Kontext: Dieser Artikel wurde von der Swiss LegalTech Association (SLTA) veröffentlicht, bei der P&TS Corporate-Mitglied ist. Er ist in der Kategorie «Law & Tech Insight» eingeordnet und reiht sich in die zahlreichen Publikationen ein, die sich mit den Veränderungen im Rechtssektor durch den Einsatz neuer Technologien befassen. Sämtliche Artikel sind auf der Website der SLTA unter folgender Adresse abrufbar: https://www.swisslegaltech.ch/en/documentation/index.php Wir danken der Swiss LegalTech Association, dass sie uns die Gelegenheit bietet, unser Fachwissen in diesem besonderen Bereich zu teilen. Der Originalartikel wurde auf Englisch veröffentlicht.
Von Christophe Saam, CEO bei P&TS
Redaktion: Rucsandra Bratu, Legal Operations Lead bei der Swiss LegalTech Association (SLTA)
Einleitung
Generative KI ist in den meisten Anwaltskanzleien bereits im Einsatz, ob die Leitung davon weiss oder nicht. Sie bringt echte Effizienzgewinne, birgt aber Risiken, die sich qualitativ von den herkömmlichen Cybersicherheitsbedrohungen unterscheiden. Dieses Kapitel ergänzt die SAV/FSA-Wegleitung für den Umgang mit künstlicher Intelligenz vom Juni 2024 (konsolidiert im Februar 2025) aus der Perspektive der Informationssicherheit. Es ist auch für Patentanwältinnen und Patentanwälte relevant, die gleichwertigen Berufsgeheimnispflichten unterliegen. Es ersetzt die Wegleitung nicht, sondern liefert die praktische Sicherheitsebene, die sie ergänzt.
On-Premise oder externes LLM: die Wahl der Architektur
Jede Kanzlei muss grundsätzlich entscheiden, ob sie ein KI-Modell auf der eigenen Infrastruktur betreibt (On-Premise-Betrieb) oder einen externen, in der Cloud gehosteten Dienst nutzt. Der On-Premise-Betrieb bietet maximale Vertraulichkeit und volle Kontrolle über die Daten. Er ist der direkteste Weg, die Berufsgeheimnisregeln einzuhalten. Seine Nachteile sind real: erhebliche Einrichtungskosten, der Bedarf an IT-Fachwissen und die rasche Veralterung selbst gehosteter Modelle.
Ein externes LLM bietet Zugang zu modernsten Fähigkeiten bei geringeren Infrastrukturkosten. Es bedeutet aber, dass die Daten die Kanzlei verlassen, weshalb die vertragliche und regulatorische Compliance entscheidend wird. Die SAV/FSA-Wegleitung lässt beide Wege zu, wobei für die externe Variante strenge Bedingungen gelten. Die Wahl ist nicht endgültig: Eine gut konzipierte Infrastruktur kann beide Varianten gleichzeitig unterstützen und der Kanzlei erlauben, ihren Ansatz mit der Reife der Technologie weiterzuentwickeln.
Berufsgeheimnis: die nicht verhandelbare Einschränkung
Für Schweizer Rechtsanwältinnen und Rechtsanwälte sowie Patentanwältinnen und Patentanwälte ist das Berufsgeheimnis keine Compliance-Formalität. Es ist strafrechtlich sanktioniert nach Art. 321 StGB (SR 311.0) und berufsrechtlich geregelt, für Rechtsanwältinnen und Rechtsanwälte in Art. 13 BGFA (SR 935.61) und für Patentanwältinnen und Patentanwälte in Art. 10 PAG (SR 935.62). Die Eingabe von Mandantendaten (client data) in ein KI-System stellt eine Offenlegung gegenüber Dritten dar und muss auch als solche behandelt werden. Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) gilt unmittelbar für jede KI-gestützte Datenbearbeitung.
Ein externer Anbieter kann nur dann als legitime Hilfsperson betrachtet werden, wenn eine Reihe kumulativer und strenger Bedingungen erfüllt ist: Er muss in der Schweiz oder in der EU/im EWR ansässig sein oder über geeignete Garantien für die Bekanntgabe ins Ausland verfügen. Prompts und Antworten müssen innerhalb dieser Rechtsräume gespeichert bleiben. Der Anbieter muss sich vertraglich verpflichten, keine Daten an Dritte weiterzugeben. Und er muss sich verpflichten, die Daten der Kanzlei nicht für das Training oder Fine-Tuning von Modellen zu verwenden. Sind diese Bedingungen nicht erfüllt, dürfen keine Mandantendaten eingegeben werden, auch nicht in einer Form, die die Anwältin oder der Anwalt für anonymisiert hält, wenn eine Re-Identifizierung möglich bleibt.
Sind die Bedingungen erfüllt, bleibt die Datenminimierung dennoch eine bewährte Praxis: Namen, Aktenzeichen und identifizierende Angaben sollten vermieden werden, soweit die Aufgabe es zulässt.
