AI på advokatbyrå: tystnadsplikt, GDPR och vad ni bör kräva

Vad står det i rättegångsbalken om tystnadsplikt?

Tystnadsplikten finns i rättegångsbalken (1942:740) 8 kap. 4 § första stycket. Lagtexten lyder så här på riksdagen.se 2026-10-23: ”En advokat skall i sin verksamhet redbart och nitiskt utföra de uppdrag som anförtrotts honom och iaktta god advokatsed. En advokat är skyldig att förtiga vad han får kännedom om i sin yrkesutövning när god advokatsed kräver detta.”

Lagrummet nämner varken AI eller teknik. Advokatsamfundet skriver i sin vägledning om externa IT-tjänster (15 april 2026): ”Det advokatetiska regelverket är teknikneutralt och saknar således specifika regler avseende IT och annan teknik.” Samma tystnadsplikt gäller alltså när klientuppgifter skrivs in i en AI-tjänst som när de skickas med e-post.

Enligt 8 kap. 7 § får en advokat som åsidosätter sina plikter meddelas varning eller erinran, och uteslutning kan komma i fråga vid synnerligen försvårande omständigheter. Brott mot tystnadsplikten får enligt samma paragraf bara åtalas av Justitiekanslern. Advokatsamfundets mallklausul nämner även 20 kap. 3 § brottsbalken. Den paragrafen går vi inte igenom här.

Vad har Sveriges advokatsamfund sagt om AI och god advokatsed?

Samfundet listar även en GDPR-vägledning (2018) och en CCBE-guide (2025), som vi inte har läst. Vägledningen om generativ AI säger:

• Den gäller AI som byrån använder internt, inte AI som erbjuds klienter. Det gäller både öppna verktyg på internet och verktyg som byrån har avtal om.
• ”Tystnadsplikten ska upprätthållas oavsett arbetssätt.” Klientinformation får bara föras in i verktyg som säkerställer att den inte röjs, och verktyget får inte använda den för träning eller för svar till andra än advokaten och byrån.
• Samtycke behövs inte om ingen klientinformation förs in. Kan hanteringen säkras med avtal och tekniska åtgärder lika betryggande som för andra externa IT-tjänster, gäller samma bedömning av samtycke som för dem. Annars ska klientens samtycke inhämtas, och en regel i byråns allmänna villkor räcker då inte.
• ”Advokatens ansvar för sin rådgivning gäller fullt ut oavsett om rådet helt eller delvis baseras på utdata från GenAI.”
• Byrån bör anta riktlinjer för vilken AI som får användas och hur, utbilda personalen och uppdatera riktlinjerna löpande.

Vad kräver GDPR av byrån när ni använder AI?

GDPR gäller när klientmaterial, mejl eller namn förs in i en AI-tjänst, och Advokatsamfundet skriver att en advokat ska följa förordningen även då. Tabellen visar de artiklar som oftast avgör valet av verktyg.

Vilken rättslig grund som passar ett AI-ändamål bedömer byrån tillsammans med en jurist. Klientmaterial kan innehålla särskilda kategorier av uppgifter enligt artikel 9, till exempel hälsa, och uppgifter om fällande domar enligt artikel 10. Då gäller strängare villkor.

Advokatsamfundet skriver att biträdesavtal som huvudregel ska ingås vid behandling av personuppgifter med generativ AI. IMY beskriver att vissa konsumentversioner förutsätter att kontot registreras av en privatperson, och att arbetsgivaren då kan bli personuppgiftsansvarig utan biträdesavtal. Be även om leverantörens underbiträden, deras länder och hur ni får besked om ändringar. Microsoft och Harvey anger båda att externa modellleverantörer ingår som underbiträden.

Samfundet skriver att byrån bör välja leverantörer som kan specificera var klientinformationen finns, under överföring, under bearbetning och vid lagring. I en fotnot nämner samfundet US Cloud Act, som anses kunna innebära att en amerikansk domstol kan ålägga ett amerikanskt företag, eller dess koncernbolag, att lämna ut information även om den lagras inom EU. Ingår leverantören i en amerikansk företagsgrupp bör byrån beakta risken och vidta avtalsåtgärder.

