Kurzantwort: Rechtsanwaltskanzleien sind unter dem EU AI Act (Verordnung (EU) 2024/1689) in aller Regel Betreiber (Deployer) einer KI, nicht deren Anbieter. Daraus folgen drei praktisch relevante Pflichten: die menschliche Aufsicht über die eingesetzten Systeme, die KI-Kompetenz Ihrer Mitarbeitenden nach Art. 4 (seit dem 2. Februar 2025 verbindlich) und die Transparenz nach Art. 50 (seit dem 2. August 2026). Die strengen Hochrisiko-Anforderungen treffen typische Kanzlei-Werkzeuge wie Dokumentautomation, Fristenmanagement oder Aktenrecherche nicht; sie gelten für eng definierte Anwendungsfälle und wurden durch den sogenannten Digital Omnibus ohnehin auf den 2. Dezember 2027 verschoben. Wer KI mit Hosting in Deutschland, dokumentierter Aufsicht und geschultem Personal einsetzt, ist berufs- und aufsichtsrechtlich gut aufgestellt.
1. Für wen gilt der EU AI Act — und welche Rolle hat Ihre Kanzlei?
Der EU AI Act unterscheidet mehrere Rollen: Anbieter (wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt), Betreiber beziehungsweise Deployer (wer ein KI-System in eigener beruflicher Verantwortung einsetzt), sowie Einführer, Händler und Bevollmächtigte. Die Verordnung wirkt extraterritorial: Sie greift, sobald ein KI-System in der EU in Verkehr gebracht, in Betrieb genommen oder verwendet wird.
Für die Einordnung einer Kanzlei ist das entscheidend. Wenn Sie eine fertige KI-Software lizenzieren und für Ihre Mandatsarbeit nutzen, sind Sie Betreiber, nicht Anbieter. Die anspruchsvollen Entwickler- und Konformitätspflichten (technische Dokumentation, Risikomanagementsystem, CE-Konformität) treffen den Anbieter der Software, nicht Sie.
Zum Anbieter mit den weitergehenden Anbieterpflichten nach Art. 25 AI Act werden Sie erst, wenn Sie ein System wesentlich verändern, es unter eigenem Namen weitervertreiben oder zweckwidrig einsetzen. Solange Sie ein Werkzeug bestimmungsgemäß nutzen, bleibt es bei den überschaubaren Betreiberpflichten, die wir weiter unten aufschlüsseln. Wer die Grundlagen des KI-Einsatzes in der Kanzlei einordnen möchte, findet einen Praxisüberblick im Beitrag KI für Anwälte 2026.
2. Die vier Risikoklassen — und wo Kanzlei-KI einzuordnen ist
Der EU AI Act reguliert nicht KI als solche, sondern den konkreten Anwendungsfall. Er staffelt die Anforderungen nach dem Risiko für Grundrechte und Sicherheit. Für Kanzleien ist die gute Nachricht: Die meisten typischen Einsatzfelder fallen in die unteren beiden Stufen.
Die Hochrisiko-Kategorie wird häufig missverstanden. Anhang III nennt zwar die Rechtspflege, meint damit aber KI, die eine Justizbehörde bei der Ermittlung und Auslegung von Sachverhalten und Recht unterstützt, also den Einsatz durch Gerichte, nicht die anwaltliche Fallbearbeitung in Ihrer Kanzlei. Hochrisiko kann für Sie dennoch relevant werden, wenn Sie KI außerhalb der Mandatsarbeit einsetzen, etwa zur Vorauswahl von Bewerbungen im Personalbereich oder zur Bonitätsbewertung.
| Risikoklasse | Rechtsgrundlage | Beispiele | Relevanz für Kanzleien |
|---|---|---|---|
| Verbotene Praktiken (inakzeptables Risiko) | Art. 5 | Social Scoring, manipulative Techniken, ungezieltes Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz | Praktisch nie; diese Praktiken sind schlicht untersagt (seit 02.02.2025) |
| Hochrisiko | Art. 6, Anhang III | KI in der Justiz (durch Gerichte), Bewerberauswahl, Kreditwürdigkeitsprüfung | Nur in Randfällen (z. B. HR-Vorauswahl); nicht die typische Mandatssoftware |
| Begrenztes Risiko | Art. 50 | Chatbots, KI-generierte Texte und Bilder, Deepfakes | Ja, Transparenzpflichten, wenn Sie solche Ausgaben veröffentlichen |
| Minimales Risiko | keine spezifischen Pflichten | Dokumentautomation, Recherche, Fristenassistenz, Textentwürfe | Der Regelfall der Kanzlei-KI; nur Art. 4 (KI-Kompetenz) bleibt anwendbar |
3. Ihre Pflichten als Betreiber: Aufsicht, KI-Kompetenz, Transparenz
Als Betreiber müssen Sie drei Dinge im Griff haben. Erstens die menschliche Aufsicht: KI liefert Entwürfe und Vorschläge, die anwaltliche Prüfung und Verantwortung bleiben bei Ihnen. Das deckt sich mit Ihren berufsrechtlichen Pflichten aus § 43a BRAO und ist kein zusätzlicher Formalismus, sondern gelebte Sorgfalt.
