Kanzleien · Das Governance-Komitee aufbauen, das den Pilot überlebt

Sechs Monate nachdem die Litigation-Praxis einer mittelgroßen Kanzlei ein KI-Tool zur Erstellung von Schriftsätzen eingeführt hatte, wechselte der Partner, der es vorangetrieben hatte, zu einem Wettbewerber. Niemand war dafür zuständig, die Verlängerung des Tools, seine Nutzungsrichtlinie oder die Kundenbeschwerde zu bearbeiten, die zu einem KI-gestützten Schriftsatz einging, der eine nicht existierende Entscheidung zitierte. Der Pilot war erfolgreich. Die Governance hatte den Abgang des Promotors nicht überlebt. Genau in dieser Lücke, zwischen erfolgreichem Proof of Concept und belastbarer Aufsichtsstruktur, scheitern die meisten KI-Programme in Kanzleien still und leise.

Diese Lektion baut die Struktur auf, die den Abgang von Promotoren, Wechsel von Anbietern und das Aufholen der Regulatoren übersteht.

Warum Piloten sterben, wenn sie „erfolgreich“ sind

Ein Pilot hat üblicherweise einen Sponsor, eine Budgetposition und eine Deadline. Sobald ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → Nutzen nachweist, passieren drei Dinge gleichzeitig: die Nutzung breitet sich über die Pilotgruppe hinaus aus, das Tool berührt mandantenbezogene Arbeit, und der ursprüngliche Sponsor wendet sich der nächsten Initiative zu.

Ohne ständiges Komitee treten drei Fehlermuster auf:

• Verantwortungsvakuum: Niemand erneuert die Vertragsprüfung, aktualisiert die Nutzungsrichtlinie oder beantwortet die Frage „Dürfen wir das im Mandat von Kunde X einsetzen?“
• Stiller Scope Creep: Associates beginnen, das Tool für Aufgaben zu nutzen, die nie einem Risk Assessment unterzogen wurden (z. B. Wechsel von internen Memos zu mandantenbezogenen Deliverables).
• Kein Audit Trail: Wenn ein Partner fragt „Haben wir diesen Output geprüft?“, gibt es kein Log, kein Sign-off, keinen Nachweis.

Ein Governance-Komitee ist der Mechanismus, der eine einmalige Pilotentscheidung in einen wiederholbaren, auditierbaren Prozess überführt.

Das Komitee-Charter: wer am Tisch sitzt

Ein praxistaugliches Charter für eine mittelgroße Kanzlei (etwa 50 bis 300 Anwälte) hat typischerweise fünf Sitze. Bei weniger als fünf entstehen Verantwortungslücken; bei mehr als sieben stocken die Entscheidungen.

1. Managing Partner oder COO (Vorsitz): Budgethoheit, letzte Eskalationsinstanz.
2. General Counsel oder Risk Partner: verantwortet das Berufsrechtsrisiko, die Implikationen für die Berufshaftpflicht und die Mandantenvertraulichkeit nach Regeln wie ABA Model Rule 1.6 (Vertraulichkeit von Mandanteninformationen) und Rule 5.3 (Aufsicht über nichtanwaltliche Mitarbeiter, zunehmend so ausgelegt, dass sie KI-Tools einschließt).
3. Leitung IT/Knowledge Management: verantwortet Anbieterverträge, Data ResidencyData ResidencyDie Anforderung, Daten physisch in einem bestimmten Land oder einer Region zu speichern und zu verarbeiten, oft aus rechtlichen oder vertraglichen Gründen.Vollständige Definition ansehen → und technische Zugriffskontrollen.
4. Ein Vertreter einer Practice Group (rotierend): bringt echten Workflow-Kontext ein, etwa wie ein KI-Tool zur Vertragsprüfung in der M&A-Due-Diligence tatsächlich eingesetzt wird.
5. Ein benannter „AI Risk Officer“ (kann eine bestehende Compliance-Rolle mit erweitertem Aufgabenzuschnitt sein): steuert die Audit-Kadenz, pflegt das Modellinventar und ist die einzige Kontaktstelle für Incidents.

