I juni 2023 leverte en New York-advokat inn et føderalt prosesskriv som siterte seks rettsavgjørelser. Fem av dem fantes ikke: de var funnet på av ChatGPT, som advokaten hadde brukt til research uten å opplyse om verktøyet og uten å kontrollere resultatet. Mata v. Avianca, Inc. (S.D.N.Y. sak nr. 22-cv-1461) ble det klassiske skrekkeksempelet for advokatstanden i KI-æraen og ga en av de mest siterte sanksjonsavgjørelsene i 2023. Saken er også bevis A for et annet poeng: den juridiske KI-risikoen i 2026 handler ikke om man skal bruke KI-verktøy, men om dokumentene KI-en ser, er riktig maskert før de når frem til den. Å sladde kontrakter og rettsdokumenter, og mer generelt å forberede dokumenter til KI-støttet gjennomgang, er nå flaskehalsen mellom advokatfirmaene og produktivitetsgevinstene som hver managing partner har fått lovet.
Dette er den fjerde artikkelen i serien vår med guider om dokumentmaskering. Hovedguiden gjennomgår den underliggende teknikken og det generelle GDPR-rammeverket. HR-klyngen tar for seg shadow AI i HR-team. Klyngen for regnskapsførere tar for seg selvangivelser og lønn. Denne artikkelen retter seg direkte mot juridisk virksomhet: kontrakter, prosesskriv, vitneforklaringer, e-discovery, datarom ved virksomhetsoppkjøp og regulatoriske innrapporteringer. Maskeringsspørsmålet krysser her taushetsplikt, regler om offentlig innsyn i rettsdokumenter, grenseoverskridende discovery og advokatstandens yrkesregler på en måte ingen annen bransje opplever.
Det er også den mest direkte brukbare artikkelen for enhver prosess- eller transaksjonspraksis som arbeider på tvers av landegrenser. En partner i London som driver en voldgiftssak med europeiske vitner, en prosessadvokat i Milano som håndterer discovery-forespørsler fra en amerikansk føderal domstol, et M&A-team i Frankfurt som forbereder et datarom for en kjøper i Singapore: hver grenseoverskridende juridiske arbeidsflyt genererer en dokumentmasse hvis behandling styres av minst to prosessrettsordener, ett eller to taushetspliktregimer, GDPR og ofte en nasjonal blokkeringslov. Maskeringslaget er den tekniske kontrollen som virker på tvers av dem alle.
En merknad om begreper: i denne artikkelen behandler vi kontraktsmaskering og arbeidet med juridisk maskeringsprogramvare som samme operative lag. Maskering for e-discovery, maskering ved litigation hold og maskeringsfunksjonene i programvare for legal hold er overlappende delprosesser med en felles arkitektur. Maskering av sensitive klausuler, KI-støttet kontraktsgjennomgang og GDPR-etterlevelse for advokater hører alle under det samme felles rammeverket av GDPR, yrkesregler og taushetsplikt som omtales nedenfor. Juridiske KI-produkter som Harvey tilhører den bredere markedskategorien som Redactic er en del av. Saken Mata v Avianca er skrekkeksempelet om juridisk KI som vi vender tilbake til gjennom hele artikkelen.
1. Hvorfor juridisk virksomhet er spesielt utsatt for maskeringsrisiko
Fem strukturelle forhold forklarer hvorfor maskering av juridiske dokumenter ligger på et annet risikonivå enn i noen annen yrkesgruppe.
For det første er dokumentets destinasjon ofte offentlig som utgangspunkt. Dokumenter innlevert til domstolene blir i de fleste common law-jurisdiksjoner, og i mange civil law-jurisdiksjoner, en del av det offentlige registeret med mindre de særskilt pålegges konfidensialitet. Den amerikanske Federal Rule of Civil Procedure 5.2 (Privacy Protection for Filings Made with the Court) krever at personnumre, skatteidentifikasjonsnumre, fødselsdatoer, mindreåriges navn og finansielle kontonumre maskeres i enhver elektronisk innlevering. Part 31 i de engelske CPR regulerer disclosure og inspection. Art. 71 i den italienske Codice di Procedura Civile (CPC) og disposizioni di attuazione regulerer tilgangen til sivile saksmapper. Den tyske ZPO §299 regulerer Akteneinsicht. Den spanske art. 235 LEC regulerer samme område. I hver jurisdiksjon er utgangspunktet, altså hva som skjer hvis advokaten ikke gjør noe, en form for offentlig eksponering. Å maskere dokumenter innlevert til domstolene er derfor et obligatorisk trinn, fordi det er handlingen som hindrer firmaet i å bære ansvaret for utleveringen.
