EU AI Act seit August 2026: Was Kanzleien beim Einsatz von KI jetzt beachten müssen

Der AI Act ist seit August 2026 Realität – aber nicht alle Pflichten gelten gleichzeitig

Seit dem 2. August 2026 ist der EU AI Act in weiten Teilen anwendbar. Die Europäische Kommission und die nationalen Behörden haben mit der Durchsetzung begonnen, gleichzeitig gelten neue Transparenzpflichten für bestimmte KI-Systeme. Für Kanzleien ist das ein sinnvoller Anlass, den eigenen KI-Einsatz nicht mehr nur als Tool-Frage zu behandeln, sondern als Teil von Governance, Datenschutz und Berufsorganisation.

Allerdings ist eine wichtige Differenzierung nötig: Der 2. August 2026 ist nicht der Tag, an dem sämtliche Pflichten des AI Act vollständig in Kraft getreten sind. Kurz vor diesem Stichtag wurde der Zeitplan durch den sogenannten AI Omnibus noch einmal geändert. Die Regeln für Hochrisiko-Systeme nach Anhang III gelten nun grundsätzlich erst ab dem 2. Dezember 2027; für Hochrisiko-KI, die in bestimmte regulierte Produkte eingebettet ist, beginnt die Anwendung am 2. August 2028.

Für eine typische Kanzlei sind deshalb aktuell weniger die umfangreichen Pflichten für Hochrisiko-Anbieter entscheidend als drei praktische Fragen: Welche KI-Systeme nutzen wir? Welche Rolle haben wir dabei? Und welche Transparenz-, Kompetenz-, Datenschutz- und Berufsrechtspflichten greifen bereits heute?

AI Act 2026: Die wichtigsten Stichtage für Kanzleien

Die erste wichtige Frage: Ist die Kanzlei Anbieter oder Betreiber?

Der AI Act unterscheidet verschiedene Rollen. Für den Kanzleialltag sind vor allem Anbieter und Betreiber wichtig. Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke auf den Markt beziehungsweise in Betrieb. Ein Betreiber nutzt ein KI-System unter eigener Verantwortung.

Wer als Kanzlei ChatGPT, Microsoft Copilot, Harvey, Legora oder ein anderes fertiges KI-System intern nutzt, wird typischerweise eher als Betreiber auftreten. Entwickelt eine Kanzlei dagegen einen eigenen Mandanten-Chatbot, kombiniert Modelle zu einem eigenen Produkt oder stellt ein KI-System unter eigener Marke bereit, kann die Rollenverteilung anders aussehen.

Diese Unterscheidung ist wichtig, weil nicht jede Pflicht des AI Act jeden Beteiligten gleichermaßen trifft. Gerade bei Transparenzpflichten hängt viel davon ab, wer das konkrete System bereitstellt und wie es eingesetzt wird.

Was bedeutet der AI Act für typische KI-Anwendungen in einer Kanzlei?

1. KI-Kompetenz: Kanzleien brauchen keine Zertifikatsbürokratie, aber einen Plan

Artikel 4 des AI Act verpflichtet Anbieter und Betreiber dazu, Maßnahmen zu ergreifen, die die Entwicklung von KI-Kompetenz bei Mitarbeitenden und anderen Personen unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Seit dem AI Omnibus ist dabei ausdrücklich kein bestimmtes oder garantiertes Kompetenzniveau für jede einzelne Person vorgeschrieben.

Für Kanzleien ist das eine gute Nachricht: Es gibt keine allgemeine Pflicht, jeden Mitarbeiter durch eine formale Zertifizierung zu schicken oder einen eigenen „AI Officer“ einzusetzen. Die Europäische Kommission stellt in ihren aktuellen Fragen und Antworten ausdrücklich klar, dass Artikel 4 keine bestimmte Governance-Struktur vorschreibt.

