Die New York Times veröffentlichte diesen Monat einen Beitrag über ein kleines Phänomen, das gerade zu einem echten wird. Wirtschaftsanwälte eröffnen ihre virtuellen Meetings inzwischen so, wie Nachtclubs es tun: indem sie jeden hinauswerfen, der nicht dort sein sollte. Der ungebetene Gast ist der KI-Notizassistent.
Jeffrey Gifford, Wirtschaftsanwalt in San Antonio, sagte der Zeitung, er beginne jedes Gespräch mit einem Namensaufruf. “Hallo Mike, Jim, Barbara, ich sehe, der KI-Notizassistent ist aufgetaucht. Ich schalte ihn aus und werfe ihn aus dem Meeting.” Jeder und seine Mutter, sagte er, nutze diese Dinger. Führungskräfte, Vorstandsmitglieder, Justiziare. Und jedes einzelne dieser Werkzeuge frisst sich still und leise durch das Immunsystem des Unternehmens.
Zwei juristische Zeitbomben in einer Produktkategorie
Der Artikel benennt zwei verschiedene Risiken, die Anwälte um drei Uhr morgens aufwachen lassen.
Das erste ist die Discovery, die prozessuale Offenlegung. Eine Vorstandssitzung hat normalerweise kein Protokoll, das jede Nebenbemerkung festhält. Protokolle sind kuratiert; sie halten Entscheidungen fest, nicht die Momente vor den Entscheidungen. Ein KI-Transkript hält alles fest: den Witz, der nie hätte protokolliert werden dürfen, den halbfertigen Vorschlag, der zehn Sekunden später zurückgezogen wurde, die Führungskraft, die sagt, ihr Produkt werde “die Kategorie dominieren”, in einem Satz, der als Ermutigung gemeint war und den eine Aufsichtsbehörde als Kartellrechtsbeweis lesen wird. Sobald dieses Transkript existiert, ist es ein Dokument. Und Dokumente unterliegen der Offenlegung.
Das zweite ist das Anwaltsgeheimnis. Kommunikation zwischen Anwalt und Mandant genießt einen besonderen Schutz im Recht, verliert ihn aber, wenn das Gespräch mit einem Außenstehenden geteilt wird. Das ist die Regel, die Anwälte bei KI-Notizassistenten in juristischen Besprechungen nervös macht. Der Notizassistent ist ein Anbieter. Die Transkripte gehen auf die Server des Anbieters. Die Nutzungsbedingungen des Anbieters erlauben ihm, Verschiedenes damit zu tun. Wenn ein Gericht den Anbieter für die Zwecke des Anwaltsgeheimnisses als Dritten behandelt – und es gibt inzwischen eine Entscheidung eines Bundesgerichts, die genau das über manche dieser Anbieter sagt –, dann ist es dasselbe, das Meeting mit dem Bot zu teilen wie mit jemandem außerhalb des geschützten Kreises. Das Anwaltsgeheimnis verdampft. Das Gespräch, das geschützt sein sollte, wird zum Beweismittel.
Was Richter Rakoff tatsächlich gesagt hat
Im Februar dieses Jahres entschied Bundesrichter Jed S. Rakoff im Southern District of New York, dass Transkripte, die ein Angeklagter erzeugt hatte, indem er Claude um Rechtsrat bat, nicht vom Anwaltsgeheimnis geschützt seien. Die Begründung zählt mehr als das Ergebnis. Zwei Tatsachen über das Verhältnis zum Anbieter richteten den Schaden an.
Erstens: Das Modell wurde mit Nutzereingaben trainiert. Die Seite des Angeklagten am Gespräch war im Prinzip Treibstoff für die nächste Version des Produkts.
Zweitens: Die Datenschutzrichtlinie des Anbieters enthielt Hinweise auf seine Möglichkeit, Nutzerdaten an Dritte weiterzugeben, darunter “staatliche Aufsichtsbehörden”. Der Angeklagte, so der Richter, könne keine berechtigte Erwartung von Vertraulichkeit haben, wenn der Anbieter sich selbst das Recht zur Offenlegung vorbehalten habe.
Das ist der Präzedenzfall, der Wirtschaftsanwälte aufschreckt. Es ist zugleich ein Präzedenzfall, der von zwei architektonischen und vertraglichen Tatsachen über den Anbieter abhängt, nicht von irgendetwas, das der Technologie großer Sprachmodelle innewohnt. Das heißt, man kann den Präzedenzfall wegkonstruieren. Man muss nur ein Produkt bauen, das diese beiden Eigenschaften nicht hat.
Was wir gebaut haben
Ostler RemoteCapture ist der Meeting- und Gesprächsrekorder, der mit dem Ostler Hub ausgeliefert wird. Er erledigt dieselbe Aufgabe wie Otter und Fathom und Granola und Read.ai. Er hört das Audio ab, erstellt ein Transkript, fasst das Gespräch zusammen und legt das Ergebnis ab. Funktional könnten Sie sie in einer Demo nicht auseinanderhalten.
Architektonisch gehören sie nicht in dieselbe Produktkategorie.
