Der EU AI Act für Kanzleien: Pflichten, Fristen und To-dos

Die europäische KI-Verordnung – der AI Act – ist seit dem 1. August 2024 in Kraft und wird schrittweise anwendbar. Für Kanzleien ist sie kein Anlass zur Sorge, wohl aber zur Ordnung: Wer KI nutzt, muss wissen, in welcher Rolle die Kanzlei handelt, welche Pflichten daraus folgen und welche Fristen gelten. Mit der Verordnung (EU) 2026/1744, dem „Digital Omnibus on AI“, hat der EU-Gesetzgeber den Zeitplan angepasst und einzelne Pflichten neu gefasst. Dieser Beitrag zeigt, was für Kanzleien gilt und was zu tun ist.

Der AI Act in Kürze

Die Verordnung (EU) 2024/1689 folgt einem risikobasierten Ansatz. Je höher das Risiko eines Einsatzzwecks, desto strenger die Anforderungen:

• Verbotene Praktiken (Art. 5) – etwa Social Scoring oder Emotionserkennung am Arbeitsplatz.
• Hochrisiko-KI-Systeme (Art. 6 mit Anhang I und III) – umfangreiche Anforderungen an Anbieter und Betreiber.
• Transparenzpflichten (Art. 50) – für bestimmte Systeme wie Chatbots oder Deepfakes.
• KI-Modelle mit allgemeinem Verwendungszweck (Art. 51 ff.) – Pflichten der Modellanbieter.
• Alle übrigen Systeme – keine besonderen Anforderungen außer der KI-Kompetenz nach Art. 4.

Die KI-Verordnung tritt neben Berufs- und Datenschutzrecht. Die BRAK betont, dass ein nach der KI-Verordnung konformes System dennoch gegen Berufsrecht verstoßen kann – und Verstöße gegen Art. 4 oder Art. 50 umgekehrt berufsrechtlich relevant werden können. Die berufs- und datenschutzrechtlichen Fragen behandelt der Beitrag zu Datenschutz, Berufsrecht und Mandatsgeheimnis.

KI-System (Art. 3 Nr. 1)

Maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie aus Eingaben Ausgaben wie Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen ableitet. Anwendungen auf Basis von Sprachmodellen fallen regelmäßig darunter.

Anbieter (Art. 3 Nr. 3)

Wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt – entgeltlich oder unentgeltlich.

Betreiber (Art. 3 Nr. 4)

Wer ein KI-System in eigener Verantwortung verwendet, sofern nicht im Rahmen einer persönlichen, nicht beruflichen Tätigkeit.

KI-Kompetenz (Art. 3 Nr. 56)

Fähigkeiten, Kenntnisse und Verständnis, um KI-Systeme sachkundig einzusetzen und sich ihrer Chancen, Risiken und möglichen Schäden bewusst zu sein.

Betreiber oder Anbieter? Die Rolle der Kanzlei

Nutzt eine Kanzlei ein eingekauftes KI-Tool in eigener Verantwortung, ist sie Betreiberin – unabhängig davon, ob es sich um eine Einzelkanzlei oder eine Berufsausübungsgesellschaft handelt. Anbieterin wird sie, wenn sie ein KI-System selbst entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt. Nach den BRAK-Hinweisen betrifft das vor allem größere Kanzleien mit eigenen Lösungen.

KI-Kompetenz nach Art. 4: Pflicht, Inhalt, Nachweis

Was gilt

Seit dem 2. Februar 2025 verpflichtet Art. 4 KI-VO Anbieter und Betreiber zu Maßnahmen für die KI-Kompetenz ihres Personals und weiterer Personen, die in ihrem Auftrag mit KI-Systemen arbeiten. In der ursprünglichen Fassung ging es darum, „nach besten Kräften“ ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen. Mit dem Digital Omnibus ist Art. 4 seit dem 27. Juli 2026 neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie nicht garantieren. Kommission und Mitgliedstaaten sollen dabei unterstützen, insbesondere kleinere Unternehmen.

Die Pflicht zur KI-Kompetenz wurde abgeschwächt, nicht abgeschafft.

