Odvjetnička tajna i AI - kako LexBox čuva povjerljivost vaših podataka

Kad odvjetnik unese podatke o klijentu u AI alat, postavlja se fundamentalno pitanje: tko još ima pristup tim podacima? Odvjetnička tajna nije samo etička obveza - to je zakonska obveza iz članka 13. Zakona o odvjetništvu. Njeno kršenje je kazneno djelo.

Većina AI alata na tržištu nije dizajnirana s tim na umu. LexBox jest. Ovaj tekst objašnjava točno kako - bez marketinga, s tehničkim detaljima.

Problem: AI alati i povjerljivost

Kad koristite ChatGPT, Claude, Gemini ili bilo koji drugi generički AI alat za pravni posao, vaši podaci prolaze kroz infrastrukturu koja nije dizajnirana za odvjetničku profesiju:

• Podaci idu u SAD - serveri su tipično u Virginiji ili Oregonu. Vaši klijentski podaci podliježu američkoj jurisdikciji, uključujući CLOUD Act koji omogućuje pristup bez vašeg znanja.
• Moguće korištenje za trening - većina besplatnih verzija koristi vaše upite za poboljšanje modela. To znači da fragmenti vaših klijentskih podataka mogu završiti u odgovorima drugim korisnicima.
• Nema izolacije - ne postoji tehnička barijera između vaših podataka i podataka drugih korisnika na razini baze podataka.
• Nema DPA-a - za individualne korisnike ne postoji Ugovor o obradi podataka koji bi definirao kako se vaši podaci koriste.

Za privatnu uporabu ovo možda nije problem. Za odvjetnika koji radi s klijentskim podacima, ovo je potencijalno kršenje odvjetničke tajne.

Kako je LexBox drugačiji - 6 tehničkih mjera

1. Podaci nikad ne napuštaju EU

Server na kojem se pohranjuju vaši dokumenti nalazi se u Hetznerovom data centru u Nürnbergu, Njemačka. LLM obrada (AI koji generira odgovore) odvija se putem Scaleway-a u Parizu. Rezervni model (Mistral) također je u Parizu. Ni u jednom trenutku vaši podaci ne napuštaju Europsku uniju.

Ovo nije samo pitanje GDPR sukladnosti. Ovo znači da vaši podaci podliježu isključivo europskoj jurisdikciji - ne američkom CLOUD Act-u, ne kineskim propisima, ne bilo čijoj jurisdikciji osim EU-a.

2. Potpuna izolacija korisnika (Row Level Security)

Svaki korisnički račun u LexBoxu je izoliran na razini baze podataka korištenjem Row Level Security (RLS). To nije aplikacijska logika koja filtrira podatke - to je PostgreSQL mehanizam koji na razini samog SQL-a osigurava da korisnik može pristupiti isključivo svojim redovima.

Čak i ako bi postojao bug u aplikacijskom kodu, RLS pravila na razini baze podataka sprječavaju pristup tuđim podacima. Ovo je ista tehnologija koju koriste banke i zdravstveni sustavi za izolaciju osjetljivih podataka.

3. AI modeli se ne treniraju na vašim podacima

LexBox koristi LLM modele putem API-ja (Scaleway i Mistral). Oba pružatelja usluga u svojim uvjetima korištenja eksplicitno navode da se API upiti ne koriste za treniranje modela. Vaš upit se procesira, odgovor se vrati, i vaš tekst se ne pohranjuje na njihovoj strani.

Ovo je fundamentalna razlika od korištenja besplatnog ChatGPT-a ili Gemini-ja, gdje su vaši upiti dio trening dataseta.

4. Tri sloja enkripcije

Vaši podaci su zaštićeni na tri razine:

1. TLS 1.2+ u prijenosu - svaka komunikacija između vašeg preglednika i našeg servera je enkriptirana. Nitko ne može presresti podatke u prijenosu.
2. AES enkripcija dokumenata - kad učitate dokument, on se enkriptira prije pohrane na disk korištenjem Fernet enkripcije (AES-128-CBC). Čak i s fizičkim pristupom serveru, dokumenti su nečitljivi bez enkripcijskog ključa.
3. LUKS enkriptirani volumen - cijela vektorska baza podataka (176.000+ pravnih dokumenata + vaši dokumentni vektori) nalazi se na LUKS-enkriptiranom disku. LUKS je standard za enkripciju cijelih diskova koji koriste Linux serveri diljem svijeta.

5. Nema ljudskog pristupa vašim podacima

Obrada je u potpunosti automatizirana. Kad pošaljete upit, sustav automatski pretražuje pravnu bazu, pronalazi relevantne izvore, šalje ih AI modelu i vraća vam odgovor s citatima. Nijedan čovjek ne pregledava vaše upite, dokumente ili odgovore.

Revizijski logovi prate tko je pristupio sustavu i kad, ali ne bilježe sadržaj upita. Oni služe za sigurnosni nadzor, ne za pregled vašeg rada.

