KI-Richtlinie für die Kanzlei: Klare Regeln für den Team-Einsatz

Eine KI-Richtlinie ist ein kurzes internes Regelwerk, das festlegt, wer in der Kanzlei welche KI-Werkzeuge wofür nutzen darf — und wofür ausdrücklich nicht. Sie braucht keine zwanzig Seiten: Zwei bis vier Seiten mit klaren Erlaubnissen, klaren Verboten und einer Ansprechperson genügen. Wichtig ist, dass sie existiert, bevor sich stille Gewohnheiten bilden, denn ohne Regeln nutzt das Team KI trotzdem — nur eben unkontrolliert.

In Kürze

• Eine KI-Richtlinie regelt verbindlich, welche Werkzeuge im Team erlaubt sind, welche Daten eingegeben werden dürfen und wer Ergebnisse freigibt.
• Der häufigste Anlass ist Schatten-KI: Mitarbeitende nutzen öffentliche Chatbots privat gewohnt — und irgendwann auch für Kanzleiinhalte.
• Kernregel Nummer eins: Mandantendaten gehören nur in Systeme unter Kontrolle der Kanzlei, nicht in öffentliche Consumer-Chatbots.
• Kernregel Nummer zwei: Jedes KI-Ergebnis ist ein Entwurf und wird vor Verwendung von einem Menschen geprüft.
• Zwei bis vier Seiten reichen; entscheidend sind Klarheit, eine Ansprechperson und regelmäßige Aktualisierung.
• Der EU AI Act verlangt von Betreibern Maßnahmen zur Förderung der KI-Kompetenz im Team — eine Richtlinie mit Schulungsteil zahlt direkt darauf ein.

Warum braucht eine Kanzlei überhaupt eine KI-Richtlinie?

Der Anlass ist selten ein geplantes KI-Projekt — meist ist es die ungeplante Realität. KI-Werkzeuge sind frei verfügbar, viele Mitarbeitende nutzen sie privat, und der Schritt, eine knifflige E-Mail-Formulierung „schnell durch den Chatbot zu schicken“, ist klein. Genau dort beginnt das Problem: Sobald Mandantendaten in ein öffentliches Werkzeug wandern, verliert die Kanzlei die Kontrolle darüber, wo diese Daten landen und wofür sie verwendet werden. Viele Kanzleien sehen darin ein Spannungsverhältnis zur Verschwiegenheitspflicht (§ 9 RAO) und zu den Grundsätzen der DSGVO — entstanden, ohne dass es je jemand entschieden hätte; die Bewertung obliegt der Kanzlei bzw. ihrer Kammer.

Eine Richtlinie löst das nicht durch Verbote allein, sondern durch Klarheit in beide Richtungen: Sie verbietet das Riskante und erlaubt das Sinnvolle. Ein pauschales KI-Verbot funktioniert in der Praxis übrigens selten — es verlagert die Nutzung nur ins Verborgene. Besser ist ein erlaubter, sicherer Weg, etwa über On-Premise betriebene Systeme auf Servern in der Kanzlei, kombiniert mit klaren Grenzen für alles andere. Wie eine solche sichere Umgebung aussieht, beschreibt unsere Seite zu DSGVO und Datensicherheit.

Dazu kommt der regulatorische Rahmen: In der durch die Verordnung (EU) 2026/1744 geänderten Fassung verlangt Art. 4 AI Act von Betreibern Maßnahmen, welche die KI-Kompetenz ihres Personals fördern. Eine Richtlinie mit Schulungsteil ist ein naheliegender Weg dazu. Zur Einordnung: Dieser Artikel ist keine Rechtsberatung — die berufsrechtliche und regulatorische Bewertung bleibt bei der Kanzlei.

Welche Grundsätze sollte jede Kanzlei-Richtlinie verankern?

Vier Grundsätze bilden das Fundament, auf dem alle Einzelregeln aufbauen:

Datengrundsatz: Mandantendaten und vertrauliche Kanzleidaten dürfen nur in Systeme eingegeben werden, die unter Kontrolle der Kanzlei stehen — On-Premise auf Servern in der Kanzlei oder bei einem vertraglich gebundenen Auftragsverarbeiter. Öffentliche Consumer-Chatbots sind dafür tabu, auch in der Bezahlversion, solange die Kanzlei die Datenverarbeitung nicht kontrolliert.

Freigabegrundsatz: Jedes KI-Ergebnis ist ein Entwurf. Nichts — keine E-Mail, kein Schriftsatz, kein Dokument — verlässt die Kanzlei ohne menschliche Prüfung und Freigabe. Dieser Satz gehört wörtlich in die Richtlinie.

Fehlergrundsatz: KI kann irren, auch überzeugend. Wer ein KI-Ergebnis verwendet, prüft Inhalte und insbesondere alle Fundstellen und Zitate. Erfundene Quellen (Halluzinationen) sind ein bekanntes Phänomen — die Prüfung ist deshalb Pflicht, keine Empfehlung.

Verantwortungsgrundsatz: Die Verantwortung für Arbeitsergebnisse, Fristen und Mandatsführung bleibt bei den Menschen der Kanzlei. Systeme unterstützen die Fristenkontrolle durch Erinnerungen und Transparenz — die Fristenwahrung selbst delegiert die Richtlinie an niemanden und nichts.

Wie ist eine KI-Richtlinie konkret gegliedert?

