Regeln für vertrauliche und privilegierte Dokumente

Gewinne:

• Fähigkeit, die Konzepte des Anwaltsgeheimnisses und vertraulicher Dokumente auf den Einsatz von KI zu übertragen
• Möglichkeit, mit einem Klassifizierungsschema zu bestimmen, welche Dokumente in welchen Tools verarbeitet werden können
• Fähigkeit, technische und vertragliche Schutzmaßnahmen zu implementieren, die eine Beeinträchtigung von Privilegien verhindern

Einer der vielleicht sensibelsten Rechtsgrundsätze ist die Vertraulichkeit der Kommunikation zwischen dem Anwalt und seinem Mandanten. Diese Vertraulichkeit ermöglicht es dem Mandanten, seinem Anwalt bedenkenlos alles zu erzählen und ist die Grundlage einer guten Verteidigung. Im Zeitalter der künstlichen Intelligenz (KI) steht dieses Prinzip vor einer neuen Bedrohung: Die Eingabe eines privilegierten oder vertraulichen Dokuments in ein ungesichertes KI-Tool kann die Vertraulichkeit untergraben und in manchen Fällen sogar zum Verlust des Anwaltsgeheimnisses führen. In dieser Einheit lernen wir, vertrauliche und privilegierte Dokumente zu klassifizieren, zu bestimmen, welches Dokument in welchem ​​Medium verarbeitet werden kann, und technische und vertragliche Sicherheitsmaßnahmen zum Schutz von Privilegien festzulegen.

Lassen Sie uns die Begriffe klären. Ein vertrauliches Dokument ist ein Dokument, das von der Institution oder dem Kunden vertraulich behandelt werden muss und nicht an Unbefugte weitergegeben werden darf. Unter dem Anwaltsgeheimnis versteht man den Grundsatz, dass die Kommunikation zwischen Anwalt und Mandant zu Zwecken der Rechtsberatung geschützt ist und im Streitfall nicht zur Offenlegung gezwungen werden kann. Unter Verzicht versteht man den Verlust dieses Schutzes durch die Offenlegung vertraulicher Mitteilungen an Dritte. Bei der Datensicherung handelt es sich um die vertraglichen Verpflichtungen eines Tools, z. B. Daten nicht für Schulungen zu verwenden, nicht zu speichern und nicht an Dritte weiterzugeben. Unter Dokumentenklassifizierung versteht man die Kennzeichnung von Dokumenten entsprechend ihrer Sensibilitätsstufe.

Warum sind Privilegien gefährdet?

Die Grundlage des Privilegs liegt im Schutz der Vertraulichkeit. Wenn eine vertrauliche Kommunikation an einen Dritten weitergegeben wird, kann ein Gericht entscheiden, dass die Kommunikation nicht mehr als vertraulich gilt und das Privileg daher verloren geht. Die Eingabe eines privilegierten Dokuments in ein ungesichertes KI-Tool bedeutet technisch gesehen die Übertragung dieses Dokuments an das System eines Dritten (Toolanbieters). Wenn das Tool Daten im Modelltraining speichert, verarbeitet oder nutzt, kann dies als Offenlegung betrachtet werden und das Privileg kann hinfällig werden.

Das zweite Risiko besteht in der vertraglichen Vertraulichkeit: Mit dem Kunden oder der Gegenpartei unterzeichnete Vertraulichkeitsverpflichtungen verhindern, dass das Dokument in nicht autorisierte Systeme eingegeben wird. Das dritte Risiko sind KVKK und Datenschutzpflichten (siehe Kapitel 9). Diese drei Risiken werden häufig in demselben Dokument zusammengefasst.

Achtung: Das Verschlüsseln eines Dokuments oder das spätere Löschen eines Chats garantiert keine Berechtigung. Entscheidend ist, in welches Tool das Dokument eingegeben wird und ob dieses Tool eine Datensicherung bietet. Vor dem Betreten des dokumentenungesicherten Fahrzeugs bleibt das Privileg gewahrt.

