Лучшим способом сделать это было бы, чтобы сервлет возвратил на страницу какой-нибудь JSON или XML, а затем получил бы некоторый клиентский javascript, который обновляет представление. Если ваши данные просты, вам может даже не потребоваться JSON или XML - возможно, для вашего случая использования достаточно списка значений, разделенных запятыми.
Выполнение этого означает, что вашему сервлету не нужно беспокоиться о написании HTML-тегов в ответе AJAX, а вашей стороне клиента не нужно беспокоиться о вредоносном HTML, возвращающемся с сервера (всегда есть возможность, если участвует пользовательский ввод).