Das sind Compliance-Pflichten beim Einsatz von künstlicher Intelligenz im Kanzleialltag

Der Einsatz von KI-Systemen eröffnet für die Anwaltschaft Chancen, Kanzleiabläufe und die Mandatsbearbeitung effizienter zu gestalten und Kosten einzusparen. Dadurch kann die Wettbewerbsfähigkeit nachhaltig gesteigert werden. Wichtig ist, sich dabei der berufs- und haftungsrechtlichen Risiken bewusst zu werden und ein geeignetes Risiko-Management-System zu etablieren. Ein Schlüssel dazu ist der Aufbau von KI-Kompetenz.

Die Einsatzmöglichkeiten von KI sind vielseitig und beschränken sich nicht nur auf Kanzleiabläufe und darauf, bei Routinearbeiten zu entlasten. Vielmehr erfassen sie auch die anwaltliche Tätigkeit als solche. KI-Systeme erstellen automatisiert juristische Dokumente wie Schriftsätze und Verträge, analysieren komplexe Vertragswerke effizient, unterstützen juristische Recherchen. Ferner führen sie Due-Diligence-Prüfungen durch. Auch verarbeiten sie große Datenmengen strukturiert mittels Natural Language Processing und setzen semantische Suchtechnologien im Wissensmanagement ein. Diese Vorteile gelten unabhängig davon, auf welchem Gebiet eine Kanzlei spezialisiert ist.

Durch die Integration generativer Sprachmodelle wie ChatGPT kann die Anwaltschaft standardisierte Aufgaben wie E-Mail-Entwürfe, Übersetzungen oder die Gliederung juristischer Sachverhalte ganz oder z. T. automatisiert bearbeiten. Neben ChatGPT, ein KI-System, das von dem US-Hersteller OpenAI Ende 2022 mit großem Medienecho für die breite Öffentlichkeit auf den Markt gebracht wurde, gibt es weitere vergleichbare KI-Sprachmodelle wie z. B. Microsoft CoPilot, Perplexity, BeckChat oder auch KI-Übersetzungstools wie DeepL, die in Anwaltskanzleien eingesetzt werden. Speziell für Anwaltskanzleien sind bereits einige KI-Chatbots auf dem Markt, die mit juristischem Material trainiert wurden (siehe dazu den Kurzbericht unter iww.de/s12851).

Zudem eröffnen KI-Technologien neue Perspektiven in der Mandantenkommunikation, etwa dadurch, dass Mandantenangaben automatisiert vorstrukturiert werden oder Fragebögen vorausgewertet und Sachverhalte dargestellt werden. Auch die Prüfung von Terminvorschlägen und Kollisionen oder das Compliance-Monitoring lassen sich durch KI-gestützte Systeme effizienter gestalten.

KI kann darüber hinaus im Vertragscontrolling, in der Fristenüberwachung und in der Mandatsverwaltung eingesetzt werden. In größeren Einheiten sind zudem KI-basierte Expertensysteme denkbar, die für die standardisierte Prüfung rechtlicher Risiken herangezogen werden. Die Verbindung von KI mit Legal-Tech-Tools eröffnet darüber hinaus die Möglichkeit, Workflows zu automatisieren und Fehlerquellen in komplexen Verfahren zu minimieren.

Neben diesen Chancen dürfen aber auch die Risiken beim Einsatz von KI-Systemen in der Anwaltskanzlei nicht vernachlässigt werden. Dazu zählen vor allem datenschutz- und berufsrechtliche Risiken, die der Rechtsanwalt kennen sollte. Die Bundesrechtsanwaltskammer (BRAK) hat als Orientierungshilfe im Januar 2025 einen Leitfaden für den berufsrechtskonformen Einsatz von KI in der Kanzlei veröffentlicht (abrufbar unter iww.de/s12850). Dieser Leitfaden bietet einen ersten Einstieg für den Umgang mit berufsrechtlichen Risiken, die sich typischerweise beim Einsatz von KI in einer Anwaltskanzlei stellen.