Ein bloßes „Unsere Leute wissen schon, wie ChatGPT funktioniert“ dürfte als organisatorischer Ansatz trotzdem zu kurz greifen. Sinnvoll ist ein risikobasierter Aufbau: Wer KI nur für interne Ideensammlungen nutzt, benötigt anderes Wissen als ein Team, das vertrauliche Mandatsdokumente analysiert oder einen automatisierten Mandanten-Chatbot betreibt.

Eine Kanzlei sollte deshalb mindestens vermitteln, welche Tools freigegeben sind, welche Daten eingegeben werden dürfen, wie Ergebnisse kontrolliert werden müssen, welche typischen Fehler generative KI macht und wann menschliche Prüfung zwingend ist.

2. Transparenz: Wann muss erkennbar sein, dass KI im Spiel ist?

Seit dem 2. August 2026 gelten die Transparenzregeln des Artikels 50. Sie sollen verhindern, dass Menschen unbemerkt mit KI interagieren oder bestimmte künstlich erzeugte Inhalte für authentische menschliche Inhalte halten.

Mandanten-Chatbots

KI-Systeme, die direkt mit natürlichen Personen interagieren, müssen grundsätzlich so gestaltet sein, dass die betroffenen Personen darüber informiert werden, dass sie mit einem KI-System interagieren – sofern das nicht ohnehin offensichtlich ist. Diese Pflicht richtet sich im Wortlaut des Artikels 50 zunächst an den Anbieter des Systems. Für Kanzleien bedeutet das: Wer einen externen Chatbot einsetzt, sollte prüfen, ob diese Transparenz sauber umgesetzt ist. Wer einen eigenen KI-Assistenten entwickelt oder unter eigener Marke bereitstellt, muss die eigene Rolle besonders sorgfältig prüfen.

Deepfakes

Wer KI nutzt, um Bild-, Audio- oder Videoinhalte zu erzeugen oder zu verändern, die einen Deepfake darstellen, muss den künstlichen Charakter grundsätzlich offenlegen. Für die normale Kanzleikommunikation dürfte das selten der Kernfall sein – relevant kann es aber etwa bei synthetischen Sprecher-Videos, Avataren oder vollständig generierten Audioformaten werden.

KI-generierte Texte auf Kanzlei-Websites

Besonders interessant für Kanzleien ist die Regel zu KI-generierten Texten, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Hier sieht der AI Act eine Ausnahme vor, wenn der Inhalt einen menschlichen Prüf- oder redaktionellen Kontrollprozess durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Das ist praktisch wichtig: Der AI Act macht aus jedem KI-unterstützten Fachbeitrag nicht automatisch einen Text, der mit einem großen „von KI geschrieben“-Hinweis versehen werden muss. Entscheidend ist vielmehr, wie der Inhalt entsteht, geprüft und verantwortet wird. Gerade bei juristischen Inhalten sollte die fachliche Endkontrolle ohnehin selbstverständlich sein.

3. Nicht jede Anwalts-KI ist automatisch „Hochrisiko-KI“

Der Begriff Hochrisiko sorgt verständlicherweise für Aufmerksamkeit. Für Kanzleien ist aber wichtig, nicht vom Thema „Recht“ automatisch auf „High Risk“ zu schließen.

Der AI Act stuft beispielsweise bestimmte KI-Systeme als hochriskant ein, die von oder für Justizbehörden eingesetzt werden, um bei der Recherche und Auslegung von Tatsachen und Recht oder bei der Rechtsanwendung auf konkrete Sachverhalte zu unterstützen. Die normale Nutzung eines Legal-AI-Tools durch eine private Rechtsanwaltskanzlei wird dadurch nicht allein deshalb zum Hochrisiko-System, weil juristische Arbeit betroffen ist.

Relevant kann die Hochrisiko-Kategorie für Kanzleien hingegen in ihrer Rolle als Arbeitgeber werden. KI-Systeme zur Auswahl von Bewerbern, Filterung von Bewerbungen, Bewertung von Kandidaten oder Überwachung und Leistungsbewertung von Beschäftigten sind in Anhang III ausdrücklich genannt. Die entsprechenden Hochrisiko-Pflichten wurden mit dem AI Omnibus allerdings auf den 2. Dezember 2027 verschoben.

