Professional-Services-Firmen — Anwaltskanzleien, Managementberatungen, Wirtschaftsprüfungspraxen, Advisory-Firmen — führen AI schneller ein, als die meisten von ihnen zuzugeben bereit sind. Partner und Associates nutzen ChatGPT, um Memos zu entwerfen. Berater nutzen Claude, um Frameworks zu strukturieren. Analysten fügen Finanzmodelle in AI-Tools zur Mustererkennung ein.
Die Produktivitätsgewinne sind real. Die Risiken ebenso. Und die Risiken in den Professional Services sind nicht dieselben wie in anderen Branchen, denn die beteiligten Daten gehören fast immer jemand anderem.
Warum die Professional Services ein Sonderfall sind
Drei Merkmale machen AI-Governance in den Professional Services schwieriger als in den meisten anderen Sektoren.
Mandantenvertraulichkeit ist vertraglich, nicht nur regulatorisch. Wenn ein Mitarbeiter eines Technologieunternehmens internen Code in ein AI-Tool einfügt, liegt das Risiko primär beim Unternehmen selbst. Wenn ein Anwalt Mandantendokumente in ein AI-Tool einfügt, liegt das Risiko beim Mandanten — und die Pflicht der Kanzlei, diese Daten zu schützen, ist vertraglich, treuhänderisch und in vielen Rechtsordnungen gesetzlich. Ein Verstoß gegen die Mandantenvertraulichkeit ist eine Frage des Berufsrechts, nicht nur des Datenschutzes.
Die Daten sind hochwertig und konzentriert. Eine einzige Mandatsakte in einer Anwaltskanzlei oder Advisory-Praxis kann M&A-Konditionen, Prozessstrategien, regulatorische Eingaben, Finanzprognosen oder Personalentscheidungen enthalten. Die Folgen, wenn diese Daten ein unkontrolliertes Modell erreichen, sind im Verhältnis zur Datenmenge unverhältnismäßig groß.
Das Privileg kann auf dem Spiel stehen. Speziell für Anwaltskanzleien kann das anwaltliche Berufsgeheimnis (Legal Professional Privilege) entfallen, wenn privilegierte Kommunikation ohne angemessene Schutzmaßnahmen mit Dritten geteilt wird. Ob das Senden privilegierter Inhalte an ein AI-Modell einen Verzicht darstellt, ist ein sich entwickelndes Rechtsgebiet — die sicherste Annahme aber lautet, dass dies der Fall ist, sofern das AI-Tool nicht durch angemessene Vertraulichkeitsschutzmaßnahmen abgedeckt ist und die Kanzlei keine angemessenen Schritte unternommen hat, um eine Offenlegung zu verhindern.
Die fünf AI-Risiken, die Teams in den Professional Services adressieren müssen
1. Mandantendaten in Prompts
Das häufigste und unmittelbarste Risiko. Ein Associate, der ein Mandanten-Memo entwirft, tippt den Namen des Mandanten, Transaktionsdetails und strategische Überlegungen in ein Prompt-Feld. Diese Daten liegen nun beim Modellanbieter, unter dessen Nutzungsbedingungen, möglicherweise gespeichert, möglicherweise zum Training verwendet.
Die Kontrolle: Prompt-Prüfung, die mandantenidentifizierende Informationen erkennt und eine konfigurierte Handhabung anwendet — den Nutzer warnen, eine Begründung verlangen, die Daten maskieren oder die Übermittlung blockieren — bevor der Prompt das Modell erreicht.
2. Dokumenten-Uploads
AI-Tools akzeptieren zunehmend Datei-Uploads zur Analyse, Zusammenfassung und Erstellung. Ein einziges hochgeladenes Mandatsschreiben oder Finanzmodell kann alles enthalten, von dem ein Mandant erwartet, dass es vertraulich bleibt.
Die Kontrolle: Upload-Prüfung, die Dateien auf sensible Inhalte scannt, bevor sie den Browser verlassen. Dateityp-Beschränkungen, Inhaltsklassifizierung und richtlinienbasierte Blockierung für Dokumente, die die Datenfreigabe-Richtlinie der Kanzlei überschreiten.