Zweitens die KI-Kompetenz nach Art. 4. Diese Pflicht gilt unabhängig von der Risikoklasse und trifft damit praktisch jede Kanzlei, die KI einsetzt. Details dazu im nächsten Abschnitt.
Drittens die Transparenz nach Art. 50, die seit dem 2. August 2026 anwendbar ist. Für Kanzleien sind zwei Fälle wichtig: Betreiben Sie einen mandantengerichteten Chatbot, muss erkennbar sein, dass eine KI antwortet. Erzeugen Sie einen Deepfake oder KI-manipulierte Medien, sind diese als künstlich erzeugt zu kennzeichnen. Für rein textliche KI-Ausgaben greift die Offenlegungspflicht nur, wenn Sie damit die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, und sie entfällt, wenn der Text einer redaktionellen oder anwaltlichen Prüfung mit klarer Verantwortlichkeit unterlag. Ihr geprüfter Schriftsatz oder Mandantenbrief löst also keine Kennzeichnungspflicht aus.
- Menschliche Aufsicht dokumentieren: KI-Ausgaben werden anwaltlich geprüft, nicht ungeprüft übernommen.
- KI-Kompetenz sicherstellen: geschultes Personal nach Art. 4 (seit 02.02.2025 verbindlich).
- Transparenz nach Art. 50: Chatbots und Deepfakes kennzeichnen; geprüfte Schriftsätze sind ausgenommen.
4. KI-Kompetenz nach Art. 4: Was 'ausreichend' konkret bedeutet
Art. 4 verpflichtet Betreiber, ein ausreichendes Maß an KI-Kompetenz ihres Personals und der Personen sicherzustellen, die in ihrem Auftrag KI-Systeme bedienen oder deren Ergebnisse nutzen. Maßstab sind die technischen Vorkenntnisse, die Erfahrung, die Ausbildung, der konkrete Einsatzkontext und die Personen, gegenüber denen die KI eingesetzt wird. Ein starres Zertifikat schreibt die Verordnung nicht vor.
Die Pflicht gilt seit dem 2. Februar 2025. Für die Praxis heißt das: Wer in Ihrer Kanzlei KI-Werkzeuge nutzt, vom KI-gestützten Textentwurf bis zur Recherche, soll verstehen, was das System kann, wo seine Grenzen liegen und warum die Ergebnisse zu prüfen sind. Ein bekanntes Risiko sind erfundene Fundstellen oder Scheinzitate; wer das einordnen kann, arbeitet sicherer.
Halten Sie die Umsetzung schlank und nachweisbar: eine dokumentierte interne Einweisung, eine kurze Nutzungsrichtlinie und regelmäßige Auffrischung genügen als Ausgangspunkt. Entscheidend ist, dass die Kompetenz zum tatsächlichen Einsatz passt. Wer nur Textbausteine generiert, braucht weniger Tiefe als wer KI in die Fristenkontrolle einbindet.
5. Zeitplan 2026: Was wann gilt — nach dem Digital Omnibus
Der EU AI Act wird gestuft anwendbar. Ende 2025 und Anfang 2026 wurde der Zeitplan durch das Reformpaket Digital Omnibus angepasst: Die Hochrisiko-Pflichten wurden nach hinten verschoben, während die für Kanzleien wichtigen Pflichten (Art. 4 KI-Kompetenz, Art. 5 Verbote, Art. 50 Transparenz) auf ihrem ursprünglichen Zeitplan blieben. Der folgende Stand entspricht dem offiziellen Zeitplan der Europäischen Kommission (August 2026).
Bitte beachten Sie: Zeitpläne im KI-Recht bleiben in Bewegung. Verbindlich sind die im EU-Amtsblatt veröffentlichten Fassungen; die unten genannten Quellen führen dorthin.
| Datum | Was gilt | Bedeutung für Kanzleien |
|---|---|---|
| 01.08.2024 | Inkrafttreten der Verordnung | Startpunkt der gestuften Anwendung |
| 02.02.2025 | Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4) | KI-Kompetenz ist seither Pflicht |
| 02.08.2025 | Pflichten für GPAI-Anbieter, Governance, nationale Behörden und Sanktionen | Betrifft KI-Anbieter; für Sie mittelbar relevant |
| 02.08.2026 | Großteil der Regeln; Transparenz (Art. 50) wird anwendbar | Chatbot- und Deepfake-Kennzeichnung beachten |
| 02.12.2026 | Neue Verbote (nicht-einvernehmliche Deepfakes, CSAM); Übergangsfrist maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 | Für Kanzleien meist ohne direkte Folgen |
| 02.12.2027 | Hochrisiko-Systeme nach Anhang III (verschoben durch Digital Omnibus) | Nur bei Hochrisiko-Einsatz relevant |
| 02.08.2028 | Hochrisiko-KI in regulierten Produkten (Anhang I) | Für Kanzleien in aller Regel ohne Bedeutung |
6. EU AI Act — Umsetzung in Deutschland
Der EU AI Act ist eine unmittelbar geltende Verordnung; er muss nicht in nationales Recht umgesetzt werden, benötigt aber flankierende Regeln zu Zuständigkeiten und Aufsicht. Diese schafft in Deutschland das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das seit dem 29. Juli 2026 in Kraft ist.
