Kunstmatige intelligentie verandert de juridische sector in een razendsnel tempo. Wat gisteren nog toekomstmuziek leek, is vandaag al werkelijkheid op de werkvloer van menig advocatenkantoor. Toch brengt deze technologische revolutie ook serieuze vragen met zich mee over privacy, gegevensbescherming en toezicht, vragen waar geen enkel kantoor meer omheen kan.

De AVG, de Europese AI-verordening en de beroepsregels van de Nederlandse Orde van Advocaten stellen duidelijke eisen aan hoe juridische professionals omgaan met cliëntdata en geautomatiseerde systemen. Een misstap op dit gebied kan niet alleen leiden tot reputatieschade, maar ook tot stevige boetes en tuchtrechtelijke gevolgen.

In dit artikel zetten we de belangrijkste aandachtspunten op een rij die elk advocatenkantoor moet kennen als het gaat om AI, privacy en toezicht. Of je nu net begint met het verkennen van AI-toepassingen of al actief gebruikmaakt van slimme tools, deze inzichten helpen je om verantwoord en compliant te werken in een steeds digitalere rechtspraktijk.

Dekentoezicht op AI-gebruik is per 8 januari 2026 van kracht

Sinds 8 januari 2026 valt het gebruik van AI door advocatenkantoren expliciet onder het toezicht van het College van Toezicht Advocatuur. Via de lokale dekens wordt AI-gebruik voortaan structureel meegenomen in kantooronderzoeken, vragenlijsten en gespreksrondes. Het CvT heeft dit als vast agendapunt opgenomen in zijn werkplan 2026, mede omdat het incidentele signalen ontvangt over AI-toepassingen die vragen oproepen over zorgvuldigheid en vertrouwelijkheid. Meer achtergrond hierover leest u bij mr-online.nl over het Dekenberaad en AI-toezicht.

De toezichtslogica is daarmee fundamenteel verschoven. De vraag is niet langer óf uw kantoor AI inzet, maar wat u kunt aantonen over de manier waarop dat gebeurt. Dekens kunnen bij een kantoorbezoek of via een vragenlijst vragen welke tools worden gebruikt, voor welke taken, door wie, en welke maatregelen er zijn getroffen rondom vertrouwelijke cliëntinformatie. Kantoren die daarop geen antwoord klaar hebben, ook al gebruiken zij AI naar eigen zeggen slechts sporadisch of voorzichtig, lopen een aantoonbaar toezichtsrisico. Zorgen over de deskundigheid van dekens op dit vlak zijn er ook, maar dat ontslaat kantoren niet van hun eigen verantwoordingsplicht.

Voor kleine kantoren en solopraktijken zonder IT-afdeling betekent dit concreet dat de advocaat zelf de verantwoording moet kunnen dragen. Er is geen compliance-officer die dat overneemt. Een praktisch beginpunt is een eenvoudig intern register met vier vaste onderdelen: welke AI-tools worden gebruikt, door wie binnen het kantoor, voor welke soort taken, en welke waarborgen gelden er ten aanzien van vertrouwelijke cliëntgegevens. Dit hoeft geen uitgebreid beleidsdocument te zijn, maar het moet bestaan en kloppen.

Het beroepsgeheim gaat verder dan de AVG

Veel advocaten denken dat AVG-compliance volstaat als zij hun kantoor willen beveiligen tegen datalekken en toezichthoudersoptreden. Dat is een misverstand dat praktische gevolgen heeft, zeker nu AI-tools steeds vaker worden ingezet bij de verwerking van dossierinformatie.

De AVG regelt de rechtmatige verwerking van persoonsgegevens; artikel 11a Advocatenwet beschermt iets wezenlijk anders, namelijk de volledige vertrouwelijkheid van de advocaat-cliëntrelatie. Dat gaat aanzienlijk verder dan identificeerbare persoonsgegevens. Onder het beroepsgeheim valt ook bedrijfsstrategie die een cliënt aan u toevertrouwt, zwakke punten in een zaak die u samen bespreekt, en zelfs het enkele feit dat iemand uw cliënt is. Geen van die categorieën is per definitie een persoonsgegeven in de zin van de AVG, maar ze zijn wel degelijk beschermd door het beroepsgeheim.

