KI-Richtlinie für die Kanzlei: Muster zum Download

Eine KI-Richtlinie sagt Ihrem Team in einer Minute, was mit ChatGPT & Co. erlaubt ist und was nicht. Hier finden Sie ein vollständiges Muster für Steuerkanzleien, Anwaltskanzleien und andere Büros mit Berufsgeheimnis. Zum Kopieren und als Word-Datei, dazu die Erklärung, warum jeder Punkt drinsteht und wie Sie die Richtlinie einführen, ohne dass sie in der Schublade landet.

Stand: Oktober 2026 · Lesezeit ca. 8 Minuten · Orientierung, keine Rechtsberatung

Kurz gesagt

Eine Seite genügt. Eine kurze Richtlinie, die jeder versteht, wirkt mehr als ein langes Regelwerk, das niemand liest.
Der Kern sind drei Fragen: Welche Werkzeuge sind erlaubt? Welche Daten dürfen wohin? Wer prüft das Ergebnis?
Eine Pflicht zur Richtlinie gibt es nicht. Die Bundessteuerberaterkammer empfiehlt aber feste Regeln, und eine Richtlinie mit Kenntnisnahme ist ein zentraler Baustein, um Maßnahmen nach Art. 4 KI-VO zu belegen.
Das Muster unten können Sie kopieren oder als Datei herunterladen und in Word anpassen.

1. Warum eine KI-Richtlinie?

In vielen Büros wird KI längst genutzt, nur ohne Regeln. Laut einer Bitkom-Umfrage unter 604 Unternehmen ab 20 Beschäftigten (Oktober 2025) hatten nur 23 Prozent Regeln für den KI-Einsatz aufgestellt. Gleichzeitig schlossen nur 29 Prozent sicher aus, dass Beschäftigte private KI-Werkzeuge im Job nutzen.

Ohne Richtlinie entscheidet jede Person selbst, was sie in ein Chatfenster kopiert. In einer Kanzlei berührt das schnell die Verschwiegenheit nach § 57 StBerG bzw. § 43a BRAO und § 203 StGB. Eine Richtlinie schafft drei Dinge:

Sicherheit für das Team: Wer weiß, was erlaubt ist, nutzt KI offen statt heimlich.
Schutz für die Kanzlei: Klare Grenzen bei Mandantendaten und eine Prüfpflicht senken das Risiko von Verstößen und Fehlern.
Ein Beleg: Die Richtlinie mit Kenntnisnahme zeigt, dass Sie Maßnahmen für die KI-Kompetenz Ihres Teams ergriffen haben. Mehr dazu im Ratgeber KI-Kompetenz nachweisen.

2. Das Muster zum Kopieren

Ersetzen Sie die Angaben in eckigen Klammern. Das Muster ist für Steuerkanzleien geschrieben und passt mit kleinen Änderungen auch für Anwaltskanzleien und andere Büros (siehe Abschnitt 4).

Als Word-Datei herunterladen (.docx)

KI-Richtlinie der [Name der Kanzlei]

Stand: [Datum] · Verantwortlich: [Name, Funktion]

1. Zweck und Geltungsbereich

Diese Richtlinie regelt den Einsatz von KI-Werkzeugen in der Kanzlei, zum Beispiel Chatbots wie ChatGPT, Schreib-, Übersetzungs- und Transkriptionswerkzeuge sowie KI-Funktionen in Kanzleisoftware und Office-Programmen.

Sie gilt für alle Beschäftigten, Auszubildenden und Aushilfen sowie für freie Mitarbeitende, die für die Kanzlei tätig sind.

Ziel ist, KI dort zu nutzen, wo sie die Arbeit erleichtert, und dabei Verschwiegenheit, Datenschutz und fachliche Qualität zu wahren.

2. Freigegebene Werkzeuge

Dienstlich dürfen nur die folgenden Werkzeuge mit den von der Kanzlei bereitgestellten Zugängen genutzt werden:

[Werkzeug, z. B. ChatGPT Business] · Zugang: [Kanzlei-Konto] · erlaubt bis Stufe [1/2/3]
[Werkzeug, z. B. KI-Funktion der Kanzleisoftware] · Zugang: [Kanzlei-Konto] · erlaubt bis Stufe [1/2/3]
[Werkzeug, z. B. Übersetzungsdienst] · Zugang: [Kanzlei-Konto] · erlaubt bis Stufe [1/2/3]

Private Konten und nicht freigegebene Werkzeuge dürfen für dienstliche Zwecke nicht genutzt werden. Wer ein weiteres Werkzeug nutzen möchte, wendet sich an [Ansprechperson]. Neue Werkzeuge werden vor der Freigabe auf Vertrag, Datenschutz und Verschwiegenheit geprüft und in das KI-Verzeichnis aufgenommen.

