De DMS-vraag die de meeste advocatenkantoren vergeten te stellen
En waarom die vraag later tot een nalevingsprobleem leidt
De meeste DMS-selectieprojecten beginnen met dezelfde vragen: Ziet het er modern uit? Is de gebruikerservaring goed? Hoe krachtig is de zoekfunctie? Hoe werkt het archiveren van e-mails? Hoe zit het met AI-functies, integraties, dossierbeheer en mobiliteit? Allemaal terechte vragen, maar de belangrijkste vraag wordt vaak over het hoofd gezien, ook al blijkt die later doorslaggevend te zijn. De vraag is bedrieglijk eenvoudig: onder wiens juridische bevoegdheid vallen uw gegevens?
Dat klinkt abstract, totdat het heel concreet wordt. Veel leveranciers reageren op zorgen over privacy en naleving door te verwijzen naar Europese hosting. Duitsland, Ierland, de EU, regionale datacenters; allemaal keurig binnen een regio die veilig klinkt. Voor veel bedrijven geeft dat een gevoel van geruststelling, alsof Europese hosting het juridische risico automatisch wegneemt, maar: dat is niet zo.
Het feit dat gegevens in Europa worden opgeslagen, betekent niet automatisch dat er ook juridische zeggenschap in Europa is. Een leverancier kan gegevens in de EU hosten en toch onder de Amerikaanse jurisdictie vallen. Dat is het uitgangspunt waar het gesprek over toegang, zeggenschap, juridische risico’s en verantwoordingsplicht moet beginnen. Voor commerciële bedrijven is dat al een gevoelig punt. Voor advocatenkantoren ligt het nog veel ernstiger. De AVG is van belang, net als Schrems II, het beroepsgeheim en de controle door cliënten. Beveiligingsbeoordelingen beperken zich steeds vaker niet meer tot versleuteling en certificeringen. Ze strekken zich nu uit tot:
• de rechtsvorm van de aanbieder;
• de eigendomsstructuur van het platform;
• de mogelijke toepasselijkheid van buitenlands recht en;
• de praktische vraag wie toegang zou kunnen eisen in omstandigheden waarover het kantoor geen controle heeft.
Zelfs als een platform in grote lijnen aan de voorschriften voldoet, kan het toch voor wrijving bij de inkoop zorgen en extra due diligence-verplichtingen voor klanten met zich meebrengen. Daarnaast leiden het tot meer interne beoordelingscycli en strengere vragen van klanten die onder toezicht staan. Opdrachten in de publieke sector, financiële instellingen, grensoverschrijdende zaken en gevoelige onderzoeken verhogen allemaal de druk.
Juridische en reputatierisico’s komen in de eerste plaats bij het kantoor terecht
Er is nog een tweede punt dat veel kantoren onderschatten. Op grond van de AVG blijft het advocatenkantoor de verwerkingsverantwoordelijke. De leverancier mag dan wel de verwerker zijn, maar de juridische en reputatierisico’s komen in de eerste plaats bij het kantoor terecht. Als er sprake is van een inbreuk, een probleem met de gegevensoverdracht, een klacht van een cliënt of een probleem met de verklaarbaarheid van AI-verwerking, kan het kantoor zich niet verschuilen achter een certificering van de leverancier. Het moet uitleggen waarom zaken als de architectuur, de gegevensstroom en de keuze voor de leverancier überhaupt verdedigbaar waren.
Dat maakt dit tot een kwestie van governance en een risicokwestie op bestuursniveau. In sommige gevallen zelfs een kwestie van marktpositionering. Want zodra cliënten veeleisender worden en de regelgeving steeds strenger wordt, wordt het verschil tussen „waarschijnlijk compliant“ en „strategisch verantwoord“ heel reëel.
De inzet wordt nog hoger wanneer AI in het platform wordt geïntegreerd. Een DMS met ingebouwde AI klinkt misschien vooruitstrevend, maar roept ook lastigere vragen op.
• Waar vindt de inferentie plaats?
• Worden klantgegevens gebruikt om het model te verbeteren?
• Hoe worden machtigingen gewaarborgd?
• Wat wordt er gelogd?
• Welke platformlaag verwerkt de interactie?
• Hoeveel daarvan blijft binnen de omgeving die het bedrijf al beheert, en hoeveel verloopt via een stack die elders wordt beheerd?
Een ‘Microsoft-native’ aanpak ziet er aanzienlijk anders uit, vooral voor bedrijven die al gebruikmaken van Microsoft 365, Entra, Purview en Copilot. Wanneer documenten, identiteit, bewaartermijnen, audits, beveiliging en AI-architectuur allemaal in dezelfde omgeving zijn ondergebracht, is er minder versnippering en veel minder juridische onduidelijkheid. Het bedrijf bouwt voort op infrastructuur die het al in bezit heeft en beheert, in plaats van een extra platformlaag toe te voegen die het later moet verdedigen tegenover klanten, toezichthouders en auditors.
Dat is wat een SharePoint-gebaseerd juridisch platform zoals Epona structureel onderscheidt van een gesloten SaaS-DMS. Waarom? Omdat het een ander profiel op het gebied van compliance en controle oplevert. Bij een gesloten platform koopt het kantoor niet alleen functionaliteit. Het accepteert ook een roadmap, een juridische interpretatie van compliance en een diepere vorm van platformafhankelijkheid. In een Microsoft-native model blijft de dataomgeving eigendom van het kantoor, en voegt Epona de juridische laag toe zonder het kantoor vast te pinnen op een propriëtaire datastructuur.
Dat lijkt misschien niet zo ingrijpend in een demo, maar het krijgt wel grote gevolgen bij audits, AI-governance, strategische flexibiliteit en klantonderzoek. Welke vraag mag een advocatenkantoor dan zeker niet vergeten te stellen bij de keuze voor een DMS?
Niet: „Hoe gestroomlijnd is de gebruikerservaring op dit moment?”
De belangrijkere vraag is: „Waar worden mijn gegevens daadwerkelijk opgeslagen, onder wiens juridische bevoegdheid vallen ze en hoeveel zeggenschap heb ik er morgen nog over?”
Het is geen spannende vraag. Het is juist de vraag die meer bedrijven al veel eerder hadden moeten stellen.