夜雨聆风美国两家联邦法院在同一天给出了截然相反的答案。这场分歧远不止于事实差异——AI的广泛使用撕开了一条法律原则层面的裂缝。
2026 年 2 月 10 日，美国两个联邦法院在同一天回答了同一个问题：当事人与公开 AI 平台的对话，在诉讼中能不能以保密特权为由拒绝交出来？
纽约南区的 Jed Rakoff 法官说：不能。
密歇根东区的 Anthony Patti 法官说：能。
两份裁决针对的都是用消费版生成式 AI（一个用 Claude，一个用 ChatGPT）准备的诉讼相关材料。两位法官都没有试图为 AI 创造新规则，而是各自适用了已有的保密特权上的原则——但得出了截然相反的结论。
一、两个案件
在进入案件事实之前，先用最简单的语言交代两个核心法律概念。
律师-客户保密特权（attorney-client privilege）：你跟律师之间为了获取法律意见而进行的保密沟通，对方当事人和法院不能强迫你交出来。这是英美法系下对律师-客户关系最重要的保护之一。它成立的前提很严格：必须是你和律师之间的沟通、必须是保密的、且必须是为了获取法律意见。
工作成果保护（work product doctrine）：律师或当事人为了准备诉讼而制作的文件和材料，享有一定程度的保护，对方不能轻易在 discovery 程序中拿走。这套保护和保密特权是独立的两条线——构成要件不同，放弃（waiver）的标准也不同。这一点很关键，后面会详细展开。
现在我们来对比看看两个案子的事实。
Heppner（United States v. Heppner, 25 Cr. 503, S.D.N.Y.）是一桩联邦刑事案。被告 Bradley Heppner 曾是上市公司 GWG Holdings 董事长，被指控通过自己控制的壳公司从投资人手里骗走超过 1.5 亿美元。2025 年下半年，Heppner 在收到大陪审团传票、明确知道自己是调查目标之后，已经聘请了辩护律师。但他在没有在律师指示的情况下、自己主动使用 Anthropic 的 Claude 消费版，做了一系列法律风险分析：梳理政府可能的指控、列出自己可用的辩护策略、研究相关法律问题。他把跟 Claude 的对话整理成大约 31 份文档，之后交给了律师。FBI 在逮捕他时搜查住所，扣押了这些文档。政府要求检查这些文档，Heppner 主张律师-客户保密特权和工作成果保护。
Warner（Warner v. Gilbarco, Inc., No. 2:24-cv-12333, E.D. Mich.）是一桩民事就业歧视案。原告 Sohyon Warner 自己代理自己（pro se），即没有辩护律师。她在诉讼过程中使用 ChatGPT 研究法律问题、起草诉讼文件。被告 Gilbarco 发现后，要求她交出所有与 AI 工具相关的查询和回复。Warner 以工作成果保护为由拒绝。
两个案子有一些明显的事实差异——一个刑事一个民事，一个有律师一个没律师，一个用 Claude 一个用 ChatGPT。但核心问题完全一样：当事人自己（不是律师）用公开 AI 工具准备的诉讼相关材料和记录，对方能不能通过 discovery 拿走？
二、保密特权：Rakoff 的三刀
在讨论两个判决的真正分歧之前，先单独讲讲律师-客户保密特权——这部分在两案中争议不大。
Rakoff 适用的是第二巡回法院的经典三要件测试（United States v. Mejia）：保密特权保护的是 (1) 律师与客户之间的通讯，(2) 意图且实际保密的，(3) 目的是获取或提供法律意见的。
三刀都砍了下去：
第一刀：Claude 不是律师。 这是最简单也最致命的。没有律师-客户关系，两个非律师之间讨论法律问题不受保密特权保护——这是多年来的定论。Rakoff 引用了 Harvard JOLT 2025 年末 Ira Robbins 教授的文章 Against an AI Privilege，指出所有已被承认的法律特权都建立在一个"trusting human relationship"之上——一种与持有执照、负有信义义务、受到职业纪律约束的专业人士之间的关系。AI 和用户之间不存在也不可能存在这种关系。