Für die anwaltliche Praxis ist daher unabdingbar, die Funktionsweise und Einsatzmöglichkeiten von KI-Technologien zu verstehen, deren Grenzen zu erkennen und das eigene Berufsverständnis im Lichte technischer Innovationen fortzuentwickeln, nicht zuletzt auch, um haftungsrechtliche Risiken zu vermeiden. Dem dient zum einen die allgemeine Pflicht nach Art. 4 der Verordnung (EU) 2024/1689 über künstliche Intelligenz (im Folgenden: KI-VO), Kenntnisse im Umgang mit KI zu erwerben und nachzuweisen (sog. KI-Kompetenz). Ergänzend dazu gibt es mit § 59e Abs. 2 S. 1 BRAO i. V. m. § 31 BORA spezielle Compliance-Vorschriften für Anwaltskanzleien, die auch beim Einsatz von KI gelten.

Beide Vorschriften überschneiden sich in ihren Anforderungen. Während Art. 4 KI-VO allgemein für alle Anbieter und Betreiber von KI-Systemen gilt, richtet sich § 31 BORA speziell an Anwaltskanzleien.

Die zentrale Compliance-Vorschrift, um KI-Kompetenz zu vermitteln, ist Art. 4 KI-VO. Danach müssen Anbieter und Betreiber von KI-Systemen geeignete Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal sowie andere in ihrem Auftrag tätige Personen bei der Nutzung von KI-Systemen über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind deren technische Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, zu berücksichtigen.

Art. 4 KI-VO ist Teil der am 1.8.24 in Kraft getretenen Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13.6.24 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz). Art. 4 KI-VO ist Teil von Kapitel 1 und gilt nach dem abgestuften zeitlichen Geltungsbereich der KI-VO in Art. 113 a) KI-VO bereits seit dem 2.2.25, und zwar unabhängig von der Kanzleigröße oder deren Umsatz.

Erste Voraussetzung, um Art. 4 KI-VO anzuwenden, ist, dass ein KI-System eingesetzt wird. Dies ist i. d. R. unproblematisch, wenn KI-Tools von Drittanbietern genutzt werden. Bei Eigenentwicklungen kann dies aber fraglich sein. Nach der Definition in Art. 3 Nr. 1 KI-VO ist ein KI-System ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können. Diese weite Definition wirft Abgrenzungsprobleme zur herkömmlichen Software auf, weil der Grad der Autonomie nicht näher bestimmt wird und somit auch gering sein kann. Ferner wird die Anpassungsfähigkeit eines maschinengestützten Systems durch die Kann-Bestimmung nicht zwingend vorausgesetzt. Die EU-Kommission hat Anfang Februar 2025 zu der Definition eines KI-Systems Leitlinien veröffentlicht, die eine Anwendung in der Praxis erleichtern sollen (abrufbar unter iww.de/s12849).

Adressat der Norm sind „Anbieter und Betreiber“ von KI-Systemen. Rechtsanwälte erfüllen i. d. R. die Eigenschaft als „Betreiber“ i. S. v. Art. 3 Nr. 4 KI-VO, wenn sie ein KI-System in eigener Verantwortung in ihrer Anwaltskanzlei verwenden. „Betreiber“ können nach der Definition in § 3 Nr. 4 KI-VO u. a. sowohl natürliche als auch juristische Personen sein, sodass Rechtsanwälte wie auch Berufsausübungsgesellschaften diese Eigenschaft erfüllen können. Als Betreiber sind somit Kanzleien anzusehen, die ein KI-System für ihre beruflichen Zwecke nutzen, unabhängig davon, ob sie das System gekauft oder anderweitig erworben haben. Die einzige in Art. 3 Nr. 4 KI-VO vorgesehene Bereichsausnahme ist, wenn sie das System im Rahmen ihrer „persönlichen und nicht beruflichen Tätigkeit“ verwenden.

Als „Anbieter“ sind sie zu qualifizieren, wenn sie nach Art. 3 Nr. 3 KI-VO „ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickeln oder entwickeln [lassen] und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr [bringen] oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb [nehmen]“. Dies könnte insbesondere auf Berufsausübungsgesellschaften zutreffen, wenn sie ein eigenes KI-System entweder selbst entwickeln oder durch Dritte entwickeln lassen und es für eigene Zwecke beruflich nutzen oder vermarkten wollen. Viele der größeren Kanzleien haben bereits eigene, auf ihre in der Rechtsberatung jeweils zugeschnittene KI-Systeme allein oder zusammen mit KI-Anbietern entwickelt, z. B. die Kanzlei CMS unter der Bezeichnung „Noxtua“.

