KI für Anwälte: Was Kanzleien in der Schweiz und in Deutschland wirklich prüfen müssen

Der KI-Leitfaden der Bundesrechtsanwaltskammer vom Dezember 2024 verankert eine unbequeme Grenze: Anwälte müssen KI-Ergebnisse eigenverantwortlich auf Richtigkeit prüfen und dürfen Berufsgeheimnisse gegenüber Dienstleistern nur unter den Voraussetzungen des Paragrafen 43e BRAO zugänglich machen. Damit wird KI für Anwälte bereits vor der Toolwahl zur Frage des konkreten Arbeitsablaufs. Welche Daten verlassen welchen Schutzraum, worauf stützt sich das Ergebnis, und welche Aussenwirkung hat ein Fehler? Die verbreitetste Fehlannahme in Toolvergleichen lautet, ein grosser Funktionsumfang bedeute bereits Einsatzreife.

KI für Anwälte: Warum Modellnamen die falsche Entscheidungsebene sind

Vergleichsseiten stellen KI für Anwälte meist als Frage nach dem besten Tool dar. Das verschiebt die Aufmerksamkeit weg von der Stelle, an der Risiko tatsächlich entsteht. Ein Rechercheassistent, der öffentliche Quellen zusammenfasst, hat ein anderes Fehlerprofil als ein System, das Mandatsakten verarbeitet und einen unterschriftsreifen Entwurf produziert. Beide können auf derselben Modellfamilie laufen und trotzdem völlig unterschiedliche Freigaben verdienen.

Sinnvoller ist deshalb eine Einteilung nach Arbeitsklasse, nicht nach Produktnamen. Vier Klassen decken den grössten Teil der Kanzleipraxis ab: Recherche in öffentlichen oder lizenzierten Quellen, Analyse bestehender Dokumente wie Verträge oder Schriftsätze, Erstellung neuer Textentwürfe und Abfrage internen Kanzleiwissens. Jede Klasse kombiniert einen Datentyp mit einer Fehlerart, und genau diese Kombination bestimmt, wie viel Kontrolle vor der Nutzung durch eine dritte Person nötig ist.

Auch die Prüfung sieht in jeder Klasse anders aus. Bei einer Recherche muss sich die Kette von der Modellantwort bis zum Wortlaut der Primärquelle nachvollziehen lassen. Bei einer Dokumentenanalyse zählt zusätzlich, ob das System Klauseln ausgelassen, Tabellen falsch zugeordnet oder Ausnahmen aus dem Zusammenhang gelöst hat. Ein Textentwurf verlangt schliesslich eine vollständige juristische Prüfung von Tatsachengrundlage, Rechtsstand, Subsumtion und Anträgen, bevor er Aussenwirkung erhält. Beim internen Wissenssystem steht neben der fachlichen Qualität die Zugriffstrennung im Zentrum: Ein Treffer darf nur Informationen offenlegen, die die suchende Person im zugrunde liegenden Mandat ohnehin sehen dürfte. Diese Unterschiede erklären, warum eine gute Rechercheleistung noch keine Freigabe für Vertragsentwürfe oder mandatsübergreifende Wissensabfragen trägt.

Recherche in öffentlichen Quellen trägt vor allem ein inhaltliches Risiko: Ein Sprachmodell kann eine Fundstelle erfinden, die überzeugend klingt, aber nicht existiert. Dieses bekannte Verhaltensmuster generativer Systeme wird in der Rechtspraxis besonders teuer, wenn niemand die Quelle gegenprüft. Dokumentenanalyse verschiebt das Risiko: Hier verlässt oft vertrauliches Vertrags- oder Mandatsmaterial die Kanzlei in Richtung eines externen Systems, bevor überhaupt ein Fehler im Ergebnis sichtbar wird. Entwurfserstellung addiert beide Risiken, weil sie meist auf Recherche und Dokumentenanalyse aufbaut und zusätzlich in einem Schriftstück mit Aussenwirkung mündet. Interne Wissensabfragen wirken harmlos, weil nichts nach aussen geht, bleiben aber ein Datenschutzthema, sobald Personendaten aus früheren Mandaten im Trainings- oder Kontextmaterial stecken.