Art. 4 ist nicht unmittelbar bußgeldbewehrt: Die Vorschrift erscheint weder im Katalog des Art. 99 Abs. 3 bis 5 KI-VO noch in den Bußgeldvorschriften des deutschen Gesetzes zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG). Bedeutungslos ist sie dennoch nicht. Fehlende Befähigung kann im Haftungsfall als Organisationsmangel gewertet werden, und die BRAK weist darauf hin, dass Verstöße gegen Art. 4 berufsrechtlich relevant werden können. Für Betreiber von Hochrisiko-Systemen bleibt zudem die Pflicht, die menschliche Aufsicht Personen mit der nötigen Kompetenz, Ausbildung und Befugnis zu übertragen (Art. 26 Abs. 2 KI-VO).

Was die EU-Kommission erwartet

Die Kommission hat Fragen und Antworten zur KI-Kompetenz veröffentlicht und an die Neufassung angepasst. Daraus ergeben sich klare Leitplanken:

• Zertifikate sind nicht erforderlich; interne Aufzeichnungen über Schulungen und andere Maßnahmen genügen.
• Eine bestimmte Governance-Struktur, etwa eine KI-Beauftragte oder ein KI-Beauftragter, ist nicht vorgeschrieben.
• Maßnahmen richten sich nach Vorwissen, Rolle und Einsatzkontext; empfohlen werden ein allgemeines KI-Verständnis, die Klärung der eigenen Rolle, eine Bewertung der Risiken der eingesetzten Systeme und darauf zugeschnittene Maßnahmen.
• Auch wer nur einen Chatbot für Texte oder Übersetzungen nutzt, ist erfasst; Beschäftigte sollen spezifische Risiken wie Halluzinationen kennen.

So setzen Kanzleien Art. 4 praktisch um

1. Bestandsaufnahme. Welche KI-Systeme sind im Einsatz – auch eingebettete Funktionen in Office-, Dokumentenmanagement-, Diktat- oder Übersetzungssoftware? Wer nutzt sie wofür?
2. Zielgruppen bilden. Anwältinnen und Anwälte, Sekretariat und Assistenz, Kanzleileitung sowie IT und Knowledge Management brauchen unterschiedliche Schwerpunkte.
3. Basismodul für alle. Funktionsweise von Sprachmodellen, Halluzinationen, Verschwiegenheit und Datenschutz, die KI-Richtlinie der Kanzlei und Meldewege bei Vorfällen.
4. Tool-spezifische Einweisung. Vor der Freischaltung eines Werkzeugs: zulässige Datenklassen, Konfiguration, typische Fehlerbilder und Prüfschritte.
5. Vertiefung bei intensiver Nutzung. Prompting, Quellenprüfung, Vier-Augen-Workflows und – bei Hochrisiko-Systemen – menschliche Aufsicht.
6. Auffrischen und nachsteuern. Kurze Updates bei neuen Tools, Rechtsänderungen oder Vorfällen; feste Bausteine im Onboarding.

Für die Dokumentation genügt ein schlankes, aber vollständiges Set:

• Übersicht der eingesetzten KI-Systeme mit Zweck und Nutzerkreis
• Schulungskonzept nach Zielgruppen
• Teilnahmenachweise mit Datum, Inhalt und Format
• Bestätigung der Kenntnisnahme der KI-Richtlinie
• Nachweise zu tool-spezifischen Einweisungen, Auffrischungen und Onboarding

Verbotene Praktiken

Die Verbote des Art. 5 KI-VO gelten seit dem 2. Februar 2025. Die meisten zielen nicht auf Kanzleien, etwa Social Scoring oder biometrische Echtzeit-Fernidentifizierung zu Strafverfolgungszwecken. Zwei Punkte verdienen dennoch Aufmerksamkeit:

• Emotionserkennung am Arbeitsplatz ist verboten, sofern sie nicht medizinischen oder Sicherheitsgründen dient. Prüfen Sie Meeting-, Telefonie- und HR-Software auf Funktionen, die Stimmungen oder Emotionen von Mitarbeitenden auswerten.
• Neue Verbote durch den Digital Omnibus: Ab dem 2. Dezember 2026 sind zusätzlich KI-Systeme verboten, die ohne Einwilligung realistische intime Darstellungen identifizierbarer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Betreibern ist die Verwendung zu diesem Zweck untersagt.