Art. 4 KI-VO verlangt Aufbau und Pflege von KI-Kompetenz durch Anbieter, Betreiber und deren Personal. Art. 3 Nr. 56 KI-VO definiert den Begriff der „KI-Kompetenz“ als „Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Betreibern und betroffenen Personen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden“. Verlangt werden also theoretische und praktische Kenntnisse im Umgang mit KI, wobei es auf die speziellen Risiken der jeweiligen KI-Tools ankommt.

Derzeit werden die meisten KI-Tools, die in einer Anwaltskanzlei gewöhnlich eingesetzt werden, insbesondere die sog. großen Sprachmodelle (Large Language Models, kurz: LLMs), um Rechtstexte zu erstellen, nicht als Hochrisiko-KI eingestuft. Diese Einschätzung ergibt sich aus Art. 6 Abs. 2 i. V. m. Anhang III Nr. 8a der KI-VO, wonach lediglich Justizbehörden erfasst sind, sofern sie KI-Systeme bestimmungsgemäß zur „Ermittlung und Auslegung von Sachverhalten und Rechtsvorschriften sowie zur Anwendung des Rechts auf konkrete Sachverhalte“ einsetzen. Wird KI hingegen außerhalb der Justiz, etwa von Anwälten, verwendet, wird dieser Einsatz nicht als Hochrisiko-KI eingestuft. Das ist insofern nachvollziehbar, als der Einsatz von KI durch die Justiz im Vergleich zur anwaltlichen Nutzung deutlich größere Risiken für den Rechtsstaat mit sich bringt.

Beachten Sie| Es ist jedoch zu beachten, dass die Europäische Kommission den Anwendungsbereich für Hochrisiko-KI auch nachträglich noch ausweiten kann.

Die Schulungspflicht greift bereits, wenn ein KI-System im Rahmen der Berufsausübung verwendet wird – unabhängig davon, ob es sich um ein internes System oder ein am Markt verfügbares Tool handelt. Auch der Einsatz von kostenlosen Versionen (z. B. öffentlich zugänglichen Sprachmodellen) fällt unter diese Verpflichtung, sofern ein beruflicher Bezug besteht.

Ein wesentlicher Bestandteil, KI verantwortungsvoll zu nutzen, ist daher, Handlungsanweisungen für die Mitarbeiter in einer Anwaltskanzlei zu erstellen und diese im Umgang mit KI-Systemen zu schulen. Dazu ist eine genaue Kenntnis der Funktionsweisen von KI-Tools und der damit verbundenen Risiken erforderlich. Das gilt im besonderen Maße für die Funktionsweise der „großen“ Sprachmodelle wie ChatGPT im Hinblick auf die Erzeugung von Rechtstexten. Im Einzelfall kann abhängig von der Größe und dem Umfang des Einsatzes von KI-Systemen in einer Anwaltskanzlei ein Risikomanagementsystems mit Dokumentations- und Überwachungspflichten erforderlich werden. Es wird auch empfohlen, sich mit dem jeweiligen KI-Tool vertraut zu machen und auch geeignete Informationsquellen und Fortbildungsveranstaltungen zur KI-VO und zum Einsatz von KI in einer Anwaltskanzlei zu nutzen.

Wenngleich die KI-VO bei einem Verstoß gegen Art. 4 KI-VO keine Bußgelder vorsieht, können Verstöße gleichwohl sanktionsbewehrt sein. Die Mitgliedstaaten sind gem. Art. 99 Abs. 1 KI-VO verpflichtet, „wirksame, verhältnismäßige und abschreckende Sanktionen“ vorzusehen. Zudem wird in der juristischen Literatur diskutiert, ob Art. 4 KI-VO ein Schutzgesetz i. S. d. § 823 Abs. 2 BGB darstellt. Demnach könnte ein Verstoß gegen Art. 4 KI-VO bei Schadenseintritt zu zivilrechtlichen Ersatzansprüchen führen. Nicht zuletzt könnte ein Verstoß gegen Art. 4 KI-VO auch berufsrechtswidrig sein i. V. m. § 43 BRAO, der als Transportnorm für Verstöße außerhalb des Berufsrechts dient. Dies ist z. B. für bestimmte Verstöße gegen die DSGVO anerkannt und könnte auch für Art. 4 KI-VO gelten, wenngleich das noch nicht abschließend geklärt ist.

