欧洲监管 on Arpokrat

AI 与职业保密义务：那个无法被起诉的第三方

Mon, 24 Aug 2026 00:00:00 +0000

美国联邦调查局查扣布拉德利·赫普纳的设备时，探员在里面发现了三十一份新类型的文件。赫普纳是一名公司高管，因证券欺诈被起诉。那些文件既不是电子邮件，也不是笔记，更不是与律师的往来。它们是他与一个面向大众的人工智能平台的对话记录，他在其中铺开了自己的辩护策略，掂量了可能提出的事实与法律论点，并预判了检方会拿什么来指控他。这些对话发生在他收到大陪审团传票之后，而且并非出于律师的要求。

2026 年 2 月 10 日，纽约南区联邦法院法官杰德·拉科夫认定，这些文件不受任何保护。

同一天，八百公里之外，另一家联邦法院作出了相反的认定。

两份裁定，两套法理，同一个动作

在 Warner v. Gilbarco 一案中，密歇根东区联邦法院拒绝强制一名未聘请律师的原告提交她在准备案件时使用生成式 AI 工具的痕迹。理由可以浓缩成一句话：AI 平台是工具，不是人。把一份文件交给工具，不等于向对方当事人披露。因此，美国法上称为 work product 的诉讼准备材料保护得以保全。

在书面理由于 2 月 17 日公布的 United States v. Heppner 一案中，纽约的法院则认定，被告与平台之间的对话既不受律师保密特权保护，也不受诉讼准备材料保护。法院援引了平台的服务条款：输入与输出可能被保留、用于训练，并向第三方披露，其中包括公共机关。知悉这一点的用户，无法合理地期待保密。

两种结论都完全站得住脚。律师保密特权一旦向任何第三方披露即告丧失。诉讼准备材料的保护则只在向对方当事人披露时才丧失。两套彼此独立的法理，同一个动作，两个相反的结果。

两份裁定都没有审视的，是它们共享的那个前提。而正是这个前提，经不起与法律其余部分的对照。

没有人做的那个比较

把客户卷宗交给主机托管商，从来没有被单独视为对保密义务的放弃。

可托管商无疑是第三方。文件存在它自己的硬件上。它可以被强制提交，而且在多个法域里确实被强制过。然而没有任何律师协会、任何法院、任何职业监管机构由此推论说，使用托管服务在原则上就摧毁了保密义务。

所以分界线从来不是技术中介的单纯存在。中介总是有的。邮政运送信件。快递员携带卷宗。运营商转接通话。他们每一个在字面意义上都是第三方，而没有一个仅凭其存在就使保密义务落空。

托管商之所以不同，其原因比判例通常表述的更窄、也更精确。它只存储，不阅读。它无法从内容中推出任何东西。它没有任何知悉自己所持之物的能力。

保护托管商的不是它作为第三方的法律地位，而是它在技术上无从知悉自己持有什么。

这个标准已经沉默地运行了二十年。没有人需要把它写下来，因为还没有哪个中介让它失灵。

法官真正在裁定什么

一旦这个标准被说出来，二月的两份裁定就改变了性质。

一家把"向生成式 AI 提交文件"当作"向第三方披露"的法院，并不是在把旧规则适用于新事实。它是在认定，这个特定的中介与其他中介不同。它在处理，而不是在存储。它内部发生了某种在硬盘内部不会发生的事。

堪萨斯联邦法院在 2026 年 3 月 25 日的 Jefferies v. Harcros Chemicals 一案中直白地说出了实务层面。它把保护令扩及诉讼中的全部材料，包括并不涉密的材料，理由是：数据一旦被提交给开放的 AI 工具，实际上就无法收回，因为它已经被用于训练模型。留存不是一项可以重新谈判的商业政策，而是系统运作方式的一个属性。

把这些裁定连起来看，它们等于是在证据法的词汇里，承认了一种法律从来不必赋予服务器的能力。

法国的立场，以及其标准所预设的东西

最清晰的表述不是来自法院，而是来自行业监管。

法国全国律师协会理事会 Conseil national des barreaux 于 2024 年 9 月发布了关于生成式 AI 的首份实务指南，随后又在 2026 年 3 月 17 日通过了一份关于职业伦理与人工智能的指南。第一份在核心问题上毫不含糊：律师不得向生成式 AI 系统传送受职业保密义务保护的数据，这既适用于客户姓名，也适用于任何战略性或保密性信息。推荐的替代做法是使用假名化数据集，其中识别性要素已被替换。

