KI in Kanzleien und Rechtsabteilungen: Einsatz und Grenzen

KI in Kanzleien und Rechtsabteilungen wird selten an der Technik entschieden, sondern an zwei Fragen: Dürfen diese Daten das Haus verlassen, und wer haftet für das Ergebnis? Beide Fragen sind beantwortbar. Das Berufsrecht regelt seit 2017 ausdrücklich, unter welchen Bedingungen Anwältinnen und Anwälte externe Dienstleister einsetzen dürfen, und die Haftungsfrage klärt sich über den Zuschnitt der Einsatzfelder.

Dieser Leitfaden beschreibt, wo Sprachmodelle in juristischer Arbeit belastbar helfen, wo sie systematisch versagen und welche Pflichten aus Berufsrecht, Strafrecht, Datenschutz und KI-Verordnung dabei gelten. Er richtet sich an Kanzleien ebenso wie an Rechtsabteilungen mittelständischer Unternehmen, in denen häufig zwei bis fünf Personen für Verträge, Compliance und Datenschutz zuständig sind.

Stand: September 2026. Der Beitrag ordnet die Rechtslage fachlich ein und ersetzt keine Rechtsberatung im Einzelfall.

Ein Sprachmodell erzeugt sprachlich plausible Fortsetzungen, keine geprüften Rechtsauskünfte. Es verdichtet, vergleicht, strukturiert und formuliert. Es weiß nicht, ob eine Norm noch gilt, und es kennt den Stand Ihrer Akte nur, wenn Sie ihn ihm geben.

Daraus folgt die Arbeitsteilung, die sich in der Praxis bewährt: Die KI übernimmt die Sichtung und den ersten Entwurf, der Mensch die Prüfung und die Verantwortung. Legal Tech im engeren Sinne, also regelbasierte Fristenrechner, Dokumentengeneratoren und Vertragsmanagement, bleibt daneben bestehen. Diese Werkzeuge rechnen deterministisch und sind für Fristen und Formulare weiterhin die bessere Wahl.

Zwei Begriffe sollten Sie trennen. Retrieval bedeutet, dass die KI vor der Antwort in Ihren eigenen Dokumenten sucht und nur daraus zitiert; das reduziert Erfindungen und macht Antworten prüfbar. Wie das technisch funktioniert, beschreibt der Beitrag zu Retrieval Augmented Generation. Modellwissen dagegen ist der Trainingsstand des Modells, und der ist für Rechtsfragen grundsätzlich zu alt und zu ungenau.

Fünf Felder liefern reproduzierbaren Nutzen, wenn die menschliche Prüfung fest eingeplant ist. Entscheidend ist nicht, wie beeindruckend ein Entwurf aussieht, sondern wie schnell sich seine Richtigkeit feststellen lässt.

Das letzte Feld verdient eine Klarstellung. KI darf auf eine mögliche Frist hinweisen, sie aber nicht berechnen und eintragen. Die Berufungsfrist etwa beginnt mit der Zustellung des vollständigen Urteils, nicht mit dessen Eingang in der Kanzlei (§ 517 ZPO). Solche Anknüpfungspunkte übersehen Modelle regelmäßig, und die Folgen trägt die Kanzlei.

In Rechtsabteilungen liegt der größte Hebel meist in der Vertragsprüfung im Wareneingang: Rahmenverträge, Lieferantenbedingungen, Geheimhaltungsvereinbarungen und Auftragsverarbeitungsverträge. Wer seine Standardpositionen einmal sauber hinterlegt, bekommt je Vertrag eine Abweichungsliste statt einer Leseaufgabe. Für Massenprüfungen mit Scans und Anlagen lohnt zusätzlich ein Blick auf intelligente Dokumentenverarbeitung.

Die bekannteste Grenze ist die Halluzination: Das Modell nennt ein Aktenzeichen, eine Fundstelle oder einen Wortlaut, den es nicht gibt. Das ist kein Randphänomen. Die Datenbank AI Hallucination Cases erfasst zum 14. September 2026 insgesamt 2.041 gerichtliche Entscheidungen, in denen Gerichte halluzinierte Inhalte in Eingaben festgestellt haben, darunter 11 aus Deutschland.

Die zweite Grenze ist der Geltungsstand. Trainingsdaten altern, Gesetze ändern sich. Ein Beispiel aus der Praxis: Die Haftung der Geschäftsführung für Zahlungen nach Insolvenzreife stand früher in § 64 GmbHG. Diese Norm ist weggefallen, geregelt ist die Haftung seit dem 1. Januar 2021 in § 15b InsO. Ein Modell, das die alte Norm zitiert, klingt trotzdem souverän.