Im Zuge der Reform der Bundesrechtsanwaltsordnung (BRAO) wurde mit Wirkung zum 1.8.22 § 59e Abs. 2 S. 1 BRAO eingeführt. Diese Vorschrift verpflichtet Berufsausübungsgesellschaften dazu, „durch geeignete Maßnahmen sicherzustellen, dass berufsrechtliche Verstöße frühzeitig erkannt und abgestellt werden“. Die Norm adressiert nur „Berufsausübungsgesellschaften“. Das sind Verbindungen zur gemeinschaftlichen Berufsausübung entweder zwischen Rechtsanwälten allein oder zwischen Rechtsanwälten und anderen sozietätsfähigen Berufen, die in § 59c Abs. 1 Nr. 1-4 BRAO aufgeführt sind.

Die Verpflichtung nach § 59e Abs. 2 S. 1 BRAO erstreckt sich auch auf Risiken berufsrechtlicher Art, die im Zusammenhang mit dem Einsatz von Legal Tech und KI entstehen können. Der Gesetzgeber hat dabei keine konkreten Maßnahmen normiert, sondern stellt allein auf deren Geeignetheit ab (vgl. Begründung Gesetzentwurf, BT-Drs. 19/27670, S. 185). In Betracht kommen sowohl organisatorische als auch personelle oder technische Vorkehrungen.

Zum 1.10.23 wurde § 31 in die Berufsordnung für Rechtsanwälte (BORA) aufgenommen, um diese Pflicht auszugestalten. § 31 BORA dient als Compliance-Vorschrift. Gem. § 31 Abs. 1 BORA sind Berufsausübungsgesellschaften verpflichtet, fortlaufend die für sie bestehenden konkreten Risiken von Berufsrechtsverstößen zu ermitteln und zu bewerten (Risikoanalyse). Dies gilt insbesondere auch für Risiken, die aus den konkreten Tätigkeitsfeldern und Mandaten hervorgehen, etwa wenn innovative Technologien wie KI genutzt werden. Zu den relevanten Risiken zählen insbesondere Verstöße gegen die anwaltliche Verschwiegenheitspflicht (§ 43a Abs. 2 BRAO) sowie gegen die Datenschutz-Grundverordnung (DSGVO) i. V. m. § 43 BRAO.

§ 31 Abs. 2 S. 2 BORA führt exemplarisch geeignete Maßnahmen auf, wie etwa einen Berufsrechtsbeauftragten („Compliance-Officer“) zu bestellen oder berufsrechtliche Schulungen durchzuführen. So können etwa Risiken im Zusammenhang mit dem Einsatz von KI durch spezifische Schulungen und klare Handlungsanweisungen für Mitarbeitende adressiert werden. Weitere geeignete Maßnahmen können sich direkt aus den berufsrechtlichen Regelungen ergeben, wie die sorgfältige Auswahl von Legal Tech- oder KI-Anbietern oder der zwingende Abschluss von Verschwiegenheitsvereinbarungen gem. § 43e BRAO. Auch der Einsatz technischer Systeme kann geeignete Maßnahmen darstellen, etwa durch Zugriffsbeschränkungen, um die anwaltliche Verschwiegenheit nach § 43a Abs. 2 BRAO i. V. m. § 2 BORA zu sichern, oder durch softwaregestützte Prozesse, um Mandate an- oder abzulehnen, § 44 BRAO, insbesondere bei der Bearbeitung von Massenverfahren.

Berufsausübungsgesellschaften, die regelmäßig mehr als zehn Berufsträger beschäftigen, müssen sowohl die Risikoanalyse als auch die umgesetzten Maßnahmen dokumentieren. Diese Dokumentation ist mindestens alle zwei Jahre zu aktualisieren, § 31 Abs. 3 BORA. Bei Verstößen gegen die Vorschriften können gem. § 113 Abs. 3 BRAO anwaltsgerichtliche Maßnahmen verhängt werden. Möglich sind Geldbußen i. H. v. bis zu 500.000 EUR oder sogar die Aberkennung der Befugnis, Rechtsdienstleistungen zu erbringen, § 114 Abs. 2 Nr. 5 BRAO.

Die neuen Anforderungen an die Compliance gem. § 31 BORA gelten ausschließlich für Berufsausübungsgesellschaften. Für andere Formen beruflicher Zusammenarbeit sowie für Einzelanwälte greifen die allgemeinen Sorgfaltspflichten, wie sie sich etwa aus § 43e BRAO oder § 2 BORA unmittelbar ergeben.