Mit der spezifischen und informierten Einwilligung der Mandantin oder des Mandanten darf eine Anwältin oder ein Anwalt ein Tool verwenden, das die obigen Kriterien sonst nicht erfüllen würde. Diese Einwilligung muss jedoch sowohl das Berufsgeheimnis als auch den Datenschutz abdecken und darf weder vorausgesetzt noch aus den Umständen abgeleitet werden.
Interne Richtlinie, Governance und das Problem der Shadow IT
Bevor ein KI-Tool eingeführt wird, muss die Kanzlei über eine schriftliche interne KI-Richtlinie verfügen, die auf Partnerebene genehmigt ist. Sie sollte festlegen, welche Tools zugelassen sind, welche Datenkategorien als Prompts verwendet werden dürfen und welche nicht, wer welche Tools nutzen darf und welches Prüfverfahren gilt, bevor KI-generierte Inhalte verwendet oder weitergegeben werden. Ohne eine solche Richtlinie geht das grösste Risiko nicht von externen Angreifern aus, sondern von innen. Mitarbeitende, die ein nützliches KI-Tool entdecken und es ohne Genehmigung einsetzen, indem sie Mandantendaten in Systeme für Privatkunden eingeben, etwa in die kostenlosen Versionen kommerzieller Chatbots, stellen eine der unmittelbarsten und am meisten unterschätzten Bedrohungen für das Berufsgeheimnis dar. Dies ist die sogenannte Shadow IT: die Nutzung nicht genehmigter Tools, die vollständig ausserhalb des Sicherheitsperimeters der Kanzlei betrieben werden. Die Richtlinie muss dies ausdrücklich verbieten und die beruflichen Konsequenzen bei Nichteinhaltung klar benennen.
KI-spezifische Risiken erfordern zudem eine eigene Schulung, getrennt von der allgemeinen Sensibilisierung für Cybersicherheit. Die Mitarbeitenden müssen verstehen, was das Berufsgeheimnis im Zusammenhang mit einem Prompt bedeutet, warum die Überprüfung von KI-Ergebnissen eine berufliche Pflicht und keine blosse Empfehlung ist und warum ein Abweichen von den zugelassenen Tools der Kanzlei reale Konsequenzen hat. Angesichts der Geschwindigkeit, mit der sich Tools und Bedrohungen entwickeln, sollte die Schulung regelmässig stattfinden und nicht einmalig sein.
Vertragliche Absicherung gegenüber externen Anbietern
Öffentlich zugängliche Allgemeine Geschäftsbedingungen bieten keinen ausreichenden Schutz: Sie sind einseitig änderbar und werden selten im Hinblick auf Berufsgeheimnispflichten verfasst. Ein unterzeichneter, bilateraler Auftragsbearbeitungsvertrag (Data Processing Agreement, DPA) ist dringend zu bevorzugen. Zu den Schlüsselklauseln, die zu prüfen oder auszuhandeln sind, gehören:
- ein ausdrückliches Verbot, die Daten der Kanzlei für das Training oder Fine-Tuning von Modellen zu verwenden;
- klare Verpflichtungen zum Datenspeicherort (Data Residency), die den Anbieter an die Schweiz oder die EU/den EWR binden;
- ein Verbot der Weitergabe an Dritte, einschliesslich verbundener Unternehmen und Unterauftragnehmer;
- eine Vertraulichkeitspflicht für das Personal des Anbieters;
- definierte und kurze Fristen für die Aufbewahrung und Löschung von Daten;
- Auditrechte.
Einschlägige Zertifizierungen (ISO 27001 für das Informationssicherheits-Managementsystem und zunehmend ISO 42001 für KI-Managementsysteme) sind ein nützlicher Basisindikator für den Reifegrad eines Anbieters.
Lässt sich kein DPA aushandeln, sollte die Kanzlei zumindest ihre Prüfung der geltenden AGB dokumentieren, Benachrichtigungen über Änderungen abonnieren und ihre Einschätzung bei jeder Aktualisierung dieser Bedingungen neu vornehmen.
Datenmanagement: Konversationsverlauf und Anbieterunabhängigkeit
Ein weiteres Risiko betrifft den Konversationsverlauf und das Kontextgedächtnis. Die Leistung eines LLM verbessert sich, wenn das Modell Kontext über die Nutzerin oder den Nutzer, deren bzw. dessen Mandate und Fälle ansammelt. Dieser angesammelte Verlauf besteht jedoch aus sensiblen Daten der Kanzlei. Er sollte nicht dauerhaft in der Infrastruktur des Anbieters gespeichert werden. Bewährt hat sich eine Chat-Management-Schicht, die den Konversationsverlauf lokal in der eigenen Infrastruktur der Kanzlei speichert und bei jeder Anfrage nur den notwendigen Kontext an das LLM übermittelt. Zudem sollten Anbieter gewählt werden, die sich vertraglich zur raschen Löschung von Sitzungsdaten verpflichten.
