KI-Richtlinie: Muster für deutsche Kanzleien und Firmen

Eine KI-Richtlinie regelt, welche KI-Werkzeuge im Haus mit welchem Konto laufen, was dort nicht eingetippt wird und wer ein Ergebnis freigibt. Für Unternehmen gibt es brauchbare Muster von IHK und GDD. Für eine Kanzlei fehlt darin das, worauf es bei ihr ankommt: das Berufsgeheimnis.

Hier steht deshalb ein Muster mit zehn Punkten, als Word, PDF oder zum Kopieren, dazu Zusatzklauseln je nach Berufsrecht. Was aus einer Akte verschwinden muss, bevor eine KI sie sieht, steht im Leitfaden zur Pseudonymisierung von Mandantendaten.

KI-Richtlinie für die Kanzlei: das Muster zum Übernehmen

Das Muster ist für Steuer- und Anwaltskanzleien geschrieben, in denen die Kanzleileitung selbst entscheidet und unterschreibt. Was in eckigen Klammern steht, tragen Sie ein. Sie dürfen den Text frei übernehmen und anpassen, als Datei direkt über diesem Abschnitt oder von hier kopiert.

Als Kopfzeile genügt: KI-Richtlinie der [Kanzlei], Stand [Datum], zuständig [Name]. Dazu gehören die Werkzeugliste als Anlage und die Kenntnisnahme, die jede Person unterschreibt.

Punkt 5 halte ich für den am meisten unterschätzten: Ort, Branche und Betrag verraten eine Akte oft so gut wie ein Name. Für Punkt 9 sollten Sie vorher wissen, wer eine Datenpanne der Kanzlei bekommt und ab wann die 72 Stunden laufen.

Womit gearbeitet wird und was hineindarf

1. Geltung. Diese Richtlinie gilt für alle, die in der Kanzlei oder in ihrem Auftrag arbeiten, auch für Auszubildende und freie Mitarbeitende. Sie gilt für jede Anwendung, die mit künstlicher Intelligenz Texte erzeugt, zusammenfasst, übersetzt oder auswertet, auch wenn sie in Software steckt, die die Kanzlei schon nutzt.
2. Nur freigegebene Werkzeuge. Genutzt werden nur die Werkzeuge aus der Werkzeugliste, und nur für die dort genannten Zwecke. Ein neues Werkzeug kommt erst auf die Liste, wenn [Name] es geprüft und freigegeben hat.
3. Nur Konten der Kanzlei. Für die Arbeit wird kein privates Konto genutzt, auch nicht auf dem eigenen Telefon und auch nicht für Texte ohne Mandantenbezug. Die Konten der Kanzlei tragen, soweit möglich, keine Namen einzelner Beschäftigter.
4. Was nicht eingegeben wird. In Werkzeuge, die dafür nicht ausdrücklich freigegeben sind, kommen keine Namen, Anschriften, Geburtsdaten, Steuer-IDs, Bankverbindungen, Konfessionen oder Aktenzeichen und keine Verträge, Schriftsätze, Bescheide, Erklärungen, Bilanzen oder Lohnunterlagen. Das gilt ebenso für Daten des eigenen Teams und für Interna der Kanzlei.
5. Auch ohne Namen erkennbar. Namen und Nummern zu entfernen genügt nicht, wenn Ort, Branche, Betrag oder Zeitraum zusammen verraten, um wen es geht. Im Zweifel wird die Frage abstrakt gestellt oder [Name] gefragt.

Prüfung, Unterweisung und der Fehlerfall

6. KI im Einzelmandat. Soll KI unmittelbar für ein bestimmtes Mandat eingesetzt werden, wird vor der Eingabe sensibler mandantenbezogener Daten die Einwilligung des Mandanten eingeholt. Ohne sie werden die Daten anonymisiert oder pseudonymisiert.
7. Prüfung vor Verwendung. Vorschriften, Urteile und Fristen werden an der Quelle nachgeschlagen, Berechnungen nachgerechnet. Bevor ein Ergebnis die Kanzlei verlässt, prüft und gibt es ein erfahrener Berufsträger frei. Die Verantwortung bleibt bei der Person, die das Ergebnis verwendet.
8. Unterweisung. Wer ein Werkzeug von der Liste nutzt, wird vorher unterwiesen, und erneut, wenn sich die Liste ändert. Festgehalten werden Datum, Art, Inhalt, Dauer und Teilnehmende.

Fehler melden und die Richtlinie überprüfen

9. Fehler sofort melden. Wer bemerkt, dass Daten in ein nicht freigegebenes Werkzeug gelangt sind, meldet es sofort [Name]. Wer ein Versehen sofort meldet, hat deswegen keine arbeitsrechtlichen Nachteile zu befürchten.
10. Überprüfung und Kontrollen. Richtlinie und Werkzeugliste werden mindestens einmal im Jahr und vor jeder neuen Freigabe überprüft. Stichproben, mit denen die Kanzlei die Einhaltung dieser Richtlinie prüft, werden hier angekündigt: [eintragen oder streichen].

