KI in Praxis oder Kanzlei einführen: Checkliste in 7 Schritten

Schritt 1: Eine Aufgabe auswählen

Beginnen Sie nicht mit der Technik, sondern mit dem Alltag. Wo geht im Team die meiste Zeit verloren? Typische Kandidaten sind das allgemeine Postfach, Rückrufbitten, Standardschreiben, liegen gebliebene Vorgänge oder die Suche nach Arbeitsanweisungen. Wählen Sie eine Aufgabe, die häufig vorkommt, klar abgegrenzt ist und bei der ein Fehler der KI auffällt, bevor er Schaden anrichtet.

Die Bundessteuerberaterkammer empfiehlt in ihrer FAQ zu KI genau das: mit klar abgegrenzten Pilotfällen beginnen und vorab festlegen, woran man den Erfolg misst, zum Beispiel an der Zeit pro Vorgang oder an der Zahl liegen gebliebener Anfragen.

Schritt 2: Die betroffenen Daten prüfen

Fragen Sie für die gewählte Aufgabe:

• Welche Daten sieht die KI? Namen, Gesundheitsangaben, Mandatsinhalte, Finanzdaten?
• Unterliegen sie der Schweigepflicht nach § 203 StGB oder dem Berufsgeheimnis Ihres Berufsrechts?
• Sind besondere Kategorien nach Art. 9 DSGVO betroffen, etwa Gesundheitsdaten?
• Wird gesprochenes Wort aufgenommen? Dann ist § 201 StGB zu beachten, bei Patientengesprächen ist eine Einwilligung einzuholen.

Je sensibler die Daten, desto wichtiger wird die Frage, wo die KI läuft.

Schritt 3: Die Betriebsart festlegen

KI kann in der Cloud eines Anbieters laufen, in Ihrer Fachsoftware eingebaut sein oder auf einem eigenen Rechner in Ihren Räumen arbeiten. Die Datenschutzkonferenz hält technisch geschlossene Systeme für datenschutzrechtlich vorzugswürdig und bevorzugt Anwendungen, die Ihre Eingaben nicht zum Training verwenden. Die Bundessteuerberaterkammer schreibt, ein lokal installierbares System unter Kontrolle der Kanzlei biete ggf. mehr Datenschutz, während ein Cloud-Dienst Updates und Wartung abnehme.

Für Cloud-Dienste mit Gesundheitsdaten gelten zusätzlich die Vorgaben des § 393 SGB V. Bei Anbietern außerhalb der EU kommen die Regeln für Übermittlungen in Drittländer hinzu. Öffentliche KI-Dienste mit privaten Zugängen der Mitarbeitenden scheiden für vertrauliche Daten aus.

Schritt 4: Verträge schließen

Sobald ein Anbieter oder Dienstleister Zugang zu geschützten Daten haben könnte, braucht es Verträge. Das gilt auch für eine KI im Haus, wenn sie von außen betreut wird.

• Verschwiegenheit: Verpflichtung nach § 203 Abs. 4 StGB, für Anwälte nach § 43e BRAO, für Steuerberater nach § 62a StBerG, für Notare nach § 26a BNotO, jeweils in Textform.
• Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO, wenn der Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeiten kann.
• Fernzugriff: Regel, wann und wie aus der Ferne zugegriffen werden darf, am besten nur nach Freigabe und mit Protokoll.
• Vertragsende: Was passiert mit Gerät und Daten?

Mehr dazu im Ratgeber Auftragsverarbeitung und Verschwiegenheit.

Schritt 5: Datenschutzunterlagen ergänzen

• Verarbeitungsverzeichnis: Nach Art. 30 DSGVO führt jeder Verantwortliche ein Verzeichnis seiner Verarbeitungstätigkeiten. Die Ausnahme für Betriebe unter 250 Beschäftigten gilt nicht, wenn etwa Gesundheitsdaten verarbeitet werden oder die Verarbeitung nicht nur gelegentlich erfolgt. Der KI-Einsatz gehört dort hinein.
• Datenschutz-Folgenabschätzung: Nach Art. 35 DSGVO bei voraussichtlich hohem Risiko. Die Datenschutzkonferenz geht davon aus, dass dies bei KI „vielfach der Fall sein“ wird.
• Information: Patienten oder Mandanten müssen nach Art. 13 DSGVO über Zwecke und Empfänger informiert werden. Die Bundessteuerberaterkammer empfiehlt, den KI-Einsatz in der Datenschutzinformation zu erwähnen.

