God advokatskikk gjelder også når arbeidet utføres med KI
De sentrale rammene følger av advokatloven, advokatforskriften og Regler for god advokatskikk. Reglene stiller krav til blant annet fortrolighet, uavhengighet og ivaretakelse av klientens interesser. De gjelder uavhengig av om advokaten arbeider manuelt, bruker tradisjonell programvare eller får hjelp av kunstig intelligens. KI er et hjelpemiddel, ikke en selvstendig ansvarlig rådgiver.
Advokaten må forstå verktøyets relevante begrensninger godt nok til å vurdere om det passer til oppgaven. En språkmodell kan produsere overbevisende tekst uten at innholdet er riktig. Den kan overse forbehold, blande rettssystemer eller konstruere rettskilder. Jo større konsekvenser en feil kan få, desto grundigere må kontrollen være. Språkvask av en generell tekst og utarbeidelse av et prosesskriv krever derfor ulike kontrolltiltak.
Uavhengighet innebærer også at advokaten må foreta egne vurderinger fremfor å la verktøyets forslag styre saken. Effektivisering fritar ikke fra plikten til å identifisere klientens behov, undersøke relevante rettskilder og gi balansert rådgivning. Virksomheten bør avklare hvilke oppgaver KI kan støtte, hvilke opplysninger verktøyet kan behandle, og hvem som skal godkjenne resultatet før bruk.
Taushetsplikt: vurder hvor opplysningene faktisk havner
Advokatens taushetsplikt etter advokatloven er et sentralt utgangspunkt. Når klientopplysninger legges inn i en KI-tjeneste, må advokaten vurdere om behandlingen og eventuell tilgang hos leverandører er forenlig med taushetsplikten. En betalt bedriftskonto er ikke i seg selv en garanti. Det avgjørende er blant annet avtalevilkårene, den tekniske løsningen, tilgangsstyringen og hvordan opplysningene faktisk brukes.
Undersøk om leverandøren lagrer spørsmål, dokumenter og svar, om ansatte kan lese innholdet, og om underleverandører får tilgang. Avklar særskilt om data brukes til modelltrening eller andre egne formål. Et løfte om at opplysninger ikke brukes til trening, sier ikke nødvendigvis noe om lagring i logger, supporttilgang eller sikkerhetskopier. Tilsvarende løser lagring i Norge eller EØS ikke alle spørsmål om fortrolighet og tilgang.
Del ikke flere opplysninger enn oppgaven krever. Fjerning av navn er ofte utilstrekkelig dersom arbeidssted, datoer eller et særegent hendelsesforløp gjør personen eller saken gjenkjennelig. Pseudonymiserte opplysninger er fortsatt personopplysninger når de kan knyttes til en person ved hjelp av tilleggsinformasjon. Også informasjon som ikke er personopplysninger, for eksempel forretningshemmeligheter og prosessstrategi, kan være underlagt fortrolighet.
Personvern og opptak av klientmøter krever egne vurderinger
Personopplysningsloven og personvernforordningen gjelder når KI-løsningen behandler personopplysninger. Prinsippene i forordningen artikkel 5 omfatter blant annet formålsbegrensning, dataminimering, riktighet og lagringsbegrensning. Det må finnes et behandlingsgrunnlag etter artikkel 6. Inneholder materialet særlige kategorier av personopplysninger, som helseopplysninger, må også et relevant unntak etter artikkel 9 være oppfylt. Opplysninger om straffedommer og lovovertredelser er særskilt regulert i artikkel 10.
Opptak, transkribering og videre bruk av et klientmøte må vurderes konkret. Før opptaket starter, bør deltakerne få tydelig informasjon om formålet, hvordan opptaket behandles, hvem som får tilgang, og planlagt lagringstid. Informasjonspliktene følger blant annet av artikkel 13 og 14, avhengig av hvordan opplysningene samles inn. Samtykke er ikke automatisk det riktige eller eneste behandlingsgrunnlaget. Dersom samtykke brukes, må det blant annet være frivillig, spesifikt og informert. En aksept fra møtedeltakerne avklarer heller ikke alene behandlingen av opplysninger om tredjeparter som omtales.
Hvis leverandøren behandler personopplysninger på advokatvirksomhetens vegne, kreves normalt en databehandleravtale etter artikkel 28. Rollene må vurderes ut fra den faktiske behandlingen, ikke bare kontraktens overskrift. Informasjonssikkerheten skal være egnet etter artikkel 32, og en vurdering av personvernkonsekvenser er nødvendig etter artikkel 35 dersom behandlingen sannsynligvis medfører høy risiko. Eventuelle overføringer ut av EØS må vurderes etter reglene i forordningens kapittel V. Også fjernaksess fra et tredjeland kan utløse spørsmål om overføring.
