In einem Satz
Mandatsdaten gehören nur in eine KI, deren Auftragsverarbeitung, Hosting-Standort und Löschfristen Sie schriftlich belegen können — und seit dem 2. August 2026 verlangt der EU AI Act zusätzlich, dass KI-Nutzung transparent gekennzeichnet ist.
Warum ChatGPT & Co. ohne Zusatzvereinbarung heikel sind
Wer Schriftsätze, Verträge oder Mandanten-E-Mails in ein frei zugängliches KI-Werkzeug kopiert, gibt Berufsgeheimnisse aus der Hand. Drei Punkte machen das riskant:
- Drittlandtransfer: Standard-Angebote verarbeiten Eingaben oft auf US-Servern, ohne dass Sie den Verarbeitungsort steuern oder garantieren können.
- Trainingsnutzung: Ohne ausdrückliche Vereinbarung können Ihre Eingaben zur Modellverbesserung weiterverwendet werden — sensible Sachverhalte inklusive.
- Aufbewahrungsfristen: Wie lange Prompts gespeichert bleiben und wer darauf zugreift, ist bei Consumer-Diensten selten klar dokumentiert.
Für die Kanzlei heißt das: Ohne Zusatzvereinbarungen fehlt die Rechtsgrundlage, um Mandatsdaten überhaupt einzuspeisen. Mehr dazu unter Warum nicht einfach ChatGPT.
Die Prüfliste für jedes KI-Tool
Bevor ein Werkzeug an echte Akten darf, sollten fünf Punkte belegbar sein — erst dann lässt sich von einer datenschutzkonformen KI sprechen:
- Auftragsverarbeitungsvertrag (AVV): ein unterschriebener Vertrag, der den Anbieter als Auftragsverarbeiter bindet.
- Subprozessoren-Transparenz: eine offene, gepflegte Liste aller eingebundenen Dienstleister.
- EU-Hosting bzw. EU-Pinning: die Zusicherung, dass die Verarbeitung in der EU bleibt — auch bei zugeschalteten Premium-Modellen.
- Lösch- und Retention-Fristen: dokumentiert, wie lange Daten gespeichert und wann sie gelöscht werden.
- Rollen- und Zugriffskonzept: wer in Ihrer Kanzlei welche Daten sieht — und dass der Anbieter selbst keinen Klartext-Zugriff hat.
Fehlt einer dieser Punkte, ist das kein Detail, sondern ein Ausschlusskriterium.
Seit dem 2. August 2026: der EU AI Act
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 des EU AI Act: KI-generierte Inhalte und der Einsatz von Chatbots müssen als solche erkennbar sein. Die strengeren Pflichten für Hochrisiko-Systeme nach Annex III wurden über den „Digital Omnibus" auf den 2. Dezember 2027 verschoben — aufgeschoben ist aber nicht aufgehoben. Der Bußgeldrahmen ist ernst gemeint: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes. Für Kanzleien bedeutet das: KI-Einsatz gehört dokumentiert, gekennzeichnet und in die eigene Compliance eingebettet.
PII-Maskierung und KI-Schwärzung als zweite Verteidigungslinie
Selbst mit sauberer Auftragsverarbeitung bleibt Datensparsamkeit die beste Absicherung. Eine zweite Verteidigungslinie setzt an, bevor überhaupt ein Modell aufgerufen wird: Personenbezogene Angaben werden erkannt und maskiert, Dokumente vor der Weitergabe geschwärzt. So verlässt möglichst wenig Klartext die Kanzlei. Wie das in der Praxis aussieht, zeigen der Beitrag zur PII-Maskierung und die KI-gestützte PDF-Schwärzung.
Wie SmartLegalPro das umsetzt
SmartLegalPro ist auf EU-Hosting ausgelegt. Auch das optionale Premium-Modell (Fable-Add-on) wird automatisch auf EU-Regionen gepinnt und erst nach ausdrücklichem Kanzlei-Opt-in genutzt. Mandatsdaten fließen nicht ins Training. Welche Dienstleister eingebunden sind, steht offen in der Subprozessoren-Liste; wie KI eingesetzt und gekennzeichnet wird, erklärt die KI-Transparenzseite.
Wichtig bleibt: KI ersetzt keine anwaltliche Prüfung. Gerichte haben wiederholt klargestellt, dass die anwaltliche Prüfpflicht für jedes KI-Ergebnis bestehen bleibt. SmartLegalPro liefert dafür das Werkzeug — vom Faktengraph über die Fristen-Zweitprüfung bis zum Autonomie-Regler im Anwaltsportal. Die Kontrolle behalten Sie.