Dokumentenklassifizierungsschema

Die richtige Entscheidung trifft man nicht dadurch, dass man jedes Dokument gleich behandelt, sondern indem man es nach seiner Sensibilität klassifiziert. Ein einfaches Drei-Vier-Schritte-Diagramm klärt die Frage „Welches Dokument geht wohin?“

Klasse

Beispiel

Einsatz von KI

Öffentlich/Öffentlich

Veröffentlichte Gesetzgebung, Pressetext

Kostenlos in jedem Fahrzeug

Intern/Vertraulich

Innenpolitik, Vertragsentwurf

Nur zugelassenes, versichertes Fahrzeug

Kundengeheimnis/persönlich

Kundendatei, persönliche Daten

Zugelassenes Werkzeug + Maskierung

privilegiert

Rechtsgutachten, Verteidigungsstrategie

Eine Eintragung erfolgt in der Regel nicht; Nur vollständig gesicherte zertifizierte Umgebung

Ihre Rolle: ein Berater für Informationssicherheit/Datenschutz. Beschriften Sie das folgende Dokument gemäß einem Klassifizierungsschema: Klassen: Öffentlich / Intern-vertraulich / Kundengeheimnis-Persönlich / Privilegiert. Ausgabe: (1) vorgeschlagene Klasse und ihre Begründung, (2) KI-Nutzungsregel für diese Klasse, (3) Markierung von Abschnitten im Dokument, die möglicherweise privilegiert sind (Rechtsgutachten, Strategie). Wenden Sie im Zweifelsfall das Prinzip „auf eine höhere Klasse aufrunden“ an; Unterschätzen Sie das Dokument nicht.<document>[Dokumenttext oder Beschreibung]</document>

Feststellung von Zusicherungen

Der Schutz von Privilegien und Vertraulichkeit erfordert sowohl technische als auch vertragliche Maßnahmen. KI ist hilfreich, um diese Maßnahmen in einer Checkliste zusammenzustellen und relevante Klauseln in Lieferantenverträgen zu überprüfen.

Verwandeln Sie die Regeln zur „Verwendung vertraulicher/privilegierter Dokumente in KI-Tools“ in eine Checkliste für das Rechtsteam unserer Organisation. Beinhaltet:- Welche Dokumentenklasse kann in welchem ​​Tool verarbeitet werden (Berechtigungsmatrix).- Standardregel für privilegierte Dokumente: nicht eingetragen.- Gesuchte Schutzmaßnahmen für das genehmigte Tool (keine Datenaufbewahrung, Nichtnutzung im Bildungsbereich, Vertraulichkeitsverpflichtung, Standort-/Zugriffskontrolle).- Maskierungs- und Minimierungsschritte.- Benachrichtigungs- und Reaktionsschritte im Falle eines Verstoßes. Schreiben Sie jeden Punkt in Form eines Ja/Nein-Checks; Markieren Sie die Bereiche, in denen eine „rechtliche Genehmigung erforderlich“ erforderlich ist.

Außerdem ist es notwendig, den Lieferanten-/Tool-Vertrag prüfen zu lassen: Bieten die Nutzungsbedingungen des von Ihnen gewählten KI-Tools wirklich diese Zusicherungen?

Lesen Sie die folgenden Nutzungsbedingungen für KI-Tools aus Datenschutzgründen durch und stellen Sie sie auf:| Thema | Fall im Zustand (Zitat) | Ist es genug | Risiko | Achten Sie auf: Aufbewahrungsfrist und -zweck der Daten, Verwendung im Modelltraining, Weitergabe an Dritte, Speicherort der Daten, Recht auf Löschung, Verpflichtung zur Vertraulichkeit. Gibt es eine ausreichende Sicherheit für ein privilegiertes/vertrauliches Dokument? Sag es mir deutlich; Wenn Sie sich nicht sicher sind, sagen Sie „Rechtliche Prüfung erforderlich“. Schlussfolgerungen ohne Klauseln/Zitate schreiben.

