AI 律师与保密性：律师-委托人特权是否受到保护？
律师事务所采用生成式工具的速度快于其更新保密政策的速度，而这一差距引出了一个紧迫的问题：使用 AI 律师是否会让律师-委托人特权面临风险？简短的回答是：只有在正确使用 AI 时，特权才能得以存续——像消费级 ChatGPT 这样免费的公共工具，可能瞬间且永久地摧毁它。
这已不再是一个纯理论上的顾虑。2026 年，一家联邦法院首次裁定，在公共 AI 工具上起草的文件根本不受特权保护。本文写给执业律师，也写给那些想了解自己实际面临何种风险的委托人。
律师-委托人特权与保密性究竟保护什么
律师和委托人常常将「特权」与「保密性」互换使用，但它们在法律上是两种不同的保护，范围各异，丧失的方式也不同。
私人办公室内一次保密的律师-委托人对话
特权 vs. 保密的职业道德义务
律师-委托人特权是一项证据规则：它保护委托人与律师之间为寻求或提供法律建议而进行的保密通信，可用以将这些通信排除在法庭之外。根据康奈尔法学院法律信息研究所的说明，该特权属于委托人而非律师，并且如果通信被分享到受保护关系之外，无论是有意还是无意，特权都可能被放弃。保密的职业道德义务则更为宽泛。它被编入 ABA 示范规则 1.6，涵盖与代理委托人有关的基本上所有信息，无论其来源如何，也无论诉讼是否最终提起。律师可能在从未丧失特权的情况下违反保密义务，反之亦然——这两条规则相互重叠，却并不互为镜像。
工作成果原则
工作成果原则是一项单独的保护，它保护律师为预期的诉讼而准备的材料——法律策略、心理印象、论点草稿——即便这些材料本身并非享有特权的通信。其依据是最高法院在 Hickman v. Taylor, 329 U.S. 495 (1947) 案中的判决，后被编入《联邦民事诉讼规则》第 26(b)(3) 条。与保护通信本身的特权不同，工作成果保护的是律师的思考过程——案件是如何构建的，而不仅仅是说了什么。
致命弱点：第三方规则
特权和工作成果都有一个共同的关键脆弱点。特权只在底层通信保持保密的前提下才存在。一旦外部的、未经授权的第三方获得访问权，特权在大多数司法管辖区就可能被视为永久放弃。这正是使 AI 对保密性构成危险的确切机制：一个夹在委托人和律师之间的公共 AI 供应商，在法律上就是第三方。
AI 如何破坏保密性并导致特权丧失
生成式 AI 无需通过黑客攻击泄露数据即可造成特权问题。仅仅把保密事实输入错误的工具就足够了。
象征受保护保密文件的上锁柜子
公共 AI 工具是「未经授权的第三方」。 当律师或委托人将保密的案件细节输入免费的、消费级的生成式 AI 平台时，运营该平台的供应商实际上成为该通信中未经授权的第三方。许多公共系统会保留用户输入，并可能将其用作未来模型版本的训练数据。这种保留就是对外部方的披露，而对外部方的披露恰恰是触发特权放弃的原因。
即便是私有的、供应商托管的模型也存在风险。 模型不必是免费或公开的才会带来危险。如果供应商托管的部署被配置为使用用户输入进行训练，法院可能认定保密性未得到充分保护，因为这些内容理论上可能出现在同一供应商的其他客户面前，或影响底层模型。类似的暴露来自相邻技术：Windows Recall 是一项会定期截取用户屏幕的功能，它可能在委托人通话或文件审查期间无意中捕获所显示的享有特权的材料。
幻觉引发了另一个独立的胜任能力问题。 除了保密性，生成式 AI 还以捏造事实、案件名称和引注而闻名——这种失效模式通常被称为幻觉。包括纽约律师协会在内的律师管理机构强调，律师在依赖 AI 系统产出的任何内容之前，必须独立加以核实。这一义务直接关联到示范规则 1.1 评注 8，该评注要求律师理解所用技术的收益与风险，而不仅仅是其便利性。
一条颠扑不破的法律原则是：不享有特权的通信，并不会在被分享给律师时以某种炼金术般的方式变成享有特权的通信。—— Judge Jed S. Rakoff, United States v. Heppner, No. 25 CR. 503 (JSR), 2026 WL 436479 (S.D.N.Y. Feb. 17, 2026)
United States v. Heppner：首例法院裁决
多年来，AI 辅助起草是否会导致特权丧失，一直是一个悬而未决、且大多停留在学术层面的问题。2026 年 2 月，一家联邦地区法院直接给出了答案。
一台打开的笔记本电脑旁面临风险的保密文件