For det andre er taushetspliktregimet lagdelt og uensartet mellom jurisdiksjoner. Den amerikanske attorney-client privilege og work-product-doktrinen skiller seg fra den engelske varianten av legal professional privilege, som skiller seg fra EU-domstolens tolkning i Akzo Nobel Chemicals Ltd v Commission (C-550/07, 2010), som slo fast at kommunikasjon med bedriftsjurister ikke nyter LPP etter EUs konkurranserett. Frankrikes secret professionnel de l'avocat er styrket ved Loi du 31 décembre 1971; Italias segreto professionale forense er art. 622 Codice Penale pluss codice deontologico forense; Tysklands anwaltliches Berufsgeheimnis er StPO §53 + BRAO §43a; Spanias secreto profesional er LO 1/1979 + EGAE. Konfidensialiteten utsettes for KI hver gang en advokat limer inn privilegert kommunikasjon i en forbruker-LLM, og vurderingen er forskjellig avhengig av hvilken jurisdiksjons regime som gjelder for dokumentet.
For det tredje kombinerer juridiske dokumenter identifikatorer, sensitivt saksinnhold og tredjeparters rettigheter. En typisk vitneforklaring inneholder vitnets personopplysninger, navn på tredjepersoner som ikke har samtykket til utlevering, en sensitiv faktisk fremstilling (beskyldninger, kontraktstvister, noen ganger sykehistorie) og ofte opplysninger som er beskyttet av et annet regelverk (varslerens identitet etter direktiv 2019/1937, forretningshemmeligheter etter EUs direktiv om forretningshemmeligheter 2016/943). Maskeringen må forstå alle tre dimensjonene samtidig.
For det fjerde legger advokatstandens yrkesregler til et eget lag. ABA Model Rule 1.6 (Confidentiality of Information) gjør konfidensialitet til en plikt med objektivt ansvar; Rule 5.3 regulerer tilsynet med medhjelpere som ikke er jurister, noe som i 2024-2025 ble grunnlaget for flere uttalelser fra delstatenes advokatforeninger om KI-verktøy. CCBEs veiledende regler for europeiske advokater og IBA International Principles on Conduct for the Legal Profession setter det europeiske grunnnivået. State Bar of Californias Opinion 2024-1 og Florida Bars Opinion 24-1 om advokaters bruk av generativ KI krever begge klientens informerte samtykke til inntasting av konfidensielle opplysninger.
For det femte er grenseoverskridende discovery området der de regulatoriske motsetningene er skarpest. Sedona Conference Working Group 6 har dokumentert konflikten mellom amerikansk bred discovery (FRCP 26-37) og EUs prinsipp om dataminimering. Frankrikes Loi 80-538 (den franske blokkeringsloven), oppdatert ved dekretet fra 2022, kriminaliserer visse former for grenseoverskridende utlevering av opplysninger til utenlandske rettssaker. Sakene In re Mercedes-Benz og In re NSV i amerikanske domstoler har skapt motstridende presedenser om hvilken vekt blokkeringsloven skal tillegges. Å maskere grenseoverskridende juridiske data er derfor like mye et spørsmål om forsvarsstrategi som om etterlevelse: en riktig maskert utlevering kan oppfylle både den amerikanske rettens pålegg og den franske loven.
2. De seks dokumentkategoriene i juridisk virksomhet og hvordan maskeringen ser ut for hver
Ulike juridiske dokumenter krever ulike maskeringsmønstre. De seks nedenfor dekker ~95 % av det en prosess- eller transaksjonspraksis håndterer.
1. Kontrakter og oppdragsbekreftelser (engagement letters). Dette er den vanligste arbeidsflyten for kontraktsmaskering. Sensitive klausuler (honorarstrukturer, oppsigelsesutløsere, bestemmelser om kontrollskifte, MFN-klausuler, eksklusivitetsrettigheter) og partenes identifikatorer maskeres før kontrakten deles med en tredjepart (kjøperens rådgiver ved et oppkjøp, en domstol i en rettssak, en tilsynsmyndighet i en innrapportering, et KI-verktøy for gjennomgang). Maskeringen må bevare dokumentets juridiske struktur (avsnitt, klausuler, nummerering, definerte begreper) samtidig som det sensitive innholdet skjules. Når kontrakter maskeres for KI-støttet gjennomgang, er det obligatorisk å bevare strukturen, fordi KI-ens analyse avhenger av klausulstrukturen.
2. Dokumenter innlevert til domstolene og prosesskriv. Stevninger, tilsvar, begjæringer, prosesskriv, erklæringer, vedlegg. Maskeringen styres av den relevante prosessregelen: FRCP 5.2 i amerikanske føderale domstoler, motstykket i delstatsdomstolene, CPR Part 5 / Practice Direction 5B i England, de lokale rettsreglene i civil law-jurisdiksjoner i EU. Risikoen: personopplysninger som overlever i et vedlegg til en offentlig innlevert begjæring, blir værende i det offentlige registeret for alltid. Saken Doe v. Cabrera 307 F.R.D. 1 (D.D.C. 2014) ble et av de kanoniske eksemplene på utilstrekkelig maskering i innleverte dokumenter.