Bei Privilegien geht es nicht nur um die Eingabe des Dokuments in das Tool, sondern auch darum, wo die Ausdrucke gespeichert werden und mit wem sie geteilt werden. Eine von der KI erstellte Zusammenfassung oder Analyse kann ebenfalls als privilegiert betrachtet werden; Das Verschieben außerhalb des Teams in einen ungesicherten Kanal könnte ebenfalls zur Offenlegung führen. Daher muss der Lebenszyklus der Ausgabe von Anfang bis Ende berücksichtigt werden.

Ordnen Sie den folgenden KI-gestützten Arbeitsablauf für Datenschutz/Privilegien zu: Welches Datenschutzrisiko besteht bei jedem Schritt (Eingabedokument, verwendetes Tool, erzeugte Ausgabe, wo die Ausgabe gespeichert ist, Personen, die die Ausgabe betrachten)? Markieren Sie Schritte, die Privilegien untergraben könnten, und schlagen Sie entsprechende Gegenmaßnahmen vor (Zugriffsbeschränkung, sichere Umgebung, Maskierung). Geben Sie eine endgültige rechtliche Schlussfolgerung an; Markieren Sie „Genehmigung erforderlich“.

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

Schwache Aufforderung: Fassen Sie unseren Artikel zur Rechtsmeinung zusammen. [privilegiertes Dokument am ungesicherten Fahrzeug angebracht]

Ergebnis: Die privilegierte Verteidigungsstrategie wird dem System eines ungesicherten Dritten ausgesetzt. Selbst wenn die Aufgabe erledigt ist, ist das Privileg umstritten und die Vertraulichkeit wurde beschädigt.

Starke Aufforderung: [erste Dokumentklassifizierung → Wenn „Privilegiert“ wird in der Regel nicht eingetragen + nur vollständig abgesicherte genehmigte Umgebung + notwendige Teile werden maskiert + Fahrzeugzustand wurde zuvor überprüft]

Ergebnis: Geleitet von der Dokumentensensibilität; Auf privilegierte Inhalte wird entweder überhaupt nicht zugegriffen oder sie werden nur in einer genehmigten Umgebung mit nachgewiesener Sicherheit verarbeitet.

Entscheidungsfluss

Bevor ein Dokument mit KI verarbeitet wird, werden der Reihe nach drei Fragen gestellt: (1) Zu welcher Klasse gehört dieses Dokument? (2) Welche Mittel und Bedingungen sind für den Unterricht erforderlich? (3) Kann ich das Risiko verringern, indem ich den Teil, den ich betreten muss, maskiere oder verkleinere? Bei privilegierten Dokumenten lautet die Standardantwort „Nicht eingeben“. Eine Ausnahme ist nur bei einer von der Einrichtung genehmigten und vertraglich nachgewiesenen Umgebung möglich.

Drei Mini-Hüllen

Fall 1 – Wahrung des Privilegs. Eine Anwaltskanzlei würde ihr Memo zur Verteidigungsstrategie in einem Fall mit KI zusammenfassen. Die Klassifizierungsaufforderung bezeichnete das Dokument als „Privilegiert“ und zeigte, dass die Standardregel „Kein Eintrag“ lautete. Das Team hat das Dokument nie in das Fahrzeug gegeben; Stattdessen arbeitete er mit einem nicht exklusiven, verallgemeinerten Rahmen. Während des Rechtsstreits konnte die Gegenpartei keine Offenlegung verlangen; Privileg gewahrt.

Fall 2 – Überprüfung der Kfz-Versicherung. Eine Organisation dachte darüber nach, vertrauliche Vertragsentwürfe in einem KI-Tool zu verarbeiten. Die Überprüfung der Fahrzeugbedingungen ergab, dass das Fahrzeug Daten im Modelltraining verwenden konnte und der Aufbewahrungszeitraum ungewiss war. Die Organisation lehnte dieses Tool für vertrauliche Dokumente ab und wechselte zu einer zertifizierten Unternehmensversion, für die sie eine Datensicherungsvereinbarung unterzeichnete. Dieselbe Arbeit, aber dieses Mal ohne das Risiko einer Gefährdung.

