AI-based legal tech-oplossingen: ontdek de valkuilen

Feitelijke constatering

Juridische documenten kunnen uiteenlopende persoonsgegevens bevatten.

Denk voor contracten bijvoorbeeld aan de volgende persoonsgegevens:

• De identificatie van de partijen (bij natuurlijke personen of eenmanszaken),
• Partijvertegenwoordigers (bijv. namen),
• Overwegingen met meer context (bv. persoonlijke redenen voor minnelijke schikking),
• Contactgegevens en adressen (bv. woonplaats of voor leveringen),
• Kennisgevingsclausules (bijvoorbeeld e-mailadressen),
• Financiële gegevens (bv. lonen),
• Opmerkingen in het kader van een onderhandeling (bijvoorbeeld persoonlijke redenen om een bepaalde clausule niet te aanvaarden),
• Metadata,

Enz.

In de praktijk bevatten sommige juridische documenten meer persoonsgegevens dan andere.

Juridische uitdaging

Het indexeren van juridische documenten en het doorzoeken van de inhoud ervan impliceert onvermijdelijk de verwerking van persoonsgegevens die in die juridische documenten worden vermeld, of dat nu de bedoeling is of niet.

Wanneer het juridische document persoonsgegevens bevat, treedt de organisatie van de bedrijfsjurist of het advocatenkantoor op als verwerkingsverantwoordelijke van de persoonsgegevens in die juridische documenten voor legal tech-doeleinden. Die verwerkingsactiviteit bestaat in het analyseren van het juridisch document om de eigen diensten te verbeteren en kan op zijn beurt worden uitbesteed aan een legal tech service provider die als verwerker kan optreden en met wie dus de nodige contractuele afspraken moeten worden gemaakt.

Wat de persoonsgegevens betreft, rijzen dan onder meer de volgende vragen of valkuilen:

• Welke rechtsgrondslag kan de organisatie voor deze verwerking inroepen?
• Hoe kunnen belanghebbenden worden geïnformeerd?
• Is het doel van deze verwerking verenigbaar met het oorspronkelijke doel (d.w.z. het opstellen van een juridisch document, het verstrekken van juridisch advies in een bepaalde zaak, ...)?
• Is deze verwerking in overeenstemming met het beginsel van minimale gegevensverwerking?
• Is deze verwerking in overeenstemming met de redelijke verwachtingen van de betrokkenen?

Praktische oplossing

Om valkuilen in verband met persoonsgegevens te vermijden, zouden organisaties:

• Sluit juridische documenten uit die veel persoonsgegevens bevatten maar weinig waarde hebben voor hergebruik. 
• Anonimiseren van juridische documenten die zijn toevertrouwd aan een legal tech service provider. Merk op dat het handmatig anonimiseren van juridische documenten tijdrovend is.

Wees voorzichtig bij het geautomatiseerd anonimiseren (scrubbing) van juridische documenten. Dergelijke scrubbing tools geven geen garanties (bijv. Microsoft Presidio: "!!! waarschuwing "Warning" Presidio kan helpen gevoelige/PII-gegevens te identificeren in ongestructureerde tekst. Omdat Presidio echter gebruik maakt van getrainde ML-modellen, is er geen garantie dat Presidio alle gevoelige informatie vindt. Bijgevolg moeten aanvullende systemen en beveiligingen worden gebruikt"), werken niet altijd goed in andere talen dan het Engels, en kunnen geen persoonsgegevens scrubben die uit de context blijken (zij zoeken bijvoorbeeld alleen naar namen, adressen, enz.).

Feitelijke constatering

Zelfs als een bepaald juridisch document weinig of geen persoonsgegevens bevat, is de kans reëel dat het juridisch document informatie van vertrouwelijke aard bevat.

Denk bijvoorbeeld aan:

• Financiële informatie (bv. prijzen),
• Commerciële informatie (bv. verkoopstrategieën),
• Technische informatie (bv. beveiliging),

Etc.

Juridische uitdaging

Vertrouwelijkheidsproblemen of valkuilen zijn onder meer de volgende:

• Schendt de organisatie van de bedrijfsjurist of het advocatenkantoor contractuele geheimhoudingsclausules (bv. toegang op een "need-to-know" basis)?
• Als er geen contractuele vertrouwelijkheidsclausules zijn, bevatten de juridische documenten dan geen gegevens die naar hun aard als vertrouwelijk moeten worden beschouwd?
• Schendt de advocaat zijn deontologische verplichtingen, of eventueel zijn beroepsgeheim?