Haftungsrechtlich ändert KI nichts an der Verantwortung. Wer einen Schriftsatz einreicht, verantwortet dessen Inhalt. Die anwaltliche Sorgfalt lässt sich nicht an ein Werkzeug delegieren, und kein Anbieter kann sie übernehmen. Praktisch heißt das: Jede Aussage mit Fundstelle wird am Volltext geprüft, jede Zahl gegen das Dokument, und Entwürfe werden als Entwürfe gekennzeichnet, solange sie nicht freigegeben sind. Welche Kontrollen sich dafür eignen, beschreibt der Beitrag zu Halluzinationen im Unternehmenseinsatz.

Eine dritte Grenze betrifft Rechtsabteilungen und Dienstleister. Eine Rechtsdienstleistung ist nach § 2 Abs. 1 RDG jede Tätigkeit in konkreten fremden Angelegenheiten, sobald sie eine rechtliche Prüfung des Einzelfalls erfordert. Die eigene Rechtsabteilung arbeitet in eigenen Angelegenheiten des Unternehmens und erbringt damit keine Rechtsdienstleistung. Wer aber Dritten, etwa Kunden oder Portalnutzern, automatisierte Einzelfallprüfungen anbietet, bewegt sich im Erlaubnisvorbehalt des § 3 RDG. Diese Frage gehört vor die Entwicklung, nicht danach.

Das Berufsrecht verbietet den Einsatz externer Dienstleister nicht, sondern knüpft ihn an Bedingungen. Die Verschwiegenheitspflicht selbst steht in § 43a BRAO; die Inanspruchnahme von Dienstleistungen regelt § 43e BRAO. Strafrechtlich flankiert § 203 StGB das Ganze: Das Offenbaren gegenüber sonstigen mitwirkenden Personen ist zulässig, soweit es für deren Tätigkeit erforderlich ist, und diese Personen sind zur Geheimhaltung zu verpflichten.

Für Rechtsabteilungen ohne Berufsträger gilt § 43e BRAO nicht unmittelbar. Die Prüfschritte taugen trotzdem als Maßstab, denn Geheimhaltungsvereinbarungen mit Kunden, Betriebs- und Geschäftsgeheimnisse und der Datenschutz führen zu sehr ähnlichen Anforderungen. Hinzu kommt: Syndikusrechtsanwältinnen und Syndikusrechtsanwälte unterliegen dem anwaltlichen Berufsrecht ebenfalls.

Zwei Irrtümer halten sich hartnäckig. Erstens: Mandatsdaten seien nach Art. 9 DSGVO besondere Kategorien personenbezogener Daten. Das ist nicht der Fall. Art. 9 nennt Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten sowie Sexualleben und sexuelle Orientierung. Eine Kategorie „juristische Daten“ gibt es nicht. Für Daten über strafrechtliche Verurteilungen und Straftaten gilt der eigene Art. 10 DSGVO. In der Praxis enthalten Akten häufig trotzdem Gesundheits- oder Strafdaten, etwa im Arbeits-, Sozial- oder Strafrecht; dann greifen die strengeren Regeln wegen des Inhalts, nicht wegen des Mandats.

Zweitens: Ein Auftragsverarbeitungsvertrag sei Formsache. Er ist die zentrale Grundlage jeder Anbieterbeziehung und regelt Weisungsbindung, Unterauftragsverarbeiter, Verarbeitungsorte, Löschung und Kontrollrechte. Verstöße gegen Art. 28 DSGVO fallen unter den Bußgeldrahmen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, nicht unter den oft zitierten höheren Rahmen. Worauf es im Text ankommt, zeigt der Beitrag zum Auftragsverarbeitungsvertrag für KI-Dienste.

Drei weitere Punkte gehören in jede Prüfung: Werden Eingaben zum Training verwendet, wie lange werden Inhalte gespeichert, und wo wird verarbeitet. Übermittlungen in die USA sind an Unternehmen möglich, die nach dem EU-US Data Privacy Framework zertifiziert sind; das EU-Gericht hat den Angemessenheitsbeschluss im September 2025 bestätigt, ein Rechtsmittel ist anhängig. Eine Verarbeitung ausschließlich in der EU vermeidet diese Diskussion. Den größeren Rahmen dazu beschreibt der Leitfaden zu DSGVO-konformen KI-Lösungen.