Risiko nach Datenart und Aussenwirkung, nicht nach Tool-Etikett

Wer KI für Anwälte einsetzen will, sollte deshalb vor jeder Toolwahl zwei Fragen beantworten: Welche Daten verarbeitet der Anwendungsfall, und wer bekommt das Ergebnis am Ende zu sehen? Öffentliche Fakten, die niemandem zugeordnet werden können, tragen wenig Risiko, selbst wenn das Ergebnis fehlerhaft ist, solange es intern geprüft wird. Mandatsbezogene, geheimnisgeschützte oder personenbezogene Daten verschieben dieselbe Aufgabe in eine andere Kategorie, unabhängig davon, wie gut die Modellantwort aussieht.

Die zweite Achse ist die Aussenwirkung. Ein internes Memo, das ein Associate vor der Weitergabe liest, verzeiht mehr Fehler als ein Schriftsatz, der direkt an ein Gericht geht. BRAK und DAV behandeln erfundene Fundstellen und unzuverlässige Ausgaben deshalb als Risiko, das eine eigenverantwortliche fachliche Prüfung verlangt. Die entscheidende Bruchstelle ist die fehlende menschliche Prüfung vor der Weitergabe. Ein Quellenverweis im Output belegt für sich genommen nichts: Primärquelle, Aktualität, Zuständigkeit und die konkrete Subsumtion auf den Fall müssen unabhängig geprüft werden, unabhängig davon, wie überzeugend die Formulierung wirkt. Wer mehr über die Mechanik dieses Fehlerbilds wissen will, findet eine tiefere Einordnung im Artikel zu KI-Halluzinationen.

Aus diesen zwei Achsen ergibt sich ein redaktionelles Entscheidungsmodell: Je sensibler die Daten und je grösser die Aussenwirkung, desto enger sollte die Freigabe ausfallen und desto wichtiger wird die menschliche Prüfung vor Weitergabe. Das Modell leitet sich aus Berufsgeheimnis, Sorgfaltspflichten und der möglichen Aussenwirkung ab. Es ist selbst keine berufsrechtliche Regel. Die folgenden zwei Abschnitte zeigen die Rechtsgrundlagen für die Schweiz und für Deutschland getrennt.

Schweiz: Berufsgeheimnis und Datenschutzgesetz bleiben die Leitplanken

In der Schweiz bleibt das anwaltliche Berufsgeheimnis der Ausgangspunkt jeder Entscheidung über externe KI-Dienste. Wer geheimnisgeschützte Mandatsdaten in ein System eingibt, das ausserhalb der eigenen Kontrolle liegt, muss vorher klären, wer auf diese Daten zugreifen kann und unter welchen vertraglichen Bedingungen das geschieht. Der Schweizerische Anwaltsverband hat dazu 2024 eigene KI-Guidelines veröffentlicht. Sie sind als Leitlinie zu verstehen und haben keinen Gesetzesrang. Berufsgeheimnis, sorgfältige Prüfung, Mandanteninteressen und fachliche Kompetenz bleiben in jedem Fall Aufgabe der Anwältin oder des Anwalts.

Ergänzend gilt das Bundesgesetz über den Datenschutz auch beim Einsatz von KI. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte stellt klar, dass Transparenzpflichten, Verhältnismässigkeit und die Frage nach automatisierten Einzelentscheidungen kontextabhängig zu prüfen sind, und dass eine Datenschutz-Folgenabschätzung nur bei tatsächlich hohem Risiko vorgeschrieben ist. Das bedeutet in der Praxis: Eine pauschale Aussage, jede KI-Nutzung in einer Kanzlei löse automatisch eine Folgenabschätzung aus, ist falsch. Was zählt, ist die konkrete Datenverarbeitung im Einzelfall.

Cloud- und Outsourcing-Fragen sind der praktisch heikelste Punkt, weil sich hier Berufsgeheimnis und Datenschutz überschneiden. Der Anwaltsverband beschreibt in seinen Materialien zur digitalen Kanzlei, dass die Zulässigkeit von Zugriffsmöglichkeiten, Vertragsgestaltung, technischen Schutzmassnahmen und der konkreten Geheimniswahrung abhängt. Es gibt weder eine pauschale Freigabe noch ein pauschales Verbot für Cloud-Dienste. Wer ein KI-Tool mit Cloud-Anbindung für Mandatsdaten prüft, braucht deshalb konkrete Antworten: Wo liegen die Daten, wer kann sie technisch einsehen, und was passiert im Fall eines Anbieterwechsels oder einer Kündigung.