Diese Unterlagen verantworten Sie selbst, gemeinsam mit Ihrem Datenschutzbeauftragten. Ein seriöser Anbieter liefert die technischen Angaben dafür.

Schritt 6: Das Team einweisen und Regeln festlegen

Seit dem 2. Februar 2025 gilt Art. 4 des EU AI Act. In der seit Juli 2026 geltenden Fassung müssen Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Praktisch bedeutet das eine Einweisung, die festgehalten wird. Inhalte:

• was die KI kann und was nicht
• dass sie Fehler macht und jedes Ergebnis geprüft wird
• welche Daten in welche Anwendung dürfen
• wer Ansprechperson für Fragen ist

Die Bundessteuerberaterkammer empfiehlt zusätzlich eine kurze interne KI-Richtlinie und ein schlankes KI-Verzeichnis, also eine Tabelle, welche Systeme wofür und mit welchen Daten genutzt werden.

Schritt 7: Probelauf mit Endkontrolle

Lassen Sie die KI in den ersten Wochen nur vorschlagen. Das Team prüft jedes Ergebnis, sammelt Fehler und meldet, wo nachgeschärft werden muss. Die Datenschutzkonferenz erinnert daran, dass Entscheidungen mit Rechtswirkung nach Art. 22 DSGVO grundsätzlich nur von Menschen getroffen werden. Die Bundesrechtsanwaltskammer verlangt für Anwälte in jedem Fall eine eigenverantwortliche Endkontrolle, die KBV betont für Arztpraxen, dass KI nur der Unterstützung dient.

Nach dem Probelauf vergleichen Sie mit den Erfolgskriterien aus Schritt 1 und entscheiden, ob und wie es weitergeht. Danach lohnt eine regelmäßige Überprüfung, etwa einmal im Jahr.

Die Checkliste in der Praxis umsetzen

Sieben Schritte klingen nach viel Arbeit. Ein großer Teil davon lässt sich aber mit einem Partner erledigen, der Technik und Abläufe kennt. Wir richten die KI auf einem eigenen Rechner in Ihrer Praxis oder Kanzlei ein, unterschreiben die Verschwiegenheitsverpflichtung und bei Bedarf einen Vertrag zur Auftragsverarbeitung, weisen Ihr Team ein und liefern Vorlagen für Ihre Datenschutzunterlagen. Fernzugriffe gibt es nur nach Ihrer Freigabe und mit Protokoll.

Die rechtliche Bewertung bleibt bei Ihnen und Ihrem Datenschutzbeauftragten. Dieser Text ist keine Rechtsberatung. Schritt 1 können wir gemeinsam im Erstgespräch gehen: Sie schildern Ihren Alltag, wir sagen offen, was die KI übernehmen kann und was nicht. Einen Überblick je Berufsgruppe finden Sie unter Arztpraxis, Zahnarztpraxis, Kanzlei und Steuerbüro.

Häufige Fragen

Weiterlesen

Quellen

1. BStBK: FAQ KI im steuerberatenden Berufsstand, 27.01.2026
2. DSK: Orientierungshilfe Künstliche Intelligenz und Datenschutz, 06.05.2024
3. Art. 30 DSGVO, Verzeichnis von Verarbeitungstätigkeiten
4. Art. 35 DSGVO, Datenschutz-Folgenabschätzung
5. Art. 13 DSGVO, Informationspflicht bei Erhebung
6. AI Act Art. 4, KI-Kompetenz
7. ITMR: Digitaler Omnibus in Kraft
8. § 203 StGB, Verletzung von Privatgeheimnissen
9. BRAK: Hinweise zum Einsatz von künstlicher Intelligenz, Stand 12/2024
10. BPtK Praxis-Info: Administrative KI in Ihrer Praxis

Stand: 2026-10-05. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Die Bewertung Ihres konkreten Einsatzes liegt bei Ihnen und Ihrem Datenschutzbeauftragten.