Für die typische Nutzung in Kanzlei und Rechtsabteilung sind die Pflichten überschaubar. Wer ein zugekauftes System einsetzt, ist Betreiber, nicht Anbieter. Die Einstufung als Hochrisiko-System nach Anhang III Nr. 8 betrifft KI, die von Justizbehörden oder in deren Auftrag zur Ermittlung und Auslegung von Sachverhalten und Recht eingesetzt wird. Eine Kanzleianwendung fällt nicht allein deshalb darunter, weil sie juristische Texte verarbeitet.

Praktisch relevant sind zwei Punkte. Erstens Art. 50: Wer einen Chatbot auf der Kanzleiwebsite betreibt, muss offenlegen, dass Menschen mit einem KI-System sprechen. Details dazu im Beitrag zu den Transparenzpflichten nach Artikel 50. Zweitens Art. 4: Anbieter und Betreiber ergreifen Maßnahmen, um KI-Kompetenz zu fördern. Ein bestimmtes Niveau oder ein Zertifikat schreibt die Verordnung seit der Neufassung von 2026 nicht mehr vor. Eine verständliche Nutzungsrichtlinie und eine kurze Einweisung erfüllen den Zweck besser als ein Pflichtkurs.

Erfolgreiche Einführungen beginnen klein und mit einem Fall, dessen Ergebnis sich prüfen lässt. Vier Schritte haben sich bewährt.

Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand. Für Rechtsabteilungen und Kanzleien sind vor allem die Betriebs- und Kontrollmerkmale relevant: Jeder Kunde erhält eine dedizierte Instanz in der EU oder im eigenen Tenant, dazu einen DSGVO-konformen Auftragsverarbeitungsvertrag. Das erleichtert die Prüfung nach § 43e BRAO, weil Verarbeitungsort, Unterauftragsverarbeiter und Löschung vertraglich geklärt sind und nicht in allgemeinen Nutzungsbedingungen stehen.

Auf der Plattform steuern Sie Rollen und mehr als 40 Berechtigungen, halten Wissensspeicher je Referat getrennt und legen pro Team fest, welche Modelle überhaupt zur Verfügung stehen. Aus mehr als 100 Modellvarianten aus zehn Provider-Typen lässt sich so ein enger Rahmen setzen, etwa nur Modelle mit Inferenz in der EU. Zugriffe und Nutzung sind protokolliert und über Analysen auswertbar; wie weit ausgewertet wird, bestimmen Rollen und Rechte.

Inhaltlich arbeiten Sie mit eigenen Beständen: Muster und Handbücher liegen in Wissensspeichern, Vorlagen mit Variablen erzeugen wiederkehrende Entwürfe, und Dokumente lassen sich per Texterkennung auch aus Scans erschließen. Bestehende Systeme wie Fileserver, Dokumentenablagen oder ältere Datenbanken bindet Plotdesk Connect an. Für frei zugängliche Gerichtsentscheidungen steht zusätzlich eine Anbindung an OpenLegalData bereit. Lizenzierte Fachdatenbanken bleiben außen vor, solange ihre Lizenzbedingungen eine Nutzung durch Dritte nicht erlauben.

Der Weg dorthin folgt vier Schritten: KI-Potenzialanalyse, Proof of Value, produktive Lösung, systematischer Ausbau. Insgesamt sind bei Plotdesk mehr als 1.200 Use Cases in 15 Branchen dokumentiert, aus denen sich Vorgehen und Aufwand für einen konkreten Fall abschätzen lassen.

KI hilft in juristischer Arbeit dort verlässlich, wo sich das Ergebnis schnell gegen eine Quelle prüfen lässt: beim Abgleich von Klauseln mit dem eigenen Standard, beim Wiederfinden von Wissen, bei ersten Entwürfen. Sie hilft nicht bei der Bewertung und nicht bei Fristen. Wer den Zuschnitt so wählt, gewinnt Zeit ohne neues Risiko.

Rechtlich ist der Weg vorgezeichnet: erforderlicher Zugang, sorgfältige Auswahl, Verpflichtung in Textform, geklärter Verarbeitungsort, dokumentierte Entscheidung. Das ist Arbeit, aber kein Hindernis. Beginnen Sie mit einem Vorgang, messen Sie die Nacharbeit ehrlich mit, und bauen Sie erst danach aus.

Dieser Beitrag gibt einen fachlichen Überblick zum Stand September 2026 und ersetzt keine Rechtsberatung. Für die Bewertung konkreter Pflichten, insbesondere bei mandatsbezogenem Einsatz, gehören Berufsrecht und Datenschutz im Einzelfall geprüft.