RemoteCapture führt die Transkription auf dem eigenen Mac des Kunden aus. Es gibt keinen Anbieterserver in der Pipeline. Wir verwenden Argmax’ WhisperKit, eine On-Device-Implementierung von OpenAIs Whisper-Modell, die vollständig auf dem Mac des Kunden läuft. Das Audio verlässt das Gerät nie. Das Transkript verlässt das Gerät nie. Die Zusammenfassung wird vom lokalen Sprachmodell erzeugt, das Kunden auf ihrem eigenen Hub betreiben. Creative Machines – das Unternehmen, das Ostler herstellt – sieht kein einziges Wort Ihres Meetings.
Das ist keine Marketingbehauptung. Es ist eine Eigenschaft davon, wohin die Bytes gehen. Sie können es mit der Netzwerk-Firewall von macOS überprüfen. Sie können es mit Little Snitch überprüfen. Sie können die Internetverbindung vollständig trennen, und Aufnahme, Transkription, Zusammenfassung und Ablage funktionieren allesamt weiter. Wir haben in dieser Pipeline keinen Server, weil die Architektur keinen braucht.
Diese Eigenschaft ist kein Beiwerk. Sie ist der ganze Punkt. Sie macht es unmöglich, die beiden Tatsachen zu wiederholen, die in Rakoff den Schaden anrichteten:
1. Wir trainieren nicht mit Ihren Meetings. Nicht, weil wir versprechen, es nicht zu tun. Sondern weil die Daten auf keinem System existieren, das wir kontrollieren. Es gibt keinen Upload-Schritt, in dem sie abgefangen werden könnten, keinen Protokollierungsschritt, in dem sie aufbewahrt werden könnten, keinen Trainingsschritt, in dem sie aufgenommen werden könnten. Die Daten existieren auf Ihrer Maschine, in einem Verzeichnis, das Ihnen gehört und das Sie löschen können.
2. Wir haben keine Richtlinie, die die Weitergabe Ihrer Meetings an Dritte erlaubt, weil wir keine Meetings haben, die wir weitergeben könnten. Laden Sie uns vor, so viel Sie wollen. Wir haben nichts herauszugeben. Die Maschine des Kunden hält weiterhin, was sie hält, und diese Maschine ist nur über den Kunden selbst erreichbar. Genau dort soll das rechtliche Verfahren auch landen.
Das Einwilligungsprotokoll – was es ist und was es nicht ist
Es gibt einen zweiten Teil, bei dem sich Genauigkeit lohnt, einschließlich der Grenze dessen, was er leistet. RemoteCapture führt auf der Maschine des Kunden ein manipulationserkennendes Einwilligungsprotokoll. Jede Aufnahmesitzung wird protokolliert, mit der vom Kunden gewählten Rechtsgrundlage, den Einwilligungsregeln der jeweiligen Rechtsordnung für Aufnahmen und einer kryptografischen Kette, die nachträgliche Manipulation sichtbar macht. Die Datenbank ist im Ruhezustand mit SQLCipher verschlüsselt. Die Kette ist Block für Block per HMAC verkettet.
Was das Protokoll festhält, ist die Erklärung des Kunden, keine überprüfte Tatsache. Wenn der Kunde vor dem Start einer Aufnahme “Einwilligung aller Beteiligten” angibt, wird protokolliert, dass der Kunde die Einwilligung aller Beteiligten behauptet hat. Das Protokoll kann nicht unabhängig überprüfen, ob wirklich jeder Teilnehmer zugestimmt hat. Dieser Teil liegt in der Verantwortung des Kunden.
Das schneidet in beide Richtungen. Hat der Kunde die Einwilligung wirklich eingeholt, hilft das Protokoll zu belegen, dass die Aufnahme eine bewusste, bezeugte Entscheidung war und kein Versehen, zusammen mit den zeitnahen Belegen aus der realen Welt, die der Kunde hat. Hat der Kunde die Einwilligung nicht eingeholt und das Kästchen trotzdem angekreuzt, zeigt das Protokoll, was er getan hat. Wir sind nicht der Ansicht, dass ein Produkt jemandem helfen sollte, Menschen heimlich aufzunehmen und dabei etwas anderes vorzugeben.
Was das in der Praxis bedeutet:
- Rechtsordnungen mit Einwilligung einer Partei (die meisten US-Bundesstaaten, andere): Die eigene Einwilligung des Kunden genügt. Das Protokoll dokumentiert schlicht, was getan wurde.
- Rechtsordnungen mit Einwilligung aller Beteiligten (Vereinigtes Königreich, EU, Kalifornien, ~11 weitere US-Bundesstaaten): Der Kunde muss die Einwilligung jedes Teilnehmers tatsächlich einholen, bevor er sich zu seiner Verteidigung auf das Protokoll stützt. Das Ankreuzen des Kästchens ersetzt nicht das Einholen der Einwilligung. Kreuzen Sie das Kästchen unredlich an und wird die Aufnahme später bestritten, zeigt das Protokoll, dass Sie es getan haben.
