Generative KI im Rechtswesen: Compliance-Checkliste

Generative KI im Rechtswesen rechtskonform einzusetzen bedeutet: Datenhoheit sicherstellen, Datenschutzrecht (DSGVO) und anwaltliches Berufsrecht einhalten, keine Trainingsdaten aus Mandantenmaterial generieren und menschliche Kontrolle über KI-gestützte Ergebnisse behalten. CASUS, eine Schweizer Legal-AI-Plattform, speichert keine Daten nach der Sitzung (Zero Data Retention), hostet ausschließlich in der Schweiz und der EU und überträgt keine Daten in die USA.

Warum Compliance beim KI-Einsatz im Recht nicht optional ist

Generative KI hält Einzug in Kanzleien und Rechtsabteilungen – zur Vertragsprüfung, Recherche, Dokumentenanalyse. Die regulatorischen Konturen schärfen sich dabei schneller als viele Teams antizipiert haben: Die DSGVO gilt unmittelbar und wird in Österreich durch das Datenschutzgesetz (DSG) ergänzt, das anwaltliche Berufsrecht verpflichtet zur umfassenden Verschwiegenheit (§ 9 Abs. 2 RAO), und die Pflichten des EU AI Act greifen seit 2025 stufenweise; die Hochrisiko-Pflichten für Anhang-III-Systeme gelten nach dem Digital Omnibus zur KI ab dem 2. Dezember 2027.

Wer generative KI im Rechtsbereich einsetzt, ohne die Compliance-Fragen zu klären, riskiert Datenschutzverletzungen, Verlust von Mandantenvertrauen, Geldbußen nach Art. 83 DSGVO, verhängt von der Datenschutzbehörde, und disziplinarrechtliche Folgen bei Verletzung der Verschwiegenheitspflicht nach § 9 Abs. 2 RAO. Das gilt nicht nur für große Kanzleien, sondern auch für kleine Teams und Inhouse Legal.

Wer einen KI-Anbieter einbindet, braucht datenschutzrechtlich einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Verantwortliche und Auftragsverarbeiter unterliegen zudem dem Datengeheimnis nach § 6 DSG. Berufsrechtlich regeln die Richtlinien für die Ausübung des Rechtsanwaltsberufes (RL-BA 2015) in § 40 die Einbindung externer Dienstleister. Wer auch Schweizer Mandate betreut, findet die Schweizer Rechtslage in unserem Leitfaden zu KI und Schweizer Datenschutzgesetz.

Laut dem TrustArc Global Privacy Benchmarks Report 2025 ist KI inzwischen die meistgenannte Datenschutz-Herausforderung von Organisationen (47 %), und zwischen Organisationen, die sich für KI-bereit halten, und den übrigen klafft eine Lücke von 16 Punkten. KI kann helfen, diesen Rückstand aufzuholen. Aber nur, wenn der Einsatz selbst den Anforderungen entspricht.

Was bedeutet "generative AI legal compliance" konkret?

Generative AI Legal Compliance beschreibt den rechtskonformen Einsatz von KI-Systemen, die auf Basis großer Sprachmodelle (Large Language Models, LLMs) Texte generieren, analysieren oder zusammenfassen – im rechtlichen Kontext also Verträge, Schriftsätze, Rechtsgutachten oder Compliance-Dokumente.

Compliance bedeutet hier nicht nur, dass die KI selbst technisch sicher ist. Es geht um drei Ebenen:

• Datenschutz: Wohin fließen die Daten? Wer hat Zugriff? Werden Mandantendaten zum Training verwendet?

• Haftung und Sorgfalt: Wer trägt die Verantwortung für KI-generierte Ergebnisse? Welche Kontrolle behält die Anwaltschaft?

• Urheberrecht und Eigentum: Wem gehören KI-generierte Texte? Können sie rechtlich verwertet werden?

Diese Fragen sind nicht akademisch. Im März 2025 bestätigte das U.S. Court of Appeals for the D.C. Circuit in Thaler v. Perlmutter (No. 23-5233, Urteil vom 18. März 2025), dass urheberrechtlicher Schutz menschliche Urheberschaft voraussetzt – rein KI-generierte Werke sind nicht schutzfähig. Für Schriftsätze und Vertragswerke, die unter Anwaltshaftung stehen, ist diese Abgrenzung unmittelbar relevant.