3. Vitneforklaringer, avhør og erklæringer. Anonymisering av vitner er en egen disiplin. Vitnets personopplysninger, identiteten til tredjepersoner nevnt i forklaringen og all informasjon som kan muliggjøre gjenidentifisering via vitnets rolle eller sted, må tas i betraktning. I saker med varslervern (direktiv 2019/1937 + nasjonale gjennomføringer) kan vitnets identitet i seg selv være lovfestet konfidensiell. Maskering av vitneforklaringer er også der avveiningen mellom fullstendighet og beskyttelse er skarpest: for mye maskering ødelegger forklaringens bevisverdi, for lite eksponerer vitnet.
4. E-discovery-utleveringer. Dokumentgjennomgang og utlevering i rettssaker. Volumproblemet er alvorlig (en middels stor sak omfatter rutinemessig titusenvis av dokumenter), og maskeringen må utføres i stor skala med konsistens gjennom hele utleveringen. Selve privilege log blir ofte en maskeringsartefakt: føringene må beskrive tilbakeholdte dokumenter uten å avsløre privilegert innhold. E-discovery-maskering er bruksområdet der KI-verktøy gir størst produktivitetsgevinst og samtidig størst shadow AI-risiko.
5. Datarom ved virksomhetsoppkjøp og due diligence. Selgeren setter sammen et virtuelt datarom med hundrevis eller tusenvis av dokumenter (kommersielle kontrakter, arbeidsavtaler, IP-overdragelser, rettssaker, finansielle dokumenter, IT-oversikter). Maskeringsspørsmålet er hva som skal vises i hvilken runde (innledende NDA-beskyttet tilgang, tilgang i andre runde for utvalgte budgivere, full tilgang etter LOI). Maskering i datarom ved virksomhetsoppkjøp og due diligence er området der dårlig maskering har gitt flere dokumenterte «jeg så et navn jeg ikke skulle ha sett»-hendelser som har ført til at avtaler har rast sammen eller til tvister etter avtalen.
6. Regulatoriske innrapporteringer og korrespondanse med myndigheter. Konkurranserettslige meldinger, verdipapirrettslige innrapporteringer, varsler om brudd på personopplysningssikkerheten etter GDPR, korrespondanse med personvernmyndigheter, sanksjons- og AML-opplysninger. Hver tilsynsmyndighet har sine egne forventninger til maskering og sin egen konfidensialitetsordning. EU-kommisjonens maskeringsstandarder TR/03 for foretakssammenslutninger skiller seg fra CMAs britiske motstykke. Nasjonale personvernmyndigheter godtar ulike maskeringsformater for vedlegg til avviksmeldinger. Mønsteret: ett enkelt dokument kan kreve tre ulike maskeringsrunder for tre ulike mottakere.
Mønsteret i alle seks kategorier er identisk med mønstrene vi gikk gjennom i hovedguiden og de tidligere klyngene: strukturerte data trenger strukturert oppdagelse, fri tekst trenger ML-oppdagelse, og revisjonssertifikatet er artefakten som gjør handlingen forsvarlig.
3. Taushetsplikt, GDPR og yrkesregler: hvordan de virker sammen
Fire rettslige regimer gjelder samtidig for bruk av KI i juridisk virksomhet. De er ikke koordinert, og samspillet er ikke alltid intuitivt.
Attorney-client privilege og legal professional privilege (LPP). Den amerikanske vurderingen av taushetsplikt følger Upjohn-rammeverket for bedriftsklienter (Upjohn Co. v. United States, 449 U.S. 383, 1981). Engelsk LPP omfatter både legal advice privilege og litigation privilege (Three Rivers (No 6), 2004). EU-domstolens Akzo Nobel-dom om taushetsplikt (C-550/07, 2010) utelukket bedriftsjurister fra LPP etter EUs konkurranserett, en avgjørelse som har formet europeisk M&A- og konkurransepraksis i femten år. Saken VEB v BP (EU-domstolen C-499/21, 2023) og den senere saken Halet mot Luxembourg (Den europeiske menneskerettsdomstolen, storkammeret, 2023) har fortsatt å presisere grensen for taushetsplikt i EUs tilsynssammenhenger. Konklusjonen for bruk av KI: å lime inn privilegert kommunikasjon i en forbruker-LLM er i de fleste vurderinger en utlevering til en tredjepart som ødelegger konfidensialiteten, og ødeleggelsen kan ikke omgjøres ved å trekke KI-prompten tilbake i etterkant. Legal professional privilege i EU er jurisdiksjonsspesifikk, så kontroller hvilket regime som gjelder før du antar at en konfidensialitet er bevart.
Artikkel 5, 6, 9, 22, 28 og 30 i GDPR. Advokater behandler personopplysninger på vegne av klienter (databehandlerforhold etter artikkel 28), ofte inkludert særlige kategorier (artikkel 9: helse, religion; straffedommer artikkel 10), og tar ofte avgjørelser som påvirker registrerte (artikkel 22). Protokollen over behandlingsaktiviteter etter artikkel 30 må gjenspeile hele bildet av dataflytene i juridisk virksomhet, inkludert bruk av KI-verktøy. En EDPB-uttalelse fra 2025 om KI i juridisk virksomhet (offentlig ventet ut fra arbeidsprogrammet for 2024) forventes å avklare databehandlerstatusen til KI-verktøy som brukes av eksterne rådgivere.