3. Welche Daten wohin dürfen: drei Stufen

Stufe 1, allgemein: Fachfragen ohne Fallbezug, Texte für Newsletter und Website, Muster und Checklisten ohne Personenbezug. Erlaubt in allen freigegebenen Werkzeugen.

Stufe 2, intern: vollständig anonymisierte Sachverhalte und interne Abläufe ohne Personen- und Mandatsbezug. Erlaubt nur in Werkzeugen mit Kanzlei-Zugang, bei denen die Nutzung der Eingaben zum Training ausgeschlossen ist.

Stufe 3, vertraulich: alles, was auf Mandanten, Mandate oder Beschäftigte schließen lässt, zum Beispiel Namen, Steuer-ID, Anschriften, Kontoverbindungen, Steuererklärungen, Bilanzen, Lohn- und Personalunterlagen, Verträge und Schriftsätze. Erlaubt nur in Werkzeugen, die die Kanzleileitung ausdrücklich für Stufe 3 freigegeben hat (Verschwiegenheitsvereinbarung nach § 62a StBerG bzw. § 43e BRAO und Auftragsverarbeitungsvertrag), oder mit vorheriger Einwilligung des Mandanten.

Niemals in KI-Werkzeuge: Passwörter und Zugangsdaten, Gesundheitsdaten, Krankmeldungen und Beurteilungen von Beschäftigten, interne Strategie- und Umsatzplanung.

4. Richtig anonymisieren

Namen, Firmen, Orte, Daten, Beträge, Aktenzeichen und Nummern entfernen oder verallgemeinern.
Seltene Merkmale vergröbern, damit auch Kombinationen nicht verraten, um wen es geht.
Bei Dokumenten jede Seite prüfen, auch Kopf- und Fußzeilen, Anlagen, Dateinamen und Metadaten.
Im Zweifel nichts hochladen, sondern den Sachverhalt abstrakt in eigenen Worten beschreiben.

Beispiel: Statt „Mail an Herrn Mustermann, Nachzahlung 18.420 € wegen Rechnung vom 14.05.“ lautet die Eingabe „Mail an einen Mandanten: Nachzahlung wegen formaler Mängel einer Eingangsrechnung, bitte um Rückruf“. Die Details werden danach selbst eingesetzt.

5. Prüfpflicht

KI-Ergebnisse sind Entwürfe. Kein KI-Ergebnis verlässt die Kanzlei ungeprüft. Vorschriften, Urteile, Fundstellen und Zahlen werden im Original nachgelesen bzw. nachgerechnet. Die fachliche Verantwortung bleibt bei der Person, die das Ergebnis verwendet, und beim zuständigen Berufsträger.

6. Mandanten und Transparenz

Der Einsatz von KI bei der Bearbeitung von Mandaten richtet sich nach der Mandatsvereinbarung. Wo eine Einwilligung des Mandanten nötig ist, wird sie vorher eingeholt und dokumentiert. Bei Veröffentlichungen beachten wir die gesetzlichen Kennzeichnungspflichten für KI-erzeugte Inhalte.

7. Lernen und KI-Kompetenz

Alle, die KI-Werkzeuge nutzen, nehmen an den Maßnahmen der Kanzlei zur KI-Kompetenz teil (Art. 4 KI-Verordnung): eine Einweisung bei Beginn und bei neuen Werkzeugen sowie laufende kurze Lerneinheiten, mindestens [Zahl] pro [Monat/Quartal/Jahr].

Festgehalten wird nur, ob jemand im Zeitraum teilgenommen hat. Es gibt keine Noten, und KI-Chats werden nicht ausgewertet.

8. Fehler und Vorfälle

Wer versehentlich vertrauliche Daten in ein Werkzeug eingegeben hat oder einen Fehler in einem KI-Ergebnis bemerkt, meldet das sofort an [Ansprechperson]. Schnelles Melden ist wichtiger als Schuldfragen: Datenschutzverletzungen müssen unter Umständen innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden.

9. Ansprechperson und Überprüfung

Ansprechperson für alle Fragen zu KI: [Name, Kontakt]. Die Richtlinie wird mindestens einmal im Jahr und bei jedem neuen Werkzeug überprüft.

Kenntnisnahme

Ich habe die KI-Richtlinie gelesen und verstanden und halte mich daran.

Name: ______________________ Datum: ____________ Unterschrift: ______________________

Das Muster ist eine Vorlage zur Orientierung. Lassen Sie es an Ihre Kanzlei anpassen und bei Bedarf rechtlich prüfen.

