Als das FBI die Geräte von Bradley Heppner beschlagnahmte, einem wegen Wertpapierbetrugs angeklagten Unternehmensleiter, fanden die Ermittler darauf einunddreißig Dokumente neuer Art. Es waren keine E-Mails, keine Notizen, keine Korrespondenz mit seinem Anwalt. Es waren seine Gespräche mit einer KI-Plattform für Endverbraucher, in denen er seine Verteidigungsstrategie ausgebreitet, die tatsächlichen und rechtlichen Argumente abgewogen und vorweggenommen hatte, was die Staatsanwaltschaft ihm vorhalten würde. Er hatte diese Gespräche geführt, nachdem er eine Ladung vor die Grand Jury erhalten hatte, und ohne dass sein Anwalt ihn darum gebeten hätte.
Am 10. Februar 2026 entschied Richter Jed Rakoff vom Bundesbezirksgericht für den südlichen Bezirk von New York, dass diese Dokumente von keinerlei Schutz erfasst seien.
Am selben Tag entschied ein anderes Bundesgericht achthundert Kilometer entfernt genau das Gegenteil.
Zwei Entscheidungen, zwei Doktrinen, ein einziger Vorgang
In Warner v. Gilbarco weigerte sich das Bundesbezirksgericht für den östlichen Bezirk von Michigan, eine ohne Anwalt auftretende Klägerin zur Offenlegung ihrer Nutzung generativer KI-Werkzeuge bei der Vorbereitung ihres Falls zu zwingen. Die Begründung lässt sich auf eine Formel bringen: KI-Plattformen sind Werkzeuge, keine Personen. Ein Dokument einem Werkzeug vorzulegen bedeutet nicht, es der Gegenseite zu offenbaren. Der Schutz der Prozessvorbereitung, im US-Recht work product genannt, blieb damit bestehen.
In United States v. Heppner , dessen schriftliche Begründung am 17. Februar veröffentlicht wurde, kam das New Yorker Gericht zu dem Schluss, dass die Gespräche des Angeklagten mit der Plattform weder vom Anwaltsgeheimnis noch vom Schutz der Prozessvorbereitung erfasst seien. Das Gericht stützte sich auf die Nutzungsbedingungen der Plattform, wonach Eingaben und Ausgaben gespeichert, für das Training verwendet und an Dritte weitergegeben werden können, einschließlich an Behörden. Wer darüber informiert ist, konnte vernünftigerweise keine Vertraulichkeit erwarten.
Beide Ergebnisse sind vollkommen vertretbar. Das Anwaltsgeheimnis entfällt, sobald eine Offenlegung gegenüber einem Dritten erfolgt, gleich welchem. Der Schutz der Prozessvorbereitung entfällt nur bei Offenlegung gegenüber der Gegenseite. Zwei getrennte Doktrinen, ein und derselbe Vorgang, zwei entgegengesetzte Ergebnisse.
Was keine der beiden Entscheidungen prüft, ist die Annahme, die sie teilen. Und genau diese Annahme hält der Konfrontation mit dem übrigen Recht nicht stand.
Der Vergleich, den niemand zieht
Mandantenakten einem Hosting-Anbieter anzuvertrauen, wurde für sich genommen nie als Verzicht auf das Anwaltsgeheimnis behandelt.
Dabei ist der Anbieter ohne jeden Zweifel ein Dritter. Er hält die Dokumente auf eigener Hardware. Er kann zur Herausgabe gezwungen werden, und in mehreren Jurisdiktionen ist das geschehen. Dennoch hat keine Anwaltskammer, kein Gericht und keine Berufsaufsicht daraus gefolgert, dass die Nutzung eines Hosting-Dienstes das Anwaltsgeheimnis grundsätzlich zerstört.
Die Trennlinie verlief also nie entlang der bloßen Anwesenheit eines technischen Zwischenglieds. Es gibt immer eines. Die Post befördert den Brief. Der Kurier trägt die Akte. Der Netzbetreiber vermittelt das Gespräch. Jeder von ihnen ist im Wortsinn ein Dritter, und keiner bringt das Anwaltsgeheimnis allein durch seine Existenz zu Fall.
