Die KI-Transformation der Rechts- und Compliance-Funktion

Die Compliance-Funktion in Unternehmen steht vor einem Wendepunkt. Jahrzehntelang war die Beschaffung externer Softwarelösungen der Standard: GRC-Plattformen, Contract-Lifecycle-Management-Systeme, Whistleblower-Tools — sie alle wurden eingekauft, konfiguriert und in die bestehende IT-Landschaft integriert. Dieser Ansatz war nachvollziehbar in einer Welt, in der Softwareentwicklung teuer, langwierig und hochspezialisiert war.

Diese Welt existiert nicht mehr.

Die Verfügbarkeit leistungsfähiger Foundation Models (GPT-4, Claude, Llama, Mistral), kombiniert mit Low-Code-Plattformen und modularen API-Architekturen, hat die Eintrittsbarriere für die Entwicklung eigener Anwendungen dramatisch gesenkt. Was früher ein zwölfmonatiges IT-Projekt mit sechsstelligem Budget war, kann heute von einem interdisziplinären Team aus Legal, Compliance und IT in wenigen Wochen als funktionsfähiger Prototyp realisiert werden.

Warum Build statt Buy?

Passgenaue Governance: Externe Standardlösungen bilden generische Compliance-Anforderungen ab. Die spezifischen Policies, Risikomatrizen und Eskalationswege eines Unternehmens lassen sich jedoch häufig nicht ohne erheblichen Anpassungsaufwand integrieren. Intern entwickelte Anwendungen können von Beginn an auf die eigene Governance-Architektur zugeschnitten werden.

Datensouveränität: Gerade in regulierten Branchen und unter der DSGVO ist die Frage, wo Daten verarbeitet werden, nicht verhandelbar. Interne KI-Lösungen, die auf eigener Infrastruktur oder in einer kontrollierten Cloud-Umgebung laufen, bieten hier strukturelle Vorteile gegenüber SaaS-Modellen mit undurchsichtiger Datenverarbeitung.

Geschwindigkeit: Die Regulatory-Landschaft verändert sich schneller als die Release-Zyklen externer Anbieter. Wer von einem SaaS-Vendor abhängt, wartet auf das nächste Feature-Update. Wer intern baut, kann innerhalb von Tagen auf neue regulatorische Anforderungen reagieren.

Die Voraussetzungen

Build statt Buy ist kein Freifahrtschein für unkontrollierte Eigenentwicklung. Vielmehr erfordert es eine klare Governance für die KI-Entwicklung selbst: standardisierte Entwicklungsprozesse, Qualitätssicherung, Bias-Prüfung, Dokumentation und eine klare Zuordnung von Verantwortlichkeiten. Der EU AI Act verlangt dies ohnehin — unabhängig davon, ob ein KI-System eingekauft oder intern entwickelt wurde.

Das bedeutet: Die Fähigkeit, Compliance-Anwendungen selbst zu bauen, wird zur Kernkompetenz moderner Rechts- und Compliance-Abteilungen. Nicht als Ersatz für IT, sondern als strategische Erweiterung des eigenen Kompetenzprofils.

Die häufigste Reaktion auf die KI-Revolution in Rechtsabteilungen ist ein Paradoxon: Gleichzeitig fasziniert und gelähmt. Die Möglichkeiten sind offensichtlich — Vertragsanalyse in Sekunden statt Stunden, automatisierte Compliance-Checks, prädiktive Risikoanalysen. Doch die Bedenken sind ebenso real: Halluzinationen, Datenschutzverstöße, mangelnde Erklärbarkeit, unklare Haftungsfragen.

Diese Spannung aufzulösen, ist die zentrale Führungsaufgabe für Legal- und Compliance-Verantwortliche in den nächsten Jahren. Und die Lösung liegt nicht im Entweder-oder, sondern in einem strukturierten Sowohl-als-auch.

Der regulatorische Rahmen verschärft sich

Der EU AI Act tritt ab August 2026 in voller Breite in Kraft. KI-Systeme, die im Rechtsbereich eingesetzt werden, fallen unter die Kategorie „High Risk" — mit entsprechenden Pflichten: Risikomanagementsystem, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung. Die Strafen sind erheblich: bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes.

Parallel verschärfen auch nationale Gesetzgeber die Anforderungen. In den USA treten der Colorado AI Act (Juni 2026) und der Illinois AI in Employment Act (Januar 2026) in Kraft. Die DSGVO bleibt das Fundament für jeden KI-Einsatz, der personenbezogene Daten verarbeitet.

Innovation trotzdem — aber strukturiert

Die Antwort auf dieses regulatorische Umfeld darf nicht Stillstand sein. Unternehmen, die aus Vorsicht auf KI verzichten, werden nicht sicherer — sie werden langsamer, teurer und weniger wettbewerbsfähig. Die Daten sind eindeutig: McKinsey's 2025 AI Survey zeigt, dass Unternehmen mit aktiver C-Suite-Beteiligung an der KI-Governance 2,6-mal häufiger eine messbare EBITDA-Steigerung berichten.