Beide regimes overlappen elkaar gedeeltelijk, maar zij zijn niet identiek. Rechtbank Rotterdam bevestigde in 2020 dat de AVG-verplichtingen kunnen worden beperkt ter bescherming van het beroepsgeheim, wat aantoont dat beide stelsels elk een eigen werkingssfeer hebben.

Een verwerkersovereenkomst dekt uitsluitend de AVG-dimensie af. Zij regelt hoe een leverancier met persoonsgegevens omgaat, maar het verschoningsrecht wordt door een DPA niet geraakt. Als een leverancier onder een buitenlandse jurisdictie valt, kan overheidstoegangsdwang het verschoningsrecht alsnog doorkruisen, los van wat er in de overeenkomst staat.

Daarbij komt een fundamenteel rechtspunt: het verschoningsrecht is een recht van de cliënt, niet van de advocaat. U oefent het slechts namens uw cliënt uit. Zodra vertrouwelijke informatie de controle van uw kantoor verlaat, staat dat recht onder druk, ongeacht de contractuele afspraken die u heeft gemaakt.

Dit onderscheid is direct relevant bij de beoordeling van cloud-gebaseerde AI-tools. Een privacybeleid of zero-retention-belofte beschermt de AVG-dimensie, maar raakt de kern van het beroepsgeheim niet. Wie dat onderscheid over het hoofd ziet, voldoet mogelijk aan de AVG en schendt tegelijkertijd artikel 11a Advocatenwet.

Een verwerkersovereenkomst is noodzakelijk maar niet voldoende

Wie een cloud-gebaseerde AI-tool wil inzetten binnen een advocatenkantoor, heeft onder de AVG minimaal drie documenten nodig: een verwerkersovereenkomst op grond van artikel 28 AVG, een gegevensbeschermingseffectbeoordeling (DPIA) voor verwerkingen met een hoog risico, en bij doorgifte buiten de EER ook een Transfer Impact Assessment. Deze documenten zijn niet optioneel; ze vormen samen het wettelijk minimum.

Wat deze documenten echter niet doen, is de onderliggende realiteit veranderen. Een verwerkersovereenkomst regelt contractueel de verhouding tussen de advocaat als verwerkingsverantwoordelijke en de leverancier als verwerker. Maar cliëntdata verlaten bij cloud-gebruik nog steeds het kantoor en worden verwerkt op externe infrastructuur, inclusief mogelijke subverwerkers zoals grote hostingpartijen. Elke schakel in die keten vereist aparte afspraken en toestemming.

Daar bovenop komen de NOvA-aanbevelingen van november 2025, die voorafgaande toestemming van de cliënt vereisen bij AI-gebruik waarbij cliëntdata worden verwerkt. Dat voegt een communicatie- en documentatieplicht toe die bij elke nieuwe zaak en elke nieuwe tool opnieuw moet worden nageleefd.

Voor een solo-advocaat of een klein kantoor zonder compliance-staf is dit een structureel terugkerende last. Per tool, per update, per nieuwe subverwerker moet de documentatie worden herzien.

Wie kiest voor een architectuur waarbij verwerking volledig lokaal plaatsvindt en data het kantoor fysiek niet verlaten, elimineert een deel van deze verplichtingen. Er is geen externe verwerker, dus er valt ook geen verwerkersovereenkomst te sluiten. Dat is geen juridische constructie, maar een technische realiteit.

Gedragsregel 3: niets doen is zelf een schending

De toelichting bij Gedragsregel 3 werd per 1 januari 2025 gewijzigd en legt advocaten een uitdrukkelijk actieve zorgplicht op voor de bescherming van cliëntgegevens. Dat betekent concreet: vertrouwen op de privacybelofte van een softwareleverancier is onvoldoende. Wie geen passende maatregelen treft, handelt zelf in strijd met de gedragsregel, ook als de leverancier zijn afspraken netjes nakomt.

De verplichting is bovendien aantoonbaar. Het is niet genoeg om de algemene voorwaarden van een AI-tool te hebben gelezen. U moet bij een kantooronderzoek kunnen laten zien welke tools u gebruikt, waarom u voor die tools heeft gekozen, en welke afwegingen u daarbij heeft gemaakt. Zonder vastlegging is dat bewijs achteraf niet te reconstrueren.

