KI-Richtlinie für die Kanzlei: Klare Regeln für ChatGPT und Co im Berufsalltag

Die Frage ist in den meisten Kanzleien längst nicht mehr, ob KI-Werkzeuge genutzt werden, sondern nur noch, ob es geregelt geschieht. Konzipienten formulieren Entwürfe mit Chat-Assistenten vor, Assistenzen lassen sich lange E-Mail-Verläufe zusammenfassen, und irgendjemand hat vermutlich schon einmal einen Vertragsentwurf in ein öffentliches Werkzeug kopiert, um ihn prüfen zu lassen. Eine KI-Richtlinie ist die Antwort auf diesen Zustand: ein kurzes, verbindliches Dokument, das festlegt, was erlaubt ist, was nicht, und unter welchen Bedingungen.

Wer stattdessen mit einem Pauschalverbot reagiert, löst das Problem nicht, sondern verlagert es. Die Nutzung wandert dann auf private Konten und private Geräte, wo die Kanzlei weder Verträge noch Einstellungen noch Protokolle kontrolliert. Das ist der schlechteste denkbare Zustand: volle Haftung bei null Sichtbarkeit.

Eine gute KI-Richtlinie ist deshalb kein Verbotskatalog, sondern eine Betriebsanleitung. Sie macht den Einsatz sicher genug, dass er offen stattfinden kann. Die folgenden fünf Bausteine haben sich dafür bewährt.

Anwendungsfälle abgrenzen: erlaubt, eingeschränkt, untersagt

Der Kern der Richtlinie ist eine Liste konkreter Anwendungsfälle in drei Kategorien. Erlaubt sind typischerweise Aufgaben ohne Mandatsbezug: allgemeine Recherchen zu Rechtsgebieten, das Umformulieren eigener Texte, Entwürfe für interne Dokumente oder Marketing. Eingeschränkt erlaubt sind Aufgaben mit Mandatsbezug, aber nur in Werkzeugen, welche die Kanzlei geprüft und vertraglich eingebunden hat, und nur nach den Datenregeln der Richtlinie. Untersagt bleibt alles, was die Kontrolle aus der Hand gibt: Mandantendaten in öffentlichen Gratisdiensten, das ungeprüfte Übernehmen von Rechtsauskünften gegenüber Mandanten, die Nutzung privater Konten für Kanzleiarbeit.

Entscheidend ist die Konkretheit. Ein Satz wie "KI ist verantwortungsvoll zu nutzen" hilft niemandem. Ein Satz wie "Schriftsatzentwürfe dürfen nur im freigegebenen Kanzlei-Werkzeug erstellt werden, niemals in frei zugänglichen Chat-Diensten" beantwortet die Frage, die sich Mitarbeiter tatsächlich stellen.

Mandantendaten: die rote Linie

Die berufliche Verschwiegenheit ist der Punkt, an dem eine KI-Richtlinie für Kanzleien strenger sein muss als in anderen Branchen. Die Grundregel ist einfach zu formulieren: Mandantendaten gehören nur in Werkzeuge, bei denen die Kanzlei vertraglich sichergestellt hat, dass die Eingaben nicht für das Training von Modellen verwendet werden, dass die Verarbeitung datenschutzkonform geregelt ist und dass klar ist, wo die Daten verarbeitet werden.

In der Praxis heißt das: Öffentliche Gratisdienste mit Standardeinstellungen sind für Mandatsinhalte tabu. Und auch das beliebte Ausweichen auf Anonymisierung trägt kürzer, als viele denken. Wer Namen entfernt, aber den vollständigen Sachverhalt eines Bauprozesses in einer kleinen Gemeinde beschreibt, hat faktisch nichts anonymisiert. Die Richtlinie sollte deshalb nicht nur Namen, sondern die Wiedererkennbarkeit des Falls zum Maßstab machen.

Prüfen und kennzeichnen: KI-Ergebnisse sind Entwürfe

Der zweite große Risikobereich ist nicht der Datenabfluss, sondern die ungeprüfte Übernahme von Ergebnissen. Sprachmodelle formulieren überzeugend, auch wenn sie inhaltlich falsch liegen, und sie erfinden gelegentlich Fundstellen, die es nicht gibt. Die Richtlinie braucht deshalb zwei feste Regeln.

• Prüfpflicht: Jedes KI-Ergebnis ist ein Entwurf. Die fachliche Verantwortung bleibt bei der Person, die es verwendet. Zitate, Fundstellen und Fristen sind immer an der Originalquelle zu verifizieren, bevor sie das Haus verlassen.
• Kennzeichnungspflicht intern: Kollegen, die einen Entwurf weiterbearbeiten, müssen wissen, dass er maschinell vorformuliert wurde. Eine kurze interne Markierung genügt. Sie verhindert, dass ein ungeprüfter Text im dritten Bearbeitungsschritt für geprüft gehalten wird.

Ob und wie gegenüber Mandanten über den KI-Einsatz informiert wird, sollte die Kanzlei bewusst entscheiden und in der Richtlinie festhalten, statt es dem Zufall zu überlassen.

Schulung: eine Richtlinie, die niemand kennt, existiert nicht

Das beste Dokument nützt nichts, wenn es nach der Freigabe im Qualitätsmanagement-Ordner verschwindet. Die Einführung braucht eine kurze, verpflichtende Schulung für alle, vom Partner bis zur Lehre. Wirksam sind dabei weniger die Regeln selbst als die Beispiele: ein realistischer Fall, in dem eine harmlos wirkende Anfrage Mandatsinhalte preisgibt, überzeugt mehr als jede abstrakte Warnung.

Ebenso wichtig ist eine benannte Ansprechperson für Zweifelsfälle. Wer nicht weiß, ob ein Anwendungsfall erlaubt ist, muss jemanden fragen können, ohne ein Verfahren auszulösen. Fehlt dieser kurze Weg, entscheiden die Leute selbst, und zwar im Zweifel großzügig.

Aktualisierung: die Richtlinie hat ein Ablaufdatum

Werkzeuge, Anbieter und Rechtslage ändern sich schnell. Eine KI-Richtlinie, die zwei Jahre unverändert bleibt, ist mit hoher Wahrscheinlichkeit in Teilen falsch. Bewährt hat sich ein fester Überprüfungsrhythmus, etwa halbjährlich, plus anlassbezogene Updates: wenn ein neues Werkzeug eingeführt wird, wenn ein Anbieter seine Bedingungen ändert oder wenn intern ein Vorfall passiert ist.

Vorfälle sind dabei kein Grund zur Verschärfung um jeden Preis, sondern Lernmaterial. Wer jeden Beinahe-Fehler in die nächste Version der Richtlinie und in die nächste Schulung einarbeitet, baut über die Zeit genau das Regelwerk, das zur eigenen Kanzlei passt.

Fazit

Eine KI-Richtlinie für die Kanzlei muss keine dreißig Seiten haben. Fünf Bausteine reichen: klar abgegrenzte Anwendungsfälle in drei Kategorien, eine harte rote Linie beim Umgang mit Mandantendaten, Prüf- und Kennzeichnungsregeln für alle KI-Ergebnisse, eine kurze Schulung mit echten Beispielen und ein fester Rhythmus für Aktualisierungen. Wer diese Punkte regelt, verwandelt eine unkontrollierte Schatten-Nutzung in einen Arbeitsvorteil, den die Kanzlei steuern kann. Das Verbot wirkt nur auf dem Papier sicherer.