Was den Hosting-Anbieter auszeichnete, war enger und genauer, als die Rechtsprechung es gewöhnlich formuliert. Er speicherte, ohne zu lesen. Er konnte aus dem Inhalt nichts ableiten. Er hatte keinerlei Fähigkeit, zu wissen, was er verwahrte.
Was den Hosting-Anbieter schützte, war nicht sein Rechtsstatus als Dritter, sondern seine technische Unfähigkeit, zu wissen, was er verwahrte.
Dieses Kriterium wirkt seit zwei Jahrzehnten im Stillen. Niemand musste es aufschreiben, weil kein Zwischenglied es bisher auf die Probe gestellt hatte.
Worüber die Richter tatsächlich entscheiden
Sobald das Kriterium ausgesprochen ist, ändern die Februar-Entscheidungen ihren Charakter.
Ein Gericht, das die Übergabe eines Dokuments an eine generative KI als Offenlegung gegenüber einem Dritten behandelt, wendet nicht eine alte Regel auf neue Sachverhalte an. Es stellt fest, dass dieses bestimmte Zwischenglied nicht ist wie die anderen. Dass es verarbeitet, statt zu speichern. Dass in ihm etwas geschieht, was in einer Festplatte nicht geschieht.
Das Bundesgericht für den Bezirk Kansas hat die praktische Seite am 25. März 2026 in Jefferies v. Harcros Chemicals unverblümt benannt. Es dehnte die Schutzanordnung auf sämtliche Verfahrensunterlagen aus, auch auf die nicht vertraulichen, mit der Begründung, dass sich Daten praktisch nicht mehr zurückholen lassen, sobald sie einem offenen KI-Werkzeug übergeben wurden, weil sie zum Training des Modells gedient haben. Die Speicherung ist keine nachverhandelbare Geschäftspolitik. Sie ist eine Eigenschaft der Funktionsweise des Systems.
Aneinandergereiht laufen diese Entscheidungen darauf hinaus, im Vokabular des Beweisrechts eine Fähigkeit anzuerkennen, die das Recht einem Server nie zuschreiben musste.
Die französische Position und was ihre Kriterien voraussetzen
Die klarste Formulierung stammt nicht von einem Gericht, sondern aus der Berufsaufsicht.
Der Conseil national des barreaux, die französische Bundesrechtsanwaltskammer, veröffentlichte im September 2024 seinen ersten Praxisleitfaden zur generativen KI und verabschiedete am 17. März 2026 einen Leitfaden zu Berufsrecht und künstlicher Intelligenz . Der erste ist im Kernpunkt kategorisch: Der Anwalt darf einem generativen KI-System keine Daten übermitteln, die dem Berufsgeheimnis unterliegen, und das gilt für den Namen des Mandanten ebenso wie für jede strategische oder vertrauliche Information. Empfohlen wird stattdessen die Arbeit mit pseudonymisierten Datensätzen, in denen die identifizierenden Elemente ersetzt wurden.
Der praxisnahe Kommentar zur französischen Position, insbesondere der Vergleichsleitfaden von Baker McKenzie zum Berufsgeheimnis , leitet daraus vier kumulative Bedingungen ab. Das Berufsgeheimnis übersteht den Einsatz eines generativen KI-Werkzeugs nur, wenn die Plattform vollständige Vertraulichkeit wahrt, ohne Weiterverwendung, Training oder Zugriff Dritter; wenn sie ausschließlich unter der Kontrolle des Anwalts oder der Kanzlei betrieben wird; wenn sie einem juristischen Zweck im Rahmen der Beratungs- oder Verteidigungstätigkeit dient; und wenn das Ergebnis die eigene Argumentation des Anwalts widerspiegelt und nicht die eigenständige Verarbeitung durch das System.
Bei dieser letzten Bedingung lohnt es sich innezuhalten.
Damit das Berufsgeheimnis Bestand hat, darf das System keine eigene Verarbeitung beigesteuert haben.
Ein so formuliertes Kriterium ergibt nur Sinn, wenn man das System für fähig hält, eine eigene Verarbeitung beizusteuern. Niemand schreibt eine Regel, die verlangt, dass ein Aktenschrank nicht über die Unterlagen nachgedacht haben darf, die er enthält. Die Bedingung existiert, weil sie auf etwas zielt, was ein Aktenschrank nicht kann.