Zentrale Marktüberwachungs- und Beschwerdestelle ist die Bundesnetzagentur. Bei ihr werden die Marktüberwachung gebündelt sowie eine zentrale Anlauf- und Beschwerdestelle eingerichtet; die Koordinierung übernimmt eine eigene Stelle für die KI-Verordnung. Für kleine Kanzleien ändert das an den eigenen Pflichten wenig, weil Sie Betreiber im Bereich minimalen bis begrenzten Risikos sind. Es zeigt aber, an welche Stelle sich künftig Beschwerden richten und wo die Aufsicht sitzt.
7. Praxis: In sechs Schritten compliant KI einsetzen
Compliance unter dem EU AI Act ist für eine kleine Kanzlei kein Großprojekt, sondern eine geordnete Routine. Die folgenden Schritte decken die Betreiberpflichten ab und greifen zugleich in die berufs- und datenschutzrechtlichen Anforderungen, die parallel gelten (§ 203 StGB, § 43a/43e BRAO, DSGVO).
- Bestandsaufnahme: Welche KI-Werkzeuge nutzen Sie, für welchen Zweck? Ordnen Sie jeden Fall einer Risikoklasse zu.
- Rolle klären: Sie sind Betreiber. Prüfen Sie, ob Sie das System bestimmungsgemäß und ohne wesentliche Änderung einsetzen.
- KI-Kompetenz herstellen: kurze, dokumentierte Einweisung des Teams und eine schriftliche Nutzungsrichtlinie (Art. 4).
- Aufsicht verankern: KI-Ausgaben werden anwaltlich geprüft; halten Sie Fundstellen und Verantwortlichkeit nachvollziehbar.
- Transparenz prüfen: mandantengerichtete Chatbots und KI-Medien kennzeichnen (Art. 50).
- Datenschutz absichern: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Hosting in Deutschland oder der EU, vertraglich ausgeschlossenes Modelltraining mit Mandantendaten.
Häufige Fragen
Für wen gilt der EU AI Act in einer Kanzlei?
Für die Kanzlei als Betreiber (Deployer) der KI. Sie nutzen eine fertige Software für Ihre Mandatsarbeit und tragen deshalb die überschaubaren Betreiberpflichten (Aufsicht, KI-Kompetenz, Transparenz), während die anspruchsvollen Anbieterpflichten den Softwarehersteller treffen.
Ist Kanzleisoftware mit KI ein Hochrisiko-System?
In aller Regel nein. Dokumentautomation, Aktenrecherche oder Fristenassistenz fallen unter minimales oder begrenztes Risiko. Die Hochrisiko-Kategorie 'Rechtspflege' in Anhang III meint KI, die eine Justizbehörde unterstützt, nicht die anwaltliche Fallbearbeitung. Hochrisiko kann aber greifen, wenn Sie KI zur Bewerberauswahl oder Bonitätsprüfung einsetzen.
Gilt die KI-Schulungspflicht nach Art. 4 auch für kleine Kanzleien?
Ja. Die Pflicht zur KI-Kompetenz nach Art. 4 gilt seit dem 2. Februar 2025 unabhängig von Kanzleigröße und Risikoklasse. Erforderlich ist ein zum Einsatz passendes, nachweisbares Maß an Kompetenz, eine dokumentierte Einweisung und eine kurze Nutzungsrichtlinie genügen als Ausgangspunkt.
Muss ich KI-generierte Schriftsätze und Briefe kennzeichnen?
Nein, wenn sie anwaltlich geprüft sind. Die Transparenzpflicht aus Art. 50 für KI-Texte greift nur bei Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse und entfällt bei redaktioneller oder anwaltlicher Kontrolle mit klarer Verantwortlichkeit. Chatbots und Deepfakes sind dagegen zu kennzeichnen.
Ab wann gelten die strengen Hochrisiko-Pflichten des EU AI Act?
Für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, nachdem der Digital Omnibus die ursprüngliche Frist verschoben hat; für Hochrisiko-KI in regulierten Produkten (Anhang I) ab dem 2. August 2028. Für typische Kanzlei-KI sind diese Termine ohne direkte Bedeutung.
Veröffentlichung: · Letzte inhaltliche Prüfung: · Quellen: Verordnung (EU) 2024/1689 (EU AI Act, Art. 4, 25, 50, Anhang III), Verordnung (EU) 2026/1744 (Digital Omnibus), KI-MIG, Bundesnetzagentur (EUR-Lex, offizielle Quellen). Verantwortlich i. S. d. § 18 Abs. 2 MStV gemäß Impressum.