第二刀：没有保密性。 Anthropic 的消费版隐私政策明确写了三件事：收集用户输入和 Claude 的输出；用这些数据训练 Claude；保留向"第三方"包括"政府监管机构"披露的权利。Rakoff 认为这条政策让用户不可能对自己的对话抱有合理的保密期待（reasonable expectation of confidentiality）。换句话说，你跟 Claude 说的话，从一开始就不是秘密。
值得注意的是，Rakoff 还引用了同一法院 2026 年 1 月的另一个裁决（In re OpenAI, Inc., Copyright Infringement Litigation），那个案子里法官认定 AI 用户对自己"自愿披露"给平台的对话不享有实质性的隐私利益。这个趋势在 Heppner 之前就已经在积累了。
第三刀：目的不是获取法律意见。 这是 Rakoff 自己承认的"closer call"。Heppner 的律师说他用 Claude 就是为了准备跟律师谈。但 Rakoff 强调了一个关键事实：律师没有指示 Heppner 去用 Claude。 这很重要，因为如果律师指示了，Claude 就可能被视为律师的代理人（agent），适用 Kovel doctrine——一条允许保密特权延伸到律师雇来协助提供法律意见的非律师专业人员的第二巡回法院判例。但 Heppner 是自己主动去用的。Rakoff 因此认为，要看的是 Heppner 有没有打算从 Claude 本身获取法律意见——而 Claude 自己在被问到时都说了"I’m not a lawyer"。
判决还有一个不起眼但可能会在后续的判例中杀伤力极大的脚注（Footnote 3）：即使 Heppner 输入的部分内容本身是律师之前告诉他的特权信息，他一旦把这些信息打进 Claude，特权就因为向第三方披露而被放弃（waive）了，跟把保密信息告诉任何外人没有区别。
到这里，保密特权的分析基本没有悬念。Warner 案的 Patti 法官也没有在这个问题上发表意见。真正的分歧在下一层。
三、工作成果保护：分歧所在
在工作成果保护（work product doctrine）这点上，两位法官给出了截然不同的论证思路。
工作成果保护（work product doctrine）针对的是"在预期诉讼中或为审判准备的文件和有形物品"（Rule 26(b)(3)(A)）。它和保密特权是两个独立的保护机制，有不同的构成要件，也有不同的 waiver 标准。
Rakoff 怎么判的： Heppner 的 AI 文档即使是"in anticipation of litigation"也不受保护，因为 (a) 不是"prepared by or at the behest of counsel"——律师承认没有指示 Heppner 做这件事；(b) 文档没有"reflect"律师的策略——律师说这些文档"affect"了后续策略，但在创建时并不"reflect"策略。
Rakoff 走的分析路径，核心落脚点在工作成果保护的目的上——其引用了最高法院和第二巡回法院的多个先例，强调这个 doctrine 的目的是"shelters the mental processes of the attorney"（保护律师的思维过程）。既然 Heppner 不是在律师指示下行动，文档也没有反映律师的思维，就不符合 doctrine 的目的。值得一提的是，Rakoff 在判决中还明确否定了本院 2021 年 Shih v. Petal Card 先例中"无需律师指示亦可主张工作成果保护"的立场——这种同院法官之间的公开分歧并不常见，足以说明这个问题在美国联邦法院内部远未形成共识。
Patti 怎么判的： Warner 案走了完全不同的路。