Dieselbe stillschweigende Anerkennung steckt in der Empfehlung zur Pseudonymisierung. Identifizierende Elemente vor der Übermittlung zu ersetzen, ist nur nötig, wenn man annimmt, das System könnte sie sonst verknüpfen, speichern oder etwas daraus ableiten. Ein reiner Speicherträger würde keinerlei solche Vorsichtsmaßnahme verlangen.
Nicht lesen wollen, nicht lesen können
Ein Einwand stellt sich sofort ein: Auch der Hosting-Anbieter kann zur Herausgabe gezwungen werden, warum also bringt das eine Zwischenglied das Berufsgeheimnis zu Fall und das andere nicht?
Die Antwort steht im Berufsregelwerk des CCBE , und sie ist genauer, als der Einwand vermuten lässt. Der europäische Anwalt muss von seinen Mitarbeitern, seinem Personal und jeder Person, die er bei der Erbringung seiner Leistungen heranzieht, verlangen, dieselbe Verschwiegenheitspflicht zu beachten. Die Pflicht pflanzt sich entlang der Kette fort.
Ein Hosting-Anbieter kann in diese Kette eingegliedert werden. Er unterzeichnet einen Auftragsverarbeitungsvertrag. Er übernimmt Vertraulichkeitsverpflichtungen. Er kann auditiert und im Fall eines Verstoßes verklagt werden. Der Dritte ist gebunden.
Eine generative KI-Plattform, die übermittelte Inhalte speichert und darauf trainiert, lässt sich nicht auf dieselbe Weise in die Kette eingliedern, denn was verhindert werden müsste, ist kein Verhalten, sondern eine Architektur. Die Zusage, nicht auf Eingabedaten zu trainieren, ist ein Versprechen über eine Absicht. Sie ist gegenüber dem Anbieter durchsetzbar, aber sie ändert nichts daran, wofür das System gebaut ist, und sie ist von außen nicht überprüfbar.
Das ist der ganze Abstand zwischen einem Dienstleister, der nicht lesen will, und einem Dienstleister, der nicht lesen kann. Nur der zweite übersteht einen Gesellschafterwechsel, eine Änderung der Nutzungsbedingungen oder eine gerichtliche Anordnung. Genau diesen Mechanismus haben wir am Konflikt zwischen Data Act und CLOUD Act untersucht: Eine rechtliche Garantie ist nie mehr wert als die Jurisdiktion, die sie beherbergt, während eine technische Unmöglichkeit von keiner abhängt.
Die Asymmetrie
Hier gelangt die Analyse an einen unbequemen Punkt.
Dieselbe Rechtsordnung, die eine Verarbeitungsfähigkeit anzuerkennen bereit ist, wenn es um den Verzicht auf das Berufsgeheimnis geht, weigert sich, irgendetwas anzuerkennen, wenn es um die Haftung geht.
Die elektronische Person war vom Europäischen Parlament in seiner Entschließung vom 16. Februar 2017 zu zivilrechtlichen Regelungen im Bereich Robotik unter Ziffer 59 Buchstabe f vorgeschlagen worden. Der Text regte an, den ausgefeiltesten autonomen Robotern langfristig einen Status zuzuerkennen, der es erlaubt, sie für die von ihnen verursachten Schäden haftbar zu machen. Der Vorschlag wurde fallengelassen, nachdem ein offener Brief von mehreren hundert Fachleuten sich dagegen ausgesprochen hatte. Ihr Haupteinwand war stichhaltig: Maschinen Rechtspersönlichkeit zuzuerkennen, würde ein Vehikel schaffen, mit dem Hersteller eine Haftung abstreifen könnten, die ihnen zusteht.
Die Position hat sich damit gefestigt. Ein autonomes System, das einen Schaden verursacht, ist ein Produkt, ein Werkzeug, das Instrument dessen, der es eingesetzt hat. Es hat keine Rechtspersönlichkeit. Die Haftung fällt auf einen Menschen oder eine juristische Person zurück, und das muss sie auch, denn es gibt keinen anderen Ort, an den sie fallen könnte.
Beide Sätze gelten heute gleichzeitig.