3. Die Punkte erklärt

Freigegebene Werkzeuge (Punkt 2)

Der wichtigste Satz der ganzen Richtlinie: keine privaten Konten. Die Bundessteuerberaterkammer hält den Einsatz privater KI für dienstliche Zwecke für unzulässig, weil Mandantendaten so unkontrolliert die Kanzlei verlassen können. Damit das Verbot funktioniert, braucht es ein erlaubtes Werkzeug als Alternative. Wer nur verbietet, schiebt die Nutzung in den Untergrund (siehe Schatten-KI im Büro).

Drei Vertraulichkeitsstufen (Punkt 3)

Die Stufen übersetzen das Berufsrecht in eine Alltagsentscheidung. Die BStBK empfiehlt, freigegebene KI-Systeme nur bis zur jeweils zulässigen Vertraulichkeitsstufe zu nutzen. Stufe 3 setzt voraus, dass der Anbieter nach § 62a StBerG zur Verschwiegenheit verpflichtet ist oder der Mandant eingewilligt hat. Die Details dazu stehen im Ratgeber Mandantendaten in ChatGPT.

Anonymisieren mit Beispiel (Punkt 4)

Abstrakte Regeln werden im Stress vergessen, ein Beispiel bleibt hängen. Wichtig ist der Hinweis auf Kombinationen: Auch ohne Namen kann „Zahnarztpraxis mit drei Standorten im Landkreis“ eindeutig sein.

Prüfpflicht (Punkt 5)

Sprachmodelle erfinden gelegentlich Vorschriften, Urteile oder Zahlen, die plausibel klingen. Die Haftung gegenüber dem Mandanten bleibt bei der Kanzlei. Deshalb gilt: Entwurf ja, ungeprüfte Übernahme nein.

Lernen und KI-Kompetenz (Punkt 7)

Art. 4 der KI-Verordnung verlangt seit der Neufassung im Juli 2026, dass Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Eine Mindestzahl an Lerneinheiten pro Zeitraum macht das konkret und nachweisbar. Dass es keine Noten gibt und Chats nicht ausgewertet werden, nimmt dem Team die Sorge vor Überwachung.

Fehler und Vorfälle (Punkt 8)

Fehler passieren. Entscheidend ist, dass sie gemeldet werden. Wer Angst vor Ärger hat, schweigt, und dann kann die Frist nach Art. 33 DSGVO verstreichen. Deshalb steht in der Richtlinie ausdrücklich: Melden ist wichtiger als Schuldfragen.

4. Anpassen für Ihre Kanzlei

Kanzleityp	Was Sie ändern
Steuerkanzlei	Muster passt. In Stufe 3 § 62a StBerG nennen, Fortbildungspflicht nach § 57 Abs. 2a StBerG kann in Punkt 7 ergänzt werden.
Anwaltskanzlei	In Stufe 3 auf § 43e BRAO verweisen, Verschwiegenheit nach § 43a Abs. 2 BRAO und § 2 BORA. „Steuererklärungen, Bilanzen“ durch „Schriftsätze, Akten, Gutachten“ ersetzen.
Wirtschaftsprüfung	Die berufsrechtliche Grundlage für die Einbindung von Dienstleistern in der WPO bzw. der Berufssatzung prüfen und in Stufe 3 nennen.
Büro ohne Berufsgeheimnis	Den Verweis auf § 62a StBerG und § 43e BRAO streichen. Stufe 3 bleibt für Kunden-, Personal- und Geschäftsgeheimnisse wichtig (DSGVO, Geschäftsgeheimnisgesetz).

Ergänzen Sie bei Bedarf ein KI-Verzeichnis als Anlage: eine Tabelle mit Werkzeug, Zweck, Datenart und zuständiger Person. Die BStBK empfiehlt das ausdrücklich, und es erleichtert die Pflege von Punkt 2. Eine Vorlage dafür finden Sie im Ratgeber ChatGPT in der Steuerkanzlei.

5. Einführen, damit sie gelebt wird

Erst fragen, dann schreiben: Welche KI-Werkzeuge nutzt das Team schon? Ohne Vorwurf, sonst erfahren Sie es nicht.
Werkzeug bereitstellen: Mindestens ein freigegebener Zugang, bevor private Konten verboten werden.
Betriebsrat und Datenschutz beteiligen: Falls vorhanden, früh einbeziehen. Bei Werkzeugen, die Verhalten oder Leistung erfassen können, hat der Betriebsrat ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG).
In 15 Minuten vorstellen: Kurze Teambesprechung, ein Beispiel pro Stufe, Fragen beantworten.
Kenntnisnahme einsammeln: Unterschrift oder Bestätigung per E-Mail, mit Datum ablegen.
Im Alltag wiederholen: Eine Richtlinie, die einmal unterschrieben wurde, ist nach drei Monaten vergessen. Kurze, regelmäßige Erinnerungen genau dann, wenn KI genutzt wird, halten sie lebendig.
Jährlich überprüfen: Neue Werkzeuge, neue Funktionen, neue Fragen aus dem Team aufnehmen.