Konkret bedeutet das: Jedes KI-Projekt beginnt mit einer Risikoklassifizierung. Jedes Modell erhält eine Model Card mit dokumentierter Leistung, Limitationen und Einsatzgrenzen. Jede Entscheidung, die ein KI-System trifft, ist auditierbar und nachvollziehbar. Und jeder autonome Prozess hat definierte Eskalationspunkte, an denen menschliche Expertise eingreift.

Innovation ohne Kontrollverlust ist möglich — aber nur, wenn der Kontrollrahmen genauso ambitioniert designt wird wie die Innovation selbst.

Die Diskussion über KI im Rechtsbereich oszilliert häufig zwischen zwei Extremen: der utopischen Vision einer vollautomatisierten Rechtsabteilung und der skeptischen Abwehrhaltung, dass KI „echte" juristische Arbeit nie ersetzen könne. Beide Positionen verfehlen die Realität. Die Frage ist nicht ob, sondern wo und wie KI heute bereits produktiv eingesetzt werden kann.

Bereits produktiv einsetzbar

Vertragsanalyse und -prüfung: KI-Systeme können Verträge in Sekunden analysieren, Klauseln extrahieren, Risiken identifizieren und gegen interne Policies abgleichen. Führende CLM-Plattformen (Ironclad, Icertis, Sirion) integrieren bereits agentenbasierte KI. Unternehmen berichten von Reduzierungen der Review-Zeit um bis zu 90%.

Compliance-Monitoring: Regelbasierte Prüfungen lassen sich durch KI-gestützte Systeme ergänzen, die natürlichsprachliche Regulierungen interpretieren und auf interne Prozesse abbilden. EY's KI-Systeme unterstützen bereits 80.000 Steuerexperten bei über 3 Millionen Compliance-Vorgängen jährlich.

Legal Research: Die neue Generation von Recherchetools — Thomson Reuters CoCounsel, LexisNexis Protégé — setzt agentenbasierte Workflows ein: Autonome Recherche, Quellvergleich und strukturierte Zusammenfassungen, die weit über einfache Suche hinausgehen.

Datenschutz-Management: Von automatisierten DSFAs (Datenschutz-Folgenabschätzungen) über Privacy-Chatbots bis hin zur KI-gestützten Verarbeitungsverzeichnisführung — gerade der Privacy-Bereich eignet sich hervorragend für KI-Automatisierung, da er stark strukturiert und regelbasiert ist.

Am Horizont: Agentic Legal AI

Die nächste Stufe ist bereits sichtbar: Agentenbasierte KI-Systeme, die nicht nur analysieren, sondern eigenständig handeln. Gartner prognostiziert, dass bis 2028 ein Drittel aller Enterprise-Software agentenbasierte KI integrieren wird. Accenture erwartet, dass KI-Agenten bis 2030 die primären Nutzer der internen digitalen Systeme der meisten Unternehmen sein werden.

Die Evolution des Technologieeinsatzes in Rechtsabteilungen lässt sich in drei Phasen beschreiben — und die meisten Unternehmen befinden sich gerade am Übergang von Phase 2 zu Phase 3.

Phase 1: Digitalisierung (2010–2020)

Papierakten werden digital, Dokumentenmanagement ersetzt Ordner, E-Mails ersetzen Briefe. Der Kern der Arbeit bleibt unverändert — nur das Medium wechselt. Typische Tools: DMS, eDiscovery-Software, einfache Workflow-Systeme.

Phase 2: Assistenz-KI (2022–2025)

Generative KI wird als Assistent eingesetzt: Texte zusammenfassen, Entwürfe erstellen, Recherche beschleunigen. Die Kontrolle bleibt vollständig beim Menschen, der KI-Output prüft und freigibt. Typische Tools: ChatGPT, CoCounsel, Harvey, interne Chatbots.

Phase 3: Agentic AI (2025–)

KI-Systeme planen, entscheiden und handeln eigenständig innerhalb definierter Grenzen. Mehrere spezialisierte Agenten arbeiten zusammen: Ein Research-Agent recherchiert, ein Compliance-Agent prüft regulatorische Anforderungen, ein Drafting-Agent erstellt Dokumente — orchestriert durch einen übergeordneten Agenten, der den Gesamtprozess steuert.

Die Rolle interner KI-Plattformen

Unternehmen wie Volkswagen, McKinsey und PwC haben eigene interne KI-Plattformen aufgebaut — nicht als Spielerei, sondern als strategische Infrastruktur. McKinsey's „Lilli" wird von 75% der 43.000 Mitarbeiter monatlich genutzt und hat nachweislich über 50.000 Beraterstunden in höherwertige Analysearbeit umgewandelt. PwC's „ChatPwC" erstellt Compliance-Reports und verbessert die Audit-Transparenz.

Der nächste logische Schritt für jede Legal- und Compliance-Abteilung ist nicht die Beschaffung des nächsten SaaS-Tools, sondern der Aufbau einer eigenen KI-Kompetenzplattform — mit definierten Governance-Leitplanken, auf eigener oder kontrollierter Infrastruktur, mit domänenspezifischem Training auf eigenen Daten und Policies.