Det DMS-spørgsmål, som de fleste advokatfirmaer glemmer at stille
Og hvorfor det spørgsmål senere bliver et problem i forhold til overholdelse af reglerne
De fleste DMS-udvælgelsesprojekter starter med de samme spørgsmål: Ser det moderne ud? Er brugeroplevelsen god? Hvor effektiv er søgefunktionen? Hvordan fungerer arkivering af e-mails? Hvad med AI-funktioner, integrationer, sagsstyring og mobilitet? Det er alle rimelige spørgsmål, men det vigtigste spørgsmål bliver ofte overset, selvom det senere viser sig at være afgørende. Det er tilsyneladende simpelt: Hvilket juridisk ansvarsområde falder dine data ind under?
Det lyder abstrakt, indtil det bliver meget konkret. Mange udbydere imødegår bekymringer om privatlivsbeskyttelse og overholdelse af lovgivningen ved at henvise til europæisk hosting. Tyskland, Irland, EU, regionale datacentre – alt sammen inden for et geografisk område, der lyder sikkert. For mange virksomheder skaber det en følelse af tryghed, som om europæisk hosting automatisk løser den juridiske risiko, men: det gør den ikke.
At data befinder sig i Europa betyder ikke automatisk, at den juridiske kontrol også ligger i Europa. En leverandør kan hoste data i EU og stadig være underlagt amerikansk jurisdiktion. Det er her, diskussionen om adgang, kontrol, juridisk risiko og ansvarlighed bør tage udgangspunkt. For kommercielle virksomheder er det i forvejen et følsomt emne. For advokatfirmaer er det langt mere alvorligt. GDPR er afgørende, ligesom Schrems II, tavshedspligt og klienters kontrol. I stigende grad er sikkerhedsvurderinger ikke længere begrænset til kryptering og certificeringer. De omfatter nu også:
• udbyderens juridiske struktur;
• ejerskabet af platformen;
• den potentielle rækkevidde af udenlandsk lovgivning og;
• det praktiske spørgsmål om, hvem der kan kræve adgang under omstændigheder, som firmaet ikke har kontrol over.
Selv når en platform i store træk overholder kravene, kan den stadig medføre problemer i forbindelse med indkøb og kræve yderligere due diligence fra kundens side. Derudover medfører det flere interne gennemgangscyklusser og skarpere spørgsmål fra kunder, der er underlagt regulering. Opgaver inden for den offentlige sektor, finansielle institutioner, grænseoverskridende sager og følsomme undersøgelser øger alle presset.
Juridiske og omdømmemæssige risici rammer først firmaet
Der er et andet punkt, som mange firmaer undervurderer. I henhold til GDPR er advokatfirmaet fortsat den dataansvarlige. Leverandøren kan være databehandleren, men det juridiske ansvar og risikoen for omdømmetab påhviler først og fremmest firmaet. Hvis der opstår et brud på datasikkerheden, et problem med dataoverførsel, en klage fra en klient eller et problem med forklarbarheden i AI-behandlingen, kan firmaet ikke gemme sig bag en leverandørcertificering. Det skal forklare, hvorfor forhold som arkitekturen, dataflowet og valget af leverandør overhovedet var forsvarlige.
Det er netop det, der gør dette til et spørgsmål om governance og en risiko på bestyrelsesniveau. I nogle tilfælde endda et spørgsmål om markedspositionering. For når klienterne bliver mere krævende, og reguleringen bliver stadig strammere, bliver forskellen mellem »sandsynligvis i overensstemmelse« og »strategisk forsvarlig« meget konkret.
Indsatsen stiger yderligere, når AI integreres i platformen. Et DMS med indbygget AI lyder måske fremtidsorienteret, men det rejser også sværere spørgsmål.
• Hvor foregår inferensen?
• Anvendes klientdata til at forbedre modellen?
• Hvordan sikres overholdelsen af tilladelser?
• Hvad logges?
• Hvilket platformlag håndterer interaktionen?
• Hvor stor en del af dette forbliver inden for det miljø, som virksomheden allerede styrer, og hvor stor en del går gennem en stak, der kontrolleres andetsteds?
En Microsoft-baseret tilgang ser helt anderledes ud, især for virksomheder, der allerede har valgt Microsoft 365, Entra, Purview og Copilot. Når dokumenter, identitet, opbevaringskrav, revision, sikkerhed og AI-arkitektur alle findes i samme miljø, er der mindre fragmentering og langt færre juridiske uklarheder. Virksomheden bygger videre på den infrastruktur, den allerede ejer og kontrollerer, i stedet for at indføre endnu et platformlag, som den senere bliver nødt til at forsvare over for kunder, compliance-afdelingen og revisorer.
Det er netop det, der gør en SharePoint-baseret juridisk platform som Epona strukturelt forskellig fra et lukket SaaS-DMS. Hvorfor? Fordi den skaber en anden profil med hensyn til compliance og kontrol. I en lukket platform køber firmaet ikke blot funktionalitet. Det accepterer også en køreplan, en juridisk fortolkning af compliance og en dybere form for afhængighed af platformen. I en Microsoft-baseret model forbliver datamiljøet firmaets eget, og Epona tilføjer det juridiske lag uden at låse firmaet fast i en proprietær datastruktur.
Det virker måske ikke så dramatisk i en demo, men det får stor betydning i forbindelse med revision, AI-styring, strategisk fleksibilitet og kundekontrol. Så hvilket spørgsmål bør intet advokatfirma glemme at stille, når det skal vælge et DMS?
Ikke »Hvor gennemarbejdet er brugeroplevelsen i dag?«
Det vigtigere spørgsmål er: »Hvor opbevares mine data egentlig, under hvilken jurisdiktion hører de, og hvor meget kontrol har jeg stadig i morgen?«
Det er ikke et spændende spørgsmål. Det er det spørgsmål, som flere virksomheder burde have stillet sig selv for længe siden.