Zero Data Retention for advokater — hvad det faktisk betyder
Når en advokat sender en fortrolig kontrakttekst til en AI-tjeneste, er to spørgsmål afgørende. Bliver teksten gemt et sted, og kan den bruges til at træne fremtidige modeller? Hvis svaret er uklart, er tjenesten i praksis ubrugelig til klientarbejde.
Zero Data Retention (ZDR) er betegnelsen for det tilsagn, der adresserer begge spørgsmål. Begrebet bruges dog med forskellig betydning hos forskellige leverandører. Denne tekst beskriver, hvad ZDR rent faktisk indebærer hos LexCodex, hvilke lag det gælder på, og hvor grænserne går.
To lag retention
Et dokument, du uploader, passerer to systemer. Begge har deres egne retention-regler.
LLM-leverandøren
LexCodex bruger en LLM-motor fra en leverandør, der er certificeret efter SOC 2 Type II og ISO 27001. Når tekst sendes dertil, behandles den på leverandørens infrastruktur. Leverandøren tilbyder et enterprise-vilkår kaldet Zero Data Retention: input og output gemmes ikke, efter at svaret er returneret. Ingen logs, ingen cache, ingen brug til modeltræning.
Vilkåret er offentligt dokumenteret i leverandørens commercial terms og data processing addendum. For forretningspartnere aktiveres ZDR via enterprise-kontrakt. På det åbne forbruger-API er det ikke aktivt som standard.
LexCodex' egen infrastruktur
Når LLM-leverandøren har leveret svaret, lander det hos LexCodex. Her gælder vores egen policy: uploadede dokumenter og AI-svar gemmes ikke, efter at analysen er færdig. Når du lukker fanen, er data væk. Der findes ingen logs med dokumentindhold, ingen backup af analyser, ingen arkiver.
Det, vi gemmer, er sessionsmetadata: hvem var logget ind, hvilket værktøj blev brugt, hvor langt anmodningen var. Det bruges til rate limiting og debugging. Intet indhold, ingen citater, ingen konklusioner.
Hvad det betyder konkret
For dig som advokat eller in-house-jurist:
- Fortrolige dokumenter kan analyseres uden at blive liggende nogen steder, efter at fanen lukkes. Det gælder både hos LLM-leverandøren (via ZDR-aftalen) og hos LexCodex (via no-store-designet).
- Klientaftaler med fortrolighedsklausuler er håndterbare, fordi ingen tredjepart arkiverer materialet. Sporbarheden er dokumenteret i vores DPA.
- GDPR-kravet om dataminimering (Art. 5(1)(c)) opfyldes i designet snarere end gennem procedurel håndtering. Man kan ikke minimere data, der aldrig gemmes.
- Retten til at blive glemt (Art. 17) er triviel. Der er intet at slette.
Almindelig misforståelse
Forskellen i klartekst:
- "Vi træner ikke på dine data" betyder, at dokumentet ikke ender i næste modelversion. Det kan stadig være gemt i timer, dage eller uger på leverandørens servere.
- Zero Data Retention betyder, at dokumentet forsvinder fra leverandørens infrastruktur, så snart svaret er returneret. Ingen mellemlagring.
Spørgsmål at stille en AI-leverandør
Før en AI-tjeneste gøres til en del af virksomhedens workflow er det rimeligt at spørge:
- Har I ZDR-vilkår fra den underliggende LLM-leverandør? Er det aktivt på vores konto?
- Hvor længe gemmes request og response hos jer, før de slettes?
- Findes der backup eller arkivering af brugerdata? Hvor længe?
- Hvilke logs gemmes? Indeholder de indhold eller kun metadata?
- Kan I underskrive en DPA efter GDPR Art. 28?
For LexCodex er svarene offentlige i vores DPA. Du behøver ikke spørge, du kan læse, før du opretter konto.