In Österreich gibt es kein eigenes KI-Haftungsgesetz. Für KI-gestützte Tätigkeiten im Rechtsbereich gilt das bestehende Recht: die DSGVO und das DSG, die Berufspflichten nach § 9 RAO und für die Haftung gegenüber dem Mandanten die Sachverständigenhaftung nach § 1299 ABGB. Der EU AI Act gilt in Österreich unmittelbar.

Die Compliance-Checkliste: Was vor dem KI-Einsatz geklärt sein muss

Datenschutz und Datenhoheit

• Wo werden die Daten verarbeitet? (EU / Schweiz oder USA / sonstige Drittländer)

• Werden Mandantendaten zum Training des Modells verwendet?

• Gibt es Zero Data Retention – also keine Speicherung nach der Sitzung?

• Ist No Human Review garantiert, d.h. kein Zugriff durch Mitarbeitende des Anbieters auf Inhalte?

• Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und eine vertragliche Verpflichtung des Anbieters zur Verschwiegenheit?

• Bei Übermittlung in Drittländer: Besteht ein Angemessenheitsbeschluss der EU-Kommission (etwa für die Schweiz oder für nach dem EU-U.S. Data Privacy Framework zertifizierte US-Unternehmen), oder sind Standardvertragsklauseln vereinbart?

Modell- und Anbieterprüfung

• Welches Basismodell wird verwendet, und wie transparent ist der Anbieter darüber?

• Gibt es eine ISO-27001-Zertifizierung oder vergleichbare Sicherheitsnachweise?

• Werden regelmäßige Security-Audits oder Penetrationstests durchgeführt und dokumentiert?

Interne Governance und Standesrecht

• Gibt es eine interne KI-Nutzungsrichtlinie?

• Sind Mitarbeitende geschult, KI-Outputs kritisch zu prüfen?

• Werden KI-Ergebnisse immer durch qualifizierte Juristinnen und Juristen freigegeben, bevor sie in Arbeitsergebnisse einfließen?

• Sind die Verschwiegenheitspflicht (§ 9 Abs. 2 RAO), die Vorgaben für externe Dienstleister (§ 40 RL-BA 2015) und die KI-Checkliste des Österreichischen Rechtsanwaltskammertags (ÖRAK) im KI-Prozess abgebildet?

Urheberrecht und IP

• Ist der Einsatz von KI bei der Erstellung von Schriftsätzen oder Verträgen gegenüber dem Gericht oder dem Mandanten offenzulegen?

• Werden keine urheberrechtlich geschützten Texte ungeprüft übernommen?

Legal Teams, die diese Punkte strukturiert durchgehen wollen, können CASUS kostenlos testen – die Plattform ist darauf ausgelegt, genau diese Anforderungen von Anfang an zu erfüllen: Jetzt kostenlos registrieren.

DSGVO und Berufsrecht: Risikomatrix für eine Wiener Kanzlei

Für eine Kanzlei in Wien gelten beim KI-Einsatz zwei Regelungsebenen parallel: das Datenschutzrecht von DSGVO und DSG und das anwaltliche Berufsrecht. Die folgende Matrix zeigt, wo sich die Pflichten ergänzen.

Was das für den Kanzleialltag bedeutet: Eine Wiener M&A-Boutique, die einen Konzern bei einer Akquisition begleitet, muss KI-Tools wählen, die beide Ebenen technisch abdecken. Rechtlich ist eine Übermittlung in die USA an nach dem EU-U.S. Data Privacy Framework zertifizierte Empfänger oder mit Standardvertragsklauseln zulässig. Das verlangt aber Prüfung, Verträge und laufende Überwachung, und für Berufsgeheimnisträger bleibt das Risiko von Behördenzugriffen in den USA. Ein Anbieter wie CASUS mit Hosting ausschließlich in der Schweiz und der EU macht diese Fragen überflüssig: Es findet keine Übermittlung in die USA statt, und für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.

