我们律所想试AI审合同 合规不合规有点拿不准

建议先行试点但必须建立最小可行的合规边界后再用。适用范围：律所内部以“审合同/条款比对/风险点提示”为目的的生成式AI应用。前提是对客户隐私、商业秘密和案件敏感信息做分级与脱敏，并与工具提供方签署明确的数据处理条款；在未完成这些措施前，不要把任何可识别客户、标的、价格及对方信息上传到外部AI。

用 AI 审合同的合规要点（律所场景）

• 目的限定与最小化原则：AI仅用于“辅助审阅与结构化提示”，不得用于生成最终对外法律意见或替代执业判断。
• 客户信息分级：将合同内容划分P0-P3，例如：
  • P0 受严格保密/保密协议约束（涉并购、未公开财务、交易对手未披露）——严禁外传，仅可在本地受控工具处理
  • P1 高敏感（价格、支付路径、客户标识、对手方信息）——默认不外传，必要时强脱敏
  • P2 一般敏感（通用条款框架、无主体标识）——在合规工具上可有限上传
  • P3 公开信息或模板条款——可上传
• 数据流向透明：确认上传是否会被平台存储、用于模型训练或被人工标注可见。优先选择“关闭训练/不留存/企业级托管”的方案。
• 合同与条款：与供应商签署数据处理协议（DPA）/保密协议（NDA），明确数据所有权、处理目的、存储地点、留存时长、次级处理者、泄露通知。
• 可追溯与留痕：记录每次上传的文件指纹、操作者、时间、用途，便于审计。
• 人工把关：AI结论仅作“线索和提示”，最终审查、对客户的意见书必须由执业律师签字负责。
• 禁止事项边界：
  • 不上传未公开并购交易、诉讼策略、和解底线、竞标价格细节
  • 不上传任何可直接识别客户/对手方的姓名、统一社会信用代码、账号、具体项目名称
  • 不将客户文档用于训练自建通用模型，除非客户书面授权且可回滚

场景选择：外部云工具 vs 本地/私有化

• 外部SaaS/云模型
  • 适用：P2-P3低敏数据；需能关闭训练、提供企业协议与访问控制
  • 风险：跨境存储与工程师可见性；免费版往往默认用于训练
  • 要求：启用企业版、关闭“用于改进模型”开关，白名单账号，水印与脱敏必做
• 本地部署/私有化模型
  • 适用：P0-P1高敏数据与需落地合规的项目
  • 优点：数据不出内网，可控日志和权限
  • 要点：算力与维护成本、模型更新机制、漏洞响应
• 混合方案
  • 做法：高敏在本地审、低敏用外部工具；同一文档拆分处理

对照提示：

• 安全做法：企业版/私有化、关闭训练、访问分级、强脱敏、审计日志
• 不安全做法：免费账号、默认留存与训练、全量原文上传、共享账号

律所可落地的最小流程（4周内可执行）

1. 一页纸原则与分级（第1周）
   • 形成“AI使用边界”一页纸：目的、禁上传清单、审批与留痕
   • 建立P0-P3标识方法与脱敏规范（如替换名词、金额区间化、去唯一标识）
2. 工具选型与法律文档（第2周）
   • 选择1款企业级外部工具（可关闭训练）+1款本地/私有化OCR与检索
   • 与供应商签DPA/NDA，明确数据不用于训练、数据所在地、删除机制
3. 技术与权限控制（第3周）
   • 仅限公司邮箱SSO登录；开启操作留痕与水印；设立“上传前清单”弹窗
   • 配置默认“屏蔽联网/插件”与“禁止外链分享”
4. 试点与复盘（第4周）
   • 选2类标准合同（如SaaS订阅、采购框架）做对照试点：AI提示清单 vs 人工审
   • 记录召回/误报，更新“禁传词典”（客户名、对手方名、账号、项目代号）

上传前后清单与常见坑

• 上传前3问：
  1. 是否P0/P1？是则不得外传
  2. 是否已做脱敏（主体、金额、账号、项目代号、地址、联系方式）
  3. 工具的“用于训练/数据留存”是否关闭，协议是否覆盖本次用途
• 操作步骤示例
  • PDF转可编辑文本→专用脱敏脚本/手工校对→敏感词二次扫描→仅上传必要段落
  • 让AI输出“风险点清单+条款定位+样例替代语”，不得生成“最终客户稿”
• 常见坑
  • 免费版或试用期默认勾选“用于改进服务”
  • 将整份合同含附件、对方信息全量上传
  • 用个人邮箱或共享账号操作，无法审计
  • 将AI输出直接发客户，未做事实与法条二次核验

谁来负责：角色与文档模板

• 责任分工
  • 负责人/合规联络：合伙人1名
  • 数据管理员：IT或知识管理岗，负责权限与日志
  • 业务把关：各条线主办律师，对输出进行二次审查
• 必备文档
  • AI使用边界与禁传清单（1页）
  • 供应商DPA/NDA
  • 上传前自查单（10项打钩）
  • 试点项目记录表（文档指纹、时间、人员、用途、模型版本）

现在就能做的决定与外部求证

• 不必“一刀切”否定，先在低敏模板合同上小范围试点，建立边界与流程。
• 与供应商确认并书面化以下条款：不用于训练、可随时删除、明确数据国别与备份路径、发生泄露的通知与赔偿机制。
• 如涉及跨境传输或监管敏感行业，可咨询数据合规专业律师，重点核对数据出境、保密义务与客户授权条款。政策口径可参考国家网信办与工信部发布的合规要求：https://www.cac.gov.cn/ 与 https://www.miit.gov.cn/

若需对外给客户一句话说明，可用：“本所使用的智能审阅工具仅在企业受控环境运行，上传前完成强脱敏，数据不用于模型训练与第三方，不生成最终意见书，一切结论均由执业律师复核并承担责任。”

这种事儿我建议你们所先别急，先问问平台的数据处理条款。很多AI工具在用户协议里写明了不会用你的数据训练模型，但你得看清楚是不是只针对个人版还是企业版。反正我自己用的时候会先把合同里的客户姓名、金额这些手打替换成“甲方”“XX万”，传上去心里踏实点。真不放心就跟老板说先拿几份没信息的模板试试水，范围限定了风险小很多。

我去，律所用AI审合同这事听起来确实容易出岔子。客户那些条款和财务数据万一被存下来或者二次利用，后果可大。个人觉得先别急着全推开，跟老板说说风险，让大家内部先商量下规矩，或者先找个小范围匿名测试试试。别一上来就全信那些宣传。