Sikkerhet og personvern

Lagabøte er et juridisk arbeidsverktøy for norske advokater og jurister. Her finner du hvordan vi beskytter kundedata, hvilke standarder vi arbeider etter, hvilke underleverandører vi bruker og hvordan du får tilgang til sikkerhetsdokumentasjon.

Sikkerhet og sårbarheter: security@lagabote.no · Personvern: personvern@lagabote.no · Alle avtaledokumenter: www.lagabote.no/juridisk

Har du sett at KI-funksjonene gir feil eller kan skade noen, vil vi vite det: skriv til security@lagabote.no.

Rammeverk og regelverk

GDPR

Vi følger personvernforordningen (GDPR) og personopplysningsloven. Vi er databehandler for innholdet ditt og inngår databehandleravtale med alle virksomhetskunder; malen er åpen.
Taushetsplikt

Advokater, jurister og offentlige virksomheter har lovbestemt taushetsplikt, og den gjelder også for dem som arbeider for dem. Tjenesten er bygget for at dere kan overholde den: ansatte i Lagabøte ser ikke innholdet ditt, bortsett fra når du ber om det, ved en sikkerhetshendelse eller når loven krever det.
EUs KI-forordning

Lagabøte følger EUs KI-forordning: du får vite at du bruker KI, og generert tekst er merket. Tjenesten er ikke et høyrisikosystem etter sitt formål.
ISO/IEC 27001

Styringssystemet for informasjonssikkerhet følger ISO/IEC 27001:2022. Vi kaller oss ikke sertifisert før sertifikatet foreligger.

Dokumenter

Åpne dokumenter

Policy Kunstig intelligens og kundedata
Hvordan Lagabøte bruker språkmodeller, hvor kallene kjøres og hvorfor kundedata ikke brukes til trening.
Juridisk Databehandleravtale
Standard databehandleravtale mellom kunden som behandlingsansvarlig og Lagabøte AS som databehandler, etter personvernforordningen artikkel 28.
Policy Informasjonssikkerhetspolicy
Overordnet policy for informasjonssikkerhet, godkjent av daglig leder og revidert årlig.
Juridisk Personvernerklæring
Hvilke personopplysninger Lagabøte AS behandler som behandlingsansvarlig, hvorfor, hvor lenge, hvem som mottar dem og hvilke rettigheter du har.
Juridisk Standardvilkår for virksomheter
Vilkårene for virksomheters og offentlige organers bruk av Lagabøte, med tjenestenivå, taushetsplikt, tiltenkt formål og exit. Offentlige kunder kan bruke dem som bilag 10 i statens standardavtaler for skytjenester.

På forespørsel

Prosedyre Hendelseshåndtering Be om tilgang
Prosedyre for håndtering av sikkerhetshendelser og brudd på personopplysningssikkerheten. Berørte kunder varsles senest 24 timer etter at vi ble kjent med bruddet, og Datatilsynet innen 72 timer når vi er behandlingsansvarlig.

Sikkerhetstiltak

Sist kontrollert 2026-11-09.

Tilgangsstyring

Innlogging og økter

Du logger inn med Lagabøte-konto, som kontotjenesten vår verifiserer. Deretter får du en egen økt i tjenesten. Hver forespørsel sjekker at økten fortsatt gjelder, så utlogging, tilbaketrukne eller utløpte økter og slettede brukere avvises straks, også med et gyldig tilgangsbevis. Arbeid som allerede er satt i gang, avbrytes ikke av utlogging.
Tilgangsstyring i tjenesten

Tilgang avgjøres for hver forespørsel ut fra medlemskap i arbeidsområdet, deltakelse i saken og delinger. Administratorer får ikke tilgang til innhold gjennom rollen. De kan styre tilganger, og gir de seg selv tilgang, registreres det i sikkerhetsloggen vår. Ukjente roller avvises.