Wie CASUS die Compliance-Anforderungen technisch umsetzt

CASUS setzt die genannten technischen Anforderungen um – nicht als nachträgliches Add-on, sondern als Grundarchitektur.

Zero Data Retention: Eingaben und Ergebnisse werden nach der Sitzung nicht gespeichert. Es gibt keine Verwendung von Mandantendaten zum Modelltraining.

Hosting Schweiz / EU: Keine Datenübertragung in die USA, auch nicht über Subunternehmer. Rechtlich wären Übermittlungen in die USA unter dem Data Privacy Framework oder mit Standardvertragsklauseln möglich; CASUS geht weiter und schließt Übermittlungen in die USA und das Risiko von Behördenzugriffen dort von vornherein aus.

No Human Review: Weder Mitarbeitende von CASUS noch Dritte haben Zugriff auf Inhalte. Das Abuse-Monitoring kann per Opt-out deaktiviert werden.

Transparenz der Ergebnisse: Beim Legal Research verweist CASUS auf konkrete Quellen aus über 8 Mio. Rechtsdokumenten aus sechs Ländern, darunter Österreich. Ergebnisse sind quellenbasiert, strukturiert und nachvollziehbar. Die relevanten Erwägungen (Begründungsabschnitte) werden direkt in den Antworten eingeblendet, ohne Klick-Through. Das erlaubt es Juristinnen und Juristen, jede Quelle sofort zu prüfen, und macht die anwaltliche Kontrolle der Ergebnisse effizient.

Wer auch Schweizer Mandate betreut, recherchiert mit CASUS zusätzlich Open-Access-Kommentare aus Onlinekommentar und Unternehmensinformationen aus ZEFIX, dem zentralen Firmenindex der Schweiz. Zur aktuellen Quellenübersicht.

Ein Beispiel aus der Praxis: Eine Inhouse-Juristin eines Wiener Pharmaunternehmens prüft regelmäßig Lieferverträge auf Änderungen gegenüber dem internen Vertragsstandard. Mit dem Benchmark-Modul vergleicht sie einen eingehenden Entwurf gegen das interne Playbook und erhält innerhalb von Minuten eine strukturierte Übersicht: welche Klauseln fehlen (z.B. kein Haftungscap, IP-Ownership nicht definiert), welche abweichen und einen Prozentgrad der Übereinstimmung. Die rechtliche Bewertung und Freigabe bleibt bei ihr; was sich verändert hat, ist die Erstanalyse: Sie liegt nach wenigen Minuten strukturiert vor, statt den Vertrag manuell Klausel für Klausel abzugleichen.

Beim AI Contract Review werden Risiken partei-bezogen bewertet und nach Schweregrad (niedrig / mittel / hoch) priorisiert. Das erlaubt gezieltes Prüfen – KI unterstützt, ersetzt keine Urteilsbildung.

Was rechtlich noch ungeklärt ist – und warum das relevant bleibt

Generative KI im Recht bewegt sich noch in einem regulatorischen Graubereich. Der EU AI Act klassifiziert KI-Systeme nach Risikoklassen; Hochrisikoanwendungen im Sinne von Art. 6 EU AI Act – darunter KI-Systeme, die von oder im Auftrag von Justizbehörden eingesetzt werden sollen (Anhang III Nr. 8) – unterliegen Transparenzpflichten, Konformitätsbewertungen und Protokollierungspflichten. Die übliche Nutzung in Kanzleien für Recherche oder Entwürfe ist in der Regel nicht hochriskant; für Organisationen im Anwendungsbereich gilt aber seit dem 2. Februar 2025 die Pflicht zur KI-Kompetenz (Art. 4). Nach dem am 27. Juli 2026 in Kraft getretenen Digital Omnibus zur KI gelten die Anhang-III-Pflichten ab dem 2. Dezember 2027, die Anhang-I-Produktregeln ab dem 2. August 2028. Für Kanzleien in Österreich gilt der AI Act unmittelbar.