Een onderschat risico is shadow AI: medewerkers die op eigen initiatief AI-tools gebruiken, buiten kantoorrichtlijnen om. De advocaat-eigenaar blijft hiervoor verantwoordelijk. Een kantoor zonder helder beleid loopt het risico dat AI-gebruik afhankelijk wordt van de persoonlijke voorkeur van individuele medewerkers, met alle tuchtrechtelijke gevolgen van dien.

Een kantoorbeleid over AI-gebruik hoeft niet omvangrijk te zijn. Een beknopt document waarin staat welke tools zijn toegestaan, onder welke voorwaarden, en wie verantwoordelijk is, volstaat als vertrekpunt. Het toont aan dat u bewuste keuzes heeft gemaakt.

Gedragsregel 3 maakt de keuze van het AI-instrument zelf tot een professionele verantwoordelijkheid. Niet alleen hoe u een tool gebruikt, maar ook welke tool u kiest, valt onder uw zorgplicht als advocaat. Een instrument waarbij cliëntgegevens de kantooromgeving verlaten, vraagt om een gemotiveerde en gedocumenteerde afweging, ook als het contract er netjes uitziet.

AI-geletterdheid is verplicht, en shadow AI is een blinde vlek

Artikel 4 van de EU AI Act legt alle organisaties die AI-systemen gebruiken een concrete verplichting op: medewerkers moeten een toereikend niveau van AI-geletterdheid hebben. Deze verplichting geldt al sinds 2 februari 2025, niet pas vanaf een toekomstige handhavingsdatum. Wie nu nog geen aantoonbare maatregelen heeft getroffen, loopt al achter.

Wat de verplichting concreet betekent

AI-geletterdheid is geen vague eis. Iedereen in het kantoor die AI-tools gebruikt, moet begrijpen wat die tools doen, wat de beperkingen zijn, en welke risico's verbonden zijn aan gebruik met vertrouwelijke informatie. Dat geldt voor advocaten, paralegals, secretariaat en stagiairs. De wet schrijft geen specifiek examen of certificaat voor, maar de kantoor draagt de bewijslast: bij een incident of toezichtsvraag moet u aantoonbaar kunnen maken dat u maatregelen heeft genomen.

Shadow AI: de blinde vlek die de NOvA niet adresseert

Een praktisch en onderschat risico is shadow AI. Medewerkers die op eigen initiatief de gratis of Plus-versie van ChatGPT gebruiken voor cliëntgerelateerde taken, zonder medeweten van het kantoor, vormen een compliance-probleem dat de huidige NOvA-aanbevelingen niet expliciet behandelen. Standaard ChatGPT mag niet worden gebruikt met cliëntdata. Het risico op schending van artikel 11a Advocatenwet en aantasting van het verschoningsrecht is reëel: gegevens die de beveiligde kantooromgeving verlaten, zijn niet meer terug te halen.

Shadow AI ontstaat vaak niet uit onwil, maar omdat medewerkers behoefte hebben aan efficiënte tools en geen goedgekeurd alternatief voorhanden hebben. Een door het kantoor gesanctioneerde, veilige oplossing vermindert die prikkel direct. Het aanbieden van goedgekeurde tooling is daarmee geen luxe, maar een onderdeel van risicobeheer: u sluit de achterdeur die anders openblijft.

Welke AI-toepassingen zijn zinvol voor een klein advocatenkantoor?

Nu de compliance-context helder is, rijst de praktische vraag: waar levert AI in een klein advocatenkantoor daadwerkelijk iets op, zonder dat u juridische verantwoordelijkheid uit handen geeft?

1. Documentanalyse en dossieronderzoek

Omvangrijke dossiers handmatig doorzoeken kost tijd die niet declarabel is. AI kan snel door honderden pagina's zoeken, relevante passages identificeren en die direct terugkoppelen naar de vindplaats in het brondocument. Dat is geen juridische analyse; het is retrieval. De inhoudelijke beoordeling blijft bij u. Kantoren die dit structureel toepassen, rapporteren een aanzienlijke tijdsbesparing op documentintensieve taken, aldus de AI-gids voor juridische teams van Startbrain.

2. Dossiersamenvattingen voor overdrachten en interne briefings

Een dossier samenvatten voor een collega of een overdracht voorbereiden vereist geen juridisch oordeel; het vereist nauwkeurig lezen. Dat is precies het type taak waarvoor AI goed geschikt is. U controleert de samenvatting, maar u hoeft die niet zelf te schrijven.