Was das Charter schriftlich festlegen muss

• Entscheidungsrechte: wer ein neues KI-Tool für den Pilotbetrieb genehmigen darf und wer für den kanzleiweiten Rollout. Typischerweise: der Leiter der Practice Group genehmigt Piloten innerhalb eines definierten Budgets und Scopes; das Komitee genehmigt alles, was mandantenbezogen oder kanzleiweit ist.
• Review-Kadenz: quartalsweise vollständige Komiteesitzung, monatlicher Check-in des Risk Officers.
• Eskalationsauslöser: jede Mandantenbeschwerde, jede halluzinierte Zitatstelle, die nach Einreichung entdeckt wird, jede Datenschutzverletzung mit Beteiligung eines KI-Anbieters, jede behördliche Anfrage.
• Sunset-Klausel: jedes Tool wird alle 12 Monate erneut genehmigt oder abgeschaltet. Kein Tool läuft unbefristet ohne Review.

Model Risk: was das Komitee tatsächlich prüft

„Model Risk“ (das Risiko, dass ein KI-System falsche, verzerrte oder unzuverlässige Outputs erzeugt, die zu finanziellem oder Reputationsschaden führen) ist der zentrale wiederkehrende Agendapunkt. Für Kanzleien dominieren drei Risiken:

Halluzinationsrisiko: generative Tools erfinden Zitatstellen oder geben Entscheidungsinhalte falsch wieder. Das ist inzwischen ein dokumentiertes, sanktionsfähiges Problem: US-Gerichte haben seit 2023 in mehreren Fällen Sanktionen wegen KI-generierter Fake-Zitate verhängt, und die Guidance der Anwaltschaft in England und Wales (über die Solicitors Regulation Authority) behandelt unterlassene Verifikation als Frage von Kompetenz und Aufsicht, nicht als Technologie-Entschuldigung.

Vertraulichkeitsrisiko: Mandantendaten, die in ein Tool eingegeben werden, das auf Inputs trainiert oder Daten außerhalb der vereinbarten Jurisdiktionen speichert. Hier sind EU-Kanzleien direkt der DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (Datenschutz-Grundverordnung) ausgesetzt, und US-Kanzleien den Vertraulichkeitsregeln der State Bars sowie mandantenspezifischen Outside Counsel Guidelines, die den KI-Einsatz in ihren Mandaten zunehmend ohne Zustimmung untersagen.

Bias und Quality Drift: ein Tool zur Vertragsprüfung, das überwiegend auf US-marktüblichen Verträgen trainiert wurde, übersieht Themen in einer nach britischem oder kontinentaleuropäischem Recht geltenden Vereinbarung und verschlechtert so stillschweigend die Beratungsqualität über Jurisdiktionen hinweg.

Eine einfache Risk-Scoring-Übung, die das Komitee quartalsweise durchführt

Der Composite Score summiert oder gewichtet die Spalten einfach; entscheidend ist nicht die exakte Rechnung, sondern dass jedes Tool auf dasselbe vergleichbare Raster gebracht wird, damit das Komitee nicht auf Erinnerung oder Anekdote angewiesen ist, um zu entscheiden, was geprüft wird.

Eskalationswege: was passiert, wenn etwas schiefgeht

Ein Charter ohne getesteten Eskalationsweg ist Dekoration. Der Weg muss der Reihenfolge nach festlegen:

1. Entdeckung: ein Associate oder Partner bemerkt ein Problem (falsches Zitat, seltsamer Output, Mandantenbeschwerde).
2. Sofortmeldung: an den AI Risk Officer innerhalb von 24 Stunden, über ein dediziertes Intake-Formular oder einen Kanal, nicht über ein informelles Gespräch im Flur.
3. Triage: der Risk Officer klassifiziert die Schwere (mandantenbezogener Fehler, der bereits versandt wurde, versus intern abgefangen) innerhalb von 48 Stunden.
4. Information des Komitees: Vorfälle hoher Schwere gehen innerhalb einer Woche an das gesamte Komitee; Vorfälle geringer Schwere werden für das Quartalsreview protokolliert.
5. Information von Mandant und Versicherer: bei mandantenbezogenen Fällen entscheidet der General Counsel über Offenlegungspflichten und informiert den Berufshaftpflichtversicherer der Kanzlei.
6. Root Cause und Richtlinienanpassung: das Komitee aktualisiert die Nutzungsrichtlinie oder beschränkt das Tool bis zur Behebung.

