Das Wichtigste in 30 Sekunden
Der Digital Omnibus hat den Zeitplan der KI-Verordnung verändert – allerdings nur in bestimmten Bereichen.
Für Kanzleien besonders wichtig:
- Die KI-Verordnung ist seit 2. August 2026 grundsätzlich anwendbar.
- Die besonderen Anforderungen für Hochrisiko-KI-Systeme nach Anhang III gelten erst ab 2. Dezember 2027.
- Für Hochrisiko-Systeme nach Anhang I verschiebt sich der Termin auf 2. August 2028.
- Die Transparenzpflichten des Art. 50 KI-VO gelten dagegen grundsätzlich bereits seit 2. August 2026.
- Kanzleien sollten deshalb schon jetzt insbesondere Chatbots, KI-generierte Veröffentlichungen, Bilder, Videos und Audiodateien sowie ihre interne KI-Governance überprüfen.
- Hinzu kommen unabhängig von der KI-Verordnung insbesondere BRAO, § 203 StGB und DSGVO.
Die wichtigste Botschaft lautet deshalb:
Nicht „der AI Act wurde auf 2027 verschoben“, sondern: Ein Teil der Hochrisiko-Regulierung wurde verschoben. Andere Pflichten gelten längst.
Der Digital Omnibus trat am 27. Juli 2026 in Kraft und verschob Kapitel III Abschnitte 1 bis 3 für Anhang-III-Systeme auf den 2. Dezember 2027 und für Anhang-I-Systeme auf den 2. August 2028.
Die neue Zeitleiste des AI Act
Für Kanzleien lässt sich der Zeitplan derzeit vereinfacht wie folgt darstellen:
2. Februar 2025
Seit diesem Zeitpunkt gelten bereits wesentliche Teile der Regeln über verbotene KI-Praktiken sowie Art. 4 zur KI-Kompetenz.
Art. 4 wurde durch den Digital Omnibus inzwischen allerdings abgeschwächt. Anbieter und Betreiber müssen Maßnahmen treffen, um die Entwicklung von KI-Kompetenz ihrer Mitarbeitenden und anderer für sie handelnder Personen zu unterstützen. Sie müssen dagegen kein bestimmtes individuelles Kompetenzniveau garantieren.
2. August 2025
Seit diesem Zeitpunkt greifen unter anderem wesentliche Regelungen für General-Purpose-AI-Modelle sowie Governance- und Sanktionsvorschriften.
27. Juli 2026
Der Digital Omnibus on AI – Verordnung (EU) 2026/1744 – tritt in Kraft und verändert insbesondere die Fristen der Hochrisiko-Regulierung.
2. August 2026
Seit diesem Datum ist die KI-Verordnung grundsätzlich anwendbar.
Für Kanzleien besonders wichtig: Art. 50 KI-VO über die Transparenz bestimmter KI-Anwendungen gilt seit diesem Zeitpunkt.
2. Dezember 2026
Dieses Datum ist häufig missverständlich dargestellt.
Art. 50 wird nicht erst am 2. Dezember 2026 insgesamt anwendbar.
Vielmehr erhalten Anbieter bestimmter KI-Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 2. August 2026 in Verkehr gebracht wurden, für die technischen Anforderungen des Art. 50 Abs. 2 eine besondere Übergangsfrist bis zum 2. Dezember 2026.
Daneben greifen ab diesem Datum bestimmte durch den Digital Omnibus neu eingefügte Verbote des Art. 5.
2. Dezember 2027
Jetzt greifen die verschobenen Anforderungen und Pflichten des Kapitel III Abschnitte 1 bis 3 für Systeme, die nach Art. 6 Abs. 2 in Verbindung mit Anhang III als Hochrisiko-KI einzustufen sind.
2. August 2028
Ab diesem Zeitpunkt gelten die entsprechenden Regelungen für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 in Verbindung mit Anhang I.
Ist juristische KI in einer Kanzlei automatisch Hochrisiko-KI?
Nein.
Das ist für den Rechtsmarkt eine wichtige Unterscheidung.
Anhang III Nr. 8 erfasst bestimmte KI-Systeme im Bereich Rechtspflege und demokratische Prozesse. Im Bereich Justiz geht es insbesondere um Systeme, die bestimmungsgemäß von einer Justizbehörde oder in deren Auftrag eingesetzt werden, um bei der Ermittlung und Auslegung von Sachverhalten und Rechtsvorschriften und bei der Anwendung des Rechts auf konkrete Sachverhalte zu unterstützen. Vergleichbare Anwendungen bei bestimmten Formen alternativer Streitbeilegung werden ebenfalls erfasst.