3. AI-Tools ohne Unternehmensvereinbarungen
Consumer-AI-Tools (kostenfreies ChatGPT, persönliche Claude-Konten, browserbasierte AI-Assistenten) bieten in der Regel keine Auftragsverarbeitungsverträge, keine Garantien zur Datenlöschung und keine Trainings-Opt-outs. Diese Tools für Mandantenarbeit zu nutzen bedeutet, dass Mandantendaten unter Consumer-Bedingungen verarbeitet werden, die keinerlei Vertraulichkeitsschutz bieten.
Die Kontrolle: Eine Liste freigegebener Tools, die festlegt, welche AI-Tools für welche Anwendungsfälle und Datenklassifizierungen zulässig sind. Durchsetzung auf Browser-Ebene, die warnt oder blockiert, wenn Mitarbeiter auf nicht freigegebene AI-Tools zugreifen.
4. Output-Attribution und -Genauigkeit
AI-generierte Inhalte in Mandantenleistungen bergen Risiken hinsichtlich Genauigkeit und Attribution. Eine halluzinierte Rechtsprechungszitierung in einem juristischen Schriftsatz, ein falscher regulatorischer Verweis in einem Compliance-Memo oder ein erfundener Datenpunkt in einem Beratungs-Framework schafft eine Exposition gegenüber beruflicher Haftung.
Die Kontrolle: Dies ist primär eine Workflow- und Review-Kontrolle, keine technische. Kanzleien brauchen klare Richtlinien dazu, wo AI-generierte Inhalte in Mandantenleistungen verwendet werden dürfen und wo nicht, und welche menschliche Prüfung erforderlich ist, bevor ein AI-gestütztes Arbeitsergebnis ausgeliefert wird.
5. Regulatorische und kammerrechtliche Anforderungen
Aufsichtsbehörden im Rechts- und Prüfungswesen veröffentlichen in vielen Rechtsordnungen Leitlinien zur AI-Nutzung. Die Solicitors Regulation Authority in England und Wales, Anwaltskammern in EU-Mitgliedstaaten und die American Bar Association haben allesamt Leitlinien zu beruflichen Pflichten rund um AI veröffentlicht oder entwickeln solche.
Die Kontrolle: Ein Richtlinien-Framework, das regulatorische Pflichten auf praktische Kontrollen abbildet. Dazu gehört, nachzuverfolgen, welche Rechtsordnungen und Aufsichtsbehörden die AI-Pflichten der Kanzlei regeln, und die Kontrollen anzupassen, wenn sich die Leitlinien weiterentwickeln.
Wie ein gesteuerter AI-Einsatz in einer Professional-Services-Firma aussieht
Firmen, die die AI-Einführung gut bewältigen, verbieten sie nicht. Sie kanalisieren sie durch eine Kontrollschicht, die Mandantendaten schützt und zugleich die Produktivitätsvorteile erhält.
Prompt-Prüfung auf Browser-Ebene. Jede AI-Interaktion über den Browser durchläuft eine Prüfschicht, die mandantenidentifizierende Informationen, personenbezogene Daten und privilegierte Inhalte erkennt. Sensible Daten werden maskiert oder blockiert, bevor sie das Modell erreichen. Der Nutzer erhält eine klare Benachrichtigung. Die Kanzlei erhält einen strukturierten Audit-Eintrag.
Ein Katalog freigegebener Tools. Die Kanzlei pflegt eine kurze, regelmäßig aktualisierte Liste von AI-Tools, die für bestimmte Anwendungsfälle und Datenklassifizierungen freigegeben sind. „Tool X ist für die interne Erstellung ohne Mandantendaten freigegeben. Tool Y ist für die Dokumentenprüfung auf anonymisierten Datensätzen unter unserer Unternehmensvereinbarung freigegeben." Mitarbeiter wissen, was sie nutzen dürfen, ohne raten zu müssen.