Applikasjonssikkerhet

Hemmeligheter

Nøkler og passord forvaltes i Azure Key Vault og holdes utenfor kildekoden, og hver pull request skannes automatisk for hemmeligheter.
Penetrasjonstest

Hele tjenesten er penetrasjonstestet før lansering etter OWASP ASVS nivå 2: Lagabøte, Lagabøte-konto og innloggingen mellom dem. Testen gjentas hvert år og etter større endringer. Sammendraget får du på forespørsel mot en konfidensialitetsavtale.

Datasikkerhet

Kryptering under overføring

Nettstedene våre svarer bare over HTTPS med TLS 1.2 eller nyere og sender HSTS. Databasene våre avviser ukrypterte forbindelser; det håndheves på databaseserveren.
Kryptering av lagrede data

Databasene, de opplastede filene og sikkerhetskopiene er kryptert med AES-256 hos leverandørene, med nøkler de forvalter.
Data i EU

Innholdet ditt lagres og behandles i EU/EØS, og modellkall med kundedata kjøres hos leverandører i EU og avvises heller enn å kjøres utenfor EU. Underleverandørlisten viser hvor hver leverandør behandler data, og hvilke overføringer ut av EØS som kan skje etter EUs standardavtaler: rutingen av modellkall og driftsdata uten innhold.

Leverandørstyring

Underleverandører

Vi fører et register over alle leverandører som behandler kundedata, med formål, dataregion og overføringsgrunnlag, kontrollerer det mot det faktiske oppsettet og gjennomgår det minst én gang i året. Listen over underleverandører på denne siden er hentet fra registeret.

Underleverandører

Alle leverandører som behandler kundedata eller kundenes innhold på våre vegne, med formål og region. Vi varsler her før vi tar i bruk en ny.

Leverandør	Formål og region
Anthropic (via AWS Bedrock)	Språkmodell for assistenten, kjørt i EU uten trening på kundedata. Leverandøren lagrer ikke forespørslene, med unntak av forespørsler som flagges i leverandørens misbrukskontroll.
Microsoft 365	E-post og dokumenter for teamet, også henvendelser fra kunder. EU/EØS, under Microsofts EU Data Boundary.
Microsoft Azure	Nøkkelhvelv, sikkerhetskopier, driftsjobber og lagring av dokumenter fra domstolene i Norge øst, og innlogging for teamet (Entra ID).
Neon	Database for kontoer, arbeidsområder og saker. Frankfurt (EU).
OpenAI	Vektorrepresentasjoner for søk i dokumenter. Kjøres i EU uten trening på kundedata.
Railway	Database for rettskilder og søk. Nederland (EU).
Resend	Utsending av e-post med engangskoder og invitasjoner. Irland (EU).
Vercel AI Gateway	Ruter kall til språkmodellene. Assistentens kall kan bare kjøres hos modelleverandører i EU og avvises ellers, men selve ruteren er ikke låst til en region, så forespørsler kan passere Vercel-servere utenfor EU, under EUs standardkontraktsbestemmelser.
Vercel	Drift av webapplikasjonen, fillagring og bakgrunnsjobber i Frankfurt (EU). Metadata uten innhold om bakgrunnsjobber og driftslogger kan lagres utenfor EU, også i USA, under EUs standardkontraktsbestemmelser.

Spørsmål og svar

Personvern og taushetsplikt

Følger dere personvernforordningen (GDPR)?

Ja. Vi følger personvernforordningen og personopplysningsloven. Vi er databehandler for innholdet ditt og inngår databehandleravtale med alle virksomhetskunder; malen er åpen.

Hvor lagres og behandles dataene våre?

Innholdet ditt lagres og behandles i EU/EØS. Underleverandørlisten viser hvor hver leverandør behandler data, og hvilke overføringer ut av EØS som kan skje etter EUs standardavtaler: rutingen av modellkall og driftsdata uten innhold.

Brukes dokumentene våre til å trene KI-modeller?