3. Jurisprudentieonderzoek via RAG

Met retrieval-augmented generation doorzoekt de AI uw opgeslagen bronnen en geeft antwoorden met directe verwijzingen naar de exacte passage in het originele document. U ziet niet alleen het antwoord, maar ook precies waar het vandaan komt. Dat maakt de output controleerbaar en navolgbaar.

4. Opstellen van standaardbrieven en conceptcorrespondentie

AI kan een eerste concept opleveren op basis van uw instructies. U beoordeelt, past aan en tekent af. De tijdwinst zit in het lege-pagina-probleem: het concept is er al, u verfijnt het.

Belangrijk voorbehoud

Geen van bovenstaande toepassingen vervangt juridisch oordeel. Ze besparen tijd op taken waarbij dat oordeel niet vereist is. De inhoudelijke verantwoordelijkheid blijft volledig bij u als advocaat.

Waarom architectuur betrouwbaarder is dan een contract

De meeste cloud-gebaseerde AI-tools bieden juridische professionals contractuele waarborgen: een privacybeleid, een verwerkersovereenkomst op grond van artikel 28 AVG, of een belofte dat gegevens niet worden gebruikt voor modeltraining. Die documenten zijn niet waardeloos, maar zij vragen u iets fundamenteels: vertrouwen stellen in een partij die u niet kent, in afspraken die kunnen wijzigen, en in technische infrastructuur die u niet kunt inzien. Bij cloud-architecturen verlaten uw cliëntgegevens fysiek het kantoor, ongeacht wat er op papier staat.

Een lokale AI-oplossing werkt anders. Als het model volledig op uw eigen apparaat draait, zonder netwerkverbinding naar externe servers, bestaat het risico van ongewenste gegevensoverdracht eenvoudigweg niet. Niet omdat een contract dat verbiedt, maar omdat de architectuur het onmogelijk maakt. De data kunnen het apparaat niet verlaten. Dat is geen belofte; het is een eigenschap van het systeem.

Dit verschil heeft ook praktische gevolgen voor de cliëntcommunicatie die de NOvA-aanbevelingen vereisen. Bij een cloud-tool vraagt u uw cliënt in feite te vertrouwen op een derde partij die zij niet kennen en waarop zij geen invloed hebben. Bij een lokale tool informeert u uw cliënt simpelweg dat u software gebruikt die uitsluitend op uw eigen computer draait. Geen derde partij, geen overdracht, geen aanvullende toestemmingsvraag richting een externe verwerker.

LocalChat van LocalApps.ai is op dit principe gebouwd. Het is een desktopapplicatie die AI-modellen volledig lokaal uitvoert. Er worden geen API-aanroepen gedaan naar externe servers en er verlaat geen data het apparaat. Omdat er geen externe verwerker in het spel is, is er ook geen verwerkersovereenkomst vereist.

Voor kantoren die door de deken worden gevraagd hun AI-gebruik te documenteren, is dat een concreet voordeel. De audit wordt aanzienlijk eenvoudiger: er is geen dataoverdracht om te verantwoorden, geen externe verwerker om te benoemen en geen derde partij waarover u rekenschap moet afleggen.

Relevante regelgeving op een rij: wat geldt wanneer?

De regelgeving rond AI en advocatuur ontwikkelt zich snel. Hieronder staan de vijf ijkpunten die elk kantoor op de radar moet hebben.

1. 2 februari 2025: AI-geletterdheidsplicht van kracht Sinds 2 februari 2025 verplicht artikel 4 van de EU AI Act alle organisaties die AI inzetten, inclusief advocatenkantoren, om te zorgen dat medewerkers over voldoende kennis van AI-systemen beschikken. Dit geldt ongeacht de kantooromvang. Een eenpitter die een AI-tool gebruikt voor dossierbeheer valt er evengoed onder als een kantoor met tien advocaten.

2. November 2025: NOvA-aanbevelingen gepubliceerd De Nederlandse Orde van Advocaten publiceerde eind november 2025 formele aanbevelingen voor verantwoord AI-gebruik. Drie elementen staan centraal: voorafgaande cliënttoestemming, naleving van artikel 11a Advocatenwet inzake het beroepsgeheim, en actieve bescherming van het verschoningsrecht. De aanbevelingen zijn niet bindend, maar leggen wel een duidelijke professionele standaard neer waaraan dekens uw handelen kunnen toetsen.

