AI-citaten en cliëntgegevens: advocaat verantwoordelijk

De ondertekenende advocaat draagt volledige verantwoordelijkheid voor de juistheid van AI-ondersteunde processtukken. Dit vereist twee afzonderlijke controles: onafhankelijke verificatie van elke aangehaalde uitspraak via gezaghebbende bronnen, en contractuele borging van hoe de AI-dienst cliëntgegevens opslaat, bewaart, traint en deelt.

De aanleiding is een analyse van 3 november 2026 van bronverificatie en contractuele gegevensbeheersing bij AI-processtukken, die stelt dat twee afzonderlijke controles nu verplicht zijn voor advocaten die generatieve AI gebruiken. Het voorbeeld is de zaak United States v. Heppner, waarin consumentengebruik van een AI-dienst zonder advocaatbetrokkenheid niet als beschermd werkproduct werd aangemerkt, mede omdat privacyvoorwaarden toestonden dat inputs en outputs werden bewaard en voor training gebruikt. In onze inschatting volgt hieruit dat privilege niet automatisch ontstaat door een AI-tool in te zetten: het hangt af van wie de tool gebruikt, met welk doel en onder welke voorwaarden. Dit raakt rechtstreeks de praktijk van advocaten die processtukken indienen en van IT-verantwoordelijken die shadow-AI moeten tegengaan.

Welke twee controles moet u apart borgen?

De New Yorkse rechtbankguidance van 26 oktober 2026 en de aanvullende richtlijnen uit Rhode Island scheiden twee verplichtingen scherp. De eerste is inhoudelijk: de advocaat die het stuk ondertekent blijft volledig verantwoordelijk voor de juistheid van citaten, feiten en rechtsstellingen. Generatieve AI produceert regelmatig niet-bestaande zaken, onjuiste citaten en misleidende rechtsstellingen. Vóór indiening moeten alle materiële citaten onafhankelijk worden geverifieerd via gezaghebbende juridische bronnen, en moeten fouten worden hersteld. De verificatiestappen zelf moeten worden vastgelegd, zodat u later kunt aantonen dat deze controle heeft plaatsgevonden.

De tweede controle betreft de gegevensstroom. Omdat vertrouwelijkheid niet afhangt van de juistheid van de output, maar van wat er feitelijk met de ingevoerde gegevens gebeurt, moet u vóór gebruik inzicht hebben in hoe de AI-dienst cliëntgegevens opslaat, bewaart, traint, deelt en verwijdert. De Rhode Island-richtlijnen verlangen dat u voorwaarden, privacybeleid, retentie, beveiligingsincidenten en toegang door derden kent. Dit is een contractuele controle, niet een inhoudelijke. Zij vereist dat een verantwoordelijke partner of general counsel de voorwaarden beoordeling voordat één dossier wordt ingevoerd.

Welke foutmodi en risico's speelt u tegen?

• Gefabriceerde jurisprudentie — AI-modellen produceren citaten die niet bestaan of waarvan de inhoud onjuist is weergegeven.
• Verlies van attorney-client privilege — cliëntgegevens ingevoerd in diensten met onbeperkte retentie- en trainingsrechten kunnen hun beschermde status verliezen.
• Onvolledig bewijs van controle — geen documentatie van welk model, welke bronnen en wie de eindcontrole heeft uitgevoerd.
• Contractuele blinde vlekken — vertrouwen op marketingclaims over privacy zonder de werkelijke voorwaarden over opslag, verwijdering en subprocessors te beoordelen.
• Shadow-AI in het kantoor — medewerkers die cliëntgegevens invoeren in ongoedgekeurde consumentenversies van AI-diensten.

Welke concrete controles moet u kunnen aantonen?

1. Documenteer per processtuk welk model en welke versie zijn gebruikt — vastleggen van de tool, versie en configuratie vóór indiening.
2. Registreer welke gezaghebbende bronnen zijn geraadpleegd voor citaatverificatie — voor elk materieel citaat de bron en de verificatiestap noemen.
3. Benaam wie de eindcontrole van inhoud en juistheid heeft uitgevoerd — aanwijzen van de verantwoordelijke advocaat en het moment van controle.
4. Beoordeel en documenteer de contractuele voorwaarden over opslag, retentie, training en subprocessors — schriftelijke goedkeuring van de gegevensbeheersingvoorwaarden vóór gebruik.
5. Stel vast welke cliëntgegevens in welke diensten mogen worden ingevoerd — een goedkeuringslijst van diensten en de daarbij behorende dossiertypen.

Hoe verschilt de juridische status van deze richtlijnen?

De New Yorkse publicatie is officiële guidance van het rechtbanksysteem. De Rhode Island-richtlijnen zijn adviserend en hebben geen kracht van wet, hoewel zij de rechterlijke regel 1.1 uitleggen. De ethische richtlijnen van de New York State Bar Association zijn een beroepsrichtlijn. Hun juridische status verschilt, en dat bepaalt hoe dwingend u elke eis moet behandelen. Wat alle drie delen is dat zij de verantwoordelijkheid voor AI-output bij de advocaat leggen, niet bij de tool.

Wat kunnen systemen doen, wat blijft uw oordeel?

Technische controles kunnen afdwingen welke diensten cliëntgegevens mogen verwerken en kunnen citaatverificatie deels automatiseren. Zij kunnen ook loggen welk model, welke versie en wie de controle heeft uitgevoerd. Wat zij niet kunnen doen is bepalen of een citaat in de context van uw zaak juridisch relevant is, of of de verificatie voldoende diepgaand was. Dat oordeel blijft van u. Tooling ondersteunt uw controle, maar vervangt hem niet. De bewijslast voor beide controles — inhoud en gegevensbeheer — ligt bij u, en beide moeten aantoonbaar zijn vastgelegd voordat het stuk wordt ingediend.