Die richtige Frage lautet deshalb nicht: „Nutzen wir KI in einer Kanzlei?“ Sondern: Für welchen konkreten Zweck wird das System eingesetzt?

4. Einige KI-Praktiken sind schon heute verboten

Neben Transparenz und Kompetenz enthält der AI Act auch klare Verbote. Eines davon kann Kanzleien unmittelbar als Arbeitgeber betreffen: KI-Systeme, die Emotionen von Personen am Arbeitsplatz erkennen oder ableiten sollen, sind grundsätzlich verboten. Ausgenommen sind nur eng begrenzte medizinische oder sicherheitsbezogene Zwecke.

Das ist ein gutes Beispiel dafür, warum eine Tool-Liste allein nicht reicht. Dass eine Software technisch eine Funktion anbietet, bedeutet nicht automatisch, dass diese Funktion im europäischen Arbeitskontext genutzt werden darf.

5. Der AI Act ersetzt weder DSGVO noch anwaltliche Verschwiegenheit

Für Kanzleien ist vielleicht der wichtigste Satz des gesamten Themas: AI-Act-Compliance bedeutet nicht automatisch datenschutz- oder berufsrechtskonformen KI-Einsatz.

Der AI Act lässt die Datenschutz-Grundverordnung ausdrücklich unberührt. Sobald personenbezogene Daten verarbeitet werden, müssen weiterhin Rechtsgrundlage, Zweck, Datenminimierung, Auftragsverarbeitung, mögliche Drittlandtransfers, technische und organisatorische Maßnahmen und gegebenenfalls eine Datenschutz-Folgenabschätzung geprüft werden.

Für Rechtsanwälte kommt die anwaltliche Verschwiegenheit hinzu. Die Bundesrechtsanwaltskammer weist in ihrem KI-Leitfaden darauf hin, dass der Einsatz generativer KI berufsrechtliche Risiken mit sich bringen kann. Besonders kritisch ist, welche Daten an externe Systeme übermittelt werden, ob Eingaben weiterverwendet werden können und ob die fachliche Kontrolle der Ergebnisse gewährleistet bleibt.

Auch der Rat der europäischen Anwaltschaften CCBE betont, dass vertrauliche oder personenbezogene Informationen nicht in KI-Systeme eingegeben werden sollten, solange eine problematische Weiterverarbeitung nicht ausgeschlossen werden kann. Für Kanzleien ist deshalb die Frage nach Vertragsbedingungen, Datenverarbeitung, Speicherorten und Modelltraining mindestens so wichtig wie die Funktionsliste eines Tools.

6. Was eine interne KI-Richtlinie für Kanzleien jetzt enthalten sollte

Der AI Act verlangt nicht pauschal, dass jede Kanzlei eine 40-seitige KI-Richtlinie schreibt. Praktisch ist eine kurze, verbindliche interne Regelung aber einer der sinnvollsten Wege, Verantwortlichkeiten und Erwartungen zusammenzuführen.

1. Freigegebene KI-Systeme

Welche Tools dürfen für welche Zwecke eingesetzt werden? Private Accounts und ungeprüfte Gratisdienste sollten nicht unkontrolliert neben freigegebenen Kanzleilösungen existieren.

2. Datenklassen definieren

Welche Informationen dürfen in ein System eingegeben werden? Mandantendaten, besondere Kategorien personenbezogener Daten, Geschäftsgeheimnisse und vertrauliche Dokumente benötigen eine deutlich strengere Behandlung als öffentlich verfügbare Informationen.

3. Menschliche Kontrolle festlegen

Welche Outputs dürfen nur als Entwurf dienen? Wer prüft rechtliche Fundstellen, Zitate, Fristen, Berechnungen oder Vertragsklauseln? KI darf die fachliche Verantwortung nicht unsichtbar verschieben.