Praktische oplossing

Tips om vertrouwelijkheidskuilen te vermijden:

• Ga na of voor bepaalde juridische documenten specifieke geheimhoudingsverplichtingen gelden.
• Sluit vertrouwelijke juridische documenten uit.
• Verwijder vertrouwelijke informatie uit juridische documenten, maar dit zal niet voor de hand liggen en is bovendien tijdrovend.

Feitelijke constatering

Bij juridische documenten, vooral contracten, is de context ervan minstens zo belangrijk als het document zelf.

Denk bijvoorbeeld aan:

• Type contractpartijen (bv. multinational of startende onderneming),
• Type producten of diensten (bijv. b2c of b2b),
• Sector van de partijen (bijvoorbeeld de gezondheidssector),
• Specifieke wetgeving (bv. consumentenbescherming),
• Jurisdictie (bv. toepasselijk recht van de VS),

Enz.

Juridische uitdaging

Wat de context van het juridische document betreft, rijzen onder meer de volgende vragen of valkuilen:

• Over een bepaald contract kan zwaar onderhandeld zijn, zodat de clausules eigenlijk een compromis tussen de partijen zijn. Deze context is gewoonlijk bekend bij de opsteller van het contract, maar kan verloren gaan wanneer die clausules opnieuw worden gebruikt. Zal de bedrijfsjurist of advocaat die bedongen clausules opnieuw gebruiken? En is dat wenselijk?
• Misschien is de wetgeving sindsdien veranderd of is er nieuwe wetgeving?
• Misschien waren concrete feiten relevant. Een juridisch oordeel over het ontslag van de ene werknemer om dringende redenen kan in een ander geval geheel anders zijn als de concrete feiten anders zijn.

Praktische oplossing

Tips om valkuilen in de documentcontext te vermijden:

• Controleer altijd de context van een bepaald juridisch document. Gaat het om een onderhandeld contract?
• Wijs voor elk juridisch document een eigenaar aan die de context van het document kent.
• Maak collega's bewust van mogelijke valkuilen.

Soort juridische documenten

Sommige juridische documenten bevatten doorgaans meer persoonsgegevens dan andere.

Wat bijvoorbeeld contracten betreft, bevatten arbeidsovereenkomsten, geheimhoudingsovereenkomsten (NDA's), fusie- en overnameovereenkomsten (M&A) en minnelijke schikkingen doorgaans meer persoonsgegevens dan een licentieovereenkomst. Hetzelfde geldt voor bijlagen.

Praktische factoren

Wie heeft toegang tot bestaande juridische documenten voor hergebruik? Gaat het om een specifiek team? Over de hele organisatie of het hele kantoor? Of misschien zelfs over alle wereldwijde bedrijfsonderdelen in de groep? Zelfs als gebruikers gebonden zijn aan vertrouwelijkheid, verhoogt elke extra persoon met toegang het potentiële veiligheidsrisico.

Wat is het niveau van handmatige triage? Worden alle bestanden opgenomen? Of alleen geselecteerde mappen?

Worden nieuwe gebruikers (in het team van bedrijfsjuristen of advocatenkantoren) geïnformeerd en gesensibiliseerd over de mogelijke gevaren van hergebruik van juridische documenten?

Technische factoren

Worden er aparte silo's gebruikt? Dit kan bijvoorbeeld voorkomen dat een organisatie door een programmeerfout van de legal tech service provider onbedoeld toegang krijgt tot de juridische documenten van een andere organisatie (voorkomen is beter dan genezen).

Afhankelijk van de andere factoren (bv. bij zeer gevoelige persoonsgegevens of zeer grote hoeveelheden documenten): soms kan het ook nuttig zijn om te overwegen of de juridische technologiedienst niet op eigen servers (on premise) moet worden gehost. Of kunnen andere technische maatregelen worden genomen die voorkomen dat de legal tech service provider mogelijk toegang heeft tot alle juridische documenten?

Hoe worden de juridische documenten geanonimiseerd? Geeft de scrubbing tool bepaalde garanties? Of vindt er na de geautomatiseerde scrubbing nog een handmatige controle plaats?

Welke garanties biedt de legal tech service provider op het gebied van veiligheid?

Bewaartermijn

Hoe oud zijn de juridische documenten die worden hergebruikt?

Zijn oude juridische documenten uitgesloten?

Bevoegdheid

Moet bij het hergebruik van juridische documenten rekening worden gehouden met specifieke wetgeving?

De GDPR is misschien niet van toepassing, maar de GDPR kan extraterritoriaal van toepassing zijn, en wereldwijd voeren steeds meer landen wetten inzake gegevensbescherming in die vergelijkbaar zijn met de GDPR.