AI 與律師保密義務：那個告不了的第三人

Mon, 24 Aug 2026 00:00:00 +0000

美國聯邦調查局查扣布萊德利·赫普納的裝置時，探員在裡頭找到三十一份前所未見的文件。赫普納是一名企業主管，因證券詐欺遭到起訴。那些文件不是電子郵件，不是筆記，也不是與律師之間的往來。那是他跟一個面向一般大眾的人工智慧平台的對話紀錄，他在裡面攤開了自己的答辯策略，掂量了可能提出的事實與法律主張，也預判了檢方會拿什麼來對付他。這些對話發生在他收到大陪審團傳票之後，而且不是律師要他去做的。

2026 年 2 月 10 日，紐約南區聯邦法院法官傑德·拉科夫認定，這些文件不受任何保護。

同一天，八百公里之外，另一家聯邦法院作出了相反的認定。

兩份裁定，兩套法理，同一個動作

在 Warner v. Gilbarco 一案中，密西根東區聯邦法院拒絕強制一名未委任律師的原告提出她在準備案件時使用生成式 AI 工具的痕跡。理由濃縮成一句話：AI 平台是工具，不是人。把文件交給工具，並不等於向對造揭露。因此，美國法上稱為 work product 的訴訟準備資料保護得以保全。

在書面理由於 2 月 17 日公布的 United States v. Heppner 一案中，紐約的法院則認定，被告與平台之間的對話既不受律師保密特權保護，也不受訴訟準備資料保護。法院引用了平台的服務條款：輸入與輸出可能被保存、用於訓練，並揭露給第三方，其中包括公權力機關。知道這件事的使用者，無法合理期待保密。

兩種結論都完全站得住腳。律師保密特權一旦向任何第三人揭露就消滅。訴訟準備資料的保護則只在向對造揭露時才消滅。兩套各自獨立的法理，同一個動作，兩個相反的結果。

兩份裁定都沒有去檢視的，是它們共有的那個前提。而正是這個前提，經不起跟法律其餘部分的對照。

沒有人做的那個比較

把客戶卷宗交給主機代管業者，從來沒有被單獨當成放棄保密義務。

可是代管業者無疑是第三人。文件放在它自己的機器上。它可以被強制提出，而且在好幾個法域裡確實被強制過。然而沒有任何律師公會、任何法院、任何專業監理機關由此推論說，用了代管服務就在原則上摧毀了保密義務。

所以分界線從來就不是技術中介的單純存在。中介永遠都在。郵局運送信件。快遞帶著卷宗。電信業者接通電話。他們每一個在字面意義上都是第三人，而沒有一個單憑存在就讓保密義務落空。

代管業者之所以不同，理由比判例通常講的更窄、也更精確。它只存放，不閱讀。它無法從內容推出任何東西。它沒有任何知道自己手上放著什麼的能力。

保護代管業者的不是它作為第三人的法律地位，而是它在技術上無從知道自己持有什麼。

這個標準已經安靜地運作了二十年。沒有人需要把它寫下來，因為還沒有哪個中介讓它失靈。

法官真正在裁定的是什麼

一旦把這個標準說出口，二月的兩份裁定就換了性質。

一家把「向生成式 AI 提出文件」當成「向第三人揭露」的法院，並不是在把舊規則套到新事實上。它是在認定，這個特定的中介跟其他的不一樣。它在處理，而不是在存放。它內部發生了某種在硬碟內部不會發生的事。

堪薩斯聯邦法院在 2026 年 3 月 25 日的 Jefferies v. Harcros Chemicals 一案中，把實務面直說了出來。它把保護命令擴及訴訟中的全部資料，包含並不涉密的部分，理由是：資料一旦提交給開放的 AI 工具，事實上就拿不回來了，因為它已經被用來訓練模型。保留不是一項可以重新談判的商業政策，而是系統運作方式的一個屬性。

把這些裁定連起來看，等於是在證據法的用語裡，承認了一種法律從來不必賦予伺服器的能力。

法國的立場，以及它的標準預設了什麼

最清楚的表述不是來自法院，而是來自專業監理。

法國全國律師公會理事會 Conseil national des barreaux 在 2024 年 9 月發布了關於生成式 AI 的第一份實務指引，接著又在 2026 年 3 月 17 日通過一份關於執業倫理與人工智慧的指引。第一份在核心問題上毫不含糊：律師不得把受保密義務保護的資料傳送給生成式 AI 系統，這既適用於客戶姓名，也適用於任何策略性或機密性資訊。建議的替代做法是使用假名化資料集，其中的識別性要素已經被替換掉。