Das entspricht dem, wie Kanzleien Konfliktprüfungen oder Beinahe-Haftungsfälle bereits handhaben. KI-Risiken sollten über die bestehende Risikoinfrastruktur laufen, nicht über ein parallel geführtes, informelles System.

Audit-Kadenz: der Kalender, der das Ganze am Leben hält

Ein Komitee, das „nach Bedarf“ zusammenkommt, kommt irgendwann nicht mehr zusammen. Bauen Sie einen festen Kalender:

• Monatlich: der Risk Officer prüft das Incident-Log und die Nutzungsdaten der Tools (welche Tools, wie viele Mandate, markierte Outputs).
• Quartalsweise: vollständige Komiteesitzung mit Review der Risk-Scoring-Tabelle, aller Eskalationen und der Anbieterleistung (Uptime, Modell-Updates, Preisänderungen).
• Jährlich: vollständiger Neugenehmigungszyklus für jedes Tool, aktualisierte Schulungen für Anwälte und Mitarbeiter sowie ein Policy-Refresh anhand der aktuellen Regulierung (in den USA: Ethics Opinions der State Bars und das sich entwickelnde NIST AI Risk Management Framework im Blick behalten, freiwillig, aber zunehmend als Referenzstandard genutzt; in der EU: Enforcement-Guidance zum EU AI Act, der 2024 in Kraft getreten ist und dessen Pflichten stufenweise bis 2026-2027 greifen).

Die Dokumentation jeder Sitzung (Teilnahme, Entscheidungen, Gegenstimmen) sollte in einem einzigen Repository liegen. Wenn eine Haftungsklage oder eine Anfrage der Kammer je fragt, „was wusste die Kanzlei und wann“, ist dies der Nachweis, der darauf antwortet.

🎬 [VIDEO: „AI Governance in Law Firms: Building Effective Oversight“ — youtube.com — suchen Sie nach aktuellen Panel-Diskussionen aus Risk und Compliance in Kanzleien zu KI-Komiteestrukturen; nützlich, um zu sehen, wie echte GCs und Risk Partner Komitee-Mandate formulieren]

Wichtigste Erkenntnisse

• Der Erfolg eines Piloten ist keine Governance. Benennen Sie ein ständiges Komitee (Vorsitz, GC/Risk Partner, Leitung IT/KM, rotierender Practice-Vertreter, AI Risk Officer), bevor Sie ein Tool über seine Pilotgruppe hinaus skalieren.
• Legen Sie Entscheidungsrechte, Review-Kadenz, Eskalationsauslöser und eine 12-monatige Sunset-Klausel in einem schriftlichen Charter fest, nicht in einer informellen Absprache.
• Bewerten Sie jedes KI-Tool nach mandantenbezogener Exposition, Datensensibilität und Halluzinationsrisiko und legen Sie die Review-Frequenz anhand dieses Scores fest, nicht danach, wie neu oder spannend das Tool ist.
• Bauen Sie einen getesteten Eskalationsweg (Entdeckung, Meldung, Triage, Komitee, Information von Mandant/Versicherer, Root Cause), der an die bestehende Risikoinfrastruktur wie Konflikt- und Haftungsprozesse andockt.
• Führen Sie einen festen Audit-Kalender (monatlich, quartalsweise, jährlich) und halten Sie einen einzigen dokumentierten Nachweis. Dieser Nachweis schützt die Kanzlei, wenn ein Regulator, Mandant oder Versicherer fragt, wie die Governance tatsächlich aussah.