6. DPA lanac - svaki pod-izvršitelj pokriven

LexBox ima potpisan ili aktiviran Ugovor o obradi podataka (DPA) sa svakim pod-izvršiteljem obrade u lancu:

Svaki od ovih pod-izvršitelja ima ugovorne obveze da vaše podatke koristi isključivo u svrhu pružanja usluge, da ih ne dijeli s trećim stranama i da ih briše po prestanku obrade.

Put vaših podataka - korak po korak

Evo točno što se događa kad postavite pravno pitanje u LexBoxu:

1. Upisujete upit u LexBox sučelje na app.lexbox.ai. Vaš preglednik ga šalje na naš server putem HTTPS-a (TLS enkripcija).
2. Server prima upit u Nürnbergu, Njemačka. Upit se pretvara u vektorsku reprezentaciju korištenjem Voyage-law-2 embedding modela specijaliziranog za pravne tekstove.
3. Vektorska pretraga pronalazi najrelevantnije pravne izvore iz baze od 176.000+ dokumenata (zakoni, sudska praksa, CJEU, ECHR, EU-Lex, USRH). Ova pretraga se odvija lokalno na istom serveru.
4. AI model čita izvore - pronađeni pravni tekstovi se šalju na Scaleway u Pariz, gdje AI model sastavlja odgovor temeljen isključivo na tim izvorima. Vaš originalni upit se procesira i odmah odbacuje na njihovoj strani.
5. Odgovor se vraća vama s izvorima i citatima. Vi vidite na temelju čega je odgovor generiran i možete provjeriti svaki navod.

U cijelom ovom procesu, vaš upit ne napušta EU, ne pohranjuje se trajno i ne koristi se za bilo što osim generiranja vašeg odgovora.

Što ako danas koristite ChatGPT za pravni posao?

Ne govorimo ovo da bismo prodavali LexBox. Govorimo ovo jer je relevantno za vašu profesionalnu odgovornost.

Ako unosite klijentske podatke (imena, OIB-ove, detalje predmeta) u ChatGPT, Claude, Gemini ili bilo koji drugi generički AI alat:

• Ti podaci se nalaze na serverima u SAD-u
• Podliježu američkoj jurisdikciji (uključujući zahtjeve obavještajnih službi)
• Mogu se koristiti za poboljšanje modela (osim ako imate enterprise ugovor)
• Ne postoji DPA koji bi definirao vaša prava i obveze pružatelja usluge
• Hrvatska odvjetnička komora još nema službeni stav, ali europski trend je jasan: generički AI alati bez odgovarajućih mjera zaštite nisu prikladni za rad s klijentskim podacima

Ovo ne znači da ne smijete koristiti AI. Znači da trebate koristiti AI alat koji je dizajniran za vašu profesiju i koji poštuje vaše obveze.

Za najstrože sigurnosne zahtjeve: LexBox in a Box

Za odvjetničke urede koji ne žele da ikakvi podaci napuštaju njihove prostorije, nudimo LexBox in a Box - dediciranu instalaciju na hardveru unutar vašeg ureda. Potpuna izolacija od interneta. AI model radi lokalno. Ni jedan bajt ne napušta vaš ured.

Ovo je premium opcija koja uključuje nabavu i postavu hardvera, instalaciju sustava i tekuće održavanje. Za detalje i ponudu kontaktirajte nas na info@lexbox.ai.

Što radimo u slučaju sigurnosnog incidenta

U slučaju povrede osobnih podataka, LexBox je obvezan obavijestiti sve pogođene korisnike u roku od 48 sati. Obavijest uključuje opis povrede, pogođene kategorije podataka, vjerojatne posljedice i mjere koje su poduzete. Ovo je definirano člankom 8. našeg DPA-a i usklađeno s člankom 33. GDPR-a.

Brisanje vaših podataka

Imate pravo na potpuno brisanje svih vaših podataka u bilo kojem trenutku. Proces:

1. Pošaljete zahtjev na info@lexbox.ai
2. Potvrdimo primitak unutar 24 sata
3. Brišemo sve: razgovore, učitane dokumente, vektorske reprezentacije, korisnički račun
4. Šaljemo pisanu potvrdu o izvršenom brisanju

Po prestanku pretplate imate 30 dana za izvoz svih podataka u strojno čitljivom formatu. Nakon tog roka, sve se trajno briše.

Sigurnost i povjerljivost nisu značajke koje dodajete na kraju. One su arhitekturalne odluke koje donosite na početku i koje oblikuju svaki kasniji izbor - od odabira servera do dizajna baze podataka. LexBox je izgrađen na tom principu.

Imate pitanja o sigurnosti LexBoxa? Pišite nam na info@lexbox.ai. Detaljnija dokumentacija dostupna je na lexbox.ai/docs/sigurnost.