Entweder ist das System fähig, eine Mitteilung im Rechtssinne entgegenzunehmen, dann wird seine Fähigkeit anerkannt, um einem Mandanten seinen Schutz zu nehmen, und zugleich geleugnet, um niemandem die Last einer Haftung aufzubürden. Oder es ist ein Werkzeug, dann ist die Übergabe eines Dokuments an es ebenso wenig eine Offenlegung wie das Speichern einer Datei auf einer Platte, und dann bricht die Argumentation vom Februar zusammen.
Der europäische Kontext verschärft das Ungleichgewicht eher, als dass er es ausgleicht. Die Richtlinie über KI-Haftung, bereits im Arbeitsprogramm der Kommission vom Februar 2025 als zurückgezogen angekündigt, wurde im Oktober 2025 offiziell aufgegeben . Sie war das Instrument, das genau diese Schwierigkeit hätte behandeln sollen. Es bleibt die überarbeitete Produkthaftungsrichtlinie , die nun Software und KI-Systeme einschließt, die aber einen Fehler, einen Schaden und einen Kausalzusammenhang verlangt und die natürliche Personen gegen Körperschäden, Sachschäden und die Zerstörung von Daten schützt. Ihre Umsetzung ist erst zum 9. Dezember 2026 fällig, und sie gilt nur für Produkte, die nach diesem Datum in Verkehr gebracht werden.
Der absehbare Einwand und die Antwort
Ein aufmerksamer Leser wird entgegnen, dass das Recht regelmäßig einem Gegenstand eine Fähigkeit zuerkennt und einem anderen nicht, ohne dass darin ein Widerspruch läge. Ein Tier kann einen rechtlich erheblichen Schaden verursachen, ohne Rechtspersönlichkeit zu besitzen. Eine Handelsgesellschaft hat Rechtspersönlichkeit, um Verträge zu schließen, aber nicht für alle Zwecke in allen Rechtsordnungen. Eine Verarbeitungsfähigkeit zu Beweiszwecken anzuerkennen, verpflichtet also niemanden, eine Rechtspersönlichkeit zu Haftungszwecken anzuerkennen. Andere Fragen, andere Antworten.
Der Einwand ist ernst zu nehmen, und er wäre entscheidend, wenn die Asymmetrie in beide Richtungen wirkte.
Sie wirkt nur in eine. Dort, wo die Fähigkeit des Systems bejaht wird, trägt der Mandant die Kosten, dessen Schutz verschwindet. Dort, wo dieselbe Fähigkeit dazu gedient hätte, Haftung zu verteilen, ist sie nicht auffindbar. Das Ergebnis fällt immer auf dieselbe Seite.
Eine Asymmetrie, die systematisch dieselbe Partei begünstigt, ist keine dogmatische Unterscheidung. Sie ist eine Risikoverteilung, und als solche sollte sie diskutiert werden.
Was das konkret bedeutet
Nichts davon legt nahe, dass die rechtsberatenden Berufe auf diese Werkzeuge verzichten sollten. Die europäischen Berufstexte sagen das ebenso wenig, und der CCBE hat einen eigenen Leitfaden zum Thema veröffentlicht.
Was es nahelegt, ist, dass die entscheidende Frage nicht lautet, welches Werkzeug eine Kanzlei wählt, sondern was dieses Werkzeug behält und ob die Antwort eine Frage der Unternehmenspolitik oder eine Eigenschaft der Konstruktion ist. Eine Zusage, nichts zu speichern, kann zurückgenommen, neu ausgelegt oder durch eine Gerichtsentscheidung beiseitegeschoben werden. Eine Architektur, die nichts speichert, kann es nicht, weil es nichts herauszugeben gibt.
Die Referenzdokumente für alle, die sich einarbeiten wollen:
- Der CCBE-Leitfaden zur Nutzung generativer KI durch Anwälte vom 2. Oktober 2025, ergänzt durch einen technischen Leitfaden vom März 2026
- Der Berufsrechtsleitfaden des Conseil national des barreaux vom 17. März 2026, der die klassischen Grundsätze von Verschwiegenheit und Unabhängigkeit anwendet, ohne ein Sonderrecht der KI zu schaffen
- Der Vergleichsleitfaden von Baker McKenzie , nützlich, um den Abstand zwischen den nationalen Regimen zu bemessen
Der Blickwinkel von Arpokrat
Diese Überlegung reicht weit über Anwaltskanzleien hinaus. Sie gilt für jede Beziehung, in der jemand einem System eine Information anvertraut, die er nicht wieder auftauchen sehen will, und sie läuft auf eine einzige Frage hinaus: Beruht die Garantie auf einem Versprechen oder auf einer Unmöglichkeit?
