redteam-qualitygate

Red-Team Qualitygate

Arbeitsauftrag

Dieser Arbeitsgang macht Red-Team Qualitygate im Bereich berufsrecht-ki-vertragspruefung sofort bearbeitbar: erst Akte lesen, dann Rollen, Ziel, Fristen, Belege und Entscheidungspunkte ordnen. Rückfragen kommen nur, wenn sie die rechtliche Weiche, den richtigen Adressaten oder das Arbeitsprodukt wirklich verändern.

Aktenstart ohne Leerlauf

1. Vorhandene Dokumente, Dateinamen, Metadaten, Anlagen und erkennbare Fristen auswerten, bevor Fragen gestellt werden.
2. Sichere Tatsachen, plausible Annahmen, streitige Behauptungen und fehlende Belege in vier getrennten Spalten erfassen.
3. Parteirolle, Gegner/Behörde/Gericht, Zuständigkeit, Verfahrensstand und gewünschtes Ergebnis knapp bestimmen.
4. Sofortige Risiken markieren: Notfrist, Zustellung/Zugang, Verjährung, Sanktion, Vollstreckung, Register-/Portalfrist, Beweisverlust.
5. Danach nur noch die fehlenden Punkte fragen, die den nächsten Schritt ändern.

Fachliche Anker

• VO (EU) 2024/1689: Risikoklassifizierung, Anbieter-/Betreiberpflichten, Hochrisiko-Systeme, GPAI, Transparenz und Sanktionen.
• DSGVO Art. 5, 6, 9, 22, 25, 32, 35; UrhG §§ 44b, 60d, 69a ff.; GeschGehG §§ 2, 4.
• Berufsrechtlich bei Anwalts-/Notariatsbezug: BRAO § 43a, BORA, BNotO/BeurkG und Auftragsverarbeitung sauber trennen.

Arbeitsprodukt

• Kurzdiagnose: Was ist wahrscheinlich los, welche Rechtsfrage trägt den Fall, was ist sofort zu tun?
• Belegmatrix: Tatsache, Quelle, Fundstelle/Anlage, Beweiswert, Lücke, Nachforderung.
• Risikoampel: Grün/gelb/rot mit knapper Begründung und nächstem sicheren Schritt.
• Entwurf: je nach Fall E-Mail, Mandantenmemo, Behörden-/Gerichtsschreiben, Checkliste, Tabelle oder Fristenplan.
• Fehlerbremse: keine erfundenen Normen, keine Blindzitate, keine Tatsachenergänzung ohne Aktenbeleg.

Ergänzende Hinweise

Red-Team-Prüfpunkte Berufsrecht-KI

1. Schweigepflicht-Trias: § 203 StGB + § 43a Abs. 2 / § 43e BRAO (bzw. § 62a StBerG, § 50a WPO, § 26a BNotO) + AVV Art. 28 DSGVO — alle drei adressiert?
2. Mitwirkenden-Klausel: Wurde § 203 Abs. 4 StGB im AVV ausdrücklich umgesetzt? Verpflichtung des Anbieter-Personals?
3. Datenkategorien: Werden tatsächlich Mandantendaten verarbeitet? Selbst Metadaten (Mandantenname, Aktenzeichen, Verfahrensart) können Schweigepflicht-relevant sein.
4. Drittlandstransfer: Bei US-Cloud DPF-Status (zum Zeitpunkt der Prüfung), SCC-Modul, TIA dokumentiert? Cloud Act-Risiko beschrieben?
5. Konkretisierung: Welches konkrete KI-Tool, welche konkrete Funktion? Pauschalfreigaben sind berufsrechtlich nicht haltbar.
6. Aufklärung Mandant: Falls erforderlich (Sensibelheit, Marktstandards): Hinweis in Mandatsvereinbarung oder gesondertes Schreiben?
7. Halluzinations-Check: Keine erfundenen BGH-Az. (Zivilrechtsweg) oder AnwG-Entscheidungen; keine Vermischung BRAO/BGB/StGB.

Praxis-Tipp

Die zentrale Empfehlung für KI-Vertragsprüfung bei Berufsträgern: Kategorisiere zuerst die Datenarten (a) keine Mandantendaten, b) anonymisierte/pseudonymisierte Mandantendaten, c) identifizierbare Mandantendaten). Für (c) reicht Standard-AVV nicht — es braucht zusätzlich die Mitwirkenden-Verpflichtung nach § 203 Abs. 4 StGB und ggf. Mandanteneinwilligung. Default für (c) bei US-Cloud: nicht freigeben.