Eine Rechtsanwaltskanzlei ist aber keine Justizbehörde und handelt bei der gewöhnlichen Mandatsbearbeitung auch nicht in deren Auftrag.
Deshalb wird ein KI-System nicht allein dadurch zu einem Hochrisiko-System nach Anhang III Nr. 8, dass Anwältinnen und Anwälte es für juristische Recherche, Vertragsanalyse, Schriftsatzentwürfe oder sonstige Mandatsarbeit nutzen.
Entscheidend bleiben jedoch immer Zweckbestimmung und konkrete Funktion des Systems.
Achtung: Auch eine Kanzlei kann Hochrisiko-KI einsetzen
Das bedeutet keineswegs, dass Kanzleien generell aus Anhang III herausfallen.
Besonders relevant ist der Bereich Personal und Beschäftigung nach Anhang III Nr. 4.
Die aktuellen Materialien des europäischen AI Act Service Desk nennen sogar ausdrücklich ein Beispiel aus einer Rechtsanwaltskanzlei: Ein KI-System wertet etwa Billing Hours, Bearbeitungszeiten, Reaktionsverhalten und weitere Leistungsdaten von Associates aus und verwendet daraus gebildete Bewertungen für die Verteilung von Mandaten.
Ein solches System kann als Hochrisiko-KI im Bereich Management von Beschäftigungsverhältnissen einzuordnen sein.
Das betrifft beispielsweise auch KI-Systeme zur:
- Auswahl oder Bewertung von Bewerberinnen und Bewerbern,
- automatisierten Rangbildung im Recruiting,
- Bewertung der Leistung von Beschäftigten,
- Entscheidung über Beförderung oder Karriereentwicklung,
- leistungsabhängigen Zuweisung von Mandaten und Aufgaben,
- Überwachung von Beschäftigten.
Der entscheidende Prüfpunkt lautet also nicht:
„Ist das juristische KI?“
Sondern:
„Für welchen konkreten Zweck wird diese KI eingesetzt?“
Und was gilt bei Schiedsverfahren, Mediation, Legal Coaching?
Besonders sorgfältig sollte die Einordnung erfolgen, wenn Rechtsanwältinnen und Rechtsanwälte nicht als Parteivertreter auftreten, sondern beispielsweise als Schiedsrichter, Mitglieder einer Streitbeilegungsstelle oder in vergleichbaren Funktionen.
Hier kann die Nähe zur in Anhang III Nr. 8 beschriebenen alternativen Streitbeilegung deutlich größer sein.
Auch bei Mediation sollte deshalb nicht pauschal angenommen werden, dass jede KI-Anwendung automatisch Hochrisiko-KI ist. Maßgeblich bleiben Ausgestaltung, Zweckbestimmung und rechtliche Wirkung des konkreten Verfahrens.
Bei Legal Coaching hingegen bleibt es bei der Parteilichkeit: es bleibt also bei den selben Vorgaben wie für die anwaltliche Beratung selbst.
Was passiert, wenn ein System tatsächlich Hochrisiko-KI ist?
Die KI-Verordnung unterscheidet zwischen Anbietern und Betreibern.
Für Anbieter sind die Anforderungen erheblich umfangreicher. Dazu gehören etwa Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Anforderungen an Genauigkeit, Robustheit und Cybersicherheit sowie weitere Compliance-Pflichten.
Betreiber müssen insbesondere die vorgesehenen Nutzungsbedingungen beachten, menschliche Aufsicht sicherstellen, den Betrieb beobachten und weitere Pflichten des Art. 26 erfüllen.
Wichtig ist auch hier eine häufig übersehene Differenzierung:
Für Hochrisiko-Systeme aus Anhang III Nr. 2 bis 8 sieht Art. 43 derzeit grundsätzlich eine Konformitätsbewertung durch interne Kontrolle nach Anhang VI ohne Beteiligung einer notifizierten Stelle vor. Das bedeutet aber nicht, dass bei jeder Form von Hochrisiko-KI generell keine externe Konformitätsbewertung existiert.
Kanzlei als Betreiberin – aber nicht immer
Beim normalen Einsatz eines fremden KI-Produkts ist eine Kanzlei regelmäßig Betreiberin.
Auch diese Annahme darf jedoch nicht automatisiert werden.
Bei Eigenentwicklung, Rebranding, wesentlichen Veränderungen eines Systems oder Veränderungen seiner Zweckbestimmung kann eine Anbieterrolle entstehen.
Deshalb sollte bei jedem relevanten KI-System dokumentiert werden:
Welche Rolle haben Anbieter, Kanzlei und gegebenenfalls weitere Dienstleister?
