Professional-Services-Firmen haben ein spezifisches AI-Governance-Problem, das allgemeine Unternehmensleitfäden nur unzureichend adressieren.
Ein Softwareunternehmen, das proprietären Code in ChatGPT durchsickern lässt, trägt ein Produktrisiko. Eine Anwaltskanzlei, die dasselbe mit Mandantenunterlagen tut, riskiert einen Verzicht auf das Berufsgeheimnis, eine mögliche aufsichtsrechtliche Beschwerde und eine Mandantenbeziehung, die das Gespräch womöglich nicht übersteht. Die Tragweite ist kategorisch anders.
Zugleich sind AI-Tools mittlerweile tief in die Arbeitsweise von Professional Services eingebettet. Associates nutzen ChatGPT für Recherche und erste Memo-Entwürfe. Berater nutzen Claude für die Erstellung von Präsentationen und die Datensynthese. Wirtschaftsprüfer nutzen Copilot für Finanzanalysen. Die Tools sind schneller als die Governance-Rahmenwerke. Genau diese Lücke soll diese Checkliste schließen.
Dieser Leitfaden richtet sich an Managing Partner, IT-Leiter und Leiter von Praxisgruppen in Anwaltskanzleien, Managementberatungen, Wirtschaftsprüfungsgesellschaften und Finanzberatungsfirmen — insbesondere an jene, die der DSGVO unterliegen, mit Unternehmenskunden zusammenarbeiten, die Sicherheitsfragebögen versenden, oder sich auf eine interne Compliance-Prüfung vorbereiten.
Die spezifischen Risiken für Professional Services
Bevor wir zur Checkliste kommen, lohnt es sich zu benennen, warum Professional-Services-Firmen mit einer schwierigeren Variante dieses Problems konfrontiert sind als andere Unternehmen.
Mandantendaten stecken in allem. In Professional Services ist das Arbeitsergebnis untrennbar mit dem Mandat verbunden. Ein Beratungsergebnis, ein juristisches Gutachten, ein Finanzmodell — all diese enthalten per Definition Mandanteninformationen. Wenn Mitarbeitende AI-Tools nutzen, um diese Arbeit zu erstellen oder zu beschleunigen, sind Mandantendaten unweigerlich im Kontext.
Berufsgeheimnis und Vertraulichkeit sind nicht dasselbe wie DSGVO-Konformität. Eine Anwaltskanzlei mag zu Recht annehmen, dass das anwaltliche Berufsgeheimnis den Inhalt der Mandantenkommunikation schützt. Es schützt jedoch nicht vor einem DSGVO-Verstoß, wenn ein Mitarbeitender personenbezogene Daten aus einer Mandantenakte in ein externes AI-Modell einfügt. Das Berufsgeheimnis und die Compliance-Pflicht sind voneinander unabhängig.
Ihre Mandanten fragen jetzt nach. Wie oben erwähnt, ergänzen Unternehmenskunden — insbesondere in den Branchen Finanzdienstleistungen, Pharma und Technologie — ihre Lieferantenfragebögen um AI-Abschnitte. Professional-Services-Firmen erhalten als Dienstleister dieser Unternehmen diese Fragebögen. Die Frage „Wie gehen Sie mit unseren Daten in Ihren AI-Tools um?" erfordert eine konkrete, dokumentierte Antwort.
Regulierungsbehörden schauen genau hin. Anwaltskammern in mehreren Rechtsordnungen haben Leitlinien zur AI-Nutzung in der Rechtspraxis herausgegeben. DSGVO-Aufsichtsbehörden haben begonnen, AI-vermittelte Datenübermittlungen zu prüfen. Firmen, die ihre AI-Kontrollen nicht dokumentiert haben, gehen ein Compliance-Risiko ein, das nicht länger nur theoretisch ist.
Die AI-Governance-Checkliste für Professional Services
1. Inventarisieren Sie jedes aktiv genutzte AI-Tool
Bevor Sie AI steuern können, müssen Sie wissen, welche AI im Einsatz ist. Das ist schwieriger, als es klingt. AI wird häufig von unten her eingeführt — ein Associate probiert ein Tool aus, findet es nützlich, und es verbreitet sich. Bis die IT davon erfährt, ist es bereits eine Workflow-Abhängigkeit.