Transparenzpflichten nach Art. 50

Art. 50 KI-VO gilt seit dem 2. August 2026 und unterscheidet zwischen Anbieter- und Betreiberpflichten:

Für den Kanzleialltag heißt das: Schriftsätze, Gutachten und Mandantenschreiben, die Anwältinnen und Anwälte prüfen und verantworten, lösen keine Kennzeichnungspflicht nach Art. 50 aus. Für Fachbeiträge hält die BRAK den Anwendungsbereich ohnehin für unklar; jedenfalls entfällt die Pflicht, wenn die Texte geprüft und verantwortet werden. Anders liegt es bei einem Chatbot auf der Website: Nutzerinnen und Nutzer müssen spätestens zu Beginn der Interaktion klar erkennen können, dass sie mit einer KI kommunizieren (Art. 50 Abs. 5). Ob die Kanzlei dabei selbst Anbieterin ist oder der Hersteller, hängt von der Gestaltung ab – sicherstellen sollte sie den Hinweis in jedem Fall. Ob und wie Sie darüber hinaus freiwillig informieren, behandelt der Beitrag zur Transparenz gegenüber Mandantinnen und Mandanten.

Hochrisiko-KI: Wo Kanzleien betroffen sein können

Hochrisiko-Bereiche zählt Anhang III der KI-VO auf. Für Kanzleien relevant ist vor allem Nr. 4, Beschäftigung und Personalmanagement. Erfasst sind KI-Systeme, die bestimmungsgemäß

• für die Einstellung oder Auswahl eingesetzt werden, insbesondere für gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Bewerberinnen und Bewerbern, oder
• Entscheidungen über Arbeitsbedingungen, Beförderungen oder Kündigungen beeinflussen, Aufgaben anhand von Verhalten oder persönlichen Merkmalen zuweisen oder Leistung und Verhalten überwachen.

Kanzleien sind hier als Arbeitgeber betroffen. Die Justiz-Kategorie in Anhang III Nr. 8 betrifft dagegen Systeme, die von Justizbehörden oder in deren Auftrag genutzt werden; anwaltliche Recherche- und Entwurfswerkzeuge fallen nach Einschätzung der BRAK nicht darunter. Ein in Anhang III genanntes System ist nach Art. 6 Abs. 3 KI-VO ausnahmsweise nicht hochriskant, wenn es kein erhebliches Risiko birgt – etwa weil es nur eine eng begrenzte Verfahrensaufgabe oder eine vorbereitende Aufgabe erfüllt. Führt es ein Profiling natürlicher Personen durch, gilt diese Ausnahme nicht.

Betreiberpflichten ab dem 2. Dezember 2027

Durch den Digital Omnibus gelten die Anforderungen an Hochrisiko-Systeme nach Anhang III erst ab dem 2. Dezember 2027. Betreiber müssen dann insbesondere (Art. 26 KI-VO):

• das System entsprechend der Betriebsanleitung verwenden,
• die menschliche Aufsicht kompetenten, geschulten und befugten Personen übertragen,
• für relevante und repräsentative Eingabedaten sorgen, soweit sie diese kontrollieren,
• den Betrieb überwachen sowie Risiken und schwerwiegende Vorfälle melden,
• automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren,
• Arbeitnehmervertretungen und betroffene Beschäftigte vor der Inbetriebnahme am Arbeitsplatz informieren,
• Personen informieren, über die mithilfe des Systems Entscheidungen getroffen werden.

Hinzu kommt das Recht Betroffener auf Erläuterung nach Art. 86 KI-VO. Stellen Betreiber unter anderem von Systemen nach Anhang III Nr. 4 diese Erläuterung nicht sicher, droht nach § 15 KI-MIG ein Bußgeld von bis zu 50.000 Euro. Parallel gelten Art. 22 DSGVO, das AGG und gegebenenfalls Mitbestimmungsrechte des Betriebsrats, etwa bei Auswahlrichtlinien nach § 95 Abs. 2a BetrVG.