Die Frage der Plattformhaftung für KI-generierte Inhalte ist ebenfalls noch nicht abschließend beantwortet. In Österreich haftet die Kanzlei gegenüber dem Mandanten aus dem Mandatsvertrag; als Sachverständige im Sinne des § 1299 ABGB stehen Anwältinnen und Anwälte für die notwendigen Kenntnisse und den gehörigen Fleiß ein. Eine Kanzlei, die KI-Output ungeprüft in eine Klage übernimmt und damit einen Mandanten schädigt, riskiert eine Schadenersatzklage – die Sorgfaltswidrigkeit wäre kaum zu bestreiten. Anwaltliche Sorgfaltspflichten werden nicht durch den Einsatz technischer Hilfsmittel reduziert; der Anwalt bleibt für die Richtigkeit des Ergebnisses verantwortlich.

Für Kanzleien mit internationalem Mandantenstamm gilt: Die rechtlichen Rahmenbedingungen in den USA, der EU und der Schweiz entwickeln sich parallel und nicht immer synchron. Wer heute eine KI-Governance-Struktur aufbaut, legt damit auch die Grundlage für Anforderungen, die in den nächsten zwölf bis vierundzwanzig Monaten verbindlich werden.

Praktische Implikationen – was in der Praxis tatsächlich schiefgeht

Die technische Compliance ist lösbar. Was in der Praxis häufiger unterschätzt wird, sind die inhaltlichen Fallstricke von LLMs im Rechtskontext in Österreich.

LLMs haben eine bekannte Schwäche bei gesetzlichen Fristen, die stark jurisdiktionsspezifisch sind. Ein konkretes Beispiel: Der Übergeber leistet nach § 933 Abs. 1 ABGB Gewähr für Mängel einer beweglichen Sache, die innerhalb von zwei Jahren ab Übergabe hervorkommen; die Gewährleistungsrechte verjähren drei Monate nach Ablauf dieser Frist (§ 933 Abs. 3 ABGB). Davon zu unterscheiden ist die Mängelrüge unter Unternehmern nach § 377 UGB, die binnen angemessener Frist zu erheben ist. Beides wird in der Praxis oft miteinander und mit der dreijährigen Verjährung von Schadenersatzansprüchen nach § 1489 ABGB vermischt. LLMs, die auf breiten internationalen Trainingsdaten beruhen, tendieren dazu, diese Differenzierung zu glätten – und produzieren Klauselformulierungen, die auf deutsches oder Schweizer Recht oder US-amerikanische Warranty-Konzepte abgestimmt sind, statt auf das ABGB. Wer KI-generierte Vertragsentwürfe ungeprüft übernimmt, kann damit Mandanten exponieren, die sich auf eine Zweijahresfrist verlassen, ohne zu wissen, dass die Klausel de facto einen anderen Standard setzt.

Ähnliches gilt für Verzugszinsklauseln: Der gesetzliche Zinssatz beträgt nach § 1000 Abs. 1 ABGB vier Prozent pro Jahr, bei verspäteter Zahlung von Geldforderungen zwischen Unternehmern nach § 456 UGB 9,2 Prozentpunkte über dem Basiszinssatz – Werte, die international trainierte Modelle manchmal mit EURIBOR-basierten oder US-Prime-Rate-Referenzen überschreiben, weil diese in den Trainingsdaten häufiger vorkommen.

Das ist kein Argument gegen den KI-Einsatz, sondern ein Argument für qualifizierte Nachprüfung. Der AI-Chat mit Agent Mode kann gezielt genutzt werden, um solche Klauseln zu identifizieren und auf Übereinstimmung mit ABGB und UGB zu prüfen – die finale Einschätzung trifft eine Person, die das österreichische Recht kennt.

