Samfundet vägleder byråerna på IT-området

I april i år antog Advokatsamfundets styrelse en uppdaterad vägledning om användningen av externa IT-tjänster i advokatverksamhet som ersatte den tidigare vägledningen från 2019.

Den nya vägledningen speglar de förändrade förutsättningarna för informationshantering utifrån ny teknik och regelverk. Några faktorer som särskilt har motiverat uppdateringen är artificiell intelligens (AI), cybersäkerhetslagstiftning och ett osäkrare geopolitiskt läge.

Liksom i vägledningen från 2019 är utgångspunkten att advokatbyråer kan använda externa IT-tjänster, främst molntjänster i verksamheten, men det förutsätter att advokatens tystnadsplikt, klientens integritet och övriga yrkesplikter kan upprätthållas.

Den nya vägledningen är betydligt kortare, men mer handlingsinriktad, och innehåller konkreta, tydliga råd till och krav på advokatbyråerna och deras leverantörer.

AI-tjänster och cybersäkerhet

En viktig nyhet är att vägledningen omfattar användning av AI-baserade tjänster, som behandlas som ett eget område. Numera innehåller många IT-tjänster generativa AI-funktioner som kan behandla klientinformation. Därför uppmanas advokatbyråerna att göra särskilda bedömningar och överväganden av sådana tjänster ur sekretess- och klientskyddsperspektiv. I vissa fall kan klientens uttryckliga samtycke krävas innan tekniken används.

Cybersäkerhet har fått en mer framträdande roll. Vägledningen knyter uttryckligen an till den svenska cybersäkerhetslagen (2025:1506) och an­ger lagens krav som en lämplig miniminivå för leverantörers säkerhetsarbete, oavsett om leverantören formellt omfattas av lagen eller inte. Det innebär bland annat krav på systematiska riskanalyser, incidenthantering, säkerhet i leveranskedjan, modern kryptering och kontroll av underleverantörer. Dessutom betonas vikten av oberoende granskningar och certifieringar, som ISO 27001.

Riskbedömning och kontinuitet

Vägledningen betonar advokatbyråns ansvar för riskbedömning för varje IT-tjänst och förordar att byråerna genomför en form av due diligence innan en IT-leverantör anlitas. Riskbedömningar ska dokumenteras, följas upp och omprövas löpande. En sådan analys kan leda till slutsatsen att en viss leverantör inte bör användas alls, om den inte vill gå med på advokatetiskt kritiska krav.

Kraven på kontinuitetsplanering har skärpts. Advokatbyråer ska säkerställa omedelbar och obegränsad åtkomst till klientinformation även vid leverantörens konkurs, uppköp, kriser eller allvarliga driftstörningar. Det innebär att avtalen måste innehålla reglering om backup, dataspegling och så kallade exit- och transitionstjänster.

Regleringen av metadata och loggdata har utvecklats i vägledningen, som nu kräver att leverantörers rätt att använda sådan information regleras tydligt i avtal och att eventuella data som bevaras efter avtalets upphörande anonymiseras så att de inte kan kopplas till advokatbyrån eller dess klienter.

Geopolitiskt perspektiv

En ny faktor i 2026 års vägledning är det geopolitiska perspektivet, där det framhålls att det föränderliga omvärldsläget gör det nödvändigt att kontinuerligt utvärdera vilka IT-tjänster som är lämpliga att använda och var klientinformation lagras.

Den nya vägledningen lägger också större vikt vid utbildning och interna riktlinjer i betydligt större utsträckning än tidigare. Advokatbyråer förväntas ha IT-policyer samt säkerställa att medarbetarna utbildas i systemen och att riktlinjerna hålls aktuella.

Som ett praktiskt stöd innehåller vägledningen en bilaga med mallklausuler för avtal med IT-leverantörer, avsedda att hjälpa advokatbyråer att omsätta de etiska och tekniska kraven i praktiskt avtalsarbete.

AI måste användas advokatetiskt

Generativ AI har på kort tid börjat användas som ett kraftfullt verktyg i många branscher, även i advokatbranschen, och har fått ett särskilt avsnitt i Advokatsamfundets vägledning om externa IT-tjänster. För att möta den snabba teknikutvecklingen och de nya risker som följer av AI-baserade arbetsmetoder antog Advokatsamfundet för ett år sedan, i juni 2025, en omfattande vägledning om hur generativ AI får användas i advokatverksamhet.

Vägledningen konstaterar att generativ AI, rätt använd, kan vara ett verktyg för att tillvarata klientens intressen bättre. Men utgångspunkten är att användningen alltid måste ske i enlighet med god advokatsed inklusive tystnadsplikt. gällande lagstiftning och advokat­yrkets grundläggande värden, Generativ AI får aldrig ses som en ersättning för advokatens professionella omdöme, och advokatens rådgivningsansvar gäller fullt ut även när AI används som stöd i arbetet. Därför kräver vägledningen att AI-genererade texter, analyser och sammanställningar granskas kritiskt innan de används i rådgivningen.

Dataskydd och rätten till data

En central del av vägledningen rör dataskydd och sekretess. Många generativa AI-verktyg bygger på molntjänster och kan återanvända användarens indata för att förbättra modellen. För advokater innebär det en betydande risk. Det får aldrig finnas risk att klientinformation röjs eller används för andra ändamål. Därför måste advokaten granska leverantörens villkor noggrant och säkerställa att varken promp­tar, uppladdade dokument eller genererade utdata kan användas för träning eller delas med andra användare. Om sådant skydd inte kan garanteras, krävs klientens uttryckliga samtycke.

Vägledningen tar också upp frågor om immaterialrätt och företagshemligheter, som rättigheter till träningsdata, indata och utdata. Eftersom AI-genererat material i regel saknar upphovsrättsligt skydd måste advokaten bedöma hur utdata får användas och hur de ska skyddas från obehörig spridning. Dessutom måste advokaten vara medveten om att leverantörer i vissa fall gör anspråk på nyttjanderätt till användarens indata – något som kan vara oförenligt med advokatens tystnadsplikt.

Kontorsorganisation och principalansvar tas också upp i vägledningen. För att ­säkerställa att personalen följer god advokatsed bör advokatbyråerna införa interna riktlinjer som reglerar vilka AI-verktyg som får användas, hur de får användas och vilken typ av information som får matas in. Personalen ska utbildas i både tekniska och etiska aspekter av AI-användning, och riktlinjerna ska uppdateras löpande i takt med den tekniska utvecklingen.

Advokatsamfundet fortsätter arbetet med IT och IT-säkerhet och räknar med att de senaste vägledningarna kompletteras med en uppdaterad GDPR-vägledning under hösten.

Vägledningen om användning av generativ AI i advokatverksamhet (2025) och den uppdaterade vägledningen om användningen av externa IT-tjänster 
i advokatverksamhet (2026) finns på Advokatsamfundets webbplats.