Anonimizacja czy pseudonimizacja? Co można wysłać do AI z akt sprawy

Najczęstsze pytanie, jakie dostajemy od prawników, nie dotyczy jakości odpowiedzi AI. Brzmi: czy mogę w ogóle wrzucić tam akta?

Odpowiedź „przecież to zanonimizowane" pada zwykle po usunięciu nazwiska. To za mało — i to nie jest pedanteria terminologiczna, tylko różnica, która przesądza o tym, jakim reżimem prawnym objęty jest dokument po przetworzeniu.

Anonimizacja a pseudonimizacja: co je dzieli

RODO rozróżnia te dwa pojęcia wprost, choć w praktyce używa się ich zamiennie.

Pseudonimizacja jest zdefiniowana w art. 4 pkt 5 RODO: to przetworzenie danych tak, by nie można ich było przypisać konkretnej osobie bez użycia dodatkowych informacji. Kluczowe są dwa słowa: dodatkowe informacje. One istnieją — to zestawienie etykiet z oryginałami. Skoro proces da się odwrócić, dane pozostają danymi osobowymi i nadal podlegają wszystkim obowiązkom administratora.

Anonimizacja nie ma własnej definicji w części normatywnej, opisuje ją motyw 26 RODO: chodzi o dane, których nie da się powiązać z osobą fizyczną, przy uwzględnieniu wszelkich rozsądnie prawdopodobnych sposobów identyfikacji, również pośredniej. Do takich danych RODO po prostu się nie stosuje.

Kryterium	Pseudonimizacja	Anonimizacja
Odwracalność	Tak, przy dostępie do zestawienia	Nie
Status wyniku	Nadal dane osobowe	Poza zakresem RODO
Podstawa	Art. 4 pkt 5 RODO	Motyw 26 RODO
Typowe zastosowanie	Ograniczenie ryzyka przy przetwarzaniu	Publikacja, badania, statystyka

Zamiana nazwiska na [OSOBA_1] z zachowaniem klucza to zawsze pseudonimizacja. I bardzo dobrze — w pracy z aktami zależy nam właśnie na odwracalności, bo w gotowym piśmie muszą wrócić prawdziwe dane. Problem zaczyna się wtedy, gdy wynik takiego procesu nazwiemy „anonimowym" i wyciągniemy z tego wnioski o dalszym przetwarzaniu.

Dlaczego samo nazwisko to za mało

W dokumentach sądowych identyfikacja pośrednia jest regułą, nie wyjątkiem. Sygnatura akt, data orzeczenia, nazwa sądu i opis stanu faktycznego często wskazują konkretną sprawę i konkretne osoby, nawet gdy z tekstu zniknęły wszystkie nazwiska. W sprawach nietypowych wystarczy sam opis zdarzenia.

Praktyczny wniosek jest taki, że dokument po maskowaniu warto traktować jako dokument o ograniczonym zakresie danych osobowych, a nie jako dokument anonimowy. To zmienia dwie rzeczy: nadal trzeba mieć podstawę przetwarzania i nadal obowiązują zasady bezpieczeństwa, w tym te wynikające z tajemnicy zawodowej.

Czego wymagają samorządy

Od 2025 roku to już nie jest obszar niedopowiedziany.

KIRP opublikowała w maju 2025 r. pierwsze kompleksowe rekomendacje dotyczące korzystania z AI przez radców prawnych. Kluczowe zasady: zachowanie ludzkiej kontroli, ochrona tajemnicy zawodowej i odpowiedzialność za treści wygenerowane przez narzędzie.

Naczelna Rada Adwokacka poszła dalej i w czerwcu 2026 r. wprowadziła do Zbioru Zasad Etyki Adwokackiej § 23e. Zgodnie z nim korzystanie z AI może mieć wyłącznie charakter pomocniczy, nie zastępuje samodzielnej oceny prawnej adwokata, a wynik pracy narzędzia trzeba osobiście zweryfikować. Nie wprowadzono przy tym ogólnego obowiązku informowania klienta o korzystaniu z AI.

Warto też odnotować, że sądy zaczęły patrzeć na sposób korzystania z tych narzędzi. W postanowieniu z 23 czerwca 2026 r. (sygn. I FZ 104/26) NSA dopatrzył się w piśmie pełnomocnika śladów halucynacji AI i bardzo krytycznie ocenił bezrefleksyjne korzystanie z takich narzędzi. Sprawa dotyczyła wprawdzie cytowań, a nie danych osobowych, ale pokazuje kierunek: sposób użycia narzędzia stał się przedmiotem oceny.

Z tych dokumentów nie wynika zakaz. Wynika obowiązek zachowania kontroli — a ograniczenie zakresu danych przed wysłaniem treści do modelu jest jednym z niewielu środków, które tę kontrolę realnie zwiększają.