Was bereits jetzt gilt: Art. 50 KI-VO
Gerade weil sich die Diskussion derzeit stark auf Dezember 2027 konzentriert, droht eine wesentlich aktuellere Pflicht übersehen zu werden:
Art. 50 gilt grundsätzlich seit 2. August 2026.
Vier Praxisbereiche sind davon betroffen: KI-gestützte Mandantenkommunikation, veröffentlichte Texte, Bild-/Video-/Audioinhalte sowie interne Dokumentation und Verantwortlichkeit.
Für Kanzleien lässt sich daraus folgender aktualisierter Kurzcheck ableiten:
Der Art.-50-Kurzcheck für Kanzleien
1. Chatbots und KI-gestützte Mandantenkommunikation
Prüfe zunächst:
- Gibt es einen KI-Chatbot auf der Kanzleiwebsite?
- Kommuniziert ein KI-System telefonisch oder digital unmittelbar mit Mandanten oder Interessenten?
- Wird für die betroffene Person klar erkennbar, dass sie mit KI interagiert, soweit dies nicht ohnehin offensichtlich ist?
- Ist der Hinweis sichtbar und verständlich und nicht lediglich irgendwo in allgemeinen Nutzungsbedingungen verborgen?
Art. 50 Abs. 1 adressiert insoweit unmittelbar den Anbieter des für die direkte Interaktion bestimmten KI-Systems. Für die Kanzlei als Betreiberin bleibt es praktisch trotzdem wichtig zu prüfen, ob der erforderliche Hinweis in ihrem konkreten Einsatz tatsächlich funktioniert und sichtbar ist.
2. Blogbeiträge, Rechtstipps und Mandanteninformationen
Der zweite Bereich ist für Kanzleien besonders relevant.
Werden Texte mit KI erzeugt oder wesentlich manipuliert und anschließend veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, kann Art. 50 Abs. 4 eine Offenlegung verlangen.
Für Kanzleien wichtig ist allerdings die Ausnahme:
Eine Kennzeichnungspflicht besteht insoweit nicht, wenn der KI-generierte Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.
Für Blogbeiträge wie diesen empfiehlt sich deshalb ein klarer redaktioneller Prozess:
KI-Unterstützung → fachliche Prüfung → Freigabe durch verantwortlichen Berufsträger → Veröffentlichung.
Die allgemeine Empfehlung, die redaktionelle Prüfung mit Namen, Datum und Freigabevermerk zu dokumentieren, geht weit über die Dokumentation in Art. 50 hinaus, kann aber den internen Nachweis einer tatsächlich erfolgten menschlichen Kontrolle erheblich erleichtern.
3. KI-generierte Bilder, Videos und Audiodateien
Werden KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte veröffentlicht, muss geprüft werden, ob es sich insbesondere um einen Deepfake im Sinne von Art. 50 handelt und eine Offenlegungspflicht des Betreibers besteht.
Die Information muss klar und unterscheidbar erfolgen und grundsätzlich spätestens bei der ersten Interaktion oder Exposition verfügbar sein.
4. Technische Kennzeichnung durch Anbieter
Davon zu unterscheiden ist Art. 50 Abs. 2.
Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen grundsätzlich dafür sorgen, dass die Ausgaben maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.
Für bestimmte Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, läuft die besondere Übergangsfrist dafür bis 2. Dezember 2026.
5. Interne KI-Governance
Schließlich sollte eine Kanzlei klären:
- Welche KI-Systeme werden tatsächlich genutzt?
- Gibt es eine interne KI-Richtlinie?
- Wer darf welche Daten in welches System eingeben?
- Wie wird menschliche Kontrolle organisiert?
- Welche Maßnahmen zur Entwicklung der KI-Kompetenz wurden getroffen?
- Wie werden diese Maßnahmen dokumentiert?
- Wer ist intern für die Koordination der KI-Compliance zuständig?
Ein gesetzlich vorgeschriebener „AI Officer“ besteht dabei nicht. Auch eine externe Schulung oder Zertifizierung schreibt Art. 4 nicht vor. Die Kommission stellt ausdrücklich klar, dass es keinen vorgeschriebenen einheitlichen Schulungsweg gibt.
Eine verantwortliche Rolle und eine nachvollziehbare Dokumentation bleiben organisatorisch dennoch sinnvoll.
Art. 4 wurde entschärft – anwaltliche Verantwortung nicht
Der Digital Omnibus hat Art. 4 verändert.
