Tillit og sikkerhet

Lovar er bygget for innhold som ofte er sensitivt — juridiske spørsmål, saksdokumenter og personalprosesser. Sikkerhetstiltakene er derfor del av arkitekturen, ikke et tillegg:

• Kryptering — all trafikk går over TLS. Dokumenter du laster opp, lagres i et kryptert lager der hvert dokument har sin egen datanøkkel, beskyttet av plattformens hovednøkkel.
• Tilgangsstyring — organisasjons- og setemodell med rollestyring. Data er logisk adskilt per organisasjon, og modultilganger gis som eksplisitte rettigheter.
• Revisjonsspor — privilegerte administratorhandlinger logges i en egen revisjonslogg. Kjøringer i de deterministiske analysemotorene lagres som uforanderlige øyeblikksbilder, slik at resultater kan etterprøves i ettertid. For avtaleanalyse lagres kun tekstens lengde i revisjonssporet — aldri selve avtaleteksten.
• Bruksinnsyn — hvert AI-kall føres i en bruksledger (modell, forbruk, flate) som virksomhetens administrator kan se.

Tjenesten følger prinsippet «privacy by design»: innhold er flyktig som standard, og du styrer selv hva som beholdes.

• Ingen modelltrening — AI-underleverandørene våre er bundet av API-vilkår som forbyr trening på dine data.
• Eksport og sletting — du kan når som helst laste ned en maskinlesbar kopi av alle dine data og slette kontoen din selv, direkte i appen.
• Rettspraksis uten personopplysninger — prejudikatbiblioteket lagrer kun personopplysningsfrie abstraksjoner (rettssetninger, momenter, utfall) av Høyesteretts-avgjørelser, hentet fra domstolens egne sammendrag på domstol.no. Fulltekst lagres aldri.
• Ingen profilering av tredjeparter — systemet analyserer tekstmønstre, ikke personer som omtales i innholdet.

Se også personvernerklæringen og det fullstendige underleverandørregisteret.

Det viktigste tillitstiltaket i Lovar er ikke et sikkerhetstiltak, men et faglig prinsipp: hver påstand kobles til en kilde vi faktisk fant. Hvert juridisk utsagn bærer en sitering med lovkode, paragraf, det ordrette tekstutdraget svaret bygger på, og lenke til Lovdata — slik at du alltid kan kontrollere svaret mot kilden selv.

Vi sier ikke at systemet aldri svarer uten kilde. Vi sier at du får vite når dekningen svikter. Etter at svaret er skrevet, kobles hver påstand mot siteringene søket faktisk fant: er dekningen svak, følger svaret med en merknad som navngir påstandene som ikke er belagt; er den for dårlig, erstattes svaret av en henvisning til advokat og fri rettshjelp. Denne mekanismen — «Answerability Gate» — er grunnen til at et «ikke funnet» er et ærlig svar hos oss.

Ærlig begrensning: kontrollen verifiserer at en påstand viser til en kilde som finnes i materialet søket hentet — det er ikke det samme som at utdraget beviser påstanden. Klarer modellen ikke å levere et lesbart kontrollgrunnlag, logges avviket og svaret sendes uendret. Kontroller derfor alltid mot kilden før du handler.

Dokumentanalysen er ikke ubegrenset, og vi oppgir grensene i stedet for å la dem være en overraskelse:

• 60 000 tegn per dokument analyseres. Er dokumentet lengre, leses resten ikke — rapporten sier det.
• 20 sider per dokument tekstgjenkjennes når sidene mangler tekstlag. Ut over det fullfører dokumentet med en merknad om delvis dekning.
• 50 MB maks filstørrelse. Dokumenter med under 200 tegn tekst avvises.

Et funn som sier «ikke funnet» betyr derfor «ikke funnet i den delen som er lest» — aldri «finnes ikke i avtalen».

Oversikten under speiler det autoritative registeret på underleverandørsiden, som også viser datakategorier, lagringstider og DPA-lenker per leverandør. For overføringer til USA brukes EU–US Data Privacy Framework, med EUs standardkontraktsvilkår avtalefestet som reservegrunnlag.

Endringer i listen varsles før de trer i kraft. Rader merket «under avklaring» gjelder driftsvalg som ennå ikke er endelig besluttet — vi oppgir dem her fremfor å love noe vi ikke har avgjort.

For firmaets leverandørvurdering har vi en dokumentpakke som gjør DPIA- og ROS-arbeidet konkret. Dokumentene er tilgjengelige på forespørsel og er under juridisk og teknisk gjennomgang:

• Tjenestebeskrivelse — Arkitektur, dataflytdiagram og datakategorier
• Databehandleravtale (utkast) — Etter KS Bilag 3-strukturen (SSA-L), med sikkerhetstiltak som vedlegg
• Underleverandørregister — Med overføringsgrunnlag og DPA-lenker
• DPIA-støttepakke — Leverandørens faktavedlegg strukturert etter GDPR art. 35 nr. 7
• KI-transparensnotat — AI Act-posisjonering
• ROS-input — Trusselscenarioer og tiltak til virksomhetens egen ROS-analyse

Be om pakken via kontaktskjemaet, så tar vi kontakt.

• Merking — KI-generert innhold merkes som det i grensesnittet, i tråd med transparenskravene i EUs KI-forordning (AI Act) artikkel 50.
• Menneskelig kontroll — Lovar treffer ingen beslutninger om enkeltpersoner og foretar ingen profilering. Alt verktøyet produserer, er informasjon og forslag som et menneske vurderer; analysekjøringer kan etterprøves via revisjonssporet.
• Norsk KI-lov — den norske gjennomføringsloven for KI-forordningen er per juli 2026 ennå ikke trådt i kraft. Vi følger prosessen og oppdaterer denne siden når loven vedtas.

Lovar er et arbeidsverktøy for advokater. Det gir ikke juridisk rådgivning til klienter, og advokaten er ansvarlig for det som sendes ut.

Vi er ærlige om hvor vi står: Lovar har i dag ingen fullførte tredjepartssertifiseringer, og et sertifiseringsløp (som ISO 27001) er ikke påbegynt. Sikkerhetsarbeidet vårt dokumenteres i dokumentpakken over. Vi oppdaterer denne siden når en sertifisering faktisk foreligger — ikke før.