針對法國立場的實務評註，特別是 Baker McKenzie 關於保密義務的比較指引，從中歸納出四項必須同時成立的條件。保密義務只有在下列情形下，才能在使用生成式 AI 工具後繼續存在：平台維持完整的保密性，不再利用、不訓練、不讓第三方存取；平台完全在律師或事務所的控制下運作；使用是為了屬於諮詢或辯護職責範圍內的法律目的；而且產出反映的是律師本人的推理，而不是系統自主的處理。

最後這一項條件值得停下來看看。

要讓保密義務成立，系統就不能加入屬於它自己的處理。

用這種措辭寫成的標準，只有在把系統看成有能力加入自己的處理時才有意義。沒有人會寫一條規則，要求檔案櫃不得對它裝著的文件進行推理。這項條件會存在，是因為它針對的是檔案櫃做不到的事。

同樣的默示承認，也藏在假名化的建議裡。只有在假定系統否則可能把識別性要素串起來、留下來或從中推出什麼時，傳送前先替換掉它們才有必要。純粹的儲存媒介不會需要任何這類預防。

不想讀，跟不能讀

一個反駁馬上會出現：代管業者一樣可以被強制提出，那為什麼一種中介讓保密義務落空，另一種卻不會？

答案在 CCBE 歐洲律師執業行為示範規則裡，而且比這個反駁所想的更精確。歐洲律師必須要求他的合作者、他的員工，以及他在提供服務過程中借助的任何人，遵守同樣的保密義務。這項義務沿著鏈條一路傳下去。

代管業者可以被納進這條鏈。它簽受託處理契約。它接受保密承諾。它可以被稽核，違約時可以被告。第三人是被綁住的。

一個會保存所提交內容並拿去訓練的生成式 AI 平台，沒辦法用同樣方式納進這條鏈，因為需要阻止的不是一種行為，而是一種架構。承諾不拿輸入資料去訓練，是一個關於意圖的承諾。它對供應商有拘束力，但它不改變系統被造出來是要做什麼，而且從外部無法驗證。

這就是「不想讀的服務商」跟「不能讀的服務商」之間的全部距離。只有後者撐得過股東更迭、條款修訂或一紙法院命令。我們在談 Data Act 與 CLOUD Act 的衝突時分析的正是這套機制：一項法律保障的價值，永遠不會超過容納它的那個法域，而技術上的不可能則不依附於任何法域。

不對稱

分析在這裡走到了一個令人不太舒服的地方。

同一個法律秩序，在問題是「是否放棄保密義務」時願意承認一種處理能力，在問題是「責任該誰扛」時卻拒絕承認任何東西。

電子人格曾由歐洲議會在 2017 年 2 月 16 日關於機器人民事法律規則的決議第 59 段 f 款中提出。文本建議，最精密的自主機器人最終或許可以被賦予一種地位，使其能夠對造成的損害負責。在一封由數百名專家連署的公開信表示反對後，這項提案被擱置。他們的主要反對意見很紮實：賦予機器人格，會造出一個讓製造商卸下本該由自己承擔之責任的工具。

於是立場就此定下來。造成損害的自主系統是產品、是工具、是部署者手上的器械。它沒有法律人格。責任回落到某個自然人或法人身上，而且非如此不可，因為再沒有別的地方能承接。

這兩個命題如今同時運作。

要嘛系統有能力在法律意義上接收一項傳達，那麼這種能力就被承認，用來剝奪客戶的保護，同時又被否認，好讓任何人都不必扛起責任。要嘛它是工具，那麼向它提出文件，跟把檔案存到磁碟上一樣不構成揭露，二月的推理也就跟著垮掉。

歐洲的脈絡非但沒有修正這種失衡，反而讓它更嚴重。人工智慧責任指令早在執委會 2025 年 2 月的工作計畫中就被宣告撤回，並於 2025 年 10 月正式放棄。那本來就是專門用來處理這個難題的工具。剩下的是修訂後的產品責任指令，它現在把軟體和 AI 系統一併納入，但要求有瑕疵、有損害、有因果關係，而且保護的是自然人免於人身傷害、財產損失與資料被毀。它的轉換期限要到 2026 年 12 月 9 日才屆至，而且只適用於該日之後投放市場的產品。