Mitarbeiter-KI-Richtlinie als Vorlage: Zusatzklauseln für Ihr Berufsrecht

Die zehn Punkte passen für jede Kanzlei. Was je nach Beruf dazukommt, stellen Sie hier zusammen und fügen es hinter Punkt 5 ein. Die Klausel zum KI-Anbieter würde ich keiner Kanzlei ersparen, auch der kleinsten nicht.

Bei den Konten aus Punkt 3 lohnt Genauigkeit. Ein Kanzleikonto bei Google ist etwas anderes als ein privates, und die Bedingungen hängen am Kontotyp: Gemini privat und im Workspace. Tragen Sie den Kontotyp deshalb in die Werkzeugliste ein.

Auf diese Liste gehört auch KI, die niemand eigens bestellt hat, etwa der Assistent im Büropaket. Bei Microsoft heißt das: dazuschreiben, welcher Copilot gemeint ist, denn unter dem Namen laufen mehrere Produkte.

KI-Richtlinie für Unternehmen: was die Muster von IHK, GDD und DStV abdecken

Wer nach einem Muster sucht, findet zuerst zwei Vorlagen für Unternehmen. Die IHK Schwaben bietet eine Word-Datei an, die GDD eine Musterrichtlinie vom Mai 2025 als PDF. Beide schließen private Konten aus und verlangen, dass KI-Ergebnisse vor der Verwendung geprüft werden.

Für Steuerkanzleien hat der Deutsche Steuerberaterverband im April 2026 ein eigenes Muster veröffentlicht. Von der Bundesrechtsanwaltskammer gibt es Hinweise zum KI-Einsatz, aber nach unserer Kenntnis kein Muster zum Ausfüllen. Wir haben die drei Vorlagen nach den Stichworten durchsucht, an denen eine Kanzlei hängt.

Für ein Unternehmen ohne Berufsgeheimnis ist das IHK-Muster ein ordentlicher Anfang. In einem Maklerbüro gehören zusätzlich Selbstauskunft und Gehaltsnachweis auf die Verbotsliste. Mir wäre es trotzdem zu knapp, denn eine Unterweisung im Sinne von Art. 4 KI-VO kommt darin nicht vor.

§ 203 StGB und § 43e BRAO: die Kette der Verschwiegenheit in der Kanzlei

In einem Unternehmen ist die KI-Richtlinie eine Weisung des Arbeitgebers. In der Kanzlei hängt sie an einer Kette, die es lange vor jeder KI gab. § 43a Abs. 2 BRAO und § 62 StBerG verlangen, Beschäftigte in Textform zur Verschwiegenheit zu verpflichten und über die Strafbarkeit zu belehren.

Das nächste Glied ist der KI-Anbieter. Er braucht einen Vertrag in Textform, der ihn zur Verschwiegenheit verpflichtet. Die Bundesrechtsanwaltskammer betont, dass es dafür nicht auf eine tatsächliche Kenntnisnahme ankommt: Es genügt, dass der Anbieter die Möglichkeit dazu hat.

Reißt ein Glied, wird es strafrechtlich. § 203 Abs. 4 StGB erfasst auch den Berufsträger, der nicht dafür gesorgt hat, dass eine mitwirkende Person zur Verschwiegenheit verpflichtet wurde, wenn diese dann ein Geheimnis offenbart. Was gilt, wenn Daten schon draußen sind, steht im Leitfaden zur Datenpanne.

KI-Kompetenz nach Art. 4 KI-VO: was seit Juli 2026 in der Richtlinie stehen sollte

Seit dem 27. Juli 2026 gilt Art. 4 KI-VO in der Fassung der Verordnung (EU) 2026/1744. Früher ergriffen Anbieter und Betreiber Maßnahmen, um „nach besten Kräften sicherzustellen“, dass ihr Personal ausreichend kompetent ist. Jetzt ergreifen sie Maßnahmen, um „die Entwicklung der KI-Kompetenz“ zu unterstützen, ohne ein bestimmtes Niveau zu garantieren.

Viele Vorlagen sind älter: die GDD-Musterrichtlinie vom Mai 2025, die BRAK-Hinweise vom Dezember 2024. Selbst die FAQ der Bundessteuerberaterkammer vom 27. Oktober 2026 geben Art. 4 noch mit „sicherzustellen“ wieder. Die Pflicht im Zusammenhang erklärt unser Leitfaden zur KI-Verordnung.