发生了什么
在 United States v. Heppner, No. 25 CR. 503 (JSR), 2026 WL 436479 (S.D.N.Y. Feb. 17, 2026) 案中，纽约南区的 Judge Jed S. Rakoff 面对一个首例问题：被告在从未咨询律师之前，借助公共 AI 工具自行创建的文件，是否享有特权？被告 Bradley Heppner 曾使用 Claude——由 Anthropic 打造的生成式 AI 助手——自行起草了大约 31 份文件，之后才将其分享给他的辩护律师。FBI 依据搜查令扣押了这些文件，Heppner 则请求将其视为享有特权。
法院的裁定
法院裁定，这 31 份文件均不受律师-委托人特权或工作成果原则的保护。Judge Rakoff 的推理基于三项各自独立的理由，其中任何一项都足以单独成立。第一，两个非律师方——被告和一个 AI 系统——无法在彼此之间创设特权，因为特权要求通信是向一位持照律师作出，或为获取其建议之目的而作出；正如法院所言，Claude「不是律师」。第二，当文件是在公共 AI 平台上生成时，不存在合理的保密期待，因为 Anthropic 的服务条款保留了记录这些交流、将其用于模型训练以及向第三方披露的权利。第三，Heppner 是在从未咨询律师之前、出于自身主动创建这些文件的，并非为获取法律建议之目的，也非在律师指示下——这一瑕疵同样使任何工作成果主张归于失败。法院还审议并驳回了援引 Kovel 原则的尝试，该原则源自 United States v. Kovel, 296 F.2d 918 (2d Cir. 1961) 案，将特权延伸至协助律师的非律师代理人——此处的 AI 工具从未在律师指示下被启用，因此从未成为律师的代理人，不过法院也未排除在律师监督、由律师指示的使用可能符合条件的可能性。
裁决的局限
Heppner 是一项单一的、无约束力的地区法院判决，截至本文撰写之时，尚无上诉法院对其进行复审。它并非对律师使用 AI 的全面禁令。法院的分析明确限于在没有任何明示保密约定的情况下使用的公共平台，而该判决意见也未排除在律师指示下运作的、受监督的企业级 AI 工具可能被认定为律师代理人的可能性。两个相关案件说明了同样的分界线：
- Tremblay v. OpenAI (N.D. Cal. Aug. 8, 2024)——由律师撰写但未使用的提示词草稿被视为受保护的意见类工作成果。
- Warner v. Gilbarco (E.D. Mich. Feb. 10, 2026)——一位联邦治安法官拒绝强制披露一名自我代理诉讼当事人的 AI 使用情况，理由是 AI 程序「是工具，而非人」，且仅仅将信息上传到 AI 平台本身并不构成对工作成果保护的放弃。
职业道德规则：ABA 第 512 号正式意见与示范规则 1.6
法院裁决并非此处义务的唯一来源。有组织的律师界已就生成式 AI 与委托人保密性直接发声。
一项关于 AI 与律师-委托人特权的法庭里程碑式裁决
下表总结了本文讨论的主要权威来源如何与保密性及特权相交。
| 来源 | 类型 | 对 AI 使用的核心要求 |
|---|---|---|
| ABA 示范规则 1.6 | 职业道德规则 | 未经知情同意，不得披露委托人信息 |
| ABA 第 512 号正式意见 | 职业道德指引 | 保护保密性、取得知情同意、就 AI 辅助时间诚实计费 |
| 示范规则 1.1 评注 8 | 职业道德规则 | 理解所用技术的收益与风险 |
| United States v. Heppner | 法院裁决 | 在无保密约定的情况下使用公共 AI 可能导致特权丧失 |
| FRCP 26(b)(3) | 程序规则 | 界定何为受保护的工作成果 |
ABA 第 512 号正式意见的要求
ABA 第 512 号正式意见于 2024 年 7 月 29 日发布，是美国律师协会首份专门针对生成式 AI 的官方指引，至今仍是该主题上主要的职业道德参考。该意见要求在委托人事务中使用生成式 AI 的律师：
- 在向生成式 AI 工具输入信息时保护委托人保密性。
- 在输入与代理有关的信息之前，若该使用带有实质性风险，则取得知情同意。
- 保持评估 AI 生成输出所需的胜任能力，而非不加批判地接受。