Berufsrechtliche Spannung: Anwältinnen und Anwälte müssen die Rechte ihrer Partei mit Eifer, Treue und Gewissenhaftigkeit vertreten (§ 9 Abs. 1 RAO) und sind zur Verschwiegenheit über die ihnen anvertrauten Angelegenheiten verpflichtet (§ 9 Abs. 2 RAO). Beides schafft Spannungen mit dem KI-Einsatz. Die gewissenhafte Vertretung verbietet nicht den Einsatz technischer Hilfsmittel, setzt aber voraus, dass die Anwältin das Ergebnis inhaltlich verantwortet – eine Qualitätsprüfung ist kein optionales Add-on. Rechtlich genügt es, den KI-Anbieter als externen Dienstleister nach den Vorgaben des § 40 RL-BA 2015 einzubinden und vertraglich zur Verschwiegenheit zu verpflichten. CASUS geht weiter: Zero Data Retention, kein Training mit Mandantendaten, kein Human Review und Hosting ausschließlich in der Schweiz und der EU. Mandatsinformationen werden nach der Sitzung nicht gespeichert und von niemandem eingesehen; das Offenlegungsrisiko wird so von vornherein minimiert.

Der Österreichische Rechtsanwaltskammertag (ÖRAK) hat eine KI-Checkliste für den Einsatz von KI-Anwendungen in Kanzleien veröffentlicht; CASUS hat sie ausgefüllt und unterzeichnet. Daneben gelten RAO und RL-BA 2015 vollumfänglich.

Nächste Schritte: Compliance konkret umsetzen

Compliance beim KI-Einsatz ist kein einmaliges Projekt, sondern ein laufender Prozess. Die technische Grundlage – Zero Data Retention, Hosting in der Schweiz und EU, keine Datenübertragung in die USA, kein Zugriff durch Anbieter-Mitarbeitende – legt CASUS von Anfang an vor. Wer zusätzlich mit quellenbasierter Rechtsrecherche oder strukturierter Vertragsprüfung arbeitet, bekommt nachvollziehbare Ergebnisse, die sich in die eigene Qualitätssicherung einbetten lassen.

Mehr zu den Sicherheits- und Datenschutzstandards von CASUS: Security. Informationen über die Plattform: About.

Wer die Plattform ohne Risiko ausprobieren möchte, kann das direkt tun: Jetzt kostenlos registrieren.

FAQ

Was ist generative AI legal compliance?

Generative AI Legal Compliance bezeichnet den rechtskonformen Einsatz von KI-Systemen, die Texte generieren oder analysieren, im rechtlichen Umfeld. Das umfasst Datenschutzkonformität nach DSGVO und DSG, Haftungsfragen nach § 1299 ABGB, Transparenzpflichten und interne Governance, einschließlich der berufsrechtlichen Anforderungen nach § 9 RAO und den RL-BA 2015.

Darf generative KI Mandantendaten verarbeiten?

Ja, wenn die anwendbaren Anforderungen erfüllt sind: Rechtsgrundlage nach Art. 6 DSGVO, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, zulässige Übermittlung in Drittländer (Art. 44 ff. DSGVO), Datengeheimnis nach § 6 DSG und vertragliche Verpflichtung des Anbieters zur Verschwiegenheit, kein Training mit Mandantendaten. CASUS geht über diese Mindestanforderungen hinaus: Hosting ausschließlich in der Schweiz und der EU, keine Übermittlung in die USA, Zero Data Retention und kein Human Review.

Was bedeutet Zero Data Retention bei KI-Tools?

Zero Data Retention bedeutet, dass Eingaben und Ergebnisse nach dem Ende einer Sitzung nicht gespeichert werden. Der Anbieter hält keine Daten vor und verwendet sie nicht zum Modelltraining. Bei CASUS ist dies standardmäßig aktiviert. Für das Berufsgeheimnis verlangt das Gesetz keine Zero Data Retention, sondern eine Verschwiegenheitsverpflichtung des Anbieters (§ 40 RL-BA 2015); Zero Data Retention geht darüber hinaus, weil nach der Sitzung keine Mandatsdaten mehr beim Anbieter vorhanden sind.

Muss der KI-Einsatz bei Schriftsätzen offengelegt werden?