围绕法国立场的实务评注，尤其是 Baker McKenzie 关于职业保密义务的比较指南，从中提炼出四项必须同时满足的条件。保密义务只有在下列情形下才能在使用生成式 AI 工具后存续：平台保持完全的保密性，不再利用、不训练、不允许第三方访问；平台完全在律师或律所的控制下运行；使用服务于属于咨询或辩护职责范围内的法律目的；并且产出反映的是律师本人的推理，而不是系统的自主处理。

最后这项条件值得停下来看。

要让保密义务成立，系统就不得加入属于它自己的处理。

以这种措辞写成的标准，只有在把系统视为有能力加入属于它自己的处理时才有意义。没有人会写一条规则，要求档案柜不得对它所装的文件进行推理。这项条件之所以存在，是因为它针对的是档案柜做不到的事。

同样的隐含承认，也藏在假名化的建议里。只有在假定系统否则可能把识别性要素关联起来、保存下来或从中推出什么时，传送前替换它们才有必要。纯粹的存储介质不会要求任何这类预防措施。

不想读，与不能读

一个反驳立刻会出现：托管商同样可以被强制提交，那为什么一种中介使保密义务落空，另一种却不会？

答案在 CCBE 欧洲律师职业行为示范守则里，而且比这个反驳所设想的更精确。欧洲律师必须要求其合作者、其员工以及他在提供服务过程中所借助的任何人，遵守同样的保密义务。这项义务沿着链条传递下去。

托管商可以被纳入这条链。它签署受托处理协议。它接受保密承诺。它可以被审计，违约时可以被起诉。第三方是被约束住的。

一个保留所提交内容并以之训练的生成式 AI 平台，无法以同样的方式纳入这条链，因为需要阻止的不是一种行为，而是一种架构。承诺不用输入数据训练，是一个关于意图的承诺。它对供应商具有约束力，但它不改变系统被建造出来是为了做什么，而且无法从外部验证。

这就是"不想读的服务商"与"不能读的服务商"之间的全部距离。只有后者能挺过股东更替、条款修订或一纸法院命令。我们在讨论 Data Act 与 CLOUD Act 的冲突时分析的正是这套机制：一项法律保障的价值，永远不会高于容纳它的那个法域，而技术上的不可能则不依赖于任何法域。

不对称

分析在这里走到了一个令人不适的地方。

同一个法律秩序，在问题是"是否放弃保密义务"时愿意承认一种处理能力，而在问题是"责任归属"时却拒绝承认任何东西。

电子人格曾由欧洲议会在其 2017 年 2 月 16 日关于机器人民事法律规则的决议第 59 段 f 项中提出。文本建议，最复杂的自主机器人最终或可被赋予一种地位，使其能够对所造成的损害承担责任。在一封由数百名专家签署的公开信表示反对后，这项提议被放弃。他们的主要反对意见很扎实：赋予机器人格，会造出一个让制造商卸下本应由自己承担之责任的工具。

于是立场稳定下来。造成损害的自主系统是产品、是工具、是部署者手中的器械。它没有法律人格。责任回落到某个自然人或法人身上，而且不得不如此，因为再没有别的地方可以承接。

这两个命题如今同时运行。

要么系统有能力在法律意义上接收一项传达，那么这种能力就被承认，用来剥夺客户的保护，同时又被否认，好让任何人都免于承担责任。要么它是工具，那么向它提交文件与把文件存到磁盘上一样不构成披露，而二月的推理也就随之坍塌。

欧洲的背景非但没有纠正这种失衡，反而加剧了它。人工智能责任指令早在委员会 2025 年 2 月的工作计划中就被宣布撤回，并于 2025 年 10 月正式放弃。那本是专门用来处理这一难题的工具。剩下的是修订后的产品责任指令，它如今把软件和 AI 系统纳入其中，但要求存在缺陷、损害和因果关系，并且保护自然人免受人身伤害、财产损失和数据被毁。它的转化期限要到 2026 年 12 月 9 日才届满，而且只适用于该日期之后投放市场的产品。