4. Transparenz regeln

Bei welchen Anwendungen müssen Mandanten, Website-Nutzer oder andere Personen erkennen können, dass KI beteiligt ist? Besonders client-facing Systeme sollten vor dem Launch geprüft werden.

5. Rollen und Verantwortlichkeiten zuordnen

Wer entscheidet über neue Tools? Wer prüft Datenschutz und Berufsrecht? Wer ist für technische Konfiguration, Zugriffsrechte und Schulung zuständig?

6. KI-Kompetenz dokumentieren

Kurze Schulungen, interne Hinweise, Guidelines und rollenspezifische Einweisungen helfen nicht nur bei Artikel 4, sondern reduzieren auch Fehlbedienung und unkritisches Vertrauen in KI-Ausgaben.

7. Einsatz regelmäßig überprüfen

KI-Systeme ändern sich schnell. Modelle, Funktionen, Vertragsbedingungen und Integrationen können sich innerhalb weniger Monate verändern. Eine Freigabe sollte deshalb kein einmaliger Vorgang sein.

Ein pragmatischer AI-Act-Check für Kanzleien

Was hat Harvey II damit zu tun?

Die Entwicklung moderner Legal-AI-Plattformen zeigt, warum diese Governance-Fragen wichtiger werden. In unserem Beitrag zu Harvey II haben wir gezeigt, wie KI vom einzelnen Chatfenster in mandatsbezogene Spaces, Memory-Funktionen und KI-Agenten wandert.

Je tiefer ein System in Dokumente, Wissensbestände, E-Mails und Arbeitsabläufe integriert wird, desto weniger reicht eine allgemeine Regel wie „Bitte keine sensiblen Daten in ChatGPT eingeben“. Kanzleien benötigen stattdessen abgestufte Freigaben, Berechtigungskonzepte, nachvollziehbare Prozesse und Mitarbeiter, die technische Möglichkeiten und rechtliche Grenzen gleichermaßen verstehen.

Der AI Act beschleunigt damit eine Entwicklung, die organisatorisch ohnehin notwendig ist: KI wird vom persönlichen Werkzeug einzelner Anwälte zur Kanzlei-Infrastruktur.

Drohen Kanzleien jetzt sofort Millionenbußgelder?

Die möglichen Sanktionen des AI Act sind erheblich. Für Verstöße gegen bestimmte Betreiberpflichten – darunter die Transparenzpflichten des Artikels 50 – sieht die Verordnung grundsätzlich Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor. Für kleine und mittlere Unternehmen gelten dabei besondere, verhältnismäßigere Obergrenzen; bei ihnen ist jeweils der niedrigere Höchstbetrag maßgeblich.

Diese Zahlen sollten dennoch nicht zum Kern der Kanzleistrategie werden. Der sinnvolle Ansatz ist nicht Compliance aus Angst vor der Maximalbuße, sondern ein belastbarer Prozess: wissen, welche Systeme eingesetzt werden, Risiken nach Anwendung unterscheiden und dort dokumentieren, wo es wirklich notwendig ist.

FAQ: EU AI Act für Kanzleien

Die wichtigsten Fragen zum aktuellen Stand im August 2026:

1. Gilt der EU AI Act seit dem 2. August 2026 vollständig?

Nein. Der AI Act ist seit dem 2. August 2026 grundsätzlich anwendbar, enthält aber gestaffelte Fristen. Durch den AI Omnibus wurden die Regeln für Hochrisiko-KI nach Anhang III auf den 2. Dezember 2027 und für bestimmte produktbezogene Hochrisiko-Systeme auf den 2. August 2028 verschoben.

2. Muss jede Kanzlei einen KI-Beauftragten benennen?

Nein. Die Europäische Kommission stellt zu Artikel 4 ausdrücklich klar, dass keine bestimmte Governance-Struktur und kein spezieller KI-Beauftragter vorgeschrieben sind. Eine klare interne Zuständigkeit ist organisatorisch trotzdem sinnvoll.

