So kartieren Sie, wo Prompts und Logs eines KI-Tools laufen

Prüft eine Kanzlei ein KI-Tool, nennt der Vertrag einen Anbieter. Die Daten bleiben selten bei diesem einen Anbieter. Ein Prompt kann über einen Hosting-Anbieter, einen Modellanbieter, einen Monitoring-Dienst und ein Support-Team laufen, jeweils an einem anderen Ort und jeweils mit eigenen Logs.

Dieser Beitrag zeigt, wie Sie diese Kette aufschreiben, bevor jemand entscheidet, ob sie tragbar ist.

Kein Rechtsrat. §43e BRAO enthält besondere Anforderungen, wenn ein Dienst im Ausland in Anspruch genommen wird. Ob eine konkrete Kette sie erfüllt, beurteilt Ihre rechtliche Prüfung. Diese Methode liefert nur die Fakten, die dafür nötig sind. Für die gesamte Entscheidungskette lesen Sie zuerst §43e BRAO für KI-Tools in der Kanzlei.

Warum die Karte vor der Prüfung kommt

Was niemand aufgeschrieben hat, kann niemand prüfen. Fragen wie „Wo wird das verarbeitet?“ oder „Wer sieht das noch?“ werden oft mit einem Vertriebssatz beantwortet. Eine Karte macht daraus eine Liste von Rollen, Orten und Datenarten, die sich prüfen, hinterfragen und zur Akte nehmen lässt.

Sie zeigt außerdem, wo die Kanzlei selbst noch eine Wahl hat: eine Einstellung, eine Region, eine Funktion, die sich abschalten lässt.

Schritt 1: Halten Sie fest, was die Kanzlei verlässt

Beginnen Sie bei der Kanzlei, nicht beim Anbieter. Notieren Sie jede Datenart, die das Tool erhält:

• Prompts und den eingefügten Text
• hochgeladene Dateien und Anhänge
• die Antworten des Tools
• gespeicherte Verläufe
• Nutzungs- und Fehlerprotokolle
• Feedback, Bewertungen und Support-Tickets

Ist das Tool an Ihre Kanzleisoftware angebunden, ergänzen Sie die Dokumente und Felder, die es lesen kann. Das behandelt der Beitrag So binden Sie KI per Schnittstelle an die Kanzleisoftware an.

Schritt 2: Benennen Sie jede Stelle in der Kette

Fragen Sie für jede Datenart, wer sie erhält. Typische Rollen:

• der Anbieter, mit dem Sie den Vertrag schließen
• der Hosting- oder Infrastrukturanbieter
• der Modellanbieter, falls er ein anderer ist
• Dienste für Monitoring, Protokollierung, Analyse oder Fehlerberichte
• Support-Mitarbeitende, auch an anderen Standorten
• Speicher für Backups und Notfallwiederherstellung

Halten Sie die Rolle auch dann fest, wenn der Anbieter das Unternehmen nicht nennt. „Nicht benannter Modellanbieter“ ist bereits ein Befund.

Schritt 3: Notieren Sie, wo jede Stelle verarbeitet und speichert

Notieren Sie für jede Stelle den Ort der Verarbeitung und den Ort der Speicherung getrennt. Oft sind sie nicht identisch. Notieren Sie auch, von wo Support oder Administration zugreifen können: Ein Fernzugriff kann bedeuten, dass ein Dienst im Ausland genutzt wird, auch wenn die Daten im Inland gespeichert sind.

Schritt 4: Notieren Sie, wie lange jede Kopie existiert

Halten Sie je Stelle und Datenart fest: wie lange gespeichert wird, ob die Daten zum Training oder zur Verbesserung von Modellen genutzt werden und wie gelöscht wird, einschließlich Backups. „Löschung auf Anfrage“ und „Löschung nach fester Frist“ sind unterschiedliche Antworten. Notieren Sie, welche Sie erhalten haben.

Schritt 5: Markieren Sie, was die Kanzlei steuert

Markieren Sie alles, was die Kanzlei selbst ändern kann: Datenregion, Verlauf an oder aus, Widerspruch gegen Training, Aufbewahrung der Logs, welche Nutzer Zugriff haben. Alles Unmarkierte liegt außerhalb der Kontrolle der Kanzlei und sollte als solches sichtbar sein.