可以預料的反駁，以及回答

細心的讀者會回應說，法律經常承認某個客體有某種能力而另一個沒有，這並不構成矛盾。動物可以造成有法律意義的損害而不具人格。公司具有訂立契約的人格，但並非在所有法律秩序中為所有目的都具有人格。因此，為證據目的承認一種處理能力，並不逼任何人為責任目的承認一種人格。不同的問題，不同的答案。

這個反駁是認真的，而且如果不對稱是雙向的，它會是決定性的。

但它只往一個方向作用。在系統的能力被採納的地方，代價由保護就此消失的客戶承擔。在同樣這種能力本來可以用來分配責任的地方，它卻遍尋不著。結果永遠倒向同一邊。

一種系統性地偏袒同一方的不對稱，不是法理上的區分。它是一種風險分配，就該當成風險分配來討論。

這在實務上代表什麼

以上這些都不代表法律專業應該放棄這些工具。歐洲的專業文件同樣沒有這麼說，CCBE 也發布了自己的相關指引。

它們代表的是：決定性的問題不是事務所選了哪個工具，而是這個工具留下什麼，以及這個答案取決於一項政策，還是一種設計上的屬性。不保留的承諾可以被撤回、被重新解釋，或被一紙判決擱在一邊。而不保留的架構做不到這些，因為根本沒有東西可以提出。

想把這個問題弄清楚的人可以參考的文件：

CCBE 關於律師使用生成式 AI 的指引，2025 年 10 月 2 日發布，並由 2026 年 3 月的一份技術指引補充
法國全國律師公會理事會 2026 年 3 月 17 日的執業倫理指引，它適用保密與獨立的傳統原則，並未另立一套 AI 專法
Baker McKenzie 的比較指引，方便衡量各國制度之間的落差

Arpokrat 採取的角度

這套推理遠遠超出律師事務所的範圍。它適用於任何一種關係：有人把一則自己不希望再冒出來的資訊交給一個系統。它歸結成一個問題：保障靠的是承諾，還是不可能？

這正是 Arpokrat Messenger 設計所依循的原則。身分由加密金鑰在本機產生，沒有手機號碼，也沒有電子郵件地址，私鑰永遠不離開裝置。這個選擇不是承諾不去利用使用者名錄，而是根本不去建立名錄。向一個並不持有該資訊的基礎設施發出的調取要求，換來的不是拒絕，而是空白。

這個分別值得誠實地攤開來講，因為它決定了一切。一份隱私權政策，就算真誠、就算寫得嚴謹，也只是一份意向聲明，它依附的是一家公司、它此刻的股東，以及它設立所在的法域。這三樣都會變。而一個不蒐集的架構，不會因為董事會換人而改變。這跟我們在今天蒐集、日後解密一文中描述的位移是同一個：風險不在做出承諾的那一刻，而在另一個人做出決定的那一刻。

法律要吸收這個區分需要時間，而律師保密義務的這場辯論正好提供了一把尺。位置資料的保護也一樣：法律建構的絕大部分都繞著對資料的存取打轉，而這些資料該不該存在，從來沒有人問過。

結語

判例最後會定下來。上訴法院會解決歧異，主管機關會公布標準，事務所會調整委任書和契約條款。這些都毫無疑問。

但根本的問題不會因此解決，因為它其實無關律師保密義務。它關乎的是：一個法律秩序能不能承認某個東西「知道」，卻始終不必說出誰要為它拿這份知道去做什麼負責。

只要這個問題還沒關上，使用者真正能掌握的唯一變數，就不是別人給他的承諾有多漂亮。而是他讓多少資訊存在。

本文提供的是一般性的法律分析，供討論之用，不構成法律意見或法律諮詢。

資料來源

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc.，2026 年 2 月 10 日，Proskauer 分析
United States District Court for the Southern District of New York，United States v. Heppner ，2026 年 2 月 10 日，2026 年 2 月 17 日的書面理由
United States District Court for the District of Kansas，Jefferies et al. v. Harcros Chemicals Inc. et al. ，案號 2:25-cv-02352，2026 年 3 月 25 日
Conseil national des barreaux，法國全國律師公會理事會通過關於執業倫理與人工智慧的指引，2026 年 3 月 17 日
Baker McKenzie，Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE，Model Code of Conduct for European Lawyers ，2021 年 10 月 8 日
CCBE，Guide on the use of generative AI by lawyers ，2025 年 10 月 2 日
歐洲議會，2017 年 2 月 16 日關於向執委會提出機器人民事法律規則建議的決議，2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL，European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive ，2025 年 10 月 9 日
2024 年 10 月 23 日關於瑕疵產品責任的第 (EU) 2024/2853 號指令

判例 on Arpokrat