L’obbligo di riservatezza di un avvocato non si ferma alla porta dello studio. Riguarda ciò che scrivi in ChatGPT, Claude o Gemini. Questo articolo spiega, in termini generali, cosa copre tale obbligo, cosa ha affermato l’American Bar Association sugli strumenti di IA nel 2024 e quale procedura pratica permette di non inserire il cliente nel prompt.
Che cosa copre l’obbligo
Ai sensi della Model Rule 1.6 dell’ABA, un avvocato mantiene riservate tutte le informazioni relative alla rappresentanza di un cliente, indipendentemente dalla loro fonte. Il concetto è più ampio dei «segreti». Il nome del cliente, i fatti della controversia, una bozza dell’importo transattivo e l’identità della controparte rientrano tutti in questa categoria, anche se alcune di queste informazioni sono pubbliche altrove.
La Rule 1.6(c) aggiunge che un avvocato deve compiere ragionevoli sforzi per prevenire l’accesso non autorizzato o la divulgazione di tali informazioni. Inserire materiale del cliente in un servizio di IA di terzi significa divulgare quel materiale al servizio. Stabilire se la divulgazione sia consentita dipende dallo strumento, dalle condizioni e da ciò che hai inserito.
Le Model Rules sono un modello. Ogni Stato adotta la propria versione e, al di fuori degli Stati Uniti, le regole sono ancora diverse. Prima di basarti su queste informazioni, verifica le regole della tua giurisdizione e le indicazioni deontologiche del tuo ordine professionale.
Che cosa stabilisce il parere formale 512 dell’ABA
Nel luglio 2024 l’ABA ha pubblicato il parere formale 512 sugli strumenti di IA generativa. In sintesi:
- Competenza (Rule 1.1). È necessario avere una comprensione ragionevole di ciò che lo strumento può e non può fare. Affidarsi al suo risultato senza un adeguato livello di verifica indipendente può violare l’obbligo di competenza.
- Riservatezza (Rule 1.6). Prima di inserire in uno strumento autoapprendente informazioni relative a una rappresentanza, è necessario ottenere il consenso informato del cliente. Il parere spiega il motivo della preoccupazione: ciò che lo strumento apprende dalla questione di un cliente potrebbe riemergere in seguito nelle risposte ad altri utenti.
- Nessun consenso necessario se non si inseriscono informazioni del cliente. Il parere afferma che il consenso non è necessario quando si usa uno strumento senza inserire informazioni relative alla rappresentanza, per esempio per generare idee.
- Comunicazione e compensi. In alcune situazioni potrebbe essere necessario informare i clienti dell’uso dell’IA e i compensi per il lavoro svolto con l’assistenza dell’IA devono restare ragionevoli.
- Supervisione. I soci e i responsabili hanno il dovere di definire politiche sull’IA per gli avvocati e il personale che supervisionano.
Il parere afferma inoltre che le sue conclusioni si basano sui rischi e sulle capacità di questi strumenti al momento della pubblicazione. Questi possono cambiare, così come possono cambiare le indicazioni.
Il tuo ordine professionale potrebbe prevedere altro
Diversi ordini professionali statali hanno pubblicato pareri propri sull’IA e non dicono tutti la stessa cosa. Alcuni si concentrano sul consenso, altri sulla supervisione, altri ancora sulla fatturazione. Leggi il parere dell’ordine che ti ha abilitato. Se il parere non dice nulla, il parere 512 è un riferimento ragionevole, ma non è vincolante per te.
Il segreto professionale è una questione distinta dalla riservatezza. Stabilire se la condivisione di materiale con un servizio di IA incida sul segreto professionale dipende dalla giurisdizione e dai fatti. Prima di basarti su qualsiasi presupposto, è opportuno consultare il consulente deontologico del tuo ordine.
La soluzione pratica: non inserire il cliente nel prompt
L’esempio del parere indica la soluzione più semplice. Se ciò che scrivi non contiene informazioni relative alla rappresentanza, la questione del consenso non si pone. Una clausola può essere esaminata senza sapere chi l’ha firmata. Una cronologia può essere resa più chiara senza il nome del cliente.
In pratica, questo significa sostituire i dati identificativi prima che qualsiasi cosa lasci il tuo computer. «Maria Lopez v. Northwind Ltd» diventa «Person_1 v. Company_1». L’IA continua a capire chi ha fatto cosa a chi. Se sostituisci ogni nome sempre allo stesso modo, può seguire l’argomentazione da una pagina all’altra. L’articolo su segnaposto e barre nere spiega perché è importante.
Sii consapevole dei limiti. I nomi sono solo una parte delle «informazioni relative alla rappresentanza». Un insieme di fatti raro, un importo insolito o una piccola città associata a una data potrebbero comunque indicare chi è il cliente. Sostituire i nomi riduce il rischio e può modificare la valutazione, ma non elimina il problema. Nei casi in cui i fatti stessi sono il segreto, chiedi il consenso informato oppure non usare uno strumento di IA di uso generale.
Una procedura che puoi giustificare
- Stabilisci se il compito richiede davvero informazioni del cliente. Spesso non ne servono per redigere un modello, spiegare una dottrina o riorganizzare un’argomentazione.
- Controlla l’account. Accertati di quale piano usi e quali impostazioni dei dati siano attive. L’articolo su impostazioni dei dati dell’IA riporta ciò che indicano le pagine di assistenza dei fornitori.
- Invia il passaggio, non il file. Prendi solo la parte che ti serve.
- Sostituisci ogni dato identificativo. Persone, aziende, indirizzi, numeri di conto e di pratica, date di nascita e controparte. Vedi lista di controllo dei dati da rimuovere.
- Leggi la versione sicura prima di inviarla. Basta una sola occorrenza del nome sfuggita al controllo.
- Controlla la risposta. Verifica personalmente ogni citazione e ogni affermazione giuridica. Poi ripristina localmente i nomi reali.
- Tieni traccia delle operazioni. Annota cosa hai fatto e perché, nel caso in cui il cliente o il tuo ordine professionale te lo chieda.
Domande frequenti
Devo chiedere il consenso del cliente se sostituisco i nomi?
Il parere 512 collega l’obbligo di consenso all’inserimento di informazioni relative alla rappresentanza. Se ciò che invii non contiene più tali informazioni, in base al testo l’obbligo non si applica. Stabilire se la tua versione sia sufficientemente ripulita è una valutazione e la tua giurisdizione potrebbe adottare un criterio più rigoroso.
Basta un piano aziendale a pagamento?
Un piano aziendale che non usa i tuoi dati per l’addestramento riduce un rischio. Non elimina il fatto che il materiale si trova presso terzi. Consideralo un livello di protezione, non la soluzione completa.
Posso dire al cliente che ho usato l’IA?
In alcune situazioni potresti essere tenuto a farlo; in altre è una buona prassi. Una lettera d’incarico che spieghi come usi gli strumenti di IA è un luogo ragionevole in cui comunicarlo.
Chi è responsabile se l’IA sbaglia?
Tu. Il risultato dello strumento è una bozza. Il parere 512 afferma che la verifica indipendente del risultato fa parte dell’obbligo di competenza.
ClientSafe è un’app Windows che sostituisce sul tuo PC nomi, aziende, indirizzi e numeri identificativi con segnaposto coerenti e reinserisce i nomi reali nella risposta dell’IA. Ti mostra ciò che ha individuato, così puoi correggerlo prima che venga copiato qualsiasi contenuto. Il rilevamento non è perfetto: ecco perché è prevista una fase di verifica.
Informazioni generali, non consulenza legale. Verifica le regole che si applicano al tuo caso.