可以预料的反驳，以及回答

细心的读者会回应说，法律经常承认某一客体具有某种能力而另一客体没有，这并不构成不一致。动物可以造成具有法律意义的损害而不具人格。商事公司具有订立合同的人格，但并非在所有法律秩序中为所有目的都具有人格。因此，为证据目的承认一种处理能力，并不迫使任何人为责任目的承认一种人格。不同的问题，不同的答案。

这个反驳是认真的，而且如果不对称是双向的，它会是决定性的。

但它只朝一个方向起作用。在系统的能力被采纳的地方，代价由保护随之消失的客户承担。在同样这种能力本可用于分配责任的地方，它却遍寻不着。结果永远倒向同一侧。

一种系统性地偏向同一方的不对称，不是法理上的区分。它是一种风险分配，就该按风险分配来讨论。

这在实践中意味着什么

以上这些都不意味着法律职业应当放弃这些工具。欧洲的行业文本同样没有这么说，CCBE 也发布了自己的相关指南。

它们意味着的是：决定性的问题不是律所选择哪种工具，而是这种工具留存什么，以及这个答案取决于一项政策还是一种设计属性。不留存的承诺可以被撤回、被重新解释，或被一纸判决搁置。而不留存的架构做不到这些，因为根本没有东西可以提交。

想要深入了解这个问题的参考文件：

CCBE 关于律师使用生成式 AI 的指南，2025 年 10 月 2 日发布，并由 2026 年 3 月的一份技术指南补充
法国全国律师协会理事会 2026 年 3 月 17 日的职业伦理指南，它适用保密与独立的传统原则，并未创设一套专门的 AI 法
Baker McKenzie 的比较指南，便于衡量各国制度之间的差距

Arpokrat 所采取的角度

这套推理远远超出律师事务所的范围。它适用于任何一种关系：有人把一条自己不希望再冒出来的信息交给一个系统。它归结为一个问题：保障靠的是承诺，还是不可能？

这正是 Arpokrat Messenger 设计所遵循的原则。身份由加密密钥在本地生成，没有手机号，也没有电子邮箱，私钥永远不离开设备。这个选择不是承诺不去利用用户名录，而是根本不建立名录。向一个并不持有该信息的基础设施发出的调取要求，得到的不是拒绝，而是空白。

这个分别值得诚实地摆出来，因为它决定一切。一份隐私政策，哪怕真诚、哪怕措辞严谨，也不过是一份意向声明，其依托是一家公司、其此刻的股东，以及它注册所在的法域。这三样都会变。而一个不收集的架构，不会因为董事会换人而改变。这与我们在今日收集、日后解密一文中描述的位移是同一个：风险不在做出承诺的那一刻，而在另一个人做出决定的那一刻。

法律吸收这一区分需要时间，而职业保密义务的这场辩论正好给出了一个尺度。位置数据的保护也是如此：法律构造的绝大部分都围绕对数据的访问展开，而这些数据是否应当存在，从来无人过问。