Schritt 6: Notieren Sie die Quelle jeder Angabe

Schreiben Sie neben jeden Eintrag, woher er stammt: Vertrag, veröffentlichte Liste der Unterauftragnehmer, technisches Dokument, E-Mail aus dem Vertrieb. Markieren Sie, was nur auf einer mündlichen Aussage beruht. Ihre rechtliche Prüfung gewichtet diese Quellen unterschiedlich, und das sollte auch die Kanzlei tun.

Schritt 7: Halten Sie die Karte aktuell

Ketten ändern sich. Anbieter ergänzen Unterauftragnehmer, wechseln Regionen und führen Funktionen ein. Datieren Sie die Karte, legen Sie fest, wer sie verantwortet und wann sie erneut geprüft wird, und notieren Sie, wie der Anbieter Änderungen ankündigt. Eine Karte, die im letzten Jahr stimmte, belegt nichts für heute.

Eine fiktive Karte, eine Zeile

Fiktives Beispiel. Alle Rollen und Angaben sind erfunden und beschreiben keinen echten Anbieter.

Jedes „nicht angegeben“ in dieser Zeile ist eine Frage an den Anbieter, bevor Ihre rechtliche Prüfung beginnen kann.

Was Sie der rechtlichen Prüfung übergeben

• die ausgefüllte, datierte Karte
• die Unterlagen zu jedem Eintrag
• eine Liste offener Fragen und Einträge ohne Quelle
• die Einstellungen, die die Kanzlei nutzen will

Was Sie nicht übergeben sollten, ist ein Ergebnis. Ob die Kette tragbar ist, entscheidet die Prüfung, nicht die Karte.

Dieselbe Sorgfalt gilt im Prompt selbst. Wie die Kette auch aussieht: Weniger Mandatsbezug im Prompt heißt weniger, das zu kartieren ist. Siehe So entfernen Sie den Mandatsbezug aus Prompts.

Kurze Checkliste

1. Notieren Sie jede Datenart, die das Tool erhält.
2. Benennen Sie je Datenart jede Stelle, notfalls nach Rolle.
3. Halten Sie Verarbeitungs-, Speicher- und Zugriffsorte getrennt fest.
4. Halten Sie Aufbewahrung, Trainingsnutzung und Löschung je Stelle fest.
5. Markieren Sie, was die Kanzlei steuert.
6. Notieren Sie die Quelle jedes Eintrags.
7. Datieren Sie die Karte und legen Sie die nächste Prüfung fest.

FAQ

Heißt eine vollständige Karte, dass das Tool genutzt werden darf? Nein. Die Karte beschreibt Fakten. Ob ein Einsatz der Verschwiegenheit und den Regeln für Dienstleister genügt, beurteilt Ihre rechtliche Prüfung. Kein Rechtsrat.

Was, wenn der Anbieter seine Unterauftragnehmer nicht nennt? Halten Sie das als Befund fest. Eine unbeantwortete Frage gehört genauso auf die Karte wie eine beantwortete.

Reicht eine Speicherung im Inland? Die Speicherung ist ein Eintrag. Verarbeitung, Support-Zugriff, Backups und Modellanbieter können woanders liegen. Kartieren Sie jeden Punkt einzeln.

So bauen wir das bei AETOP

Agenten auf Spectacle bauen wir nach demselben Prinzip: Ein Modell erhält nur die Objekte, die eine Aufgabe braucht, gerechnet wird im Code, das Modell übernimmt die Sprache, jede Anfrage wird protokolliert, und ein Mensch gibt frei, bevor sich etwas ändert. Zu wissen, wohin jede Anfrage geht, gehört zum Bauen und kommt nicht hinterher. Das Ziel ist Zeit zurück für die Menschen, die diese Koordination heute noch von Hand erledigen, ohne ihnen die Entscheidung abzunehmen. Aktionen mit Freigabe stehen auf unserer Roadmap und sind noch nicht buchbar; wir beschreiben sie nicht als live, bevor sie es sind. Wenn Sie Ihre eigene Einrichtung besprechen möchten: Spectacle ansehen.

Kein Rechtsrat. Dieser Beitrag beschreibt betriebliche Praxis und ersetzt keine rechtliche Prüfung.