Gdzie liczy się model — pytanie, które warto zadać dostawcy

Narzędzia do maskowania danych różnią się miejscem, w którym wykonuje się obliczenia. Są trzy architektury:

1. Na serwerze dostawcy. Wysyłasz dokument z prawdziwymi danymi, dostajesz zamaskowany. Wygodne, ale dokument z danymi musi najpierw ten serwer osiągnąć.
2. Lokalnie, w osobnym programie. Dane nie wychodzą z komputera, ale maskowanie jest oddzielnym krokiem poza narzędziem, w którym faktycznie pracujesz.
3. W przeglądarce. Model pobiera się raz i uruchamia na Twoim urządzeniu, w karcie przeglądarki. Dokument jest maskowany przed wysłaniem czegokolwiek.

To ostatnie podejście wybraliśmy w Lexedit i warto opisać, jak działa, bo brzmi mniej prawdopodobnie, niż jest.

Model wykrywający dane osobowe to sieć neuronowa skonwertowana do formatu ONNX i uruchamiana przez bibliotekę transformers.js — czyli w JavaScripcie, po stronie klienta. Przy pierwszym użyciu przeglądarka pobiera plik modelu i zapisuje go w pamięci podręcznej (IndexedDB). Od tego momentu maskowanie działa również bez połączenia z internetem. Treść dokumentu nie jest wysyłana ani do naszego serwera, ani do modelu językowego — do agenta trafia dopiero wersja z etykietami, a zestawienie pozwalające odwrócić maskowanie zostaje po stronie użytkownika. Ta sama funkcja działa w aplikacji mobilnej.

Ile taki model pomija — nasze liczby

Tu dochodzimy do części, którą dostawcy narzędzi AI opisują najrzadziej: skuteczności. Model wykrywający dane osobowe działa statystycznie i zawsze coś pominie. Pytanie brzmi: ile.

Nasze modele opublikowaliśmy publicznie na HuggingFace razem ze zmierzonymi wynikami — herbert-polish-legal-ner dla tekstów cyfrowych, wariant OCR dla skanów oraz model wielojęzyczny. Pomiar prowadziliśmy na zbiorze 50 dokumentów zawierających 179 osób, licząc wskaźnik pominięcia osoby: osoba jest pominięta, jeżeli choć jedno jej wystąpienie zostało w tekście odsłonięte.

Rodzaj dokumentu	Model ogólny	Wariant OCR
Cyfrowy, czysty tekst	7,3%	7,3%
Skan lub zdjęcie	25,7%	15,1%

Wyniki podajemy po dodatkowym przebiegu zabezpieczającym, który dokłada powtórzenia wykrytych już nazwisk. Token-level F1 na zbiorze testowym wynosi około 0,94.

Te liczby czyta się nieprzyjemnie i o to chodzi. Na czystym tekście cyfrowym mniej więcej co czternasta osoba zostanie gdzieś w dokumencie nietknięta. Na skanach — nawet co czwarta przy modelu ogólnym. Dlatego wariant OCR w ogóle powstał i dlatego w interfejsie pokazujemy, co zostało wykryte, zamiast deklarować kompletność.

Model wielojęzyczny opisujemy osobno, bo jest najsłabszy na polskim tekście, a jego skuteczność na niemieckim i angielskim nie została w ogóle zmierzona — tak też jest napisane na jego karcie. Narzędzie do ochrony danych, które zawyża swoje możliwości, jest gorsze niż brak narzędzia, bo produkuje fałszywe poczucie bezpieczeństwa.

Dlaczego publikujemy modele i metryki

Bo inaczej nie da się tego sprawdzić. Deklaracja „nasze narzędzie usuwa dane osobowe" nie jest weryfikowalna. Opublikowany model z opisaną metodą pomiaru i wskaźnikiem pominięć — jest: można go pobrać, uruchomić na własnych dokumentach i porównać z konkurencją.

Traktujemy to tak samo jak weryfikację cytowań w naszym agencie badawczym. Zamiast obiecywać, że narzędzie się nie myli, pokazujemy, gdzie się myli i jak często.

Praktyczna lista kontrolna

Zanim wyślesz dokument z akt do dowolnego narzędzia AI:

1. Sprawdź, gdzie liczy się model maskujący. Serwer dostawcy, komputer czy przeglądarka — to przesądza, co i dokąd wychodzi.
2. Nie nazywaj wyniku anonimowym. Maskowanie z zachowaniem klucza to pseudonimizacja; wynik nadal jest danymi osobowymi.
3. Pomyśl o identyfikacji pośredniej. Sygnatura, data i opis sprawy potrafią zidentyfikować osobę bez nazwiska.
4. Przejrzyj wynik maskowania. Kilka procent pominięć na tekście cyfrowym i kilkanaście na skanie to realny margines.
5. Skanuj ostrożniej. Dokumenty fotografowane i skanowane wypadają wyraźnie gorzej — dla nich używaj modelu przystosowanego do OCR.
6. Zapytaj dostawcę o liczby. Nie o to, czy narzędzie chroni dane, tylko jaki ma zmierzony wskaźnik pominięć i na jakim zbiorze.

Ostatni punkt jest najważniejszy i działa również wobec nas. Jeżeli dostawca nie potrafi odpowiedzieć na pytanie „ile pomijacie i skąd to wiecie", odpowiedź brzmi zwykle: nie wiemy.