3. 8 januari 2026: dekentoezicht formeel van start Het College van Toezicht Advocatuur heeft AI-gebruik per 8 januari 2026 opgenomen in het formele toezichtkader. Via kantooronderzoeken, vragenlijsten en kantoorbezoeken toetsen lokale dekens niet of u AI gebruikt, maar of u dat aantoonbaar zorgvuldig doet. Documentatie is daarmee geen bijzaak meer.

4. 2 augustus 2026: transparantieplicht voor AI-content Artikel 50 van de EU AI Act introduceert per 2 augustus 2026 een transparantieverplichting voor AI-gegenereerde inhoud en chatbots. Heeft uw kantoor een intake-chatbot op de website, dan vereist dat een verplichte AI-bekendmaking en een bijgewerkte privacyverklaring.

5. Maximale boete: 35 miljoen euro De EU AI Act stelt een maximale boete van 35 miljoen euro op verboden AI-praktijken. Dit bedrag raakt kleine kantoren doorgaans niet rechtstreeks, maar het geeft aan hoe zwaar de wetgever AI-risico's weegt. Het onderstreept dat compliance geen administratieve formaliteit is.

Conclusie: concrete stappen voor uw kantoor

De regelgeving is helder, de risico's zijn concreet en het toezicht is actief. Wat u nu nodig heeft, zijn vier praktische stappen.

1. Breng uw AI-gebruik in kaart. Inventariseer welke tools binnen uw kantoor worden gebruikt, inclusief wat medewerkers op eigen initiatief inzetten: browserextensies, schrijfhulpen, zoekmachines met AI-functies. Leg dit vast in een beknopt AI-register en stel een kantoorbeleid op dat beschrijft welke tools zijn toegestaan en onder welke voorwaarden.

2. Beoordeel per tool of cliëntdata het kantoor verlaat. Zo ja, dan zijn een verwerkersovereenkomst op grond van artikel 28 AVG, een DPIA bij hoog-risicoverwerking en voorafgaande cliënttoestemming vereist. Contractuele waarborgen zijn noodzakelijk, maar bieden geen volledige bescherming van het verschoningsrecht.

3. Overweeg een lokale AI-oplossing voor taken met vertrouwelijke dossierinhoud. Een tool die uitsluitend op uw eigen apparaat draait, elimineert de vraag naar verwerkersovereenkomst voor dat gebruik. Dat is geen oplossing voor alle AI-toepassingen, maar wel een architecturaal veiligere keuze voor dossiersearch en conceptcorrespondentie.

4. Zorg voor aantoonbaarheid. Bij een bezoek van de deken hoeft u geen uitgebreid handboek te overleggen, maar u moet wel kunnen laten zien welke keuzes u heeft gemaakt en waarom. Een beknopt register en een eenvoudig beleidsdocument volstaan.

Wilt u zien hoe een volledig lokale AI-tool werkt in de praktijk? LocalChat van LocalApps.ai is beschikbaar voor een gratis proefperiode, zonder cloudverbinding en zonder verwerkersovereenkomst.

Conclusie

AI biedt advocatenkantoren enorme kansen, maar vraagt tegelijk om een doordachte aanpak. De belangrijkste lessen uit dit artikel:

  • Compliance is geen optie, maar een verplichting. De AVG, de AI-verordening en de beroepsregels gelden onverkort, ook bij geautomatiseerde systemen.

  • Cliëntdata verdient maximale bescherming. Weet waar gegevens naartoe gaan en wie er toegang toe heeft.

  • Toezicht begint intern. Een heldere governance-structuur voorkomt misstappen voordat ze plaatsvinden.

  • Stilstaan is geen optie. De technologie ontwikkelt zich snel; kennis en beleid moeten dat tempo bijhouden.

Wacht niet tot de eerste incident zich voordoet. Evalueer vandaag nog welke AI-tools binnen jouw kantoor worden gebruikt en toets deze aan de geldende regelgeving. Een proactieve houding beschermt niet alleen je cliënten, maar ook de toekomst van je praktijk.