Die KI-Checkliste des ÖRAK und wie eine lokale KI sie beantwortet
Der Österreichische Rechtsanwaltskammertag (ÖRAK) stellt Kanzleien eine Checkliste zur Verfügung, mit der sie jeden KI-Anbieter vor dem Einsatz prüfen. Die meisten Punkte kann jeder seriöse Anbieter erfüllen, ob Cloud oder lokal. Drei Punkte sind aber grundsätzlich anderer Natur: Sie fragen nicht, ob ein Vertrag etwas verbietet, sondern ob es technisch überhaupt möglich ist. Genau dort trennt sich eine lokale KI von jeder Cloud-Lösung.
Dieser Beitrag geht die Checkliste Punkt für Punkt durch: welche Anforderungen reines Vertragswerk sind, welche drei den Unterschied machen und warum eine KI, die vollständig in der Kanzlei läuft, sie nicht mit einer Zusicherung, sondern mit Abwesenheit beantwortet. Die Liste stammt aus dem ÖRAK-Folder „Künstliche Intelligenz (KI) in Anwaltskanzleien“, Stand September 2025.
Was die ÖRAK-Checkliste ist, und warum sie zählt
Die Checkliste stammt aus dem Folder „Künstliche Intelligenz (KI) in Anwaltskanzleien“ des Österreichischen Rechtsanwaltskammertags (ÖRAK) und wird unter anderem von der Rechtsanwaltskammer Wien bereitgestellt. Ihr Kern ist eine „Bestätigung der Einhaltung berufsrechtlicher Vorschriften“, die sich die Kanzlei vom KI-Anbieter vor der Beauftragung einholt. Die Verantwortung für Verschwiegenheit und Datenschutz bleibt nach § 9 Abs 2 RAO bei der Kanzlei, auch wenn ein KI-Werkzeug im Einsatz ist.
Der ÖRAK weist ausdrücklich darauf hin, dass die Liste nur die Mindestanforderungen prüft. Sie ist damit kein Gütesiegel, sondern eine Eintrittskarte: Wer sie nicht erfüllt, kommt gar nicht erst in Frage. Der Anbieter muss die Einhaltung schriftlich bestätigen, diese Bestätigung dient als Nachweis der sorgfältigen Auswahl.
Die Punkte, die jeder seriöse Anbieter erfüllen kann
Ein Teil der Liste ist solides Handwerk, das jeder Anbieter erfüllen kann, der seinen Beruf ernst nimmt, ob Cloud oder lokal:
- Vereinbarung gem. § 40 Abs 3 RL-BA: eine berufsrechtskonforme Vereinbarung schließt man ab.
- Auftragsverarbeitungsvereinbarung (AVV) nach Art 28 DSGVO: Standard, gehört zu jedem seriösen Angebot.
- Sichere Datenlöschung nach Ende der Zusammenarbeit: ein Löschkonzept ist Pflicht.
- Nachweis der technischen und organisatorischen Maßnahmen (TOMs): muss der Anbieter auf Anfrage darlegen können.
- Informationspflicht bei Änderungen: der Anbieter meldet sich, sobald ein bestätigter Punkt nicht mehr zutrifft.
Drei Punkte, die den Unterschied machen
Drei Anforderungen sind von anderer Natur. Sie fragen nicht nach einem Versprechen, sondern nach einer technischen Tatsache. Hier zeigt sich, ob eine KI-Lösung mit der anwaltlichen Verschwiegenheit wirklich vereinbar ist oder nur vertraglich vereinbar gemacht wurde:
- Verbot der Verwendung für Training: Der Anbieter sichert zu, dass eingegebene Daten unter keinen Umständen für das Training von KI-Modellen verwendet werden. Eine Cloud-KI kann das versprechen, und viele meinen es ernst. Bei einer KI, die vollständig in der Kanzlei läuft, ist es keine Zusicherung, sondern eine Unmöglichkeit: Es gibt keinen Weg nach außen, über den ein Training stattfinden könnte.
- Umgang mit Sub-Dienstleistern: Die Liste fragt, wer außer dem Anbieter die Mandantendaten sieht, etwa die Betreiber der Sprachmodelle. Das legt offen, wie viele fremde Hände an einer typischen KI-Kette beteiligt sind: Anbieter, Modellbetreiber, Cloud-Betreiber. Eine lokale KI hat hier eine ungewöhnlich kurze Antwort, nämlich keine: Das Sprachmodell läuft auf der Hardware in der Kanzlei.
- Informationspflicht bei Hausdurchsuchungen: Der Anbieter muss die Kanzlei informieren, wenn bei ihm oder einem Sub-Dienstleister durchsucht wird. Übersetzt heißt das: Ihre Mandantendaten könnten an einem fremden Ort liegen, der durchsucht wird, ohne dass es um Ihre Kanzlei geht. Liegen die Daten ausschließlich in der Kanzlei, gibt es diesen fremden Ort nicht.