KI-Modelle mit allgemeinem Verwendungszweck

Die großen Sprachmodelle, auf denen viele Kanzlei-Tools beruhen, sind KI-Modelle mit allgemeinem Verwendungszweck. Ihre Anbieter haben seit dem 2. August 2025 eigene Pflichten: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und eine Zusammenfassung der Trainingsinhalte; für Modelle mit systemischem Risiko gelten weitergehende Anforderungen. Ein Verhaltenskodex konkretisiert diese Pflichten. Für Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 2. August 2027; die Durchsetzungsbefugnisse der Kommission bestehen seit dem 2. August 2026.

Kanzleien sind in aller Regel keine Modellanbieter. Die Pflichten der Hersteller nützen ihnen dennoch: Deren Dokumentation erleichtert die eigene Prüfung. Fragen Sie bei der Tool-Auswahl, auf welchem Modell ein Produkt basiert und welche Informationen der Hersteller dazu bereitstellt.

Zeitplan und Umsetzungsstand

Die KI-Verordnung gilt gestaffelt. Der Digital Omnibus wurde von der Kommission am 19. November 2025 vorgeschlagen, nach einer politischen Einigung vom 7. Mai 2026 im Juni 2026 von Parlament und Rat angenommen und am 24. Juli 2026 im Amtsblatt veröffentlicht. Seit dem 27. Juli 2026 ist er in Kraft und hat mehrere Daten verschoben.

In Deutschland ist das KI-MIG am 29. Juli 2026 in Kraft getreten. Die Bundesnetzagentur ist danach Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle; in bereits regulierten Sektoren bleiben Fachaufsichten wie die BaFin zuständig. Über ihren KI-Service-Desk stellt sie Informationen bereit, unter anderem zum Aufbau von KI-Kompetenz. Für datenschutzrechtliche Fragen bleiben die Datenschutzaufsichtsbehörden zuständig.

Sanktionen

• Verstöße gegen die Verbote nach Art. 5: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Verstöße gegen weitere Pflichten, darunter die Betreiberpflichten nach Art. 26 und die Transparenzpflichten nach Art. 50: bis zu 15 Mio. Euro oder 3 %.
• Falsche, unvollständige oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 %.

Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag; der Digital Omnibus hat eine vergleichbare Erleichterung für kleine Unternehmen mittlerer Kapitalisierung eingeführt. In Deutschland richtet sich das Verfahren nach dem Ordnungswidrigkeitenrecht (§ 16 KI-MIG). Für Kanzleien sind zivilrechtliche Haftung, berufsrechtliche Folgen und Reputationsschäden oft das praktisch relevantere Risiko.

To-do-Liste für Kanzleien

• KI-Inventar erstellen: alle Systeme einschließlich eingebetteter Funktionen, mit Zweck, Nutzerkreis und Datenklassen.
• Rolle je System bestimmen und Zweckänderungen im Sinne von Art. 25 ausschließen.
• Schulungskonzept zur KI-Kompetenz umsetzen und Nachweise führen.
• KI-Richtlinie verabschieden und die Kenntnisnahme dokumentieren.
• Verbotene Funktionen ausschließen, insbesondere Emotionserkennung in Arbeitsplatz-Tools.
• Chatbots und KI-generierte Medien auf Transparenzpflichten nach Art. 50 prüfen.
• Personalprozesse auf Hochrisiko-Systeme prüfen und die Umsetzung bis zum 2. Dezember 2027 planen.
• Bei Anbietern Dokumentation, Modellbasis und Vertragsbedingungen anfordern.
• KI-VO-Prüfung mit Datenschutz- und Berufsrechtsprüfung in einem Freigabeprozess bündeln.
• Zuständigkeit für KI-Governance festlegen – nicht vorgeschrieben, aber zweckmäßig.
• Mandantenvorgaben und Outside Counsel Guidelines abgleichen.
• Wiedervorlage für Rechtsänderungen und neue Leitlinien der Kommission einrichten.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Die AI-Kanzlei ist keine Rechtsanwaltskanzlei. Bitte prüfen Sie die Rechtslage für Ihren konkreten Fall.