KI in der Beratung: Arbeiten unter Geheimhaltungsvereinbarung

Welche Regeln gelten für Beratungen beim KI-Einsatz?

Die Rechtslage ist einfacher als bei den Kammerberufen – und wird gerade deshalb häufig unterschätzt.

• Die Geheimhaltungsvereinbarung. Sie ist der eigentliche Maßstab. NDAs enthalten regelmäßig eine Klausel, die die Weitergabe an Mitarbeitende, Berater und Dienstleister erlaubt, sofern diese auf Need-to-know-Basis eingebunden und zu gleichwertiger Vertraulichkeit verpflichtet sind. Fehlt eine solche Klausel oder ist sie eng gefasst, ist jeder Dienstleistereinsatz zustimmungspflichtig – auch der Einsatz eines KI-Werkzeugs.
• § 2 Nr. 1 lit. b GeschGehG. Eine Information ist nur dann ein Geschäftsgeheimnis, wenn sie „den Umständen nach angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber" unterliegt. Das ist keine Formalie: Fehlen diese Maßnahmen, entfällt der Schutzstatus – und mit ihm die Ansprüche auf Unterlassung, Vernichtung und Schadensersatz nach §§ 6 ff. GeschGehG. Der Schaden trifft dann Ihren Kunden, und die Frage nach der Ursache trifft Sie.
• Die DSGVO. In Beratungsprojekten stecken fast immer personenbezogene Daten: Mitarbeiterlisten, Organigramme, Gehaltsbänder, Bewerberprofile, Kundendatensätze. Dafür brauchen Sie eine Rechtsgrundlage (Art. 6), einen Auftragsverarbeitungsvertrag mit jedem eingesetzten Dienstleister (Art. 28) und bei US-Anbietern eine Lösung für das Drittlandproblem (Art. 44 ff., Schrems II).
• Kein Strafrecht. Berater sind keine Berufsgeheimnisträger nach § 203 StGB. Es gibt keine Kammer, keine Belehrungspflicht, keine persönliche Strafbarkeit. Das ist ein echter struktureller Vorteil gegenüber Kanzleien und Praxen – die Anforderungen sind vertraglicher Natur und damit vertraglich lösbar.

Warum sind öffentliche Chatbots hier besonders heikel?

Der übliche Einwand lautet: „Es ist ja nur eine Zusammenfassung." Aber Beratungsmaterial ist selten harmlos. Ein Due-Diligence-Auszug, ein Restrukturierungsplan, eine Preisliste, eine Wettbewerbsanalyse, ein Integrationskonzept nach einer Übernahme – das sind die Unterlagen, deren vorzeitiges Bekanntwerden Transaktionen kippt und Verhandlungspositionen zerstört.

Bei den Verbraucher- und Gratisversionen großer Chatbots gilt standardmäßig: Eingaben werden gespeichert und können für das Training verwendet werden, sofern nicht aktiv widersprochen wird; verarbeitet wird überwiegend in den USA, wo der CLOUD Act Behördenzugriff auch auf Daten europäischer Server von US-Anbietern erlaubt. Genau dieses Spannungsfeld führte in Schrems II (C-311/18) zum Kippen des Privacy Shield.

Für eine Beratung ist die Folge doppelt. Erstens der Vertragsbruch gegenüber dem Kunden. Zweitens – und schwerer zu reparieren – die Frage, ob die betroffene Information überhaupt noch „angemessenen Geheimhaltungsmaßnahmen" unterlag. Ein Anbieter, der Eingaben speichert und für Training verwendet, ist schwer als angemessene Maßnahme zu verteidigen.

Das praktische Risiko heißt auch hier Schatten-KI: Projektteams nutzen private Chatbot-Konten, weil es kein offizielles, freigegebenes Werkzeug gibt. Ein konformer Kanal beseitigt den Grund dafür – und ist selbst ein Nachweis für Ihre Geheimhaltungsmaßnahmen.

Wofür lohnt sich KI in der Beratung konkret?

