律所能不能用公有云大模型？答案不是能不能，是分场景——处理脱敏模板、公开判例，可以用合规 API；涉及当事人卷宗、合同、尽调材料，不能用，因为"上传即可能违反保密义务"。分界线就一条：数据里有没有当事人信息。
一、为什么律所对公有云 AI 特别谨慎
不是保守，是三个约束叠在一起：
- 《律师法》第三十八条——律师应当保守在执业活动中知悉的国家秘密、商业秘密，不得泄露当事人的隐私。这是执业义务，不是可选。
- 《个人信息保护法》——对敏感个人信息（包括身份证号、案件细节）的处理有明确限制，数据出境还要评估。
- "上传即无法收回"——数据一旦传到第三方服务器，发生了什么、存了多久、有没有被复制，律所无法核查。
这三个约束单独看都能绕，叠在一起就没得绕：当事人信息上公有云，本身就是执业风险。行业文件也明确——昆明律协 AI 指引第十八条把"涉密或敏感信息输入公共 AI 工具、上传第三方平台"直接定性为"视同信息对外披露"；深圳律协指引第二十五条对涉及客户敏感信息的场景，明确"在条件允许时优先考虑本地化部署或专有云部署方案"。
二、三种用法，三种风险等级
公有云大模型不是铁板一块，分三种用法，风险完全不同：
| 用法 | 例子 | 风险 |
|---|---|---|
| ①脱敏材料 + 公开判例 | 让 AI 总结一份公开裁判文书、起草不涉密的通用模板 | 低，可用合规 API |
| ②当事人卷宗 / 合同 / 尽调 | 把真实案件材料粘进 ChatGPT 提问 | 高，违反保密义务风险 |
| ③本地部署 | 模型、卷宗、索引都在所内服务器，断网可用 | 低，数据不出域 |
判断标准就一条：数据里有没有当事人信息。有，就必须走本地；没有，上云无妨。
三、"签了保密协议、承诺不用数据训练"能放心吗
不能作为依据。数据离开律所之后发生了什么，律所无法核查——承诺不可验证。
昆明指引第十八条点得很透：即使服务提供者承诺不留存、不用于模型训练，仍存在信息失控风险。因为数据传上去之后，你根本不知道它去了哪、被谁看过、有没有被复制。签了保密协议只是多一道纸面约束，挡不住"无法核查"这个根本问题。
这不是说所有服务商都不诚信，是说律所的保密义务不能建立在别人的承诺上——执业责任不因使用 AI 工具而转移，出了事是律所担责，不是服务商。
四、合规的用法：什么能上云、什么必须本地
分场景定，一张清单说清：
| 可以上云（合规 API） | 必须本地部署 |
|---|---|
| 公开判例、法规检索 | 当事人卷宗、案件材料 |
| 脱敏后的通用文书模板 | 合同审查（含真实条款） |
| 不涉密的内部流程咨询 | 尽调材料、涉密案件 |
| 法律知识问答（无当事人信息） | 任何含当事人信息的材料 |
一句话：能上云的是"不带当事人信息的活"，必须本地的是"沾当事人信息的活"。分清楚这条线，AI 在律所就能合规地用起来。
常见问题
律所可以用公有云大模型吗？
分场景。处理脱敏模板、公开判例可以用合规 API；涉及当事人卷宗、合同、尽调材料不能用——上传即可能违反保密义务。分界线是数据里有没有当事人信息。
把卷宗粘进 ChatGPT 算泄露吗？
按昆明律协指引，涉密或敏感信息输入公共 AI 工具、上传第三方平台，视同信息对外披露——即使服务商承诺不留存。风险是真实的。
本地部署能解决所有合规问题吗？
只解决数据路径这一项（数据不出域）。责任归属、输出核验、知情同意等其余问题，靠律所内部制度，与部署方式无关。
律协指引有强制力吗？
没有。律协指引是参考性、指导性文件，不单独作为惩戒依据。但它把《律师法》原有的保密义务在 AI 场景下细化，实务上就是判断标准。
什么任务可以放心上云？
不带当事人信息的活：公开判例检索、法规查询、脱敏模板起草。沾当事人信息的活一律本地。
延伸阅读：律师用 AI 会不会出事：五份行业文件划出的六条线；律所 AI 私有化部署怎么做。了解「律所法务AI智脑」产品，见安全与合规。
更新时间：2026-11