- 监督使用 AI 工具的下级律师和员工，与规则 5.1 和 5.3 保持一致。
- 就监督 AI 所花费的时间诚实地向委托人计费，而非仿佛全部工作均由律师完成那样收费。
该意见综合援引了多条示范规则：1.1（胜任能力）、1.6（保密性）、1.4（沟通）、5.1 和 5.3（监督义务，ABA 已将其延伸至 AI 工具）以及 1.5（就 AI 辅助工作收取合理费用）。
示范规则 1.6 与知情同意
示范规则 1.6 禁止律师在未取得委托人知情同意的情况下披露与代理委托人有关的信息，除非属于狭窄的例外情形。应用于 AI，这意味着律师必须了解委托人数据一旦被输入某工具后会流向何处——是否被保留、是否用于训练底层模型、供应商员工是否能够访问——并在该使用带有实质性风险时取得委托人的同意。规则 1.1 的评注 8 从胜任能力的角度强化了同一要点：不了解这些机制的律师，无法就某一 AI 工具是否可安全用于某事务作出知情判断。
律师如何在不破坏保密性的前提下使用 AI
这一切并不意味着律师必须回避 AI。它意味着工具的选择以及周围的保障措施决定了特权能否存续。
选择具备零数据保留的企业级 AI
最安全的起点是运行在防火墙之后封闭环境中、具备零数据保留且不使用用户输入进行训练的企业级或私有 AI 部署。在采用任何此类工具之前，律所应核实相关的合规认证，包括：
- 涵盖供应商安全控制的 SOC 2 Type II 认证。
- GDPR 合规，若有任何委托人数据涉及欧盟居民。
- PIPEDA 合规，用于涉及加拿大委托人的事务。
律所还应谈判合同，纳入明示的保密约定，禁止供应商将律所或委托人数据用于模型训练。
一位律师与委托人一同审阅知情同意和数据安全文件
下表比较了律所通常在其间抉择的两个极端。
| 因素 | 免费/公共 AI 工具 | 具备零保留的企业级 AI |
|---|---|---|
| 数据保留 | 常被保留，可能训练未来模型 | 零保留，合同保证 |
| 第三方暴露 | 供应商是未经授权的第三方 | 供应商受保密约定约束 |
| 合规认证 | 很少披露或审计 | 通常已核实 SOC 2 Type II、GDPR、PIPEDA |
| Heppner 之后的特权风险 | 高——无合理的保密期待 | 在有适当合同的情况下大幅降低 |
采用前的实用清单
- 对 AI 供应商进行尽职调查，并以书面形式审查其数据保留和训练政策。
- 制定律所内部政策，规范哪些 AI 工具可以使用、用于哪些类别的事务。
- 与每一家 AI 供应商谈判合同性的数据治理保证，包括保密约定。
- 就哪些内容可以、哪些不可以输入 AI 工具，培训所有律师和员工。
- 定期对照律所政策审计 AI 使用情况。
- 在进行中的诉讼里，考虑申请《联邦证据规则》第 502(d) 条的保护令，以限制因无意披露而产生的放弃风险。
取得委托人知情同意，切勿将享有特权的数据粘贴进公共工具
最清晰的一条规则也是最简单的：切勿将可识别的委托人信息输入免费的、公共的 AI 工具。若律所确实在委托人事务中使用 AI，应记录知情同意，并在依赖或提交每一份 AI 生成的输出之前，核查其中是否存在幻觉出的事实或引注。一个相关且容易被忽视的风险涉及 AI 会议录制工具。纽约市律师协会第 2025-6 号正式意见指出，当使用 AI 录制或转录对话时，规则 8.4（不诚实与虚假陈述）项下存在披露义务，而在某些州——其中包括宾夕法尼亚州——未经对方同意录制对话属于重罪，这与任何法律职业道德分析无关。
委托人应了解并追问什么
保密性保护不仅是律师的责任；一位知情的委托人可以在风险做法造成损害之前将其发现。委托人有权直接向律所询问：
- 律所是否在委托人事务中使用生成式 AI，以及用于哪些任务？
- 该工具是免费的公共消费产品，还是付费的企业级部署？
- 底层模型是否使用提交的数据进行训练，还是将保留设为零？
- 律所是否已与其 AI 供应商谈判了保密约定？
- 在将案件相关信息输入 AI 工具之前，是否会征求委托人的知情同意？
委托人在咨询律师之前，也应避免将自己的保密材料输入公共 AI 工具，因为仅这一步本身就可能造成与律师所会造成的相同的第三方披露问题。
本文仅供一般信息参考之用，不构成法律建议。关于律师-委托人特权、保密性以及人工智能使用的法律和职业行为规则因司法管辖区而异，并持续变化。针对具体情形的指引，请咨询您所在司法管辖区的持照律师。