Was zu tun ist: Befragen Sie Ihre Teams vierteljährlich. Fragen Sie gezielt nach browserbasierten AI-Tools (ChatGPT, Claude, Perplexity), AI-integrierten Anwendungen (Copilot, Grammarly, Notion AI) und allen AI-Tools, die für mandantengerichtete Arbeit genutzt werden. Die Liste wird länger sein, als Sie erwarten.
Kontroll-Prüfpunkt: Können Sie eine aktuelle Liste freigegebener AI-Tools erstellen? Falls nicht, können Sie einen Sicherheitsfragebogen eines Mandanten nicht beantworten.
2. Klassifizieren Sie Ihre Daten, bevor sie das AI-Tool erreichen
Professional-Services-Firmen arbeiten typischerweise mit mehreren Datenkategorien, die unterschiedliche Handhabungsanforderungen haben: personenbezogene Daten (DSGVO-reguliert), dem Berufsgeheimnis unterliegende Mandatsinhalte (Vertraulichkeitspflicht), wirtschaftlich sensible Mandanteninformationen (vertragliche Pflicht) und interne Firmendaten (geringeres Risiko).
Was zu tun ist: Definieren Sie, welche Datenkategorien in welche AI-Tools gelangen dürfen und welche nicht. Eine praktische Richtlinie: öffentliche Informationen und interne Entwurfsinhalte → freigegebene AI-Tools mit Protokollierung; Mandatsinhalte und personenbezogene Daten → nur eingeschränkte Tools, mit ausdrücklichen Prüfkontrollen; dem Berufsgeheimnis unterliegende Kommunikation → nicht an extern gehostete AI-Modelle zu übermitteln.
Kontroll-Prüfpunkt: Definiert Ihre AI-Nutzungsrichtlinie zulässige Datenkategorien je Tool? Ist sie schriftlich fixiert, datiert und von den Berufsträgern bestätigt?
3. Setzen Sie die Richtlinie auf der technischen Schicht durch, nicht nur auf der Schulungsschicht
Die häufigste Lücke in der AI-Governance von Professional Services ist die Lücke zwischen Richtlinie und Praxis. „Wir haben allen gesagt, sie sollen keine Mandantendaten in ChatGPT eingeben" ist keine Kontrolle. Es ist eine Hoffnung.
Was zu tun ist: Setzen Sie ein AI-Gateway ein — eine Kontrollschicht, die zwischen Ihren Nutzern und den AI-Tools sitzt, auf die sie zugreifen, die Prompt-Inhalte prüft und Datenklassifizierungsregeln automatisch durchsetzt. Wenn ein Nutzer versucht, Inhalte zu übermitteln, die einem definierten sensiblen Muster entsprechen (Mandantenname, Aktenzeichen, personenbezogene Daten), kann das Gateway sie schwärzen, blockieren oder zur Freigabe weiterleiten, bevor sie das Modell erreichen.
Kontroll-Prüfpunkt: Erfolgt die Richtliniendurchsetzung automatisch, oder ist sie auf das Erinnerungsvermögen der Mitarbeitenden angewiesen? Wenn ein Mitarbeitender unter Termindruck die Richtlinie vergisst, was passiert dann?
4. Etablieren Sie eine Liste freigegebener Tools mit einem ausdrücklichen Überprüfungsprozess
Eine Liste freigegebener AI-Tools ohne Überprüfungsprozess ist innerhalb von Monaten veraltet. AI-Tools verändern sich rasch — Fähigkeiten, Datenhandhabungsbedingungen und Datenstandort-Vereinbarungen werden häufig aktualisiert.
Was zu tun ist: Etablieren Sie einen vierteljährlichen Überprüfungszyklus für die Liste freigegebener Tools. Dokumentieren Sie für jedes Tool: die aktuelle Auftragsverarbeitungsvereinbarung (AVV) oder Entsprechung, die Datenstandort-Vereinbarung, ob die Verarbeitung personenbezogener Daten eine Auftragsverarbeitungsvereinbarung nach DSGVO Artikel 28 erfordert, sowie etwaige besondere Einschränkungen für die Nutzung in Mandaten.