结语

判例最终会稳定下来。上诉法院会解决分歧，监管机构会发布标准，律所会调整委托书和合同条款。这些都毫无疑问。

但根本问题不会因此解决，因为它其实并不关乎职业保密义务。它关乎的是：一个法律秩序能否承认某个东西"知道"，却始终不必说出谁来为它如何处置这份知道负责。

只要这个问题仍未闭合，用户真正能控制的唯一变量，就不是别人给他的承诺有多好。而是他让多少信息存在。

本文提供的是一般性的法律分析，供讨论之用，不构成法律意见或法律咨询。

资料来源

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc.，2026 年 2 月 10 日，Proskauer 分析
United States District Court for the Southern District of New York，United States v. Heppner ，2026 年 2 月 10 日，2026 年 2 月 17 日的书面理由
United States District Court for the District of Kansas，Jefferies et al. v. Harcros Chemicals Inc. et al. ，案号 2:25-cv-02352，2026 年 3 月 25 日
Conseil national des barreaux，法国全国律师协会理事会通过关于职业伦理与人工智能的指南，2026 年 3 月 17 日
Baker McKenzie，Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE，Model Code of Conduct for European Lawyers ，2021 年 10 月 8 日
CCBE，Guide on the use of generative AI by lawyers ，2025 年 10 月 2 日
欧洲议会，2017 年 2 月 16 日关于向委员会提出机器人民事法律规则建议的决议，2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL，European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive ，2025 年 10 月 9 日
2024 年 10 月 23 日关于缺陷产品责任的第 (EU) 2024/2853 号指令

5G、位置数据，以及法律瞄错了的那一环

Tue, 18 Aug 2026 00:00:00 +0000

2011 年，底特律警方向一家移动运营商索取蒂莫西·卡彭特手机的基站连接记录。他们拿到了分布在 127 天里的 12 898 个位置点，平均每天约一百个。七年后，美国最高法院判定，这样的索取构成搜查，需要搜查令。

那 12 898 个点来自第四代基站，每一座覆盖数公里的半径。同样的请求今天若发往城市里的 5G 网络，返回的不会是每天一百个、精确到几公里的点，而是一个大得多的数量，精确到几十米。

技术换了量级。法律推理却停在链条的同一个位置。

大西洋两岸法官都承认的一项法益

有一种利益，几乎人人都承认，却几乎没有任何法律文本有效保护：待在某个地方而不被记录下来的权利。

欧洲判例已经明确确立了这一点。在 Digital Rights Ireland （C-293/12 与 C-594/12 合并案，2014 年 4 月 8 日）以及随后的 Tele2 Sverige 与 Watson （C-203/15 与 C-698/15 合并案，大审判庭，2016 年 12 月 21 日）中，欧盟法院认定，这些数据整体来看，足以对个人私生活得出非常精确的结论：日常生活习惯、停留地点、行动轨迹、从事的活动以及社会关系。

美国最高法院在 Carpenter v. United States ，585 U.S. 296（2018）中得出了相近的结论。它强调了美国学界反复讨论的一点：这种采集具有不可回避且自动的性质。没有人同意被接入某座基站；你之所以被接入，只因为你有一部开着机的手机。

法益是存在的，而且被这一领域最有分量的两个法院所承认。问题出在别处。

5G 真正改变了什么

一种常见的混淆，是把位置当成手机传送出去的数据，与一条消息、一张照片同类。事实并非如此。位置是网络运行的物理后果。运营商知道设备接入哪座基站，是因为它必须知道才能接通一通电话。不存在任何密钥可以加密这条信息，因为它不是内容，而是连接本身的属性。

正是这一点让 5G 在法律层面而非技术层面具有意义。

此前的架构依靠大范围的蜂窝。一座 4G 基站通常服务数公里半径，仅凭接入推断出的位置，在城市里以数百米计，在乡村有时以数十公里计。5G 建立在大规模致密化之上：城市蜂窝通常覆盖数百米，工程文献所设想的密度是每平方公里四十到五十座基站，而 3G 时代是四五座。

后果是机械性的。根据爱立信关于 5G 定位的白皮书，仅为连通性而部署的基础设施，在室外可达二十到五十米的精度，在室内为一到三米，在有利的城市条件下更降至一米以内。这不是某处被打开的定位功能，而是网络凭其构造就知道的东西，无需安装任何应用，也无需授予任何权限。我们在关于手机的持续定位一文中，详细梳理了这些机制以及真正有效的对策。

因此，侵入程度提高了好几个数量级。而适用的法律框架仍是为 2G 和 3G 设想的那一套。没有任何规范上的调整伴随这次量级变化。

法律保护的是访问，不是产生

欧洲法律仔细规定了谁可以访问位置数据、在什么条件下、受何种监督。2002/58/EC 指令确立了通信保密原则，欧盟法院在 La Quadrature du Net （C-511/18、C-512/18 与 C-520/18 合并案，大审判庭，2020 年 10 月 6 日）中认定，该指令第 15 条第 1 款，结合《基本权利宪章》第 7、8、11 条及第 52 条第 1 款解读，排除以预防为目的对流量数据和位置数据进行普遍且无差别的留存。不过，当成员国面临经证明为真实且现存或可预见的严重国家安全威胁时，法院也允许有框架的克减，但须有有效监督。