Advokatstandens yrkesregler. ABA Model Rule 1.6 gjør konfidensialitet til en plikt med objektivt ansvar; kommentaren til Rule 1.6 forklarer at en «advokat som har rimelig grunn til å tro at konfidensielle klientopplysninger kan bli utlevert» gjennom bruk av et verktøy, må gjøre «rimelige anstrengelser» for å hindre utlevering. Uttalelser fra delstatenes advokatforeninger 2024-2025 (California 2024-1, Florida 24-1, Michigan State Bar Ethics Opinion JI-159) har anvendt regelen på generativ KI: klientens informerte samtykke kreves, tilsyn etter Rule 5.3 gjelder KI som en medhjelper som ikke er jurist, og kompetanse etter Rule 1.1 omfatter plikten til å forstå KI-verktøyets begrensninger. CCBEs retningslinjer fra 2024 om europeiske advokaters bruk av KI kommer i hovedsak til de samme konklusjonene.
Nasjonale blokkeringslover. Frankrikes Loi 80-538 (blokkeringsloven) kriminaliserer utlevering av visse kommersielle dokumenter til utenlandske rettslige myndigheter utenom Haagkonvensjonens kanaler for bevisopptak. Dekretet fra 2022 moderniserte ordningen og ga SISSE (Service de l'information stratégique et de la sécurité économiques) en koordinerende rolle. Italiensk rett følger i hovedsak lignende logikk gjennom konkurranse- og forretningshemmelighetsordningene. Sveitsisk rett gjennom art. 271 CP. Samspillet med bruk av KI: grenseoverskridende juridiske data som rutes gjennom en amerikansk LLM, er ikke bare et overføringsspørsmål etter GDPR, men potensielt et brudd på blokkeringsloven. Blokkeringsloven virker også omvendt mot amerikansk discovery: amerikanske domstoler har myndighet til å tvinge parter i EU til å utlevere materiale til tross for blokkeringsloven, og avveiningen fra sak til sak har gitt inkonsistente resultater.
Den samlede effekten er at én enkelt KI-arbeidsflyt i en grenseoverskridende juridisk sak kan utløse en vurdering av taushetsplikt etter tre regimer, en GDPR-vurdering etter ett eller to, yrkesregler etter ett eller to og en vurdering av blokkeringsloven etter ett. Maskeringslaget er den eneste tekniske kontrollen som håndterer den kumulative risikoen ved å fjerne de underliggende personopplysningene og det konfidensielle innholdet før all KI-behandling.
4. Rettssaker: innleverte dokumenter, vedlegg og discovery-utleveringer
Rettssaker har den mest konsentrerte maskeringsrisikoen og de sterkeste eksterne reglene. Delprosessene nedenfor dekker sakens livssyklus.
Maskering i prosesskrivfasen. Stevningen eller begjæringen forberedes. Personopplysninger må maskeres etter den relevante prosessregelen før innleveringen. FRCP 5.2(a) lister opp kategoriene for innleveringer til amerikanske føderale domstoler; delstatenes regler varierer; engelske domstoler krever maskering av personopplysninger og konfidensielle opplysninger i de offentlig tilgjengelige delene av bundle (Civil Procedure (Amendment No. 2) Rules 2024 kodifiserte eksisterende praksis). Italienske innleveringer etter art. 71 CPC og det nye processo civile telematico krever maskering av alle opplysninger som ikke er strengt nødvendige. Den klassiske feilen: et vedlegg legges ved en offentlig begjæring med personopplysninger som selve prosesskrivet omhyggelig utelot.
Maskering av discovery-utlevering. Den utleverende parten gjennomgår dokumenter med hensyn til taushetsplikt og relevans, maskerer privilegert materiale og utleverer de maskerte dokumentene til parten som har bedt om dem. Sedona Conference Cooperation Proclamation Series gir veiledning om beste praksis. Føringene i privilege log må selv beskrive tilbakeholdte dokumenter uten å avsløre privilegert innhold, et maskeringsproblem inne i selve privilege log. Maskering av privilege log hører til de mest feilutsatte delprosessene, fordi beskrivelsene er vanskelige å balansere.
Maskering av vitneavhør. Avhørsutskrifter omfatter hundrevis eller tusenvis av sider og inneholder personopplysninger, navn på tredjepersoner, sensitivt saksinnhold og ofte utilsiktede avsløringer av privilegert informasjon. Maskeringen må anvendes konsistent gjennom hele utskriften med bevart sitering per linje og side. Maskerte utskrifter for offentlig innsyn (som brukes i skriv om summary judgment) er et eget arbeidsspor sammenlignet med fullstendige utskrifter som pålegges konfidensialitet.