3. Müssen Anwälte wegen Artikel 4 eine bestimmte KI-Schulung absolvieren?

Nein, der AI Act schreibt kein einheitliches Zertifikat oder eine bestimmte Schulungsdauer vor. Anbieter und Betreiber müssen Maßnahmen unterstützen, die zur Rolle, Erfahrung und zum Nutzungskontext passende KI-Kompetenz entwickeln.

4. Muss ein Kanzlei-Chatbot als KI gekennzeichnet werden?

Artikel 50 verlangt grundsätzlich Transparenz, wenn natürliche Personen direkt mit einem KI-System interagieren und dies nicht ohnehin offensichtlich ist. Die konkrete Verpflichtung hängt auch davon ab, welche Anbieter- und Betreiberrolle die Kanzlei und der technische Dienstleister haben. Ein klarer Hinweis im Nutzerinterface ist deshalb praktisch regelmäßig sinnvoll.

5. Müssen KI-unterstützte Blogartikel als KI-Inhalte gekennzeichnet werden?

Nicht automatisch. Für KI-generierte oder manipulierte Texte zu Angelegenheiten von öffentlichem Interesse sieht Artikel 50 eine Ausnahme vor, wenn ein menschlicher Prüf- oder redaktioneller Kontrollprozess stattgefunden hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

6. Ist Legal AI automatisch ein Hochrisiko-System?

Nein. Entscheidend ist der konkrete Verwendungszweck. Dass ein System juristische Texte analysiert oder Anwälte bei Recherche und Entwürfen unterstützt, macht es in einer privaten Kanzlei nicht automatisch zu Hochrisiko-KI. Andere Anwendungsfälle – etwa bestimmte Systeme für Recruiting und Personalbewertung – können dagegen unter Anhang III fallen.

7. Reicht AI-Act-Compliance für den Einsatz von Mandantendaten?

Nein. Datenschutzrecht und anwaltliche Verschwiegenheit gelten unabhängig vom AI Act weiter. Kanzleien müssen deshalb zusätzlich prüfen, welche Daten verarbeitet werden, auf welcher Grundlage dies geschieht, welche Verträge mit Anbietern bestehen und ob vertrauliche Informationen ausreichend geschützt sind.

Fazit: Der AI Act macht KI-Governance zur Kanzleiaufgabe

Für die meisten Kanzleien besteht die wichtigste Veränderung seit August 2026 nicht darin, dass plötzlich jede KI-Nutzung einem komplizierten Zulassungsverfahren unterliegt. Die Veränderung ist organisatorischer: KI-Einsatz braucht klare Regeln.

Wer heute mit ChatGPT, Copilot, Harvey oder anderen Legal-AI-Systemen arbeitet, sollte wissen, welche Rolle die Kanzlei einnimmt, welche Daten verarbeitet werden dürfen, wie Mitarbeitende geschult werden, wo Transparenz erforderlich ist und wie fachliche Endkontrolle sichergestellt wird.

Die Kanzleien, die das früh sauber aufsetzen, müssen Innovation nicht bremsen. Im Gegenteil: Gute Governance schafft erst die Grundlage dafür, KI tiefer in Mandatsprozesse zu integrieren, ohne bei jedem neuen Tool wieder bei null anzufangen.

Der AI Act sollte deshalb nicht als Argument gegen Legal AI verstanden werden. Er ist vielmehr ein Anlass, aus einzelnen Experimenten einen kontrollierten digitalen Prozess zu machen. Genau an dieser Schnittstelle zwischen Legal Tech, Kanzleiprozessen und digitaler Strategie setzt Leadsleader an.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick zum Stand vom 20. August 2026 und ersetzt keine rechtliche Prüfung des konkreten KI-Einsatzes im Einzelfall.