- In jeder Rechtsordnung: Das Protokoll liegt auf dem Gerät des Kunden. Es wird nicht mit uns geteilt, und wir können es auf eine Vorladung hin nicht herausgeben, weil wir es nie haben. Discovery gegen das Gerät ist weiterhin möglich; Discovery gegen Ostler nicht.
Einwilligung ist eine echte Rechtsfrage. Ostlers Aufgabe ist es, die architektonischen Grundbausteine bereitzustellen – lokale Erfassung, manipulationserkennende Protokollierung, keine Weitergabe durch den Anbieter – und die Wahl in den Händen des Kunden zu lassen. Der rechtliche und ethische Gehalt dieser Wahl bleibt beim Kunden. Wenn Sie in Ihrem Berufsleben Gespräche aufzeichnen, sollten Sie die Regeln Ihrer Rechtsordnung kennen. Das Produkt kann das nicht für Sie entscheiden.
Die ehrlichen Grenzen
Es ist wichtig, offen zu sagen, was local-first Ihnen bringt und was nicht.
Local-first bedeutet nicht “Ihr Meeting wird nie in einem Rechtsstreit auftauchen”. Ordnet ein Gericht die Herausgabe des Geräts an und liegt das Transkript auf dem Gerät, wird das Transkript herausgegeben. Der Schutz besteht hier nicht gegen Discovery gegen den Kunden. Er besteht gegen Discovery gegen den Anbieter, gegen versehentliche Offenlegung gegenüber Dritten und gegen den Verlust des Anwaltsgeheimnisses, der entsteht, wenn Gespräche außerhalb des geschützten Kreises geteilt werden. Das sind die Fehlermodi, die den Anwälten im Times-Beitrag Sorgen machen. Das sind die Fehlermodi, die local-first konstruktionsbedingt beseitigt.
Local-first bedeutet nicht “Sie brauchen keine Aufbewahrungsrichtlinie”. Sie brauchen eine. Das Transkript auf Ihrer Maschine ist weiterhin ein Dokument. Es gehört weiterhin in Ihren Lebenszyklus der Aktenverwaltung. Die Discovery-Sorge des Times-Artikels – dass KI alles erfasst, auch die Dinge, von denen Sie sich wünschten, sie wären nie aufgeschrieben worden – wird durch den Ort, an dem die Aufnahme liegt, gemildert, nicht beseitigt.
Was local-first sehr wohl bedeutet: Das Risiko für das Anwaltsgeheimnis aus Rakoff greift nicht. Die architektonischen Tatsachen, die die Entscheidung gegen den Angeklagten ausfallen ließen, fehlen in unserem Produkt, und zwar mit Absicht.
Was wir Anwälten raten würden
Wenn Sie Anwalt sind und ein Mandant Sie fragt, ob er einen KI-Notizassistenten nutzen sollte, lohnen sich drei Fragen:
Wohin geht das Audio? Lautet die Antwort “auf einen Anbieterserver”, ist die Rechnung zum Anwaltsgeheimnis die Rechnung aus Rakoff. Lautet die Antwort “auf das eigene Gerät des Kunden”, ist sie es nicht.
Gehört der Anbieter zum geschützten Kreis? Ein Anbieter, der Ihr Transkript hält, ist ein Dritter. Ein Stück Software auf der Maschine Ihres Mandanten, das das Transkript auf derselben Maschine hält, ist es nicht. Die rechtliche Kategorie ist eine andere.
Hatte die aufzeichnende Partei tatsächlich eine Einwilligung? Ein manipulationserkennendes Protokoll auf dem Gerät dokumentiert, was der Kunde zu diesem Zeitpunkt erklärt hat, und das ist in beide Richtungen ein nützlicher Beleg. Es ersetzt aber nicht das tatsächliche Einholen der Einwilligung in Rechtsordnungen, die die Zustimmung aller Beteiligten verlangen. Hat der Kunde das Kästchen angekreuzt, ohne die Einwilligung zu sichern, wird das Protokoll getreu zeigen, dass er genau das getan hat.
Der größere Punkt
Die KI-Produktivitätswelle ist real. Cloud-KI-Notizassistenten werden nicht verschwinden, weil die New York Times einen besorgten Artikel geschrieben hat. Sie sind zu bequem und zu billig, um an einem Argument zum Anwaltsgeheimnis zu scheitern, von dem die meisten Nutzer nie gehört haben.
Aber die Lücke zwischen “billig und bequem” und “sicher genug für einen regulierten Berufsstand” ist genau die Lücke, die local-first-Produkte füllen. Anwälte, Vorstandsmitglieder, Führungskräfte, Ärzte, jeder, dessen Gespräche rechtliches Gewicht haben – das ist der Kunde, der die Architektur braucht, nicht das Marketing. Die Architektur ist die Richtlinie. Die Architektur ist die Rechnung zum Anwaltsgeheimnis. Die Architektur ist das, was der Artikel der New York Times diesen Kunden indirekt zu fordern nahelegt.
Ostler RemoteCapture wird mit dem v1.0 Hub ausgeliefert, ab heute erhältlich auf ostler.ai. Der Hub kostet einmalig $99. Ihre Meetings bleiben auf Ihrem Mac.
Gedanken, Fragen oder Widerspruch an hello@ostler.ai.