Forberedelse til hovedforhandling. Vedlegg, vitnelister og demonstrative materialer kan leveres inn offentlig eller brukes i åpen rett. Maskeringen er her siste forsvarslinje før saken blir offentlig. Saken United States v. Manafort (D.D.C. 2018) ble et klassisk eksempel på utilstrekkelig konfidensialitetsbelegg da innholdsfortegnelsen til et konfidensielt dokument ble offentliggjort med avsnittsoverskrifter som avslørte den underliggende konfidensielle informasjonen. Å pålegge rettsdokumenter konfidensialitet er derfor bare en delvis beskyttelse; maskeringen må overleve en fremtidig oppheving av konfidensialiteten.
Litigation hold og bevaring av dokumenter. Plikten til å bevare relevante dokumenter oppstår i det øyeblikket en rettssak med rimelighet kan forutses. Maskering ved litigation hold, altså maskering av personopplysninger i dokumenter som bevares under et hold, men brukes til andre formål enn rettssaken, er en egen delprosess. Verktøyene for legal hold som følger med de fleste e-discovery-plattformer, dekker kjernen, men hvordan maskeringslaget samspiller med holdet, er spesifikt for hvert firma. Forberedelse til avhør legger også maskering av avhørsutskrifter til flyten. Offentlig tilgjengelige rettsregistre (PACER i USA, motstykker i EU-jurisdiksjoner) gjør arbeidet synlig for motparter og presse.
Arkitekturen for alle delprosessene er den samme: oppdag personopplysninger og privilegert innhold, løft til en menneskelig gjennomgang for bekreftelse, bruk maskering eller sverting, generer revisjonssertifikat, rut videre til innleverings- eller utleveringssystemet. Trinnet med menneskelig gjennomgang er vesentlig viktigere i rettssaker enn i noe annet bruksområde, fordi konsekvensene av en uoppdaget feil vanligvis er uopprettelige: når et dokument først er i rettens register eller i en utlevering, er tilbakekalling sjelden mulig.
5. Kontrakter og datarom ved virksomhetsoppkjøp: der KI hjelper, og der det lekker
Kontraktsgjennomgang og due diligence ved virksomhetsoppkjøp er arbeidsflytene der KI-verktøy har gitt både de største produktivitetsgevinstene og de største risikoflatene. Tre delprosesser.
Kontraktsgjennomgang i stor skala. En innkommende kommersiell kontrakt sendes til et KI-verktøy for analyse på klausulnivå (trekk ut hovedvilkår, sammenlign med standard playbook, merk risikoer). Uten et maskeringslag ser KI-en partenes navn, lederes navn, avtalens økonomi og noen ganger forretningshemmeligheter. Med et maskeringslag som maskerer partene og vederlagstallene, får KI-en et rent strukturelt bilde, advokaten leser et resultat som viser til plassholdere, og gjenopprettingen skjer lokalt. GDPR-etterlevelse ved KI-gjennomgang av kontrakter avhenger av at dette maskeringslaget ligger før kallet til KI-en.
Forberedelse av datarom ved virksomhetsoppkjøp. Selgerens rådgiver setter sammen tusenvis av dokumenter og bruker lagdelt maskering etter tilgangsnivå. Maskeringsverktøyet må forstå kontraktstrukturen (bevare klausulnummereringen når partsnavn maskeres), bevare beregningslogikken (ikke ødelegge finansielle modeller) og gi et revisjonssertifikat per dokument. Kjøperens rådgiver bruker et KI-verktøy til analyse av datarommet; det maskerte innholdet kjøperen ser, er det selgeren har besluttet å vise i den runden. Maskering av datarom ved virksomhetsoppkjøp er også området der «hva ble utlevert» blir et omstridt spørsmål etter gjennomføringen, og revisjonssertifikatet blir det viktigste dokumentariske forsvaret.
Due diligence av motparten. Firmaet gjennomgår motpartens KYC-materiale, reelle rettighetshavere, nærstående parter og sanksjonsscreening. Personopplysninger om personer som aldri har samtykket til utlevering til firmaet ditt, strømmer gjennom denne arbeidsflyten. Maskering trengs både når data sendes til KI-verktøy, og når sammendrag deles internt for risikovurdering.
I kontraktsflyter gjennomgår og maskerer du sensitive verdier før du velger en valgfri KI-oppgave. Beskytt hver gjenopprettingskobling og bekreft eksportformat og layout. Redactic støtter dokumentbehandling og gjennomgang, men formatspesifikk bevaring og gjenværende konfidensialitetsrisikoer må vurderes med representative kontrakter.
6. Shadow AI-problemet i advokatfirmaer og presedensen Mata v. Avianca
Shadow AI i advokatfirmaer tar spesifikke former som skiller seg fra mønstrene vi så i HR eller regnskap.
Researchflyten i skyggen. En advokatfullmektig bruker ChatGPT til å undersøke et juridisk spørsmål klokken 23 om kvelden. Problemet med oppdiktede rettspraksishenvisninger, dokumentert i Mata v. Avianca, Inc. (S.D.N.Y. sak nr. 22-cv-1461, juni 2023), der ChatGPT diktet opp seks ikke-eksisterende saker som advokaten påberopte seg overfor retten, ble det klassiske eksempelet. Sanksjoner på 5 000 USD, obligatorisk opplysning til retten om KI-bruken og oversendelse av saken til delstatens advokatforening. Senere saker (Park v. Kim 91 F.4th 610, 2d Cir. 2024; rekken av sanksjonsavgjørelser fra delstatsdomstoler 2024-2025 mot advokater som påberopte seg oppdiktede saker) har fortsatt trenden.