Statt ein ausreichendes individuelles Kompetenzniveau sicherstellen zu müssen, müssen Anbieter und Betreiber nun Maßnahmen treffen, um die Entwicklung von KI-Kompetenz zu unterstützen. Ein bestimmtes Ergebnis muss nicht garantiert werden.
Für Rechtsanwaltskanzleien bedeutet das aber nicht, dass fachliche Prüfung überflüssig wird.
Unabhängig von Art. 4 bleiben anwaltliche Sorgfalts-, Kontroll- und Berufspflichten bestehen.
Wer einen KI-generierten Schriftsatz, eine rechtliche Analyse oder angebliche Rechtsprechung ungeprüft übernimmt, kann sich deshalb nicht darauf berufen, dass Art. 4 regulatorisch abgeschwächt wurde.
Berufsgeheimnis und Datenschutz bleiben parallel bestehen
Auch § 43e BRAO bleibt beim Einsatz externer KI-Dienstleister besonders relevant.
Soweit ein Dienstleister erforderlichen Zugang zu Mandatsgeheimnissen erhält, ist er sorgfältig auszuwählen. Der Vertrag bedarf der Textform und muss insbesondere die Verschwiegenheitspflicht einschließlich Belehrung über strafrechtliche Folgen sowie Vorgaben zum erforderlichen Geheimniszugriff und zu gegebenenfalls eingesetzten Subdienstleistern enthalten.
Wichtig:
§ 43e BRAO verlangt nicht zwingend einen separaten Vertrag neben dem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Die Anforderungen können grundsätzlich in einem gemeinsamen Vertragswerk abgebildet werden. Ein gewöhnlicher AV-Vertrag erfüllt die zusätzlichen Anforderungen des § 43e BRAO aber nicht automatisch.
Zusätzlich müssen insbesondere Auslandssachverhalte und – bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen – die Voraussetzungen des § 43e Abs. 5 BRAO geprüft werden. Datenschutzrechtliche Pflichten bleiben daneben eigenständig bestehen.
Was eine Kanzlei jetzt konkret tun sollte
Mein Vorschlag ist ein einfacher 7-Punkte-Check:
- KI-Inventar erstellen: Welche Systeme werden in Kanzlei, HR, Marketing und Mandatsarbeit eingesetzt?
- Rollen bestimmen: Ist die Kanzlei Betreiberin, Anbieterin oder möglicherweise beides?
- Art. 50 prüfen: Chatbots, öffentliche Texte sowie Bild-, Video- und Audioinhalte kontrollieren.
- Redaktionelle Kontrolle dokumentieren: Insbesondere bei KI-unterstützten fachlichen Veröffentlichungen.
- Art. 4 organisatorisch umsetzen: Geeignete Maßnahmen zur Entwicklung der KI-Kompetenz schaffen und sinnvoll dokumentieren.
- BRAO und DSGVO überprüfen: Verträge, Mandatsgeheimnisse, Subdienstleister, Datenübermittlungen und gegebenenfalls Mandanteneinwilligungen.
- Hochrisiko-Anwendungen identifizieren: Nicht nur auf „Legal AI“ schauen, sondern insbesondere auch Recruiting, Personalsteuerung und leistungsabhängige Arbeitsverteilung erfassen.
Und dann gehört der 2. Dezember 2027 in den Compliance-Kalender.
Nicht als Beginn der Beschäftigung mit dem AI Act.
Sondern als nächster großer regulatorischer Meilenstein.
Quellen und weiterführende Hinweise
Maßgeblich sind insbesondere die Verordnung (EU) 2026/1744 zum Digital Omnibus und der konsolidierte AI Act. Digital Omnibus – EUR-Lex
Für Art. 50 kann zusätzlich auf den europäischen AI Act Service Desk sowie die Kanzlei-Checkliste von Deubner verwiesen werden. Art. 50 – AI Act Service Desk Deubner-Checkliste „Bereit für Art. 50 KI-VO?“
Hinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information über die Rechtslage. Er berücksichtigt nicht die Besonderheiten eines konkreten KI-Systems, Einsatzszenarios oder Vertragsverhältnisses und ersetzt keine rechtliche Prüfung des Einzelfalls. Die rechtliche Einordnung kann insbesondere von Zweckbestimmung, Funktion, Anbieter-/Betreiberrolle und konkreter Nutzung des Systems abhängen.
Autorin:
Dr. Geertje Tutschka ist Rechtsanwältin in Deutschland und Österreich und berät Kanzleien bei strategischer Kanzleientwicklung, Digitalisierung, Anwaltsmarke und dem Einsatz von KI. (www.Kanzlei-Tutschka.de und www.Consultingforlegals.com )