Ihre Richtlinie, als Frage im richtigen Moment

Mit Meanwhyle hinterlegen Sie eigene Fragen zu Ihrer KI-Richtlinie, etwa „Welche Daten gehören in Stufe 3?“. Ihr Team bekommt sie zu sehen, während ChatGPT, Claude oder Gemini an einer Antwort rechnen. Rund 20 Sekunden, ohne Termin. Sie legen fest, wie viele Fragen pro Zeitraum als „teilgenommen“ gelten, und ziehen einen Nachweis mit Prüf-ID. Keine Noten, die Chats werden nicht mitgelesen, die Daten liegen in Frankfurt.

Kostenlosen KI-Check machen Live-Demo ohne Anmeldung

6. Fünf typische Fehler

Nur verbieten: Ein generelles KI-Verbot ohne erlaubte Alternative führt zu heimlicher Nutzung.
Zu lang: Zwanzig Seiten Juristendeutsch liest niemand. Eine Seite mit Beispielen schon.
Keine Beispiele: „Keine personenbezogenen Daten“ verstehen viele anders als gemeint. Ein Vorher-Nachher-Beispiel klärt das.
Einmal unterschreiben, nie wieder ansehen: Ohne Wiederholung verblasst das Wissen, und neue Werkzeuge fehlen in der Liste.
Freelancer vergessen: Die Richtlinie gilt auch für freie Mitarbeitende. Art. 4 KI-VO erfasst ausdrücklich Personen, die im Auftrag mit KI arbeiten.

7. Häufige Fragen

Ist eine KI-Richtlinie in der Kanzlei Pflicht?

Eine ausdrückliche gesetzliche Pflicht gibt es nicht. Die Bundessteuerberaterkammer empfiehlt aber klare Regeln für den KI-Einsatz, und Art. 4 der KI-Verordnung verlangt Maßnahmen zur KI-Kompetenz. Eine Richtlinie mit Kenntnisnahme ist dafür ein naheliegender Baustein.

Was muss in eine KI-Richtlinie?

Mindestens: freigegebene Werkzeuge, welche Daten in welches Werkzeug dürfen, wie anonymisiert wird, die Prüfpflicht für Ergebnisse, Lernen und Kompetenz, das Vorgehen bei Fehlern und eine Ansprechperson. Das Muster auf dieser Seite enthält alle Punkte.

Darf ich die Nutzung von ChatGPT ganz verbieten?

Ja, das ist möglich. Ohne erlaubte Alternative weichen Beschäftigte aber oft auf private Konten aus. Eine Studie des Instituts der deutschen Wirtschaft (2026) rät deshalb von reinen Verboten ab und empfiehlt Kompetenzaufbau, geprüfte Werkzeuge und klare Regeln.

Muss der Betriebsrat zustimmen?

Wenn es einen Betriebsrat gibt, ist er in der Regel zu beteiligen: Regeln zum Verhalten im Betrieb können nach § 87 Abs. 1 Nr. 1 BetrVG mitbestimmungspflichtig sein, KI-Werkzeuge, die Verhalten oder Leistung erfassen können, nach § 87 Abs. 1 Nr. 6 BetrVG. Beziehen Sie ihn deshalb früh ein.

Wie oft sollte die Richtlinie aktualisiert werden?

Mindestens einmal im Jahr und immer dann, wenn ein neues Werkzeug freigegeben wird oder sich Funktionen eines Werkzeugs wesentlich ändern.

Gilt die Richtlinie auch für Auszubildende und freie Mitarbeitende?

Ja. Sie sollte für alle gelten, die für die Kanzlei mit KI arbeiten. Art. 4 der KI-Verordnung erfasst ausdrücklich auch Personen, die im Auftrag des Betreibers mit KI-Systemen befasst sind.

Quellen

Bundessteuerberaterkammer: FAQ: KI im steuerberatenden Berufsstand, Stand 27. Januar 2026.
Bitkom: Beschäftigte nutzen vermehrt Schatten-KI, Presseinformation vom 21. Oktober 2025 (604 Unternehmen ab 20 Beschäftigten).
Institut der deutschen Wirtschaft: Schatten-KI: Beschäftigte sind schneller als ihre Betriebe, IW-Kurzbericht Nr. 63/2026.
Verordnung (EU) 2026/1744 (Neufassung Art. 4 KI-VO); § 62a StBerG; § 43e BRAO; § 87 BetrVG.

Weiterlesen

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Maßgeblich sind die genannten Gesetze und Verordnungen in ihrer jeweils geltenden Fassung. Letzte Prüfung: Oktober 2026.