Vad har IMY sagt om generativ AI?

Vi hittade 2026-10-23 ingen IMY-vägledning som riktar sig särskilt till advokatbyråer. Närmast är rapporten GDPR vid användning av generativ AI (IMY-2024-9162, daterad 2025-02-05). Den riktar sig till offentlig förvaltning, men IMY skriver: ”Det hindrar inte att riktlinjerna kan vara användbara för andra som använder generativ AI i sin verksamhet.”

• Ta fram en policy för om och på vilka villkor personuppgifter får behandlas med generativ AI.
• Leverantörer använder ofta standardavtal med små möjligheter att förhandla. Då behöver verksamheten bedöma om GDPR går att följa med leverantörens villkor, och annars avstå från tjänsten.
• ”Den som använder ett generativt AI-system bör därför granska och kontrollera dess svar och inte utgå från att systemets utdata är korrekta och pålitliga.”

Hur kontrollerar en byrå att AI inte hittar på rättsfall?

Advokatsamfundet varnar för att generativ AI kan ge text som ser trovärdig ut men ”hänvisa till rättsfall eller lagrum som inte existerar”. Granskningen kan enligt samfundet innebära att advokaten verifierar källor och säkerställer tillämpligheten och korrektheten av de lagar och rättsfall som verktyget refererar till.

IMY skriver att RAG, alltså att modellen söker i utvalda källor, kan förbättra svaren, men att hallucinationer förekommer även då. En tjänst som visar sina källor minskar alltså arbetet med kontroll men tar inte bort det. Tabellen är våra egna förslag, inte krav från samfundet.

Vad ska ni fråga en AI-leverantör om?

Listan bygger på Advokatsamfundets vägledning om externa IT-tjänster (punkterna anges) och artikel 28 i GDPR. Ställ frågorna skriftligt och spara svaren.

• Finns ett biträdesavtal som uppfyller artikel 28.3 och gäller för just den produktversion ni köper?
• Vilka är underbiträdena, var finns de och hur får ni besked om nya?
• Regleras det i avtalet att klientinformation inte får lämnas ut eller användas för andra ändamål än att leverera tjänsten? (punkt 1)
• Vad gör leverantören om en svensk eller utländsk myndighet kräver utlämnande? (punkt 4)
• Var lagras och bearbetas data, under överföring, under bearbetning och vid lagring? (punkt 7)
• Används era frågor och filer för att träna modeller, hos leverantören eller modelltillverkaren?
• Kan leverantörens personal läsa klientinformation i klartext? (punkt 1)
• Finns oberoende granskning eller certifiering, till exempel ISO 27001, och hur krypteras data? (punkt 5)
• Hur snabbt underrättas ni om en incident, så att byrån klarar 72 timmar?
• Respekterar tjänsten era behörigheter, så att AI:n inte når material som byrån har behörighetsstyrt?
• Kan byrån när som helst få ut all klientinformation, och vad händer vid leverantörens konkurs eller uppköp? (punkt 3)
• Raderas eller återlämnas allt, inklusive kopior, när avtalet upphör? (punkt 9)

Vad planerar AdvokatAI, och var står det 2026-10-23?

Wilhelmsson Labs AB i Jönköping planerar AdvokatAI, en lösning som ska byggas i en advokatbyrås egna system i stället för att säljas som delad molntjänst. AdvokatAI är i pilotfas under 2026. Ingen byrå använder det 2026-10-23 och bolaget har inga kunder. Vi söker en första pilotbyrå med 2 till 8 jurister som vill testa till självkostnad, så att vi får dokumentera resultatet som referens.

I Tier B ska lösningen ligga på byråns egen server hos OVH i Strasbourg eller Hetzner i Helsinki. I Tier A driftas den på Wilhelmsson Labs server i Sverige. Inga klientuppgifter ska gå till externa leverantörer av AI-modeller utan anonymisering. Det är en plan, inte ett bevis. Ingen byrå har granskat lösningen, så ställ frågorna i checklistan till oss också.