AI en uw geheim­houdings­plicht: waar let u op?

Wat de geheimhoudingsplicht vraagt

Een advocaat is verplicht tot geheimhouding van wat hem in zijn beroep wordt toevertrouwd (artikel 11a Advocatenwet). De advocaat moet er ook voor zorgen dat de mensen die voor hem werken, die vertrouwelijkheid respecteren. Vertrouwelijkheid is bovendien een van de kernwaarden van de advocatuur (artikel 10a Advocatenwet).

Een AI-dienst waarin u dossiergegevens verwerkt, werkt in feite als hulpmiddel van uw kantoor. U moet er dus op kunnen vertrouwen dat de dienst net zo zorgvuldig met de gegevens omgaat als uzelf.

Zes vragen voor elke AI-leverancier

1. Waar worden de gegevens opgeslagen en verwerkt? Bij voorkeur binnen de EU, zonder doorgifte naar landen buiten de EU.
2. Wordt mijn informatie gebruikt om de AI te trainen? En zo ja: alleen met mijn toestemming, en kan ik dat per dossier bepalen?
3. Is er een verwerkersovereenkomst? Die is verplicht als de dienst persoonsgegevens voor u verwerkt (artikel 28 AVG). Vraag ook welke subverwerkers worden ingeschakeld.
4. Hoe is de beveiliging geregeld? Denk aan versleuteling tijdens verzending en opslag, tweestapsverificatie en toegang per dossier.
5. Wie kan bij mijn gegevens? Alleen uw eigen gebruikers, of ook medewerkers van de leverancier? En onder welke voorwaarden?
6. Wat gebeurt er als ik stop? Kunt u uw gegevens downloaden, en wanneer worden ze verwijderd?

Pseudonimiseren is niet hetzelfde als anonimiseren

Bij pseudonimiseren worden namen en andere gegevens die naar een persoon leiden, vervangen door iets anders. Zonder aanvullende informatie is niet meer te zien over wie het gaat. Bij anonimiseren is terugleiden naar een persoon helemaal niet meer mogelijk.

Het verschil is juridisch belangrijk. Voor wie de gegevens kan herleiden, zoals uw kantoor, blijven gepseudonimiseerde gegevens persoonsgegevens (overweging 26 AVG). De AVG blijft dus van toepassing, met alle afspraken die daarbij horen. Pseudonimiseren verkleint wel het risico aanzienlijk, en de AVG noemt het uitdrukkelijk als passende beveiligingsmaatregel.

Leg het vast

Beschrijf in uw kantoorbeleid welke AI-diensten zijn toegestaan en voor welk werk. Leg vast welke afspraken u met de leverancier heeft gemaakt. Zo kunt u, als een cliënt of de deken ernaar vraagt, laten zien dat u zorgvuldig heeft gekozen. Overweeg ook om cliënten in uw opdrachtbevestiging of algemene voorwaarden te informeren over het gebruik van AI.

Hoe Legal Momo hiermee omgaat

In Legal Momo wordt alles wat u toevoegt gepseudonimiseerd, en uw gegevens worden uitsluitend in de EU opgeslagen en verwerkt. Met uw kantoor sluiten we een verwerkersovereenkomst. Inloggen gaat met tweestapsverificatie. U kiest per dossier of stukken gebruikt mogen worden om de AI te verbeteren; zonder toestemming blijven ze uitsluitend in uw eigen omgeving. De certificering voor ISO 27001 en ISO 42001 is in uitvoering.

Dit artikel geeft algemene informatie en is geen juridisch advies. Wetgeving en beleid kunnen veranderen; controleer altijd de actuele stand.