Skyggeflyten for sammendrag av kontrakter. En juniorjurist bruker en forbruker-LLM til å oppsummere en innkommende kontrakt før den sendes til partneren. Modellen ser partenes navn, avtalevilkår og noen ganger forretningshemmeligheter. Partneren vet ikke at KI ble brukt. Klienten samtykket ikke. Vurderingen av taushetsplikten avhenger av om forbruker-LLM-ens bruksvilkår skaper et konfidensialitetsvern som er tilstrekkelig til å bevare konfidensialiteten; vanligvis gjør de ikke det.
Skyggeflyten for utarbeiding av prosesskriv. En seniorjurist bruker ChatGPT til å skrive et avsnitt i et prosesskriv. Utkastet inneholder argumenter basert på fakta fra klientens sak som juristen oppga som kontekst. Sakens fakta ligger nå i modelleverandørens logger. Enkelte uttalelser fra advokatforeninger behandler dette i seg selv som et brudd på konfidensialiteten (uavhengig av om LLM-en trente på inndataene).
Skyggeflyten for oversettelse. En prosessadvokat som arbeider med en grenseoverskridende voldgiftssak, bruker et gratis oversettelsesverktøy til å gjengi en tysk vitneforklaring på engelsk til internt bruk. Vitnets identitet, selve forklaringen og navn på tredjepersoner går gjennom det gratis verktøyets beregningskraft. Oversettelse i juridisk virksomhet hører til de mest lumske tilfellene, fordi juristen oppfatter oversettelse som en rutinemessig, uvesentlig oppgave.
Løsningen er den samme arkitekturen som vi har beskrevet i hovedguiden og de tidligere klyngene, med to juridiske justeringer. For det første den privilegiebevisste policyen: maskeringslaget må flagge alt innhold som ser ut til å være privilegert (kommunikasjon mellom advokat og klient, work product, prosesstrategi) og enten blokkere kallet til KI-en eller kreve ytterligere bekreftelse. For det andre beskyttelsen av siteringsintegriteten ved KI-research: hver rettspraksishenvisning en KI frembringer, må kontrolleres mot en autoritativ database (Westlaw, Lexis, EUR-Lex, BAILII) før bruk. Advokater som bruker ChatGPT uten noen av beskyttelsene, gjentar feilmønsteret fra Mata.
To ofte siterte telemetristudier av sensitive data som når KI-verktøy, oppgir andeler som skiller seg med en faktor på omtrent femten (2,6 % og 39,7 %), av grunner som forklares i vår gjennomgang av shadow AI-statistikk, så hvert tall som oppgis til en partner eller en klient, bør følges av sin kilde og sin definisjon.
Advokatfirmaer som vil ha KI i praksis uten at modellen ser klientenes navn, kan først maskere navnene med Redactic og gjenopprette dem lokalt i nettleseren når svaret kommer.
7. Maskeringsflyten tilpasset juridiske dokumenter
Femtrinnsflyten fra hovedguiden gjelder for juridiske dokumenter med tre juridiske justeringer.
- Opplasting (med klassifisering etter taushetsplikt). Godta originale formater: DOCX (kontrakter, prosesskriv), PDF (innleveringer, vedlegg), XLSX (finansielle oversikter, indeks over datarom), e-posteksporter (PST/MBOX med vedlegg for e-discovery). Klassifiser ved opplasting etter sak og konfidensialitetsnivå; rut privilegerte dokumenter til en egen flyt med strengere kontroller (ingen KI, ingen ekstern deling, fyldigere revisjonsspor).
- Oppdagelse (med juridisk kaskade). Oppslag i ordlister på sakspesifikke termer (partenes navn, vitner, dataansvarlige, nøkkelledere som firmaet tidligere har maskert), nasjonale regulære uttrykk for jurisdiksjonsspesifikke identifikatorer (amerikanske SSN, nasjonale id-numre i EU, IBAN), flerspråklig NER for gjenværende navn og organisasjoner og OCR for skannede dokumenter. Det juridiske tillegget: et privilegiemarkerende gjennomløp som leter etter indikatorer på privilegert innhold (advokatens signaturblokk, overskrifter som «privileged and confidential», signaturblokker for interne eller eksterne advokater).
- Gjennomgang (med gruppering etter kategori). Vis oppdagede avsnitt gruppert etter kategori. For rettssaker vises også etter relevanskategori (personopplysninger, tredjeparters identifikatorer, privilegert innhold, forretningshemmelighet). Den gjennomgående personen vil vanligvis først kontrollere føringene i privilege log, deretter gjennomløpet for personopplysninger og til slutt saksinnholdet. Den grupperte visningen mater også direkte genereringen av privilege log.