Das ist das Prinzip, das die Konzeption von Arpokrat Messenger bestimmt. Die Identität wird lokal aus kryptografischen Schlüsseln erzeugt, ohne Telefonnummer und ohne E-Mail-Adresse, und die privaten Schlüssel verlassen das Gerät nie. Diese Entscheidung besteht nicht darin, zuzusagen, ein Nutzerverzeichnis nicht auszuwerten. Sie besteht darin, keines anzulegen. Ein Herausgabeverlangen an eine Infrastruktur, die die Information nicht besitzt, erzeugt keine Verweigerung, es erzeugt eine Leere.
Diese Unterscheidung verdient es, ehrlich benannt zu werden, denn sie entscheidet alles. Eine Datenschutzerklärung, so aufrichtig und so gut formuliert sie sein mag, ist eine Absichtserklärung, die an ein Unternehmen gebunden ist, an dessen jeweilige Anteilseigner und an die Jurisdiktion, in der es ansässig ist. Diese drei Elemente ändern sich. Eine Architektur, die nicht erhebt, ändert sich nicht, weil sich ein Aufsichtsrat ändert. Es ist dieselbe Verschiebung, die wir beim Thema heute sammeln, später entschlüsseln beschrieben haben: Das Risiko liegt nicht in dem Moment, in dem etwas versprochen wird, es liegt in dem Moment, in dem jemand anderes entscheidet.
Das Recht braucht Zeit, um diese Unterscheidung aufzunehmen, und die Debatte um das Berufsgeheimnis gibt dafür ein gutes Maß ab. Ähnlich verhält es sich beim Schutz von Standortdaten , wo der Großteil der juristischen Konstruktion den Zugriff auf Daten betrifft, deren Existenz nie hinterfragt wird.
Fazit
Die Rechtsprechung wird sich am Ende festigen. Die Berufungsgerichte werden die Divergenz entscheiden, die Aufsichtsbehörden werden Kriterien veröffentlichen, die Kanzleien werden ihre Mandatsvereinbarungen und Klauseln anpassen. Daran besteht kein Zweifel.
Aber die Grundfrage wird damit nicht geklärt, denn es geht darin nicht wirklich um das Berufsgeheimnis. Es geht um die Möglichkeit einer Rechtsordnung, anzuerkennen, dass eine Sache weiß, ohne je sagen zu müssen, wer dafür einsteht, was sie mit diesem Wissen anfängt.
Solange diese Frage offen bleibt, ist die einzige Variable, die ein Nutzer wirklich beherrscht, nicht die Qualität der Zusagen, die man ihm gibt. Es ist die Menge an Information, die er entstehen lässt.
Dieser Artikel bietet eine allgemeine juristische Analyse zur Diskussion. Er stellt weder eine Beratung noch eine Rechtsauskunft dar.
Quellen
- United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10. Februar 2026, Analyse von Proskauer
- United States District Court for the Southern District of New York, United States v. Heppner , 10. Februar 2026, schriftliche Begründung vom 17. Februar 2026
- United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al. , Az. 2:25-cv-02352, 25. März 2026
- Conseil national des barreaux, Der CNB verabschiedet einen Leitfaden zu Berufsrecht und künstlicher Intelligenz , 17. März 2026
- Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
- CCBE, Model Code of Conduct for European Lawyers , 8. Oktober 2021
- CCBE, Guide on the use of generative AI by lawyers , 2. Oktober 2025
- Europäisches Parlament, Entschließung vom 16. Februar 2017 mit Empfehlungen an die Kommission zu zivilrechtlichen Regelungen im Bereich Robotik , 2015/2103(INL)
- Open Letter to the European Commission on Artificial Intelligence and Robotics
- EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive , 9. Oktober 2025
- Richtlinie (EU) 2024/2853 vom 23. Oktober 2024 über die Haftung für fehlerhafte Produkte