov. Podmienky Anthropic pre API ustanovujú: „Anthropic may not train models on Customer Content from Services“. Pri Voyage AI máme v nastavení organizácie vypnuté poskytovanie údajov na trénovanie.
Výhrada: Cloudflare, cez ktorého sieť sa web doručuje, podľa svojho vyhlásenia nepoužíva obsah zákazníkov na trénovanie modelov bez súhlasu, ale údaje o sieťovej prevádzke používa na zlepšovanie ochrany pred útokmi.
písm. d)
Stav: Splnené
„transparentnosť ďalších spracovateľov (vrátane poskytnutia ich zoznamu a oznamovania zmien)“
Verejný zoznam sprostredkovateľov s účelom, údajmi, miestom spracúvania, mechanizmom prenosu a históriou zmien. O pridaní alebo nahradení sprostredkovateľa vás informujeme e-mailom spravidla 14 dní vopred a môžete namietať (čl. 8 zmluvy o spracúvaní).
3. Bezpečnostné minimá (čl. 6 ods. 3 usmernenia)
písm. a)
Stav: Splnené
„šifrovanie dát pri prenose a v pokoji“
TLS na každom úseku spojenia; databáza, úložisko súborov a zálohy u Supabase šifrované AES-256; Anthropic podľa svojej zmluvy o spracúvaní šifruje údaje najmenej AES-256 v pokoji a TLS 1.2 alebo novším pri prenose. Podrobne v prílohe B zmluvy o spracúvaní.
písm. b)
Stav: Splnené s výhradou
„riadenie prístupu (povinné použitie multi-faktorovej autentifikácie (MFA) zo strany advokáta)“
Koncipio má dvojfaktorové overenie: po prihlásení heslom alebo cez Google sa zadáva ešte kód z overovacej aplikácie v telefóne (TOTP), pridať si môžete aj záložné zariadenie. Účet so zapnutým overením sa bez kódu k svojim dátam nedostane, a to ani pri priamom prístupe do databázy. Povinné zatiaľ nie je, zapnete si ho v Nastaveniach, časť Zabezpečenie. Usmernenie ukladá použitie MFA advokátovi, preto si ho zapnite skôr, než do Koncipia vložíte údaje klienta. Každý používateľ vidí len svoje dáta, čo vynucujú pravidlá na úrovni riadkov databázy.
písm. c)
Stav: Splnené
„geografické umiestnenie dát (preferenčne EHP; ak ide o prenos do tretích krajín, musí existovať platný mechanizmus prenosu, napr. DPF, SCCs)“
Údaje ukladáme v EÚ: databáza a prílohy v Írsku, server aplikácie v Nemecku. Mimo EÚ sa spracúvajú pri AI funkciách a pri prenose cez sieť Cloudflare: Anthropic (štandardné zmluvné doložky; spracovanie len v EÚ neponúka), Voyage AI (EU-US Data Privacy Framework a štandardné zmluvné doložky), Cloudflare (EU-US Data Privacy Framework a štandardné zmluvné doložky). Pri každom poskytovateľovi je mechanizmus v zozname sprostredkovateľov.
písm. d)
Stav: Splnené
„jasné politiky retencie a mazania promptov a výstupov“
- otázky, odpovede, zhrnutia a odoslané prílohy ostávajú v Koncipiu, kým ich nezmažete; zmazaním rozhovoru sa zmažú aj jeho prílohy,
- nahraté a neodoslané prílohy sa zmažú automaticky najneskôr do 2 dní,
- Anthropic vstupy a výstupy vymaže do 30 dní, dlhšie (najviac 2 roky) len pri označení požiadavky za porušenie pravidiel používania,
- Voyage AI údaje zmaže hneď po spracovaní,
- po zrušení účtu zmiznú údaje zo záloh najneskôr do 30 dní.
Podrobne v čl. 12 zmluvy o spracúvaní.
písm. e)
Stav: Čiastočne
„primerané uistenia o bezpečnosti zo strany poskytovateľa“
Technické a organizačné opatrenia sú v prílohe B zmluvy o spracúvaní a na stránke Bezpečnosť. Nezávislý penetračný test a záznam prístupov pripravujeme a kým nebudú hotové, neuvádzame ich ako súčasť opatrení.
