AI 与职业保密义务：那个无法被起诉的第三方

Mon, 24 Aug 2026 00:00:00 +0000

美国联邦调查局查扣布拉德利·赫普纳的设备时，探员在里面发现了三十一份新类型的文件。赫普纳是一名公司高管，因证券欺诈被起诉。那些文件既不是电子邮件，也不是笔记，更不是与律师的往来。它们是他与一个面向大众的人工智能平台的对话记录，他在其中铺开了自己的辩护策略，掂量了可能提出的事实与法律论点，并预判了检方会拿什么来指控他。这些对话发生在他收到大陪审团传票之后，而且并非出于律师的要求。

2026 年 2 月 10 日，纽约南区联邦法院法官杰德·拉科夫认定，这些文件不受任何保护。

同一天，八百公里之外，另一家联邦法院作出了相反的认定。

两份裁定，两套法理，同一个动作

在 Warner v. Gilbarco 一案中，密歇根东区联邦法院拒绝强制一名未聘请律师的原告提交她在准备案件时使用生成式 AI 工具的痕迹。理由可以浓缩成一句话：AI 平台是工具，不是人。把一份文件交给工具，不等于向对方当事人披露。因此，美国法上称为 work product 的诉讼准备材料保护得以保全。

在书面理由于 2 月 17 日公布的 United States v. Heppner 一案中，纽约的法院则认定，被告与平台之间的对话既不受律师保密特权保护，也不受诉讼准备材料保护。法院援引了平台的服务条款：输入与输出可能被保留、用于训练，并向第三方披露，其中包括公共机关。知悉这一点的用户，无法合理地期待保密。

两种结论都完全站得住脚。律师保密特权一旦向任何第三方披露即告丧失。诉讼准备材料的保护则只在向对方当事人披露时才丧失。两套彼此独立的法理，同一个动作，两个相反的结果。

两份裁定都没有审视的，是它们共享的那个前提。而正是这个前提，经不起与法律其余部分的对照。

没有人做的那个比较

把客户卷宗交给主机托管商，从来没有被单独视为对保密义务的放弃。

可托管商无疑是第三方。文件存在它自己的硬件上。它可以被强制提交，而且在多个法域里确实被强制过。然而没有任何律师协会、任何法院、任何职业监管机构由此推论说，使用托管服务在原则上就摧毁了保密义务。

所以分界线从来不是技术中介的单纯存在。中介总是有的。邮政运送信件。快递员携带卷宗。运营商转接通话。他们每一个在字面意义上都是第三方，而没有一个仅凭其存在就使保密义务落空。

托管商之所以不同，其原因比判例通常表述的更窄、也更精确。它只存储，不阅读。它无法从内容中推出任何东西。它没有任何知悉自己所持之物的能力。

保护托管商的不是它作为第三方的法律地位，而是它在技术上无从知悉自己持有什么。

这个标准已经沉默地运行了二十年。没有人需要把它写下来，因为还没有哪个中介让它失灵。

法官真正在裁定什么

一旦这个标准被说出来，二月的两份裁定就改变了性质。

一家把"向生成式 AI 提交文件"当作"向第三方披露"的法院，并不是在把旧规则适用于新事实。它是在认定，这个特定的中介与其他中介不同。它在处理，而不是在存储。它内部发生了某种在硬盘内部不会发生的事。

堪萨斯联邦法院在 2026 年 3 月 25 日的 Jefferies v. Harcros Chemicals 一案中直白地说出了实务层面。它把保护令扩及诉讼中的全部材料，包括并不涉密的材料，理由是：数据一旦被提交给开放的 AI 工具，实际上就无法收回，因为它已经被用于训练模型。留存不是一项可以重新谈判的商业政策，而是系统运作方式的一个属性。

把这些裁定连起来看，它们等于是在证据法的词汇里，承认了一种法律从来不必赋予服务器的能力。

法国的立场，以及其标准所预设的东西

最清晰的表述不是来自法院，而是来自行业监管。

法国全国律师协会理事会 Conseil national des barreaux 于 2024 年 9 月发布了关于生成式 AI 的首份实务指南，随后又在 2026 年 3 月 17 日通过了一份关于职业伦理与人工智能的指南。第一份在核心问题上毫不含糊：律师不得向生成式 AI 系统传送受职业保密义务保护的数据，这既适用于客户姓名，也适用于任何战略性或保密性信息。推荐的替代做法是使用假名化数据集，其中识别性要素已被替换。