- Anvendelse (modus etter destinasjon). Innleverte dokumenter og offentlige utleveringer: uopprettelig sverting. KI-støttet gjennomgang: reversibel maskering med lokal gjenoppretting. Datarom ved virksomhetsoppkjøp: lagdelt (samme dokument kan ha ulik maskering på ulike tilgangsnivåer). Verktøyet må støtte alle tre fra samme opplasting.
- Sertifiser og rut. Generer SHA-256-maskeringssertifikatet. For innleverte dokumenter legges sertifikatet ved innleveringen som støttedokumentasjon av maskeringsprosessen. For utleveringer legges sertifikatet ved privilege log. Ved virksomhetsoppkjøp er sertifikatet bevis etter gjennomføringen for hva som ble utlevert i hvilken runde.
Et konkret eksempel. Et prosessteam laster opp en avhørsutskrift på 240 sider før skrivet om summary judgment. Ordlisten inneholder de sakspesifikke listene over vitner og rådgivere. De regulære uttrykkene fanger personopplysninger (4 SSN i finansielle vedlegg til utskriften, 6 fødselsdatoer, 12 telefonnumre). NER fanger 38 navn på tredjeparter i faktavitnenes forklaringer. Det privilegiemarkerende gjennomløpet fanger 3 avsnitt som ser ut til å inneholde privilegert work product. Gjennomgangen grupperer de 63 oppdagede avsnittene etter kategori. Den gjennomgående personen godkjenner maskene for personopplysninger, godkjenner maskeringen av tredjepersoner og løfter de 3 privilegerte avsnittene til den overvåkende partneren. Eksporten består av to versjoner: en offentlig maskert versjon til vedlegget til summary judgment og en versjon pålagt konfidensialitet der bare personopplysninger er maskert. Sertifikatet logger begge versjonene med separate hashverdier og antall per kategori. Samlet tid inkludert eskaleringen til partneren: under 30 minutter.
8. Ofte stilte spørsmål
Ødelegger det advokatens taushetsplikt å lime inn en kontrakt i ChatGPT?
I de fleste vurderinger, ja. Bruksvilkårene for forbrukerversjonen av ChatGPT skaper ikke et konfidensialitetsvern som hindrer at utleveringen er en utlevering til en tredjepart. Uttalelsene fra amerikanske delstaters advokatforeninger for 2024-2025 (California 2024-1, Florida 24-1, NY State Bar Opinion 1240) peker i samme retning. Enkelte bedriftsnivåer av LLM-tjenester med avtaler uten trening og uten lagring kan bevare konfidensialiteten, men vurderingen avhenger av avtalen, og det sikre utgangspunktet er å anta at konfidensialiteten er brutt.
Hva krever saken *Mata v. Avianca* egentlig av advokater?
Saken skapte ikke nye regler; den anvendte eksisterende standarder i FRCP 11 og FRCP 26(g) på KI-støttet juridisk research. Den operative konklusjonen er at hver rettspraksishenvisning et KI-verktøy frembringer, må kontrolleres mot en autoritativ database før den brukes i et prosesskriv. Flere senere sanksjonsavgjørelser har bekreftet at dette er standarden. Rettsregler i mange føderale distrikter krever nå at bruk av KI opplyses i prosesskriv (NDOK, EDTX og andre).
Kan jeg bruke KI til å maskere en avhørsutskrift automatisk?
Automatisk oppdagelse kan hjelpe med å finne sensitive opplysninger, men en gjennomgående person bør kontrollere forslagene, rette falske treff og lete etter oversette verdier. Redactic har et gjennomgangstrinn. Det juridiske teamet har fortsatt ansvaret for de yrkesmessige pliktene og for å godkjenne hva som deles.
Hvordan håndterer jeg en amerikansk discovery-forespørsel som kolliderer med den franske blokkeringsloven?
Det ærlige svaret er «det kommer an på, og du trenger fransk juridisk rådgivning». Det operative svaret er at en riktig maskert utlevering, som fjerner forretningshemmelighetene blokkeringsloven beskytter, men beholder relevansen den amerikanske retten trenger, ofte er det forhandlede resultatet. Maskeringssertifikatet er beviset begge sider trenger: den amerikanske retten ser at utleveringen fant sted, og den franske myndigheten ser at det beskyttede innholdet ikke krysset grensen.
Gjelder GDPR for en amerikansk rettssak med europeiske vitner?
Ja, i den grad personopplysninger om registrerte i EU behandles i forbindelse med rettssaken. Behandlingen er vanligvis lovlig etter artikkel 6 nr. 1 bokstav c (rettslig forpliktelse) eller artikkel 6 nr. 1 bokstav f (berettiget interesse), men dataminimering etter artikkel 5 gjelder. Sedona Conference International Principles on Discovery, Disclosure and Data Protection gir et rammeverk; maskeringslaget er den tekniske kontrollen som gjennomfører minimeringen.
Hva er riktig format for et maskeringssertifikat for et datarom ved virksomhetsoppkjøp?