Kontroll-Prüfpunkt: Wann wurde Ihre Liste freigegebener Tools zuletzt überprüft? Haben Sie unterzeichnete AVV mit jedem AI-Anbieter, den Ihre Firma nutzt?
5. Schaffen Sie einen Audit-Trail für AI-gestützte Arbeitsergebnisse
Wenn ein Mandant oder eine Regulierungsbehörde fragt „Wurde bei der Erstellung dieses Dokuments AI eingesetzt, und falls ja, welche Daten wurden dem Modell übergeben?" — können Sie das beantworten? In einigen Rechtsordnungen sind Anwälte bereits verpflichtet, die AI-Nutzung in bestimmten Schriftsätzen offenzulegen. Die Frage, welche Daten das AI-Modell erhalten hat, ist eine naheliegende Folgefrage.
Was zu tun ist: Stellen Sie sicher, dass Ihre AI-Governance-Schicht einen Audit-Trail erzeugt, der je Interaktion protokolliert: den Nutzer, das Tool/Modell, den Zeitstempel, die angewandte Richtlinienentscheidung sowie ob sensible Inhalte erkannt oder geschwärzt wurden. Dieses Protokoll sollte manipulationssicher sein und für den von der jeweiligen aufsichtsrechtlichen oder vertraglichen Pflicht geforderten Zeitraum aufbewahrt werden.
Kontroll-Prüfpunkt: Können Sie für jedes AI-gestützte Arbeitsergebnis, das Sie in den letzten 90 Tagen geliefert haben, rekonstruieren, welche Daten an das Modell übermittelt wurden?
6. Richten Sie ein menschliches Freigabe-Gate für risikoreiche AI-Aktionen ein
Nicht jede AI-Nutzung birgt das gleiche Risiko. Ein Anwalt, der AI nutzt, um öffentlich verfügbare Rechtsprechung zusammenzufassen, unterscheidet sich von einem Anwalt, der einen AI-Agenten einsetzt, um Klauseln aus einem vertraulichen Mandantenvertrag zu prüfen und zu extrahieren. Der zweite Fall erfordert eine menschliche Prüfung, bevor auf das Ergebnis reagiert wird.
Was zu tun ist: Definieren Sie, welche AI-Aktionen eine ausdrückliche menschliche Freigabe erfordern, bevor sie fortgesetzt werden: Aktionen, die identifizierte personenbezogene Mandantendaten betreffen, Aktionen, die mandantengerichtete Arbeitsergebnisse erzeugen, sowie Aktionen autonomer AI-Agenten, die auf interne Mandatsverwaltungssysteme zugreifen. Dies ist besonders wichtig, da Firmen beginnen, AI-Agenten für Dokumentenprüfung und Vertragsanalyse einzusetzen.
Kontroll-Prüfpunkt: Gibt es in Ihrer Firma AI-gestützte Workflows, bei denen das AI-Ergebnis ohne menschliche Prüfung den Mandanten oder eine aufsichtsrechtliche Einreichung erreicht? Falls ja, ist das eine bewusste Designentscheidung oder ein Versäumnis?
7. Adressieren Sie die Auftragsverarbeiter-Pflichten nach DSGVO Artikel 28 für jedes AI-Tool
Unter der DSGVO muss jedes Tool, das personenbezogene Daten in Ihrem Auftrag verarbeitet, durch eine Auftragsverarbeitungsvereinbarung (AVV) abgedeckt sein, die die Anforderungen von Artikel 28 erfüllt. Dies gilt für AI-Tools, die EU-personenbezogene Daten verarbeiten — was im Kontext von Professional Services nahezu auf alle zutrifft.
Was zu tun ist: Für jedes AI-Tool in Ihrer Freigabeliste, das personenbezogene Daten erhalten kann: bestätigen Sie, ob eine DSGVO-konforme AVV vorliegt, prüfen Sie die Aufbewahrungs- und Löschbedingungen, bestätigen Sie den Datenstandort (wo werden Daten verarbeitet und gespeichert) und vergewissern Sie sich, dass die Offenlegung von Unterauftragsverarbeitern angemessen ist.
Kontroll-Prüfpunkt: Führt Ihr DSGVO-Verzeichnis AI-Tools als Auftragsverarbeiter auf? Wurden diese Auftragsverarbeiter-Beziehungen in den letzten 12 Monaten überprüft?
