Der EU AI Act betrifft auch Kanzleien – strukturierte Orientierung statt Unsicherheit
Der EU-AI-Act-Check zeigt in wenigen Schritten, welche Pflichten für den KI-Einsatz in Ihrer Kanzlei gelten können; er ersetzt keine Rechtsberatung.
- Open-Source- & EU-Modelle
- Deutsche Telekom-Server
- DSGVO-konform
Was der EU AI Act regelt
Der EU AI Act ist die europäische Verordnung zur Regulierung von KI-Systemen. Er verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines Systems für Grundrechte, Sicherheit oder Gesundheit, desto umfangreicher die Anforderungen an Anbieter und Betreiber.
Unannehmbares Risiko
Praktiken, die grundlegende Rechte in nicht hinnehmbarer Weise gefährden.
Hohes Risiko
Strenge Anforderungen an Dokumentation, Aufsicht und Risikomanagement.
Begrenztes Risiko
Kennzeichnungs- und Informationspflichten, etwa bei KI-generierten Inhalten.
Minimales Risiko
Keine spezifischen Auflagen nach dem EU AI Act.
Warum das Thema auch Sie betrifft
Kanzleien, die KI-Systeme wie KanzleiAI einsetzen, sind in der Regel Betreiber (Deployer) und nicht Anbieter (Provider) der Technologie. Auch Betreiber tragen eigene Pflichten – etwa zur Aufsicht, Dokumentation und Meldung auffälliger Nutzung.
-
Rollenverständnis
Klären, ob und in welcher Rolle die Kanzlei betroffen ist. -
Dokumentationspflichten
Einsatzzwecke und Grenzen schriftlich festhalten. -
Risikobewusstsein
Sensible Anwendungsfälle bewusst identifizieren.
Strukturierte Checkliste für die Einführung
Sechs Themenbereiche, mit denen sich Kanzleien bei der Einführung von KI-Systemen auseinandersetzen sollten. Die Checkliste dient der eigenen Orientierung und ersetzt keine rechtliche Prüfung im Einzelfall.
Hinweis: Markierungen werden nur lokal in Ihrem Browser angezeigt und dienen der eigenen Orientierung. Diese Checkliste ersetzt keine rechtliche Prüfung im Einzelfall.
Anbieter und Betreiber im Vergleich
Anbieter (Provider)
Entwickelt ein KI-System oder bringt es unter eigenem Namen in Verkehr. Trägt die umfangreichsten Pflichten, etwa zu Konformitätsbewertung und technischer Dokumentation.
Betreiber (Deployer)
Setzt ein KI-System im eigenen Verantwortungsbereich ein – die typische Rolle einer Kanzlei beim Einsatz von KanzleiAI. Eigene Pflichten betreffen vor allem Aufsicht, Dokumentation und Meldewege.
Stufenweises Inkrafttreten
Vereinfachte Darstellung ohne Anspruch auf Vollständigkeit – maßgeblich sind die aktuellen Veröffentlichungen der Europäischen Kommission.
Inkrafttreten
Die Verordnung tritt in Kraft, erste Fristen beginnen zu laufen.
Verbotene Praktiken
Unzulässige KI-Praktiken sind ab diesem Zeitpunkt untersagt.
Weitere Pflichten
Governance-Anforderungen und Pflichten für bestimmte Modellkategorien greifen.
Breite Anwendung
Der Großteil der Anforderungen, einschließlich Hochrisiko-Systemen, gilt vollständig.
Mythos und Realität
Mythos: „Der EU AI Act betrifft nur große Tech-Konzerne.“
Tatsächlich: Auch Kanzleien, die KI-Systeme einsetzen, haben als Betreiber eigene Pflichten.
Mythos: „Wer die DSGVO einhält, erfüllt automatisch den EU AI Act.“
Tatsächlich: Beide Regelwerke ergänzen sich, decken aber unterschiedliche Aspekte ab.
Mythos: „Nur Hochrisiko-Systeme sind relevant.“
Tatsächlich: Auch für Systeme mit begrenztem Risiko gelten Transparenzpflichten.
Mythos: „Die Einordnung ist einmalig erledigt.“
Tatsächlich: Neue Anwendungsfälle und Systemänderungen erfordern eine erneute Prüfung.
Kurz beantwortet
Nein. Der Check dient der strukturierten Selbstorientierung und ersetzt keine rechtliche Beratung im Einzelfall.
Für Kanzleileitung sowie IT- und Datenschutzverantwortliche, die den Einsatz von KI-Systemen strukturiert vorbereiten möchten.
Immer dann, wenn neue KI-Systeme eingeführt oder bestehende Anwendungsfälle wesentlich verändert werden.
Verbindlich sind ausschließlich die offiziellen Veröffentlichungen der Europäischen Kommission und der zuständigen Aufsichtsbehörden.
Verwandte Seiten
Telekom-Server und ausgewählte Modelle
Plattform und Datenspeicherung liegen auf C5-zertifizierten Servern der Deutschen Telekom in Deutschland. Je nach Aufgabe kommen Open-Source-Modelle auf Telekom-Servern oder externe Modelle in EU-Rechenzentren zum Einsatz; mit den Modellanbietern ist Zero-Data-Retention vereinbart. Im Berufsgeheimnisträgermodus stehen nur ausgewählte Modelle zur Verfügung.
Mehr im Trust-Center- BSI C5, ISO 27001, ISO 9001Open Telekom Cloud in Deutschland, geprüft vom TÜV SÜD
- Zero-Data-Retention (ZDR)Bei allen Modellanbietern vertraglich vereinbart, kein Training mit Ihren Daten
- Außerhalb der US-JurisdiktionDeutsches Unternehmen ohne US-Muttergesellschaft, Datenhaltung in Deutschland
- AVV und TOMs vorbereitetAuftragsverarbeitungsvertrag und Maßnahmen dokumentiert