Kontrollen auf Mandatsebene. Manche Mandate haben erhöhte Vertraulichkeitsanforderungen — regulatorische Untersuchungen, M&A-Transaktionen, Streitigkeiten mit bestimmten Gegenparteien. Die Kontrollschicht sollte Richtlinien-Overrides auf Mandats- oder Mandantenebene unterstützen, die die AI-Nutzung für bestimmte Mandate über die kanzleiweite Grundlinie hinaus einschränken.
Audit-Trail für Compliance und Mandantenberichterstattung. Jede AI-Interaktion wird in einem strukturierten Format protokolliert: welches Tool genutzt wurde, welche Datenkategorien erkannt wurden, welche Richtlinie angewendet wurde, welches Ergebnis erzielt wurde. Dieses Protokoll erfüllt regulatorische Audit-Anforderungen und versetzt die Kanzlei in die Lage, auf Mandantenanfragen zur Handhabung ihrer Daten zu reagieren.
Schulung und Sensibilisierung. Technische Kontrollen sind notwendig, aber nicht ausreichend. Partner und Associates müssen verstehen, warum die Kontrollen existieren, worin die Risiken bestehen und wie AI-Tools innerhalb des Governance-Frameworks der Kanzlei zu nutzen sind. Die Firmen, die dies gut machen, integrieren AI-Governance in bestehende Programme zur beruflichen Weiterbildung, anstatt sie als eigenständige Compliance-Übung zu behandeln.
Der Wettbewerbsvorteil gesteuerter AI
Professional-Services-Firmen, die AI-Governance gut umsetzen, gewinnen einen Wettbewerbsvorteil, der über die Risikoreduzierung hinausgeht.
Mandantenvertrauen. Wenn ein Mandant fragt: „Wie schützen Sie unsere Daten, wenn Ihr Team AI nutzt?" — und viele tun das inzwischen — können Firmen mit einem gesteuerten AI-Programm eine klare, evidenzbasierte Antwort geben. Diese Antwort hebt sie von Wettbewerbern ab, die nur Richtlinienerklärungen anbieten können.
Schnellere Einführung. Firmen mit klaren Governance-Leitplanken können neue AI-Fähigkeiten schneller einführen, weil die Kontroll-Infrastruktur bereits vorhanden ist. Teams müssen nicht für jedes neue Tool auf Ad-hoc-Risikobewertungen warten.
Regulatorische Bereitschaft. Während Anwaltskammern, Aufsichtsbehörden und Berufsverbände AI-spezifische Leitlinien herausgeben, sind Firmen mit bestehenden Governance-Programmen in einer stärkeren Position, Compliance nachzuweisen, als jene, die bei null anfangen.
Erste Schritte
Wenn Ihre Kanzlei am Anfang der AI-Governance steht, decken drei Schritte am meisten Boden ab:
-
Entdecken Sie, was bereits geschieht. Führen Sie eine technische Discovery-Übung durch, um zu identifizieren, welche AI-Tools Ihr Team nutzt und welche Daten in sie hineinfließen. Die Ergebnisse sind fast immer umfangreicher, als die Führung erwartet.
-
Veröffentlichen Sie eine Liste freigegebener Tools. Decken Sie die wichtigsten drei bis fünf Anwendungsfälle mit freigegebenen Tools und klaren Leitlinien zur Datenhandhabung ab. Halten Sie sie kurz, konkret und gepflegt.
-
Setzen Sie Kontrollen auf Browser-Ebene ein. Prompt-Prüfung und Upload-Kontrollen auf Browser-Ebene verschaffen Ihnen sofortige Sichtbarkeit und Schutz, ohne dass Änderungen an Ihrer bestehenden IT-Infrastruktur erforderlich sind.
Das Ziel ist nicht, die AI-Nutzung zu verhindern. Es geht darum, die AI-Nutzung prüfbar, gesteuert und konsistent mit den beruflichen Pflichten zu machen, die Ihre Kanzlei gegenüber ihren Mandanten hat.
Qadar AI setzt AI-Governance für Teams in den Professional Services in Minuten um — und schützt Mandantendaten, ohne die Arbeit zu verlangsamen. So funktioniert es