8. Dokumentieren Sie Ihre AI-Governance für Mandantenfragebögen und Prüfungen
Die obige Checkliste erzeugt die Dokumentation, die Mandantenfragebögen und Prüferanfragen beantwortet. Die Arbeit ist vergeudet, wenn sie nicht in einer abrufbaren Form dokumentiert ist.
Was zu tun ist: Führen Sie ein einziges AI-Governance-Dokument oder -Verzeichnis, das Folgendes enthält: aktuelle Liste freigegebener Tools, Datenklassifizierungsrichtlinie mit AI-Anhang, AVV-Status für jedes freigegebene Tool, Protokoll-Aufbewahrungsrichtlinie sowie Überprüfungstermine der Richtlinie. Wenn ein Mandantenfragebogen eintrifft, ist dieses Dokument Ihre Antwortquelle.
Kontroll-Prüfpunkt: Wie lange würden Sie heute brauchen, um den AI-Abschnitt eines Sicherheitsfragebogens eines Mandanten zu beantworten? Wenn die Antwort „mehr als einen Nachmittag" lautet, ist die Dokumentation nicht vorhanden.
Ein Hinweis zur DSGVO und zur „berechtigtes-Interesse"-Falle
Manche Firmen versuchen, die AI-Nutzung personenbezogener Mandantendaten unter DSGVO Artikel 6 Abs. 1 lit. f „berechtigtes Interesse" zu rechtfertigen. Im Kontext von Professional Services ist dies in der Regel unzureichend. Die typische Rechtsgrundlage für die Verarbeitung personenbezogener Mandantendaten ist Artikel 6 Abs. 1 lit. b (Vertragserfüllung) oder Artikel 6 Abs. 1 lit. c (rechtliche Verpflichtung). Die Übermittlung dieser Daten an einen Drittanbieter eines AI-Modells fällt ohne ausdrückliche Offenlegung gegenüber der betroffenen Person typischerweise nicht in den Anwendungsbereich dieser Grundlagen.
Bevor Sie entscheiden, dass bestehende DSGVO-Grundlagen Ihre AI-Nutzung abdecken, lassen Sie einen qualifizierten Datenschutzanwalt die konkret betroffenen Datenflüsse prüfen. Die Frage ist nicht, ob Sie die AI-Nutzung im Allgemeinen rechtfertigen können; sie lautet, ob Sie die Übermittlung bestimmter Kategorien personenbezogener Daten an einen bestimmten AI-Anbieter unter der von Ihnen dokumentierten Grundlage rechtfertigen können.
Von der Checkliste zur Umsetzung
Die Checkliste benennt acht Kontrollen. In der Praxis ist die am schwersten umzusetzende Kontrolle Nummer drei — die technische Richtliniendurchsetzung. Die übrigen lassen sich mit Dokumentation, Prozessen und AVV-Prüfungen adressieren. Nummer drei erfordert eine technische Schicht.
Für Professional-Services-Firmen, die nicht groß genug sind, um über ein eigenes Security-Engineering-Team zu verfügen, ist der praktische Weg ein bereitgestelltes AI-Gateway, das den browserbasierten AI-Zugriff abdeckt (wo die meiste AI-Nutzung stattfindet) und optional Desktop und Mobile. Das Gateway setzt die von Ihnen verfasste Richtlinie durch, erzeugt den von Ihnen benötigten Audit-Trail und handhabt die AVV mit einem einzigen Anbieter, anstatt eine separate AVV mit jedem AI-Tool zu erfordern, das Ihre Mitarbeitenden nutzen.
Das Ziel ist, einen Zustand zu erreichen, in dem Sie, wenn der nächste Mandantenfragebogen eintrifft, ein Dokument übergeben statt einer Vermutung.
Qadar AI Shield ist für Professional-Services-Firmen konzipiert, die AI-Governance ohne ein eigenes Security-Team benötigen: in einem Tag bereitgestellt, anbieterübergreifende Richtliniendurchsetzung und ein integrierter Audit-Trail, der DSGVO-, Mandantenfragebogen- und aufsichtsrechtliche Prüfungsanforderungen erfüllt. Mehr erfahren.