这些都是实实在在的保护，贬低它们是荒谬的。但它们全都在事后才介入。它们预设数据已经存在、已被保存，然后才去安排利用它的条件。

然而，如果位置是网络运行不可避免的副产品，那么恰当的介入点就不是保密性，而是留存的持续性。

为接通一次通信所需、随即被抹去的瞬时位置，不是监控工具。保存数月的位置历史则是，无论围绕它的访问保障有多严密。

两者之间的差别不是法律上的，而是架构上的。而欧洲的时间表让这个问题变得紧迫，而非停留于理论。由于共同立法者未能达成一致，欧盟委员会已于 2025 年撤回了 ePrivacy 条例草案。此后它一直在制定一份关于刑事目的数据留存的独立文件，预告于 2026 年出台，意在协调自 2006 年指令被撤销以来日益分歧的各国制度。换句话说，将在未来十年确定位置元数据法律制度的文本，正在此刻被写下，而其依据的推理成形于蜂窝还以公里计的年代。

5G 自己创造的先例

这份卷宗最有意思的地方在于，正确答案早已写在技术标准里，只是被用在了另一个对象上。

直到 4G，用户的永久标识 IMSI 在附着时仍以明文经空口传输。正是这一点让 IMSI 捕捉器成为可能：按照电子前哨基金会的权威说明，这些伪基站以强于合法基站的功率发射，以吸引终端并截获其标识。

自 2019 年发布的 3GPP 规范 Release 15 起，5G 给出了一个漂亮的答案。永久标识如今称为 SUPI，在空口上可由 SUCI 取代。SUCI 是一个被隐藏的标识，做法是用归属运营商的公钥、以椭圆曲线密码学加密其中属于用户的部分。只有持有对应私钥的归属网络才能解密。每次计算的结果都不同，从而阻断了会话之间的关联。

所采用的逻辑值得强调，因为它正是立法者应当遵循的逻辑：不去加密位置，那在技术上不可能，而是加密身份。一个无法归属到身份的位置，对针对个人的监控而言价值非常有限。

缺口：一项可选的保护

然而存在一个相当大的保留，在我们看来，这是整份卷宗中最具体的介入点。

美国国家标准与技术研究院于 2026 年 3 月发布的白皮书 NIST CSWP 36A 直言不讳。符合 Release 15 或更高版本的终端与网络功能必须支持 SUCI，但是否启用仍然由运营商自行决定。三个条件必须同时具备：设备厂商须支持，运营商须在网络上启用，SIM 卡须载有计算所需的要素。

除此之外还有一个配置陷阱。标准规定了一种空保护方案，其中 SUCI 的格式在形式上被使用，却没有实际加密，于是标识仍以明文传输。NIST 写道，运营商必须以非空保护方案配置其网络，并提醒说，美国联邦通信委员会的咨询机构 CSRIC 早在 2021 年的一份报告中就建议，空方案只应保留给网络尚不认识的终端发起的紧急呼叫。

这一表述值得原样保留。针对移动终端追踪的最佳可用保护，自 2019 年起就存在于技术标准之中。它取决于一个交由运营商裁量的配置选择。一家美国联邦机构认为有必要在 2026 年发布一份文件，提醒大家应该把它打开。而没有任何一件欧洲法律文书要求这么做。

还须补充的是，SUCI 并未终结这个话题。以 5G SUCI-catchers: still catching them all? 为题发表的研究记录了可关联性攻击，能够在加密之下重新关联会话；而一旦攻击者迫使终端回落到更早的制式，这层保护就完全失效。因此，一项法律义务并不能解决全部问题。但它至少会消除一个毫无正当理由可言的落差：标准所允许的与商用网络实际所做的之间的落差。