围绕法国立场的实务评注，尤其是 Baker McKenzie 关于职业保密义务的比较指南，从中提炼出四项必须同时满足的条件。保密义务只有在下列情形下才能在使用生成式 AI 工具后存续：平台保持完全的保密性，不再利用、不训练、不允许第三方访问；平台完全在律师或律所的控制下运行；使用服务于属于咨询或辩护职责范围内的法律目的；并且产出反映的是律师本人的推理，而不是系统的自主处理。

最后这项条件值得停下来看。

要让保密义务成立，系统就不得加入属于它自己的处理。

以这种措辞写成的标准，只有在把系统视为有能力加入属于它自己的处理时才有意义。没有人会写一条规则，要求档案柜不得对它所装的文件进行推理。这项条件之所以存在，是因为它针对的是档案柜做不到的事。

同样的隐含承认，也藏在假名化的建议里。只有在假定系统否则可能把识别性要素关联起来、保存下来或从中推出什么时，传送前替换它们才有必要。纯粹的存储介质不会要求任何这类预防措施。

不想读，与不能读

一个反驳立刻会出现：托管商同样可以被强制提交，那为什么一种中介使保密义务落空，另一种却不会？

答案在 CCBE 欧洲律师职业行为示范守则里，而且比这个反驳所设想的更精确。欧洲律师必须要求其合作者、其员工以及他在提供服务过程中所借助的任何人，遵守同样的保密义务。这项义务沿着链条传递下去。

托管商可以被纳入这条链。它签署受托处理协议。它接受保密承诺。它可以被审计，违约时可以被起诉。第三方是被约束住的。

一个保留所提交内容并以之训练的生成式 AI 平台，无法以同样的方式纳入这条链，因为需要阻止的不是一种行为，而是一种架构。承诺不用输入数据训练，是一个关于意图的承诺。它对供应商具有约束力，但它不改变系统被建造出来是为了做什么，而且无法从外部验证。

这就是"不想读的服务商"与"不能读的服务商"之间的全部距离。只有后者能挺过股东更替、条款修订或一纸法院命令。我们在讨论 Data Act 与 CLOUD Act 的冲突时分析的正是这套机制：一项法律保障的价值，永远不会高于容纳它的那个法域，而技术上的不可能则不依赖于任何法域。

不对称

分析在这里走到了一个令人不适的地方。

同一个法律秩序，在问题是"是否放弃保密义务"时愿意承认一种处理能力，而在问题是"责任归属"时却拒绝承认任何东西。

电子人格曾由欧洲议会在其 2017 年 2 月 16 日关于机器人民事法律规则的决议第 59 段 f 项中提出。文本建议，最复杂的自主机器人最终或可被赋予一种地位，使其能够对所造成的损害承担责任。在一封由数百名专家签署的公开信表示反对后，这项提议被放弃。他们的主要反对意见很扎实：赋予机器人格，会造出一个让制造商卸下本应由自己承担之责任的工具。

于是立场稳定下来。造成损害的自主系统是产品、是工具、是部署者手中的器械。它没有法律人格。责任回落到某个自然人或法人身上，而且不得不如此，因为再没有别的地方可以承接。

这两个命题如今同时运行。

要么系统有能力在法律意义上接收一项传达，那么这种能力就被承认，用来剥夺客户的保护，同时又被否认，好让任何人都免于承担责任。要么它是工具，那么向它提交文件与把文件存到磁盘上一样不构成披露，而二月的推理也就随之坍塌。

欧洲的背景非但没有纠正这种失衡，反而加剧了它。人工智能责任指令早在委员会 2025 年 2 月的工作计划中就被宣布撤回，并于 2025 年 10 月正式放弃。那本是专门用来处理这一难题的工具。剩下的是修订后的产品责任指令，它如今把软件和 AI 系统纳入其中，但要求存在缺陷、损害和因果关系，并且保护自然人免受人身伤害、财产损失和数据被毁。它的转化期限要到 2026 年 12 月 9 日才届满，而且只适用于该日期之后投放市场的产品。

可以预料的反驳，以及回答

细心的读者会回应说，法律经常承认某一客体具有某种能力而另一客体没有，这并不构成不一致。动物可以造成具有法律意义的损害而不具人格。商事公司具有订立合同的人格，但并非在所有法律秩序中为所有目的都具有人格。因此，为证据目的承认一种处理能力，并不迫使任何人为责任目的承认一种人格。不同的问题，不同的答案。