1. Analyse und Synthese: Interviewnotizen, Workshop-Protokolle und Freitextantworten zu Themen verdichten; Marktberichte und Wettbewerbsunterlagen auf das für das Projekt Relevante herunterbrechen.
2. Deliverables: Managementzusammenfassungen aus technischen Notizen, Storylines für Präsentationen, Kapitelentwürfe für Berichte – die Struktur steht in Minuten, die Beurteilung bleibt bei Ihnen.
3. Angebote und Ausschreibungen: Antworten auf Leistungsverzeichnisse strukturieren, Referenztexte anpassen, Rückfragen an Auftraggeber formulieren.
4. Projektbetrieb: Statusberichte, Risikoregister, Maßnahmenpläne, Onboarding-Unterlagen für neue Teammitglieder.
5. Übersetzungen für internationale Mandate – ohne dass Projektunterlagen das Haus oder die EU verlassen.
6. Wissensarbeit: Methodenbeschreibungen, Checklisten, Schulungsmaterial, FAQ für wiederkehrende Kundenfragen.

Wichtig bleibt: Die fachliche Beurteilung, die Empfehlung und die Verantwortung gegenüber dem Kunden bleiben bei Ihnen. KI liefert Struktur und Erstfassung, keine Beratungsleistung – und Zahlen aus KI-Antworten sind stets gegen die Quelle zu prüfen.

Wie PrivatAI die Anforderungen erfüllt

PrivatAI speichert nichts: Eingaben und Antworten werden verarbeitet und verworfen – nicht protokolliert, nie für Training verwendet. Einzige Ausnahme: Bei Systemfehlern oder erkanntem Missbrauch kann das Inferenz-Rechenzentrum eine einzelne Anfrage vorübergehend sichern, um die Ursache zu analysieren; das ist vertraglich begrenzt und im AVV (§ 4 Nr. 2) offengelegt. Eine Verwendung zum Training oder ein Zugriff durch Modellanbieter findet auch in diesem Fall nicht statt.

Wir sind Ihnen gegenüber vertraglich zur Vertraulichkeit verpflichtet. Als Auftragsverarbeiter nach Art. 28 DSGVO stellen wir sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (AVV § 4 Nr. 3, Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Für die eingesetzten Unterauftragsverarbeiter gilt dieselbe Anforderung. Ob Ihre konkrete Geheimhaltungsvereinbarung den Einsatz von Dienstleistern erlaubt, ergibt sich aus deren Wortlaut – üblicherweise ist das der Fall, wenn der Dienstleister gleichwertig verpflichtet ist.

Verarbeitung ausschließlich in der EU: Die Anwendung läuft in Deutschland (Hetzner), die KI-Verarbeitung in Frankreich (Scaleway). Kein US-Mutterkonzern, kein CLOUD-Act-Zugriff. Die technischen und organisatorischen Maßnahmen sind dokumentiert und die Unterauftragsverarbeiter-Kette ist öffentlich einsehbar – beides ist genau das Material, mit dem Sie gegenüber Ihrem Kunden angemessene Geheimhaltungsmaßnahmen belegen.

Sofort einsatzbereit: Chat im Browser für den Alltag, OpenAI-kompatible API für die Anbindung an eigene Werkzeuge und Wissensdatenbanken.

PrivatAI liefert die technischen und vertraglichen Voraussetzungen für einen konformen Einsatz. Ob eine konkrete Nutzung mit Ihrer Geheimhaltungsvereinbarung vereinbar ist, prüfen Sie anhand von deren Wortlaut – das kann kein Anbieter für Sie zusichern.

PrivatAI (privatai.com) — KI-Chat & API aus Deutschland. Keine Inhalts-Logs*, kein Training mit Ihren Daten, DSGVO-konform.

PrivatAI im Vergleich (Standardeinstellungen)

Alle Angaben zum Regelbetrieb. Die eine, eng begrenzte Ausnahme — die vorübergehende Sicherung einzelner Anfragen bei Systemfehlern oder erkanntem Missbrauch — ist im AVV (§ 4 Nr. 2) vollständig offengelegt.