Fall 3 – Wert der Berechtigungsmatrix. In einem Anwaltsteam verhielt sich jeder anders; Einige haben die Kundendatei direkt eingegeben, andere haben sie überhaupt nicht verwendet. Nachdem die Dokumentenklasse-Fahrzeugberechtigungsmatrix erstellt worden war, wurden die Regeln klar: kein privilegiertes Dokument eingegeben, Kundengeheimnis nur maskiert und im zugelassenen Fahrzeug, allgemeines Dokument frei. Im ersten Viertel wurden dank der Matrix 3 illegale Versuche aufgefangen und im Vorfeld geblockt; Es wurde eine dokumentierte Aufzeichnung der Einhaltung erstellt.

Häufige Fehler

• Einbringen des privilegierten Dokuments in ein ungesichertes Fahrzeug. Der schwerwiegendste Fehler; kann Privilegien und Vertraulichkeit verletzen.
• Keine Klassifizierung von Dokumenten. Wenn jedes Dokument gleich behandelt wird, bleiben die sensiblen Daten ungeschützt.
• Fahrzeugzustand wird nicht überprüft. Ohne Kenntnis der Datenaufbewahrungs-/Schulungsrichtlinie des Tools kann keine Sicherheit gewährleistet werden.
• Ich denke, dass Verschlüsselung/Löschung ausreicht. Entscheidend ist das Tool, in das das Dokument eingegeben wird; Durch eine spätere Löschung wird die Offenlegung nicht rückgängig gemacht.
• Die Ausnahme zur Regel machen. Die Standardeinstellung in einem privilegierten Dokument ist „nicht eingeben“; Eine Ausnahme liegt nur bei beweiskräftiger Sicherung vor.
• Keine Institutionalisierung der Einwilligungsmatrix. Ohne schriftliche Regeln trifft jeder seine eigenen Entscheidungen; Es entstehen Inkonsistenzen und Risiken.

Zusammenfassend

Vertrauliche und privilegierte Dokumente sind der Bereich, der beim Einsatz von KI höchste Aufmerksamkeit erfordert. Entscheidend ist das Fahrzeug, in dem das Dokument eingegeben wird: Das Einbringen eines vertraulichen Dokuments in ein ungesichertes Fahrzeug kann eine Verletzung der Schweigepflicht und des Anwaltsgeheimnisses darstellen. Dokumente nach Vertraulichkeit klassifizieren, Tool-Berechtigungsregeln für jede Klasse festlegen, privilegierte Dokumente standardmäßig nicht betreten, die Datensicherungen des Tools anhand des Vertrags überprüfen und Maskierung/Minimierung gemeinsam anwenden. KI erstellt Klassifizierungen und Checklisten; Der zuständige Fachmann entscheidet, ob ein Dokument bearbeitet werden kann oder nicht.

Anwendungsaufgabe

Definieren Sie drei Dokumente unterschiedlicher Sensibilität (ein öffentliches, ein vertrauliches, ein privilegiertes usw.). (1) Beschriften Sie jeden mit einer Klassifizierungsaufforderung und bestimmen Sie die KI-Nutzungsregel. (2) Erstellen Sie eine Dokumentklassen-Tool-Berechtigungsmatrix und eine Checkliste für Ihr Team. (3) Lassen Sie die Bedingungen eines von Ihnen genutzten Tools hinsichtlich der Vertraulichkeit prüfen und bewerten Sie die Angemessenheit der Zusicherungen. (4) Legen Sie die Standardregel „Kein Betreten“ für das privilegierte Dokument schriftlich fest.

Checkliste

• [ ] Wird das Dokument vor der Verarbeitung entsprechend seiner Vertraulichkeitsklasse gekennzeichnet?
• [ ] Wurde festgelegt, welches Tool für jede Klasse verwendet werden kann?
• [ ] Wird die Standardregel „Kein unbefugtes Betreten“ auf privilegierte Dokumente angewendet?
• [ ] Wurden die Datensicherungen des eingesetzten Fahrzeugs anhand der Bedingungen überprüft?
• [ ] Wurden Maskierung und Minimierung angewendet?
• [ ] Wurde die Dokumentklassen-Tool-Berechtigungsmatrix institutionalisiert?
• [ ] Sind Benachrichtigungs-/Interventionsschritte bei Verstößen definiert?