Kvalitetskontroll fra transkripsjon til juridisk utkast
En transkripsjon er ikke en feilfri gjengivelse av et møte. Dialekter, bakgrunnsstøy og overlappende tale kan gi feil, og systemet kan tilordne utsagn til feil person. Små avvik kan få stor betydning: Et bortfalt «ikke», et feil beløp eller en uriktig dato kan endre sakens faktum. Kontroller sentrale utsagn mot tilgjengelig og lovlig oppbevart originalmateriale, særlig når innholdet skal brukes i korrespondanse, forhandlinger eller prosess.
Referater, faktumbeskrivelser og tidslinjer må skille mellom dokumenterte forhold, klientens forklaring og advokatens vurderinger. KI kan gjøre usikre opplysninger mer bastante enn kilden gir grunnlag for, eller plassere hendelser i en tilsynelatende sikker rekkefølge. Be derfor om sporbarhet til dokument, side eller tidspunkt der løsningen støtter det, og kontroller henvisningene. Uavklarte punkter bør merkes som uavklarte fremfor å fylles ut med sannsynlige antakelser.
Juridiske utkast krever kontroll av både rettskilder og argumentasjon. Kontroller at lover og avgjørelser finnes, er relevante og gjengis riktig, og at rettstilstanden er oppdatert. En ekte domshenvisning kan fortsatt brukes til støtte for en påstand dommen ikke dekker. Advokaten må også vurdere motargumenter, bevismessige svakheter og klientens faktiske mål. Behandle maskinelt foreslåtte frister som ubekreftede frem til de er kontrollert mot relevante regler og saksopplysninger.
Åpenhet overfor klienten og ryddig salærpraksis
Det finnes ikke nødvendigvis en generell plikt til å informere om enhver begrenset bruk av KI, for eksempel ren språkvask uten klientopplysninger. Behovet for informasjon må vurderes ut fra bruken, oppdraget og de aktuelle pliktene. Ved opptak av møter eller behandling av klientmateriale i eksterne tjenester vil åpenhet ofte være sentralt. Forklar forståelig hva verktøyet gjør, hvordan opplysningene beskyttes, og at advokaten kontrollerer resultatet.
Klienten bør ikke få inntrykk av at KI-generert innhold er en selvstendig juridisk kvalitetssikring. Avklar hvordan klienten kan melde fra om feil i referater og faktumbeskrivelser, og vurder alternativer dersom klienten ikke ønsker møteopptak. En bekreftelse fra klienten kan forbedre faktagrunnlaget, men overfører ikke advokatens ansvar til klienten. Klientens tillatelse er heller ikke en generell dispensasjon fra personvernregler eller plikter overfor andre berørte personer.
Salæret må være i samsvar med oppdragsavtalen og Regler for god advokatskikk, herunder kravet om rimelig forhold til oppdraget og arbeidet som er utført. Ved timefakturering skal advokaten ikke føre tid som ikke er brukt, selv om tilsvarende arbeid tidligere ville tatt lengre tid. Nødvendig kontrollarbeid kan være en reell del av oppdraget. Fastpris og andre prismodeller må vurderes etter avtalen og de alminnelige salærreglene, og eventuelle teknologikostnader bør avklares tydelig.
En praktisk rutine for forsvarlig bruk av juridisk KI
Begynn med en avgrenset brukssituasjon og en dokumentert vurdering av risiko. Klassifiser opplysningene, undersøk leverandør og underleverandører, og avklar tilgang, lagring, sletting og eventuell bruk til trening. Fastsett hvem som kan godkjenne nye verktøy. Ansatte bør vite at private brukerkontoer og ikke-godkjente tjenester ikke skal brukes til klientmateriale, og at også testing må skje med et forsvarlig datagrunnlag.
For en assistent som Sakly, som kan støtte opptak og transkribering av klientmøter samt utarbeidelse av referat, faktum, tidslinjer og dokumentutkast, bør virksomheten ha rutiner for hvert trinn. Avklar behandling og informasjon før møtet, kontroller vesentlige opplysninger etterpå, og krev advokatgodkjenning før utkast brukes eksternt. Vurder tjenestens faktiske egenskaper og vilkår; ingen funksjonsbeskrivelse erstatter virksomhetens egen kontroll.
Følg opp løsningen over tid. Endringer i vilkår, modeller eller underleverandører kan kreve nye vurderinger. Ha rutiner for å håndtere feil, uønsket deling og sikkerhetshendelser, inkludert vurdering av eventuelle varslingsplikter. Dokumenter sentrale beslutninger og sørg for opplæring. Målet er ikke å fjerne alt manuelt arbeid, men å bruke teknologien der den gir nytte uten å svekke fortrolighet, faglig skjønn eller klientens rettssikkerhet.