首先，Patti 回到了条文本身。Rule 26(b)(3)(A) 保护的是"documents and tangible things that are prepared in anticipation of litigation or for trial by another party or its representative"。注意这里的主语——“another party or its representative”。Patti 认为，Rule 的文本并没有要求律师参与或指示，当事人自己准备的材料同样在保护范围内。Warner 是 pro se 原告，她既是当事人也是自己的法律代理人，她用 ChatGPT 做的就是诉讼准备工作，直接落入 Rule 26(b)(3)(A) 的文本保护范围。
其次，也是更关键的一点：waiver 分析完全不同。
Gilbarco 的被告律师辩称，Warner 使用 ChatGPT 等于把工作成果披露给了第三方，保护被 waive 了。Patti 法官拒绝了这个主张，理由很清楚：保密特权的 waiver 和工作成果保护的 waiver 不是一回事。
保密特权只要向任何第三方自愿披露，就可以构成 waiver——这也是 Rakoff 在 Heppner 中的逻辑。但工作成果保护的 waiver 标准更高：需要向对手披露，或者以一种可能让对手拿到的方式披露。Patti 引用了 D.C. Circuit 的经典判例 United States v. American Telephone & Telegraph Co.——向第三方的自愿披露足以放弃保密特权，但不足以单独构成工作成果保护的放弃。
在此基础上，Patti 给出了一句对未来影响深远的定性：“ChatGPT (and other generative AI programs) are tools, not persons.” 既然 AI 是工具而非"人"，向它输入信息就不构成向第三方的"披露"。如果接受"上传到 AI 平台就等于 waiver"这种逻辑，那工作成果保护在整个现代化办公环境中就几乎不存在了——因为几乎所有的文档起草都涉及某种云端工具。Patti 的原话是：这样的结果"no court has endorsed"。
两位法官的分歧，深层是一个已经存在几十年、却在 AI 出现之前从未被逼到台前的 doctrine 问题：
工作成果保护的到底是什么？
Rakoff 一方：保护的是律师的思维过程。因此，只有在律师指示下、反映律师策略的材料才值得保护。当事人自己做的分析，不在核心保护圈内。
Patti 一方：保护的是当事人的诉讼准备活动。Rule 26(b)(3) 的文本说的是"by another party or its representative"——"party"是独立于"attorney"的主语。要求律师参与才能激活保护，是在条文里读进了一个不存在的限制条件。
这不是可以通过区分"Heppner 有律师、Warner 是 pro se"来调和的。如果 Rakoff 的逻辑是对的——工作成果保护必须"at the behest of counsel"——那 Warner 案中 pro se 原告自己准备的材料同样不应受保护，因为没有律师指示。如果 Patti 的逻辑是对的——当事人自己的准备工作本身就受保护——那 Heppner 的 AI 文档至少在工作成果层面就不应该被轻易排除。
两条路径大概率会在未来案件中反复交锋。而 AI 的普及只会让这个问题出现得更频繁、更尖锐——因为 AI 大幅降低了非律师独立做法律分析的门槛。以前当事人很少自己写出一份像样的辩护策略备忘录，法院也不太需要面对"当事人自己准备的诉讼材料到底保不保护"这个问题。现在不一样了。
四、Kovel 暗门：Rakoff 留下的出路
Rakoff 的判决虽然对 Heppner 不利，但他在分析第三要件时留了一句意味深长的话——
“Had counsel directed Heppner to use Claude, Claude might arguably be said to have functioned in a manner akin to a highly trained professional who may act as a lawyer’s agent within the protection of the attorney-client privilege.”