Allgemeiner sollten Kanzleien eine anbieterunabhängige Infrastruktur aufbauen, die keine Abhängigkeit von einem einzigen Anbieter schafft. Tools, die auf offenen Protokollen wie dem Model Context Protocol (MCP) aufbauen, erlauben der Kanzlei, den Anbieter zu wechseln, ohne ihren gespeicherten Kontext zu verlieren oder ihre Arbeitsabläufe zu unterbrechen. Das ist nicht nur eine Frage der Flexibilität, sondern auch der Resilienz: Ein Anbieter kann seine Preise oder Bedingungen ändern oder seinen Betrieb einstellen. Ein Vendor-Lock-in in einem geschäftskritischen Arbeitsablauf ist ein strategisches Risiko, das Kanzleien selten bedenken, bis es zu spät ist.
Verantwortung für KI-Ergebnisse: Halluzinationen, Haftung und geistiges Eigentum
Anwältinnen und Anwälte sowie Patentanwältinnen und Patentanwälte bleiben für sämtliche Arbeitsergebnisse vollumfänglich verantwortlich, ob KI-gestützt oder nicht. Das hat zwei praktische Dimensionen. Die erste sind Halluzinationen: LLMs können plausible, aber sachlich falsche juristische Zitate, Urteilsverweise oder Gesetzesbestimmungen hervorbringen, und tun dies auch, typischerweise im selben selbstsicheren und autoritativen Ton wie bei korrekten Ergebnissen. Wer eine KI-generierte Rechtsschrift (brief) oder ein KI-generiertes Rechtsgutachten (opinion) einreicht, ohne jede zitierte Quelle unabhängig zu überprüfen, setzt sich einem Haftungsrisiko aus und, in Gerichtsverfahren, Sanktionen des Gerichts.
Die zweite Dimension ist das geistige Eigentum. KI-generierte Ergebnisse können Inhalte aus den Trainingsdaten des Modells enthalten und dabei urheberrechtlich geschütztes Material Dritter ohne Quellenangabe oder Lizenz wiedergeben. Dadurch kann die Kanzlei Verletzungsansprüchen für Inhalte ausgesetzt sein, die sie in gutem Glauben verwendet hat. Zugleich kann nach dem Schweizer Urheberrecht (Art. 6 URG) nur eine natürliche Person Urheberin oder Urheber sein: Von KI generierte Inhalte geniessen keinen Urheberrechtsschutz, und die Kanzlei kann an rein KI-generierten Arbeitsergebnissen keine Eigentumsrechte geltend machen. Wer als Anwältin, Anwalt, Patentanwältin oder Patentanwalt KI einsetzt, profitiert vom Effizienzgewinn und trägt zugleich das rechtliche Risiko.
Prompt Injection und neu entstehende Bedrohungen
Mit der Integration von KI-Tools in juristische Arbeitsabläufe wird eine neue Angriffskategorie relevant: die Prompt Injection. Eine böswillige Person kann versteckte Anweisungen in ein Dokument oder eine E-Mail einbetten, die die KI verarbeiten soll. Das Modell kann legitime Anweisungen nicht von eingeschleusten Befehlen unterscheiden und lässt sich so dazu manipulieren, Informationen preiszugeben, irreführende Zusammenfassungen zu erstellen oder unbeabsichtigte Handlungen auszuführen. Dieses Risiko steigt, je autonomer KI-Systeme werden: Ein System, das selbstständig E-Mails versenden oder im Namen der Anwältin oder des Anwalts auf externe Datenbanken zugreifen kann, stellt eine deutlich grössere Angriffsfläche dar als ein passiver Textgenerator. Kanzleien sollten sicherstellen, dass ihre Expertin bzw. ihr Experte für Informationssicherheit (Information Security Expert) mit diesen KI-spezifischen Angriffsvektoren vertraut ist. Diese unterscheiden sich von klassischer Malware und von Phishing und erfordern eine andere Reaktion.
Fazit
Generative KI ist kein künftiges, sondern ein gegenwärtiges Risiko: Sie ist in den meisten Kanzleien bereits im Einsatz, über zugelassene Tools, über Shadow IT oder über beides. Die SAV/FSA-Wegleitung von 2024 liefert den berufsrechtlichen Rahmen, dieses Kapitel die Ebene der Informationssicherheit. Die Kernbotschaft ist einfach: KI nutzen, aber steuern. Eine schriftliche Richtlinie, die richtigen Verträge, eine anbieterunabhängige Architektur, geschulte Mitarbeitende und eine konsequente Überprüfung der Ergebnisse sind die Mindestanforderungen für einen verantwortungsvollen Einsatz. Wie bei allen in diesem Leitfaden behandelten Aspekten der Informationssicherheit besteht der erste Schritt in der Zusammenarbeit mit Ihrer Expertin bzw. Ihrem Experten für Informationssicherheit (Information Security Expert). Für die Dimension des Berufsgeheimnisses empfiehlt sich zudem die Zusammenarbeit mit einer Anwältin, einem Anwalt, einer Patentanwältin oder einem Patentanwalt, die bzw. der mit den spezifischen Pflichten des Rechtsberufs und mit dem IT-Recht vertraut ist.