Et maskeringssertifikat kan supplere registreringene dine av handlinger med dokumentens hashverdier og sammendrag av maskeringen. Det beviser ikke at hver sensitiv verdi er oppdaget, det fastslår ikke anonymisering, og det beviser ikke uavhengig at ingen kopi av et dokument er lagret. Sammenlign feltene i det faktiske sertifikatet med revisjonskravene dine.
Gjelder KI-forordningen for KI-verktøy som advokater bruker?
KI-forordningen klassifiserer de fleste bruksområder for KI i juridisk virksomhet ikke som høyrisiko etter vedlegg III. Høyrisikokategoriene som berører juridisk virksomhet er vedlegg III nr. 8 bokstav a (KI i rettspleien og demokratiske prosesser) og vedlegg III nr. 5 bokstav d (risikovurdering innen finansielle tjenester). For de fleste bruksområdene for KI i advokatfirmaer gjelder KI-forordningens forpliktelser om åpenhet (artikkel 13), idriftsetterens forpliktelser (artikkel 26 når det er relevant) og plikten til å sikre KI-kompetanse (artikkel 4, gjelder fra februar 2025). De er operativt mindre krevende enn høyrisikoregimet, men krever fortsatt dokumentert opplæring i KI-kompetanse og grunnleggende åpenhet overfor de berørte partene.
Bør jeg maskere navnene på motpartens ansatte i en discovery-utlevering?
Som hovedregel nei: de er vanligvis gjenstand for discovery som en del av selve saken. Men du kan måtte maskere disse ansattes personopplysninger utover navnet (SSN, fødselsdato, hjemmeadresse, lønnsopplysninger uten tilknytning til saken) etter FRCP 5.2 eller motstykket i delstatsdomstolene, og etter GDPR hvis det gjelder registrerte i EU. Føringen i privilege log for et dokument som holdes tilbake i sin helhet, må beskrive dokumentet uten å avsløre privilegert innhold.
Hvor lenge bør maskeringssertifikatet oppbevares?
Like lenge som selve saken pluss en margin for foreldelsesfristen. For rettssaker vanligvis den tiden saksmappen oppbevares etter firmaets arkivpolicy (ofte 7-10 år). For virksomhetsoppkjøp vanligvis varigheten av forsikringen for garantier og erklæringer pluss overlevelsesperiodene. Sertifikater inneholder ingen personopplysninger, så oppbevaringen reiser ingen egne personvernspørsmål.
Hvor lagrer Redactic juridiske dokumenter?
Dokumenter og resultater bruker midlertidig lagring for behandling på infrastruktur i Europa som Redactic kontrollerer. Midlertidig behandling av gjenopprettingsdata på serversiden kan inngå. Konto-, fakturerings-, samtykke- og handlingsregistre håndteres separat. Se Redactics databehandleravtale (DPA) og personvernerklæring for vilkår om lagring og sletting, og be oss bekrefte profilen for arbeidsflyten din. Les mer: tillitssider
En avsluttende merknad om produktivitetsavveiningen med KI. Advokatstanden får høre at KI-verktøy gir effektivitetsgevinster på 30-50 % ved kontraktsgjennomgang, e-discovery og prosesskriv. Studiene som støtter tallene, er reelle; produktivitetsgevinstene er reelle. Haken er at gevinstene forutsetter at dokumentene KI-en ser, først er riktig maskert. Et firma som ikke har bygget maskeringslaget, får KI-ens produktivitetsgevinster til prisen av etterlevelses- og konfidensialitetseksponering; et firma som har bygget maskeringslaget, får de samme gevinstene uten eksponeringen. Arkitekturen finnes; det regulatoriske og faglige landskapet er stabilt nok til å planlegge etter; valget mellom å bygge og kjøpe peker mot å kjøpe, fordi den operative disiplinen rundt modellen utgjør størstedelen av kostnaden.
Hvis praksisen deres håndterer kontrakter, innleverte dokumenter, vitneforklaringer, e-discovery-utleveringer, datarom ved virksomhetsoppkjøp eller regulatoriske innrapporteringer (og det gjør den), flyttes hvert av disse dokumentene i dag gjennom e-post, enheter og forbruker-KI-verktøy uten noe maskeringslag foran. Prisen for ikke å gjøre noe er ikke abstrakt: det er den neste sanksjonsavgjørelsen i *Mata v. Avianca*-stil, den neste anmeldelsen til advokatforeningen, den neste utilsiktede utleveringen som ødelegger konfidensialiteten, den neste undersøkelsen etter blokkeringsloven og, stadig oftere, den neste ansvarsforsikringsleverandøren som avslår et krav fordi KI-bruken var udokumentert. Arkitekturen finnes, den regulatoriske klokken tikker, og maskeringslaget betaler seg i den første saken som går til hovedforhandling. Begynn denne måneden med kontraktene og de innleverte dokumentene i de tre viktigste sakene deres.
For den grunnleggende arkitekturen, se hovedguiden; for arbeidsflyter nær HR, se HR-klyngen; for regnskapsflyter, se klyngen for regnskapsførere. For å se Redactic på en eksempelkontrakt eller et prosesskriv har Redactics startside en live demo.