这引用的是第二巡回法院 1961 年的经典判例 United States v. Kovel。Kovel doctrine 允许保密特权延伸到律师聘请来协助提供法律意见的非律师专业人员——会计师、翻译、技术顾问等。Rakoff 的意思很明确：如果律师指示客户去使用 Claude，Claude 就有可能被视为律师的代理人，保密特权有可能保住。
这是一条实操路径，也是我认为未来几年会在美国各地法院被密集测试的领域。它引出了几个尚无定论的后续问题：
"律师指示"要达到什么程度才算？ 是一封邮件说"你可以用 AI 帮你整理一下"就够了，还是需要律师具体设定 prompt 框架、审查输出结果？Rakoff 没有细说，但从他的逻辑来看，这种指示必须足够具体，使 AI 在功能上扮演了"律师的延伸"而非"客户的个人工具"。
消费版 AI 能不能通过合同安排"修复"保密性缺陷？ Rakoff 的判决高度依赖 Anthropic 消费版隐私政策中"保留向第三方披露"的条款。如果客户使用的是企业版（Enterprise 版 Claude 或 ChatGPT Enterprise，这些版本在合同上明确约定不训练用户数据、不向第三方披露），法官关于"no reasonable expectation of confidentiality"的论证基础就消失了。多家律所的 advisory 都已经强调了这一点——但尚无案例确认。
Kovel doctrine 能不能真的装进 AI 这个容器？ Kovel 保护的是人——会计师、翻译、顾问——这些人和律师之间有雇佣或委托关系，有保密义务，能被追责。AI 平台不是自然人，不承担信义义务，其行为由服务条款而非专业伦理规范约束。即使满足了"律师指示"的条件，把 AI 塞进 Kovel 的框架里仍然需要对 doctrine 做实质性的扩张解释。Rakoff 用的措辞是"might arguably"——他自己也没有下定论。
五、AI时代带来的又一灰色地带
两份判决画出了一条谱系。在谱系的一端，是 Heppner 式的高风险场景：当事人自行使用消费版 AI、没有律师指示、向没有保密义务的平台输入敏感信息。在这一端，几乎可以确定不受任何保护。在谱系的另一端，是律师指示下的企业版 AI 使用、有合同保密条款、输出纳入律师工作成果的工作流。在这一端，保护的可能性显著提高——但尚未被判例确认。
中间的灰色地带才是多数现实场景落入的位置，也是未来诉讼会集中发生的地方。
对律师而言，Heppner 的信号很直接：如果你的客户在用 AI 做跟案件相关的分析，你需要做出选择——要么明确指示并纳入你的工作流（走 Kovel 路径），要么明确告诫客户不要这样做。最危险的是中间状态：客户在用，你知道但没指示也没阻止，出了问题两头都挂不上保护。
对企业而言，影响不限于诉讼。监管调查、内部调查、反垄断审查——任何可能触发 discovery 的场景下，员工在公开 AI 平台上对合规问题、法律风险、调查应对策略的讨论，都可能成为可被获取的证据。那些在 ChatGPT 里起草"如果 SEC 来问我们就说……"的备忘录，现在有了一个案例告诉你：对方律师可以要走它。
对所有人而言，Heppner 最深层的教训不是"别用 AI"——那既不现实也没必要。教训是：你对着 AI 说话时的那种私密感是一种幻觉。 AI既不是一个对你负有义务的专业人士，也不是一个保证不外传的保险箱。至少在目前的法律上，它更接近在公共图书馆大声朗读你的辩护策略。Rakoff 说得很克制但很清楚：AI 是新的领域（new frontier），但暂时旧规则仍在继续适用。
两份判决之间的裂缝，或许最终会由巡回法院甚至最高法院来弥合。但在那一天到来之前，这条裂缝本身就是一个信号——法律保密特权体系正在被一种前所未有的技术现实所拉扯：一个人可以在几分钟内、不花一分钱、不经过任何人类专业人士，就完成过去需要律师团队几天才能做的法律分析。当这种能力对所有人开放时，一个把"律师参与"作为保护前提条件的 doctrine，到底还能不能自洽？
而这只是 AI 大发展的 2026 年，它给法律界带来的众多新鲜问题之一。
关注我，一起追踪 AI、加密资产与法律交汇处那些正在被改写的规则。
主要原始材料：
- United States v. Heppner
, 25 Cr. 503 (JSR), Memorandum (S.D.N.Y. Feb. 17, 2026), ECF No. 27 - Warner v. Gilbarco, Inc.
, No. 2:24-cv-12333, Order (E.D. Mich. Feb. 10, 2026), ECF No. 94 Ira P. Robbins, Against an AI Privilege, Harvard Journal of Law & Technology Digest (Nov. 7, 2025) - In re OpenAI, Inc., Copyright Infringement Litig.
, No. 25-MD-3143, ECF No. 1021 (S.D.N.Y. Jan. 5, 2026) - United States v. Kovel
, 296 F.2d 918 (2d Cir. 1961)
免责声明： 本文仅为作者基于公开法律文件的个人分析与评论，不构成法律意见，也不构成任何律师-客户关系。如您面临具体法律问题，请咨询持有执照的专业律师。
