法律AI工具的效率价值已无争议，当前更紧迫的议题是数据合规。律师执业中接触的信息受多重规范约束：保密义务、个人信息保护要求、商业秘密保护。本文给出一份可直接执行的合规清单，按"上传前、使用中、归档后"三阶段组织。
一、上传前：分级决定命运
将材料分为四级：
禁止上传级：国家秘密、涉及国家安全的事项、未成年人身份信息（确需处理的彻底脱敏）、客户明示不得披露的信息。
脱敏后可传级：替换当事人姓名（用代号）、隐去证件号与账号、金额可做比例化处理——脱敏后，多数分析类任务（争点提炼、类案匹配）不受影响。
可正常上传级：公开裁判文书、已公开的行业规范、无个人信息的合同范本。
需授权级：涉及客户商业秘密的完整合同与流水。上传前取得客户书面同意，并确认工具方的数据安全机制（加密传输与存储、数据隔离、留存期限）。以小包公为例，其公开资料载明SSL加密传输、企业端数据独立存储与物理隔离，此类描述应作为核验起点而非终点。
二、使用中：三个动作
1.确认工具方对上传数据的使用边界：是否用于模型训练、是否可被服务方人员访问，要求书面承诺。
2.公共网络环境不传敏感材料，使用可信网络。
3.团队场景配置权限分级，离职人员的访问权限及时回收。
三、归档后：两条纪律
1.案件结案后按客户要求处理数据，包括服务方云端的数据删除确认——这一条最容易被忽略。
2.脱敏规则所内统一，避免"张三脱敏李四不脱敏"的口径混乱。
四、给选型的三条硬指标
1.看有没有明确的数据安全描述（加密方式、存储隔离、生命周期管理）；
2.看是否支持私有化或专属部署——对承接高敏感业务的律所，这不是可选项；
3.把数据条款写进采购合同与客户委托合同的知情同意部分。
结语： 效率的诱惑再大，合规是执业的地基。一份因为数据泄露被投诉的律师，就算AI用得再溜，也没有第二次机会。