Deutschland und EU: Berufsrecht, Strafrecht und die Grenzen des AI Act

In Deutschland ist die anwaltliche Verschwiegenheitspflicht sowohl standesrechtlich in Paragraf 43a Absatz 2 der Bundesrechtsanwaltsordnung als auch strafrechtlich in Paragraf 203 des Strafgesetzbuchs verankert. Die Bundesrechtsanwaltskammer hat dazu im Dezember 2024 einen Leitfaden mit Hinweisen zum Einsatz generativer KI veröffentlicht, der als Orientierungshilfe gedacht ist, nicht als bindende Norm. Zentral daraus: Wer einen externen KI-Dienstleister einbindet, muss die Voraussetzungen von Paragraf 43e BRAO prüfen, der die Weitergabe von Mandatsgeheimnissen an Dritte regelt. Auch hier gilt: Das ist eine Prüfpflicht, keine automatische Erlaubnis und kein automatisches Verbot für Cloud-basierte KI-Dienste.

Der Deutsche Anwaltverein kommt in seiner Stellungnahme 32/2025 zum selben Kernpunkt: Sorgfalts- und Verschwiegenheitspflichten bleiben Kernpflichten der Anwältin oder des Anwalts, und die menschliche Prüfung von KI-Ergebnissen lässt sich nicht an ein Modell delegieren. Ein technischer Leitfaden von CCBE und BRAK aus 2026 ergänzt praxisnahe Auswahl- und Sicherheitsfragen für die europäische Anwaltschaft, etwa zu Protokollierung und Systemgrenzen. Auch dieser Leitfaden ist eine Handlungsempfehlung der Berufsorganisationen ohne Gesetzesrang.

Verarbeitet das System personenbezogene Mandatsdaten, kommt in Deutschland zusätzlich die Datenschutz-Grundverordnung ins Spiel. Die konkrete Verarbeitung bestimmt, welche Rechtsgrundlage trägt und ob ein Anbieter als Auftragsverarbeiter eingebunden wird. Bei Übermittlungen in Drittländer sind die dafür geltenden Voraussetzungen gesondert zu prüfen. Eine Datenschutz-Folgenabschätzung wird auch hier nicht durch das Etikett KI ausgelöst, sondern dann, wenn die konkrete Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Diese Prüfung gehört in den deutschen und europäischen Rechtsrahmen und darf nicht mit dem Schweizer Datenschutzgesetz vermischt werden.

Auf EU-Ebene ist an dieser Stelle Präzision wichtiger als Alarmismus. Artikel 4 der KI-Verordnung 2024/1689 verlangt von Anbietern und Betreibern angemessene KI-Kompetenz im Umgang mit den eingesetzten Systemen. Daraus folgt nicht automatisch, dass jede normale Kanzleinutzung eines Chatbots oder Rechercheassistenten ein Hochrisiko-System im Sinn der Verordnung darstellt oder sämtliche Transparenz- und Risikomanagementpflichten auslöst. Ob ein konkretes System als Hochrisiko-KI gilt, hängt von seiner tatsächlichen Zweckbestimmung und den einschlägigen Einstufungsbestimmungen der Verordnung ab, nicht vom Berufsstand der Nutzerin oder des Nutzers. Artikel 4 regelt an dieser Stelle allein die angemessene KI-Kompetenz. Eine ausführlichere Einordnung der Hochrisiko-Kategorien und Pflichten der Verordnung insgesamt steht im separaten Beitrag zum EU AI Act.

Auswahlkriterien statt Produktliste

Sobald Arbeitsklasse und Risikoprofil klar sind, lässt sich ein Tool an konkreten Kriterien statt an Marketingversprechen prüfen. Wird das eingegebene Material zum Training des Anbieters verwendet, oder bleibt es strikt für die eigene Sitzung reserviert? Wie lange werden Eingaben und Ausgaben gespeichert, und wer kann diese Aufbewahrung einsehen? Setzt der Anbieter Unterauftragnehmer ein, und wo liegen deren Serverstandorte? Lässt sich das Mandatsverhältnis technisch sauber beenden, also Daten exportieren und anschliessend nachweisbar löschen, wenn eine Kanzlei den Anbieter wechselt?