Der rote Faden: Architektur schlägt Zusicherung
Man kann die ganze Checkliste auf einen Satz bringen: Bei den Punkten, die wirklich wehtun, ist die entscheidende Frage nicht, ob der Vertrag es verbietet, sondern ob es technisch möglich ist. Eine Cloud-KI beantwortet sie mit Verträgen, sauber und seriös, aber vertrauensbasiert. Eine lokale KI beantwortet sie mit Abwesenheit: Es gibt keinen Dritten, der trainieren, mitlesen oder durchsucht werden könnte, nicht weil eine Klausel es untersagt, sondern weil niemand da ist.
Das ist kein Feature, das man nachrüstet, sondern die Bauweise. Diese Kategorie bauen wir bei Verlass für Kanzleien in Tirol und Westösterreich. Warum die Architektur und nicht der Vertrag den Ausschlag gibt, vertieft der Beitrag On-Premise-KI oder Cloud-KI.
Was Sie mit der Checkliste tun sollten
Unabhängig davon, für welchen Anbieter Sie sich entscheiden, lohnen sich vier Schritte:
- Nehmen Sie die Checkliste ernst: Sie ist die einfachste Absicherung Ihrer Sorgfaltspflicht.
- Lassen Sie sich jeden Punkt schriftlich bestätigen, nicht mündlich in der Vorführung.
- Achten Sie besonders auf die drei technischen Punkte: Fragen Sie nicht „Halten Sie sich daran?“, sondern „Wo genau liegen meine Daten, und wer außer mir hat Zugriff?“
- Prüfen Sie, ob die Antwort ein Vertrag oder eine Tatsache ist: Beides kann zulässig sein, aber Sie sollten wissen, welches von beidem Sie bekommen.
Nächster Schritt
Denselben Maßstab wie die Checkliste legt der Beitrag KI-Anbieter für Kanzleien vergleichen: die zwölf Fragen vor der Auswahl an, nur ausführlicher. Was DSGVO und Verschwiegenheit dabei konkret erlauben, ordnet KI in der Kanzlei: Was DSGVO und Verschwiegenheitspflicht erlauben.
Und wenn Sie vorab wissen wollen, wo Ihre Kanzlei heute steht, liefert der Kanzlei-Check die Standortbestimmung: zehn Fragen, drei Minuten, Ergebnis sofort. Auf Wunsch stellen wir Ihnen die ausgefüllte Bestätigung zur ÖRAK-Checkliste zur Verfügung, Punkt für Punkt, zum Mitnehmen.
Häufige Fragen
Von wem stammt die KI-Checkliste, von der RAK Wien oder vom ÖRAK?
Vom Österreichischen Rechtsanwaltskammertag (ÖRAK). Die Rechtsanwaltskammer Wien stellt den bundesweiten ÖRAK-Folder „Künstliche Intelligenz (KI) in Anwaltskanzleien“ ihren Mitgliedern nur bereit. Inhaltlich verantwortlich für die Checkliste ist der ÖRAK, Stand September 2025.
Ist die ÖRAK-KI-Checkliste verpflichtend?
Die Checkliste selbst ist eine Empfehlung, kein Gesetz. Die dahinterliegende Pflicht ist es aber: Die Verantwortung für Verschwiegenheit und Datenschutz bleibt nach § 9 Abs 2 RAO bei der Kanzlei. Der ÖRAK empfiehlt, sich die Punkte vor der Beauftragung schriftlich bestätigen zu lassen, als Nachweis der sorgfältigen Auswahl.
Kann eine Cloud-KI die Checkliste erfüllen?
Ja, grundsätzlich. Die meisten Punkte sind Vertragswerk, das jeder seriöse Anbieter erfüllen kann. Der Unterschied liegt bei drei Punkten, nämlich Training, Sub-Dienstleister und Hausdurchsuchung: Eine Cloud-KI beantwortet sie mit einer Zusicherung, eine lokale KI mit der Tatsache, dass die Daten das Haus nicht verlassen.
Was bedeutet die Informationspflicht bei einer Hausdurchsuchung?
Der KI-Anbieter muss die Kanzlei informieren, wenn bei ihm oder einem seiner Sub-Dienstleister eine Hausdurchsuchung stattfindet. Der Hintergrund: Liegen Mandantendaten beim Anbieter, könnten sie an einem fremden Ort beschlagnahmt werden, ohne dass es um Ihre Kanzlei geht. Liegen die Daten ausschließlich in der Kanzlei, entfällt dieses Risiko.
Müssen wir uns die Checkliste vom Anbieter bestätigen lassen?
Empfohlen ist es. Der ÖRAK sieht die schriftliche Bestätigung des Anbieters als Nachweis, dass die Kanzlei sorgfältig ausgewählt hat. Lassen Sie sich die Punkte deshalb vor Vertragsabschluss schriftlich zusagen und nicht nur in einer Produktvorführung mündlich versichern.