Die praktische Umsetzung der in Art. 4 KI-VO normierten Maßnahmen verlangt von Anwaltskanzleien zunächst eine Bestandsaufnahme, wobei zu klären ist, welche KI-Tools für welche Zwecke zum Einsatz kommen. Der Grundsatz der Kontextbezogenheit gemäß Erwägungsgrund 20 der KI-VO verpflichtet die Kanzlei, den Schulungsbedarf differenziert nach Einsatzszenario, technologischem Reifegrad der KI-Anwendung und dem Vorwissen der jeweiligen Mitarbeitenden zu bestimmen. Dabei ist insbesondere dem Umstand Rechnung zu tragen, dass unterschiedliche Tätigkeitsprofile unterschiedliche Schulungsinhalte erfordern (siehe dazu ausführlich Schippel, KIR 25, 119).

Die Hinweise gelten für Anwaltskanzleien auch im Rahmen der Umsetzung nach § 31 BORA.

Ein nachhaltiges Schulungskonzept sollte auf drei Säulen basieren: (1) technische Grundkompetenz, (2) rechtliche Einordnung der KI-Nutzung und (3) praktisches Anwendungswissen. Im Detail bedeutet dies:

Ein praxisorientiertes Schulungskonzept sollte interaktiv ausgestaltet sein, etwa durch Workshops, Fallanalysen oder den Einsatz simulationsbasierter Lernumgebungen. Digitale Lernplattformen einschließlich von Schulungs-Videos bieten sich an, insbesondere um kontinuierlich Wissen aufzufrischen und zu vertiefen. Dazu gibt es spezielle Lernplattformen und Apps, mit denen man KI-Kompetenz aufbauen kann, z. B. die KI-Lernplattform für Juristen „AI Legal Club“ unter iww.de/s12848. Wichtig ist auch, sämtliche Schulungsmaßnahmen zu dokumentieren. Kanzleien sollten Schulungsinhalte, Teilnehmerlisten, Lernziele und Evaluierungen revisionssicher dokumentieren. Dies dient nicht nur der internen Kontrolle, sondern ist auch bei behördlichen Prüfungen von Vorteil. Je nach Größe einer Kanzlei empfiehlt sich auch die Beauftragung eines internen oder externen „KI-Beauftragten“. Ergänzend sei auf den Praxisleitfaden der BITKOM verwiesen, um die KI-VO umzusetzen und KI-Kompetenz aufzubauen, der kostenlos auf der Webseite der BITKOM unter iww.de/s12847 heruntergeladen werden kann.

Zur effektiven Umsetzung der gesetzlichen Anforderungen empfiehlt sich ein mehrstufiges Vorgehen:

Darüber hinaus sollten Anwaltskanzleien prüfen, inwiefern Mandantenkommunikation und interne Prozesse angepasst werden müssen, um der neuen Verantwortungsverteilung durch KI gerecht zu werden. Dies betrifft z. B. das Risikomanagement, das Erstellen von Haftungsklauseln und das Einführen interner KI-Nutzungsrichtlinien.

Die Anforderungen der KI-VO – namentlich die Schulungspflicht gem. Art. 4 – sowie die zusätzlichen Compliance-Pflichten nach § 31 BORA markieren einen Wendepunkt in der beruflichen Praxis. Kanzleien sehen sich vor der Herausforderung, nicht nur technische Entwicklungen nachzuvollziehen, sondern diese auch rechtssicher, verantwortungsbewusst und mandantenorientiert in die Berufsausübung zu integrieren. Dabei ist es essenziell, die KI-Schulungspflicht nicht als bloße Compliance-Last zu begreifen. Vielmehr eröffnet sie die Chance, sich zukunftsgerichtet aufzustellen, Arbeitsabläufe effizienter zu gestalten und im Berufsstand eine Vorreiterrolle einzunehmen. Der Aufbau von KI-Kompetenz ist dabei nicht nur aus Sicht der Regulierung erforderlich, sondern auch berufsrechtlich geboten (§ 43a Abs. 3 BRAO: Pflicht zur Fortbildung). Nur wer KI-Systeme sachkundig, reflektiert und im Einklang mit berufs- und datenschutzrechtlichen Normen einsetzt, kann die berechtigten Erwartungen von Mandanten, Justiz und Öffentlichkeit erfüllen.