4. Prevádzkové odporúčania (čl. 6 ods. 4 usmernenia)
písm. a)
Stav: Splnené
„dôrazne sa odporúča používať výlučne platené podnikové (enterprise) verzie nástrojov“
Koncipio pristupuje k modelom Claude cez platené API spoločnosti Anthropic podľa jej komerčných podmienok, nie cez spotrebiteľskú aplikáciu. Vyhľadávanie Voyage AI používame na platenom účte organizácie.
písm. b)
Stav: Splnené
„advokát nesmie používať experimentálne „Beta“ alebo „Alfa“ verzie AI nástrojov na spracovanie chránených dát, pokiaľ nemá explicitnú zmluvnú garanciu (DPA), že aj na tieto verzie sa vzťahujú rovnaké záruky (najmä zákaz trénovania) ako na štandardný produkt“
Funkcie u poskytovateľov, ktoré sú v beta režime: odpoveď právneho asistenta a AI predvyplnenie úkonov používajú funkciu Anthropic „server-side fallback“, ktorú Anthropic označuje ako beta. Ak model požiadavku odmietne, Anthropic ju zopakuje na inom svojom modeli. Podľa podmienok Anthropic sú beta služby jeho službami, takže sa na ne vzťahuje rovnaká zmluva o spracúvaní a zákaz trénovania; líši sa len rozsah zodpovednosti Anthropic.
Našu explicitnú zmluvnú garanciu obsahuje čl. 6 ods. 4 zmluvy o spracúvaní: záruky platia rovnako pre všetky funkcie služby, aj pre tie, ktoré poskytovateľ označuje ako beta.
5. Čo ostáva na vás
- Overiť výstupy. Usmernenie považuje za „neprípustné spoliehať sa na výstupy AI bez ľudského preskúmania“ (čl. 3 ods. 3). Koncipio každú citáciu overí ako doslovný text zdroja a neoverenú označí „bez zdroja“; správnosť právneho záveru však overí len advokát.
- Minimalizovať údaje. Vkladajte len to, čo na odpoveď potrebujete; usmernenie odporúča údaje pred vložením anonymizovať alebo pseudonymizovať (čl. 3 ods. 5).
- Zapnúť dvojfaktorové overenie v Nastaveniach, časť Zabezpečenie (časť 3 písm. b)), skôr než do Koncipia vložíte údaje klienta.
- Informovať klienta, ak použitie AI môže mať materiálny vplyv na stratégiu, významné rozhodnutia alebo výšku odmeny (čl. 8 ods. 1). Môžete na to použiť vzorovú doložku nižšie.
- Interné pravidlá a evidencia (čl. 9): zoznam schválených nástrojov, školenie tímu a evidencia použitia AI pri podstatných úkonoch. Export v Nastaveniach obsahuje záznamy o použití AI funkcií (funkcia, model, čas). Úplnou evidenciou podľa čl. 9 ods. 2 písm. c) nie je, lebo nezaznamenáva úkon ani vaše potvrdenie o overení.
- Zásady ochrany osobných údajov kancelárie doplniť o poskytovateľov AI nástrojov ako kategóriu spracovateľov (čl. 9 ods. 2 písm. d)).
6. Vzorová doložka pre zmluvu s klientom
Usmernenie na svojom konci uvádza vzor informačnej doložky pre režim (c), označený ako Variant 1, s nadpisom článku „Využívanie softvérových nástrojov a AI“. Jeho doslovné znenie:
Advokátska kancelária môže pri poskytovaní právnych služieb využívať softvérové nástroje vrátane AI (najmä na rešerš, analýzu a sumarizáciu). Pri spracúvaní informácií chránených mlčanlivosťou alebo osobných údajov používa výlučne podnikové nástroje v postavení spracovateľa podľa čl. 28 GDPR na základe spracovateľskej zmluvy so zmluvnou mlčanlivosťou, zákazom použitia údajov na tréning a primeranými technicko-organizačnými opatreniami (napr. šifrovanie, riadenie prístupu). Advokát vždy vykoná odbornú kontrolu výstupov a nesie plnú zodpovednosť za finálny obsah. Tento režim nevyžaduje výslovný súhlas klienta ani zbavenie mlčanlivosti.
Doložka uvádza, že kancelária na chránené údaje používa výlučne podnikové nástroje v postavení spracovateľa. Zaraďte ju, len ak to platí pre všetky nástroje umelej inteligencie, ktoré na takéto údaje používate.
7. Zdroj
Uznesenie predsedníctva Slovenskej advokátskej komory č. 12/4/2025 z 31. marca 2025 v znení uznesenia č. 21/14/2025 zo 6. novembra 2025 vrátane metodického usmernenia, uverejnené 25. novembra 2025 v čiastke 87 Vestníka SAK: plné znenie (PDF, sak.sk).