In Österreich gibt es aktuell keine allgemeine gesetzliche Pflicht, den KI-Einsatz gegenüber Gericht oder Gegenseite offenzulegen. Die Pflicht zur gewissenhaften Vertretung nach § 9 Abs. 1 RAO setzt jedoch voraus, dass die Anwältin das eingereichte Produkt inhaltlich verantwortet – eine reine Weiterleitung von KI-Output ohne Prüfung wäre damit berufsrechtlich problematisch und haftungsrechtlich riskant. Ob Gerichte künftig eine Deklarationspflicht einführen, ist offen. Gegenüber dem Mandanten kann sich eine Hinweispflicht ergeben, etwa wenn er die persönliche Bearbeitung erwartet.

Sind KI-generierte Texte urheberrechtlich geschützt?

Nach aktuellem US-Recht nicht, wenn kein menschlicher Autor nachweisbar ist (Thaler v. Perlmutter, No. 23-5233, 18. März 2025). In Österreich schützt das Urheberrechtsgesetz nur eigentümliche geistige Schöpfungen (§ 1 Abs. 1 UrhG); rein KI-generierte Texte dürften danach mangels menschlicher Schöpfung nicht schutzfähig sein. Wer KI-generierten Text als eigenes Werk einreicht, trägt das IP-Risiko.

Welche typischen Fehler machen LLMs bei Verträgen nach österreichischem Recht?

LLMs mit internationalem Trainingsdatensatz übersehen oder vermischen regelmäßig Besonderheiten des österreichischen Rechts. Bekannte Schwachstellen: Verwechslung der zweijährigen Gewährleistungsfrist nach § 933 ABGB und der Mängelrüge nach § 377 UGB mit der dreijährigen Verjährung von Schadenersatzansprüchen nach § 1489 ABGB; Verzugszinsklauseln, die statt der gesetzlichen Sätze nach § 1000 ABGB bzw. § 456 UGB auf EURIBOR oder US-Prime verweisen; IP-Klauseln, die auf US-Copyright-Konzepte statt auf das UrhG abgestimmt sind. Diese Fehler sind durch qualifizierte Nachprüfung vermeidbar – nicht durch blinden Verlass auf KI-Output.

Wie unterscheidet sich CASUS von Tools wie Harvey oder ChatGPT?

CASUS hostet ausschließlich in der Schweiz und der EU, überträgt keine Daten in die USA, speichert keine Sitzungsdaten und richtet sich gezielt an Kanzleien und Rechtsabteilungen in der Schweiz, in Deutschland und in Österreich. Bei Tools wie Harvey oder ChatGPT hängen Verarbeitungsort und Speicherdauer von Produktversion und Vertrag ab; bei in den USA gehosteten Varianten müssen Kanzleien Drittlandtransfer, Behördenzugriff und Speicherdauer selbst prüfen und vertraglich absichern, zusätzlich zur Verschwiegenheitsverpflichtung des Anbieters. Bei CASUS entfallen Drittlandtransfer und Speicherdauer als Prüfpunkte, und die Recherche stützt sich auf über 8 Mio. Rechtsdokumente aus sechs Ländern, darunter österreichische Rechtsquellen.

Was sollte eine interne KI-Nutzungsrichtlinie für Kanzleien enthalten?

Mindestens: welche Tools erlaubt sind (mit Prüfung gegen Art. 28 DSGVO und § 40 RL-BA 2015), wie Ergebnisse zu dokumentieren und zu kennzeichnen sind, wann manuelle Überprüfung Pflicht ist, wie mit Abweichungen von Besonderheiten des österreichischen Rechts umzugehen ist, und wer bei Fragen zur Haftung nach § 1299 ABGB Ansprechperson ist. Zudem: Prüfung der Rechtsgrundlage nach Art. 6 DSGVO für jede Verarbeitungstätigkeit.

Gilt der EU AI Act auch für Kanzleien in Österreich?

Ja. Der AI Act gilt als EU-Verordnung in Österreich unmittelbar, auch für Kanzleien, die KI-Systeme beruflich einsetzen (Betreiber). Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz (Art. 4). Die Hochrisiko-Pflichten für Anhang-III-Systeme gelten nach dem Digital Omnibus zur KI ab dem 2. Dezember 2027; die übliche KI-gestützte Rechtsberatung in Kanzleien ist in der Regel kein Hochrisiko-Anwendungsfall, KI-Systeme von oder im Auftrag von Justizbehörden können es sein.