Die folgende Gliederung hat sich als Vorlage bewährt. Sie können sie direkt übernehmen und an Ihre Kanzlei anpassen:

1. Zweck und Geltungsbereich — Für wen gilt die Richtlinie (alle Mitarbeitenden, Konzipientinnen und Konzipienten, freie Mitarbeit), für welche Werkzeuge und ab wann.
2. Begriffe — Kurz und verständlich: Was gilt als KI-Werkzeug, was als Mandantendaten, was als vertrauliche Kanzleidaten.
3. Erlaubte Werkzeuge (Positivliste) — Namentlich benannte, von der Kanzlei geprüfte und bereitgestellte Systeme samt Einsatzzweck. Alles, was nicht auf der Liste steht, ist nicht freigegeben.
4. Verbotene Nutzungen — Insbesondere: Mandantendaten oder vertrauliche Daten in öffentliche Chatbots einzugeben; KI-Ergebnisse ungeprüft zu verwenden; Ergebnisse automatisch nach außen zu versenden.
5. Datenregeln — Welche Datenkategorien in welche Systeme dürfen; Anonymisierungsregeln für Grenzfälle; Verweis auf Auftragsverarbeitungsverträge und Speicherorte (On-Premise bzw. beim Auftragsverarbeiter).
6. Prüf- und Freigabepflicht — Jedes Ergebnis ist ein Entwurf; wer prüft, wer gibt frei; besondere Sorgfalt bei Fundstellen, Zahlen und rechtlichen Aussagen.
7. Fristen und Verantwortung — Klarstellung, dass KI-Systeme die Fristenkontrolle nur unterstützen und die Fristenwahrung bei der Kanzlei bleibt.
8. Transparenz — Ob und wie der KI-Einsatz intern dokumentiert wird; Umgang mit Fragen von Mandantinnen und Mandanten zum KI-Einsatz.
9. Zuständigkeiten und Ansprechperson — Wer entscheidet über neue Werkzeuge, wer beantwortet Zweifelsfragen, wer pflegt die Positivliste.
10. Meldung von Vorfällen — Was bei Fehlern, Datenpannen oder versehentlicher Eingabe vertraulicher Daten zu tun ist — ohne Schuldzuweisungskultur, damit gemeldet statt vertuscht wird.
11. Schulung und KI-Kompetenz — Einführung für neue Mitarbeitende, regelmäßige kurze Auffrischungen, Dokumentation der Teilnahme.
12. Aktualisierung — Überprüfung der Richtlinie in festen Abständen, etwa halbjährlich, sowie anlassbezogen bei neuen Werkzeugen oder Rechtsänderungen.

Wie führen Sie die Richtlinie im Team ein?

Eine Richtlinie wirkt nur, wenn das Team sie kennt und ernst nimmt. Drei Dinge helfen dabei. Erstens die Einführung im Gespräch statt per Rundmail: Eine halbe Stunde Teambesprechung, in der die Regeln erklärt und Fragen beantwortet werden, erreicht mehr als jedes PDF im Laufwerk. Zweitens ein erlaubter Weg: Wer den Nutzen von KI erlebt hat, akzeptiert die Grenzen leichter — deshalb gehört zur Richtlinie idealerweise ein freigegebenes Werkzeug, mit dem das Team arbeiten darf. Drittens Vorbildwirkung: Wenn die Kanzleileitung die Regeln selbst einhält, tut es das Team auch.

Planen Sie außerdem die Pflege ein. Werkzeuge ändern sich schnell; eine Positivliste vom Jänner kann im Herbst veraltet sein. Ein fester Überprüfungstermin alle sechs Monate — mit kurzer Team-Info bei Änderungen — hält die Richtlinie lebendig, ohne Aufwand zu erzeugen.

Wie hängt die Richtlinie mit der KI-Einführung zusammen?

Richtlinie und Einführung gehören zusammen: Die Richtlinie ohne sichere Werkzeuge ist ein reines Verbotspapier, Werkzeuge ohne Richtlinie sind ein unkontrolliertes Risiko. Sinnvoll ist deshalb, beides gemeinsam zu denken — die Regeln definieren den Rahmen, in dem der erste Anwendungsfall startet. Wie Sie diesen ersten Anwendungsfall auswählen, die Datenfrage lösen und den Erfolg messen, beschreibt ausführlich der Praxis-Leitfaden KI in der Rechtsanwaltskanzlei. Ein häufiger erster Anwendungsfall in einer solchen kontrollierten Umgebung ist eine Kanzlei-Wissensdatenbank, die On-Premise auf einem Server in der Kanzlei läuft. Richtlinie, Datenfrage und ersten Ablauf führt die Checkliste zur KI-Einführung in einer Liste zum Abhaken zusammen.

Fazit: Kurz, klar, gelebt

Eine gute KI-Richtlinie für die Kanzlei ist kein Compliance-Monument, sondern ein Arbeitsdokument: zwei bis vier Seiten, die das Riskante verbieten, das Sinnvolle erlauben und Zuständigkeiten klären. Mit der Gliederungs-Vorlage aus diesem Artikel ist der Entwurf an einem Nachmittag geschrieben — und schützt ab dem ersten Tag vor den stillen Gewohnheiten, die sonst niemand bemerkt.

Wenn Sie Unterstützung bei Richtlinie und sicherer KI-Umgebung möchten, vereinbaren Sie ein unverbindliches Erstgespräch über unsere Kontaktseite — wir bringen die Vorlage mit und passen sie gemeinsam an Ihre Kanzlei an.

Quellen

• Rechtsanwaltsordnung (RAO), § 9: RIS Bundesrecht konsolidiert
• Verordnung (EU) 2026/1744 zur Änderung der KI-Verordnung (Digital-Omnibus zur KI): EUR-Lex
• KI-Verordnung, Verordnung (EU) 2024/1689, Art. 4: EUR-Lex
• Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, Art. 28: EUR-Lex