Abgeschafft ist die Pflicht nicht, und eine Größenausnahme gibt es laut Bundesnetzagentur keine. Die Unterweisung bleibt also eine Klausel, nur ohne Versprechen, die das Gesetz nicht mehr macht. In einer alten Vorlage würde ich gezielt nach dem Wort „sicherstellen“ suchen.

Betriebsrat, Datenschutz, Mandanten: wer bei der KI-Nutzungsrichtlinie mitredet

Gibt es einen Betriebsrat, wird die Richtlinie spätestens dann Verhandlungssache, wenn sie Kontrollen vorsieht. Stichproben, Protokolle oder ein zentrales Konto, über das sich die Nutzung auswerten lässt, können unter § 87 Abs. 1 Nr. 6 BetrVG fallen. Die Einzelheiten stehen bei Betriebsrat und KI.

In einer Behörde heißt dasselbe Papier Dienstanweisung, und an die Stelle des Betriebsrats tritt der Personalrat nach Landesrecht. Was im Rathaus noch dazukommt, steht im Leitfaden zu KI in der Kommune.

Die Mandanten unterschreiben die Richtlinie nicht, aber eine Klausel betrifft sie: Ein Dienst für ein einzelnes Mandat braucht ihre Einwilligung. Text und Zeitpunkt stehen in der Musterklausel zur Einwilligung; in der Richtlinie selbst genügt der Verweis darauf.

KI-Richtlinie erstellen: zehn Punkte oder Use-Case-Stufen?

Für eine kleine Kanzlei, in der KI vor allem Entwürfe schreibt und Recherchen anstößt, reichen die zehn Punkte mit den Zusatzklauseln für ihren Beruf. Wer KI in Belegverarbeitung oder Mandantenkommunikation einbaut, ist mit dem DStV-Muster besser bedient, gerade als Steuerkanzlei.

Bei der Reihenfolge würde ich nicht mit dem Verbot beginnen. Erst die Kanzleikonten einrichten, dann die Richtlinie unterschreiben lassen: Ein Verbot privater Konten ohne Alternative wird am ersten Abend mit Zeitdruck umgangen.

Auch die beste Klausel hält niemanden davon ab, unter Zeitdruck eine Akte in das falsche Fenster zu kopieren. Diesen Handgriff nimmt Nonimo ab: Es ersetzt Namen, Kennnummern und Kontonummern durch Platzhalter, bevor der Text den Rechner verlässt.

Die Ergebniskontrolle aus der Richtlinie bleibt trotzdem Pflicht. Kommen die echten Angaben beim Kopieren der Antwort zurück, prüft der Berufsträger eben mit ihnen.

Wie das in der Praxis aussieht, zeigt die Startseite von Nonimo. Muster und Klauseln sind ein Ausgangspunkt und keine Rechtsberatung; ob sie zu Ihrer Kanzlei passen, kann die Berufsrechtsberatung Ihrer Kammer beurteilen.

Quellen

• Verordnung (EU) 2026/1744: Art. 1 Nr. 5 mit der neuen Fassung von Art. 4 KI-VO, in Kraft am dritten Tag nach dem Amtsblatt vom 24. Juli 2026.
• § 43e BRAO: Vertrag in Textform (Abs. 3), Ausland (Abs. 4), Einwilligung im Einzelmandat (Abs. 5); § 62a StBerG ist gleich gebaut.
• § 203 StGB: Berufsgeheimnisträger (Abs. 1 Nr. 3), mitwirkende Personen (Abs. 3 und 4).
• BRAK, Hinweise zum Einsatz von künstlicher Intelligenz, Dezember 2024: S. 3 f. Mandatsgeheimnis und Möglichkeit der Kenntnisnahme, S. 5 Art. 4 im alten Wortlaut.
• Bundessteuerberaterkammer, FAQ: KI im steuerberatenden Berufsstand, 27. Oktober 2026: S. 12 bis 14 Richtlinie, Freigabe und Stichproben, S. 21 f. Art. 4 und private KI.
• DStV, Muster-KI-Anwendungsrichtlinie, Version 1.0 vom April 2026: 16 Seiten, vier Risikostufen, § 203 StGB und § 62a StBerG.
• DSK, Orientierungshilfe Künstliche Intelligenz und Datenschutz, 6. Mai 2024: S. 10 interne Weisungen und Mitbestimmung, S. 11 Konten ohne Namen.
• Bundesnetzagentur, KI-Kompetenz: keine Größenausnahme, kein Zertifikat, kein KI-Beauftragter, Dokumentation empfohlen.
• IHK Schwaben, Muster-KI-Richtlinie: Word-Vorlage für Unternehmen.
• GDD, Musterrichtlinie zum Einsatz Künstlicher Intelligenz, Mai 2025: Verbot privater KI (4.3), Schulungspflicht (4.8).

Abgerufen am 8. November 2026.