Nei. Kundedata brukes aldri til å trene modeller, verken våre eller leverandørenes. Se Kunstig intelligens og kundedata.

Lagrer modelleverandørene spørsmålene våre?

Nei. Språkmodellene kjøres med nullagring: leverandøren lagrer verken spørsmålene eller svarene. Unntakene står i databehandleravtalen, vedlegg 2.

Kan ansatte i Lagabøte lese innholdet vårt?

Nei. Ansatte i Lagabøte ser ikke innholdet ditt, bortsett fra når du ber om det, ved en sikkerhetshendelse eller når loven krever det.

Hva skjer med dataene når avtalen avsluttes?

Du kan eksportere innholdet ditt og slette saker og arbeidsområder. Når kundeforholdet avsluttes, sletter vi dataene innen 30 dager, eller når en eksport du har bedt om er levert.

Hva skjer med tilbakemeldinger vi gir i Lagabøte?

Et medlem kan gi tommel opp eller ned på et svar eller skrive en tilbakemelding om appen. Lagabøte-teamet leser den sammen med spørsmålet og svaret den gjelder, for å forbedre tjenesten. Det skjer bare når medlemmet selv sender den, og tilbakemeldinger brukes aldri til å trene modeller. De slettes når arbeidsområdet slettes, eller når dere ber oss om det.

Når varsler dere oss om et sikkerhetsbrudd?

Oppdager vi et sikkerhetsbrudd som berører dataene dine, varsler vi virksomheten uten ugrunnet opphold og senest innen 24 timer.

Sikkerhet

Er dataene kryptert?

Ja. All trafikk er kryptert med TLS 1.2 eller nyere, og databasene avviser ukrypterte forbindelser. Lagrede data er kryptert med AES-256 hos leverandørene.

Er dataene våre adskilt fra andre kunders?

Ja. Hver virksomhet har sitt eget arbeidsområde. Tilgang til en sak krever medlemskap i både arbeidsområdet og saken, og administratorer styrer tilganger, men ser ikke innholdet i saker de ikke selv er med i. Dokumentlageret er privat; filer hentes bare gjennom tjenesten, av brukere med tilgang.

Hvordan logger vi inn?

Du logger inn med engangskode, uten passord. Utlogging og fjernede brukere stenges ute med en gang.

Er dere ISO 27001-sertifisert?

Styringssystemet for informasjonssikkerhet følger ISO/IEC 27001:2022. Vi kaller oss ikke sertifisert før sertifikatet foreligger, og sertifiserer oss når en kunde eller et anbud krever det. Se informasjonssikkerhetspolicyen.

Hvordan får vi tilgang til sikkerhetsdokumentasjon?

Åpne dokumenter leser du direkte på denne siden. Dokumenter på forespørsel sender vi som PDF: bruk «Be om tilgang» ved dokumentet.

Hvordan melder vi fra om en sårbarhet?

Send e-post til sikkerhetskontakten øverst på siden. Vi svarer så raskt vi kan og holder deg oppdatert til saken er løst.

KI-forordningen

Følger dere EUs KI-forordning?

Ja. Du får vite at du bruker KI, og generert tekst er merket. Tjenesten er ikke et høyrisikosystem etter sitt formål; hva den er laget for, står i standardvilkårene, punkt 3.

Lager dere egne språkmodeller?

Nei. Vi bruker språkmodeller fra leverandører i underleverandørlisten, kjørt i EU. Vi velger leverandører som har sluttet seg til EUs atferdskodeks for generelle KI-modeller.

Hvem har ansvaret for svarene?

Fagpersonen som bruker tjenesten. Svarene er utkast og analyser, ikke juridisk rådgivning. Hvert svar viser kildene det bygger på, og du kan åpne kilden i den versjonen som gjaldt.

Tester dere kvaliteten på svarene?

Ja. Vi tester Magnus jevnlig mot juridiske oppgaver før en ny modell tas i bruk.