Advokatforeningens KI-veiledning: en praktisk sjekkliste

Advokatforeningen har vedtatt en egen veiledning for bruk av kunstig intelligens i advokatvirksomhet. Den gode nyheten: den forbyr ikke KI. Den setter noen krav. Her er hva de kravene betyr i praksis for et firma uten egen compliance-avdeling, punkt for punkt.

De fleste advokater jeg snakker med er verken teknologifiendtlige eller uforsiktige. De er forsiktige på riktig måte: de vil gjerne bruke KI for å spare tid, men de vil ikke gjøre det på en måte som setter taushetsplikten eller klientene i fare. Problemet er at «forsvarlig bruk» kan høres ut som en skjønnsvurdering det er vanskelig å ta uten en juridisk avdeling i ryggen.

Det er egentlig ikke så komplisert. Veiledningen koker ned til noen få prinsipper du kan sjekke av på en ettermiddag. Under har jeg gjort dem om til en konkret liste du kan gå gjennom før du tar et hvilket som helst KI-verktøy i bruk på ekte saker.

Veiledningen forbyr ikke KI. Den forbyr uforsvarlig bruk av den.

Utgangspunktet er det viktigste å forstå: KI-verktøyet er et hjelpemiddel, ikke en beslutningstaker. Du som advokat holder det fulle ansvaret for arbeidet som leveres, uansett hvilket verktøy som har vært innom underveis. En modell kan skrive et utkast, men den kan ikke overta ansvaret for at innholdet er riktig.

I praksis betyr det at et KI-utkast alltid er et utkast. Det skal leses, vurderes og godkjennes av en advokat før det går ut. Verktøy som later som de fjerner dette steget, løser feil problem.

Dette er kjernen i det hele. Taushetsplikten gjelder uansett om opplysningene er personopplysninger eller ikke, og den gjelder i det øyeblikket informasjonen forlater ditt område. Limer du klientinformasjon inn i et verktøy som sender den videre til en server du ikke kontrollerer, har du i praksis delt taushetsbelagt informasjon med en tredjepart.

Derfor er det avgjørende å vite hvor dataene behandles og lagres, og hvem som har tilgang. Behandles de i Norge eller EØS, eller overføres de til et tredjeland? Brukes de til å trene leverandørens modeller? Et verktøy der klientdataene aldri forlater ditt eget område er den tryggeste utgangen, fordi da oppstår ikke spørsmålet i det hele tatt.

Uautorisert deling av klientinformasjon kan bryte to regelsett samtidig: den lovbestemte taushetsplikten og personvernforordningen. Så snart et KI-verktøy behandler personopplysninger på dine vegne, trenger du et gyldig behandlingsgrunnlag og en databehandleravtale med leverandøren.

Dette er ikke byråkrati for byråkratiets skyld. Databehandleravtalen er dokumentet som faktisk binder leverandøren til å behandle dataene slik du krever, og som gir deg noe å vise til hvis en klient spør.

Veiledningen forventer at firmaet har klare retningslinjer for hvordan KI skal brukes, og at de ansatte får opplæring. Dette høres tyngre ut enn det er. For et lite firma kan det være en kort intern rutine som svarer på noen få spørsmål: Hvilke verktøy er godkjent? Hva slags informasjon kan legges inn, og hva kan ikke det? Hvem godkjenner utkast før de går ut?

Poenget er at bruken ikke skal være tilfeldig og personavhengig. En side med kjøreregler alle har lest, er nok til å flytte firmaet fra «vi bruker vel ChatGPT litt av og til» til «vi har en bevisst, dokumentert praksis».

Ikke alle leverandører er like. Før du tar et verktøy i bruk bør du gjøre en enkel vurdering av hvem som står bak: Hvor er de etablert? Hvordan håndterer de sikkerhet og data? Er de bygget med juridisk taushetsplikt i tankene, eller er det et generisk verktøy som tilfeldigvis også kan brukes av advokater?

Et verktøy laget spesifikt for advokater bør kunne svare på disse spørsmålene uten at du må lete. Kan de ikke det, er det i seg selv et svar.

Generative modeller kan ta feil, og de kan ta feil på en måte som ser overbevisende ut. De kan finne på henvisninger, blande sammen begreper eller bomme på norsk juridisk språk. Derfor er det siste punktet en forlengelse av det første: ingenting KI produserer skal ut uten at en advokat har lest det gjennom med et kritisk blikk.

Det gode er at dette er den delen advokater allerede er best til. Å kvalitetssikre en tekst er kjernekompetanse. Med KI flyttes tiden fra å skrive fra bunnen til å vurdere et utkast, og det er en byttehandel som lønner seg, så lenge vurderingen faktisk skjer.

Fra hinder til kjøpsgrunn

Det er lett å lese en slik veiledning som en liste over grunner til å la være. Jeg mener den er det motsatte. Den forteller deg nøyaktig hva et KI-verktøy må levere for at du skal kunne bruke det med god samvittighet: dataene blir hos deg, grunnlaget er på plass, bruken er dokumentert, og advokaten har siste ord.

Det var akkurat disse kravene vi bygde Nordivé rundt. Ikke som en etikett vi limte på i etterkant, men som premisset fra første linje kode.