三项彼此连贯的干预

如果认真对待“位置应当从设计上最小化、而非事后保护”这一想法，逻辑上有三项措施是必然的。

强制要求对标识作有效隐藏。 规定必须启用 SUCI，并禁止商用网络使用空保护方案，紧急呼叫这一残余情形除外。这不是要规定一项新技术，也不是要资助部署，而是要求启用一项标准化已有七年、且设备中早已具备的功能。
把留存当作例外，而不是默认。 为接通一次通信所需的位置，应当在该功能完成后立即抹去。构建历史记录应当需要特定的正当理由。这就是一个知道你在哪里的网络与一个记得你去过哪里的网络之间的区别。
把密钥的掌管作为真正相关的连接因素。 如果让数据变得可读的密钥在别处，服务器位于欧盟境内并没有多大意义。在法律上有意义的标准，应当是对解密手段的实际控制，这个问题我们在讨论《数据法》与 CLOUD 法案的冲突时曾详细分析。

Arpokrat 所遵循的思路

这一推理并非电信法所独有。它同样是我们用于自身架构选择的思路，一句话即可概括：没有被产生的东西，不需要被保护。

正因如此，ArpokratOS 在内核层面移除 GPS、蓝牙与 NFC，而不是在菜单里把它们关掉。一个开关是一项策略：它可能被特权组件绕过，被一次更新重新打开，被一个已被攻陷的系统无视。移除代码路径则让问题不复存在。这正是我们在法律层面所呼吁的那一转变，在设备层面的对应做法：介入产生，而不是介入访问。

必须立刻说明它做不到什么。没有任何操作系统能让终端脱离网络的几何结构。只要 SIM 卡处于激活状态，运营商就知道其接入的蜂窝，把全部流量经由 Tor 转发也无济于事，因为 Tor 保护的是内容与目的地，而不是无线层。正因如此，这个议题才是法律议题。存在一类风险，任何个人配置都无法降低，唯一可用的变量是适用于运营商的规则。

同样的关切支配着我们其余的工作。一条不存在的数据，无法被调取、无法被转售、无法被外泄，也无法在十年后被今天谁都还没有的机器解开，这个问题我们从现在收割、日后破解的加密这一角度处理过。

结语

关于移动监控的公共辩论几乎只围绕访问展开：谁可以查阅数据、依据什么、经谁授权。这场辩论是正当的，欧盟法院自 2014 年以来作出的裁判也产生了实实在在的效果。但它介入链条的时点太晚了。

在此之前、也更具决定性的问题是：这份历史记录究竟是否应当存在。今天出于正当理由建立的数据库，明天依然可以用于另一个目的，而围绕它的保障取决于日后的政治决定，这在采集的那一刻无人能够左右。这是一场对制度稳定性的押注，而期限却无人设定。

5G 把这类信息的分辨率提高了许多倍，规范却没有任何调整。与此同时，它又通过 SUCI 机制表明：可行的路径是把位置与身份分离，而不是试图加密网络的一项物理属性。技术标准在法律提出问题的七年前，就已经给出了答案。

欧洲关于数据留存的文本正在写。它将涉及元数据，也就是位置，也就是 5G 如今以其起草者未曾见识过的精细度所产生的东西。它是满足于安排对一份被视为理所当然的历史记录的访问，还是敢于追问这份记录本身是否必要，很可能是欧洲未来数年最重要的隐私问题。而这个问题，技术领域这一次已经先行给出了正确的答案。

资料来源

欧盟法院，Digital Rights Ireland ，C-293/12 与 C-594/12 合并案，2014 年 4 月 8 日
欧盟法院，Tele2 Sverige 与 Watson ，C-203/15 与 C-698/15 合并案，大审判庭，2016 年 12 月 21 日
欧盟法院，La Quadrature du Net 等，C-511/18、C-512/18 与 C-520/18 合并案，大审判庭，2020 年 10 月 6 日
美国最高法院，Carpenter v. United States ，585 U.S. 296，2018
美国国家标准与技术研究院，Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) ，NIST CSWP 36A，2026 年 3 月
爱立信，5G positioning: Locating devices anywhere
Merlin Chlosta 等，5G SUCI-catchers: still catching them all? ，ACM WiSec，2021
电子前哨基金会，Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights，The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online，Data Retention: Commission to present proposal by mid-2026