Diese Kriterien sind keine universellen Mindestanforderungen, die jedes Tool erfüllen muss, um überhaupt infrage zu kommen. Sie sind Prüffragen, deren Antworten je nach Arbeitsklasse unterschiedlich schwer wiegen. Für eine reine Recherche in öffentlichen Quellen ist die Frage nach Trainingsnutzung weniger kritisch als für ein System, das Verträge mit Namen, Beträgen und Fristen verarbeitet. Bleiben diese Fragen in den Anbieterunterlagen unbeantwortet, ist das Tool für mandatsbezogene Daten ungeeignet, unabhängig davon, wie gut seine Textqualität in einer Demo wirkt.

Lokale oder selbst gehostete KI ist dabei eine eigene Betriebsoption. Sie kann verhindern, dass Mandatsdaten an einen externen Modellanbieter übertragen werden, schafft aber keine automatische Rechtssicherheit. Die Kanzlei übernimmt dafür zusätzliche Verantwortung für Zugriffsschutz, Verschlüsselung, Updates, Backups und die Absicherung der eigenen Infrastruktur. Der aktualisierte Vergleich zu Open-Source-KI-Modellen, APIs und lokalem Betrieb zeigt, welche Lizenz-, Datenfluss- und Kostenfragen dabei getrennt geprüft werden müssen. Auch bei lokalem Betrieb bleiben Quellenprüfung, Datenminimierung und die fachliche Freigabe jedes Ergebnisses erforderlich. Entscheidend ist deshalb der vollständige Datenweg vom Eingabedokument bis zu Logs, Sicherungskopien und administrativen Zugriffen, nicht allein der Standort des Modells.

Ein begrenzter Pilot mit klarem Ausstieg

Die naheliegendste Art, ein Tool ausserhalb der Theorie zu prüfen, ist ein bewusst begrenzter Pilot statt eines kanzleiweiten Rollouts. Ein solcher Pilot beschränkt sich auf eine einzelne Arbeitsklasse, etwa Recherche in öffentlich zugänglichen Quellen, und schliesst mandatsbezogene oder geheimnisgeschützte Daten zunächst bewusst aus. Jede Ausgabe wird von einer verantwortlichen Person geprüft, bevor sie weiterverwendet wird. Welche Prüfschritte dokumentiert werden, richtet sich nach Arbeitsklasse, Nachweiszweck und Schutzbedarf. Gerade bei sensiblen Daten kann eine vollständige Speicherung von Ein- und Ausgaben ein zusätzliches Risiko schaffen; Datenminimierung gilt deshalb auch für das Pilotprotokoll.

Eine zweckgebundene Dokumentation schafft die Grundlage für die Entscheidung nach dem Pilot: Bleibt das Tool auf die risikoarme Aufgabe beschränkt, wird der Anwendungsbereich vorsichtig erweitert, oder endet die Nutzung, weil Fehlerquote oder Prüfaufwand den Zeitgewinn auffressen. Genau diese Exit-Fähigkeit unterscheidet einen kontrollierten Pilot von einem stillschweigenden Dauerbetrieb, der sich erst bemerkbar macht, wenn ein Fehler bereits Aussenwirkung entfaltet hat. Eine mögliche Staffelung beginnt mit Recherche in öffentlichen Quellen, führt über Dokumentenanalyse mit anonymisierten Testdaten und erreicht die Entwurfserstellung erst, wenn Recherche und Analyse belastbar funktionieren. Andere Kanzleien brauchen je nach Rechtsgebiet und Datenlage eine andere Reihenfolge.

Fazit

KI für Anwälte lässt sich nur an der Frage sinnvoll beurteilen, welche Daten in welchem Arbeitsschritt welchen Schutzraum verlassen. Die Schweiz stützt diese Entscheidung auf Berufsgeheimnis und Datenschutzgesetz. In Deutschland greifen Berufsrecht, Strafgesetzbuch und Datenschutz-Grundverordnung; daneben verlangt Artikel 4 des AI Act angemessene KI-Kompetenz, ohne jede Kanzleinutzung pauschal als Hochrisiko-KI einzustufen. Wer diese Trennung ernst nimmt, kann Recherche früh und risikoarm starten und Entwurfserstellung mit Mandatsbezug erst freigeben, wenn Prüfung und Dokumentation tatsächlich tragen.

Häufige Fragen