这个反驳是认真的，而且如果不对称是双向的，它会是决定性的。

但它只朝一个方向起作用。在系统的能力被采纳的地方，代价由保护随之消失的客户承担。在同样这种能力本可用于分配责任的地方，它却遍寻不着。结果永远倒向同一侧。

一种系统性地偏向同一方的不对称，不是法理上的区分。它是一种风险分配，就该按风险分配来讨论。

这在实践中意味着什么

以上这些都不意味着法律职业应当放弃这些工具。欧洲的行业文本同样没有这么说，CCBE 也发布了自己的相关指南。

它们意味着的是：决定性的问题不是律所选择哪种工具，而是这种工具留存什么，以及这个答案取决于一项政策还是一种设计属性。不留存的承诺可以被撤回、被重新解释，或被一纸判决搁置。而不留存的架构做不到这些，因为根本没有东西可以提交。

想要深入了解这个问题的参考文件：

CCBE 关于律师使用生成式 AI 的指南，2025 年 10 月 2 日发布，并由 2026 年 3 月的一份技术指南补充
法国全国律师协会理事会 2026 年 3 月 17 日的职业伦理指南，它适用保密与独立的传统原则，并未创设一套专门的 AI 法
Baker McKenzie 的比较指南，便于衡量各国制度之间的差距

Arpokrat 所采取的角度

这套推理远远超出律师事务所的范围。它适用于任何一种关系：有人把一条自己不希望再冒出来的信息交给一个系统。它归结为一个问题：保障靠的是承诺，还是不可能？

这正是 Arpokrat Messenger 设计所遵循的原则。身份由加密密钥在本地生成，没有手机号，也没有电子邮箱，私钥永远不离开设备。这个选择不是承诺不去利用用户名录，而是根本不建立名录。向一个并不持有该信息的基础设施发出的调取要求，得到的不是拒绝，而是空白。

这个分别值得诚实地摆出来，因为它决定一切。一份隐私政策，哪怕真诚、哪怕措辞严谨，也不过是一份意向声明，其依托是一家公司、其此刻的股东，以及它注册所在的法域。这三样都会变。而一个不收集的架构，不会因为董事会换人而改变。这与我们在今日收集、日后解密一文中描述的位移是同一个：风险不在做出承诺的那一刻，而在另一个人做出决定的那一刻。

法律吸收这一区分需要时间，而职业保密义务的这场辩论正好给出了一个尺度。位置数据的保护也是如此：法律构造的绝大部分都围绕对数据的访问展开，而这些数据是否应当存在，从来无人过问。

结语

判例最终会稳定下来。上诉法院会解决分歧，监管机构会发布标准，律所会调整委托书和合同条款。这些都毫无疑问。

但根本问题不会因此解决，因为它其实并不关乎职业保密义务。它关乎的是：一个法律秩序能否承认某个东西"知道"，却始终不必说出谁来为它如何处置这份知道负责。

只要这个问题仍未闭合，用户真正能控制的唯一变量，就不是别人给他的承诺有多好。而是他让多少信息存在。

本文提供的是一般性的法律分析，供讨论之用，不构成法律意见或法律咨询。

资料来源

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc.，2026 年 2 月 10 日，Proskauer 分析
United States District Court for the Southern District of New York，United States v. Heppner ，2026 年 2 月 10 日，2026 年 2 月 17 日的书面理由
United States District Court for the District of Kansas，Jefferies et al. v. Harcros Chemicals Inc. et al. ，案号 2:25-cv-02352，2026 年 3 月 25 日
Conseil national des barreaux，法国全国律师协会理事会通过关于职业伦理与人工智能的指南，2026 年 3 月 17 日
Baker McKenzie，Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE，Model Code of Conduct for European Lawyers ，2021 年 10 月 8 日
CCBE，Guide on the use of generative AI by lawyers ，2025 年 10 月 2 日
欧洲议会，2017 年 2 月 16 日关于向委员会提出机器人民事法律规则建议的决议，2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL，European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive ，2025 年 10 月 9 日
2024 年 10 月 23 日关于缺陷产品责任的第 (EU) 2024/2853 号指令

职业保密义务 on Arpokrat