Claude für eine Anwaltskanzlei, konform by Design

Die Anwälte wollten Claude nutzen. Das Problem war nicht das Modell, sondern alles drumherum: wohin die Daten fließen, wer sie sieht, wie lange sie bleiben, wer was getan hat. Wir haben einen Rahmen gebaut, in dem die Antwort auf jede dieser Fragen in der Konfiguration steht und nicht in einem Versprechen.

Der Kunde

Ein beruflicher Zusammenschluss von Rechtsanwälten (Name vertraulich), tätig im Zivil-, Handels- und Arbeitsrecht, mit Partnern, angestellten Anwälten, Referendaren und Sekretariat, die täglich an Schriftsätzen, Verträgen, Gutachten und Mandantenkorrespondenz arbeiten.

Material, das per Definition die sensibelste Art von Daten enthält, die es in einer Kanzlei gibt: Informationen unter anwaltlicher Schweigepflicht, personenbezogene Daten von Mandanten und Gegenparteien, häufig Gesundheitsdaten (Schadensersatz- und Arbeitsrechtsfälle) und Daten über Straftaten und Verurteilungen.

Die Ausgangslage

Die Kanzlei hatte ein sehr verbreitetes Problem: Die KI war schon da, aber durch die falsche Tür. Einige Anwälte nutzten Chatbots mit privaten Konten und kopierten Auszüge aus Schriftsätzen und Verträgen hinein. Kein Auftragsverarbeitungsvertrag zwischen Kanzlei und Anbieter, keine Kontrolle darüber, wo diese Texte landeten, keine Möglichkeit, den Zugang zu entziehen, wenn jemand die Kanzlei verließ, keinerlei Nachweis darüber, was geteilt worden war.

Ein Verbot funktionierte nicht: Der Nutzen beim Entwerfen, beim Zusammenfassen von Akten und bei der Vertragsprüfung war zu offensichtlich. Der Auftrag war deshalb eindeutig: Claude für alle, aber innerhalb eines Rahmens, in dem jede gesetzliche Pflicht erfüllt und nachweisbar ist.

Die Anforderungen, schriftlich festgehalten mit den Partnern und dem Datenschutzbeauftragten:

• keine Mandantendaten, die vom Modellanbieter gespeichert oder zum Training verwendet werden;
• Verarbeitung ausschließlich in der Europäischen Union;
• jede Person individuell identifiziert, keine geteilten Zugangsdaten;
• Minimierung personenbezogener Daten, bevor sie das Modell erreichen;
• Trennung zwischen Mandaten, um Interessenkonflikte und interne Vertraulichkeit zu wahren;
• Nachvollziehbarkeit, wer das System nutzt, ohne ein neues Archiv vertraulicher Inhalte zu schaffen;
• ausreichende Dokumentation für DSFA, Verzeichnis der Verarbeitungstätigkeiten und Mandanteninformation.

Warum AWS Bedrock

Wir haben Claude aus vier konkreten Gründen über Amazon Bedrock bereitgestellt:

1. Der Vertrag passt bereits. Die Verarbeitung ist durch das AWS Data Processing Addendum abgedeckt (Bestandteil der Service Terms, mit Standardvertragsklauseln), und über AWS Artifact stellt AWS die Zertifizierungen ISO 27001, 27017, 27018, 27701 sowie die SOC-Berichte bereit, die für die DSFA benötigt werden.
2. Bedrock speichert keine Prompts und Antworten. Der Dienst ist so konzipiert, dass Anfrageinhalte weder gespeichert noch zum Training von Modellen verwendet werden, und Anthropic als Modellanbieter hat keinen Zugriff auf Prompts und Antworten.
3. Europäische Regionen. Die Inferenz lässt sich auf Rechenzentren in der Europäischen Union beschränken.
4. Alle Kontrollen an einem Ort. Identität, privates Netzwerk, Verschlüsselung mit eigenen Schlüsseln, Audit und Organisationsrichtlinien sind native AWS-Dienste, als Code konfigurierbar und jederzeit überprüfbar.

Die eigentliche Arbeit bestand darin, diese Voraussetzungen in eine abgeschottete Konfiguration zu übersetzen, denn ein konformer Dienst, der falsch genutzt wird, bleibt eine nicht konforme Verarbeitung.

Die Architektur im Überblick

Ebene	Entscheidung	Ziel
Modell	Claude auf Amazon Bedrock, Inferenzprofile eu.	Keine Speicherung, Verarbeitung in der EU
Identität	IAM Identity Center, föderiert mit dem Identity Provider der Kanzlei, MFA	Persönliche Konten, zentraler Entzug
Minimierung	Pseudonymisierungsschicht + Bedrock Guardrails	Das Modell sieht so wenig wie möglich
Netzwerk	Private VPC-Endpunkte (PrivateLink), kein öffentlicher Zugang	Der Datenverkehr läuft nicht über das Internet
Verschlüsselung	AWS KMS mit von der Kanzlei verwalteten Schlüsseln	Schlüsselhoheit über alle ruhenden Daten
Dokumente	Bedrock Knowledge Bases mit Filtern pro Mandat	Ethical Walls zwischen Akten
Audit	Unveränderliches CloudTrail + anwendungsseitiges Audit nur mit Metadaten	Wer, wann, was, nie der Inhalt
Governance	AWS Organizations, SCP, AWS Config, Infrastructure as Code	Niemand kann die Kontrollen abschalten

1. Zero Data Retention: Was wirklich mit den Daten passiert

"Zero Retention" ist ein Versprechen, das leicht bricht. Es reicht nicht, dass das Modell nichts speichert: Jede Stelle in der Kette, an der ein Text irgendwo liegen bleiben könnte, muss geschlossen werden.

• Auf Seiten von Bedrock. Prompts und Antworten werden verarbeitet und vom Dienst nicht gespeichert, trainieren kein Modell und sind für den Modellanbieter nicht zugänglich.
• Model Invocation Logging deaktiviert. Bedrock kann Prompts und Antworten vollständig in CloudWatch oder S3 protokollieren. In der Entwicklung nützlich, im Produktivbetrieb gefährlich. Wir haben es abgeschaltet und die Reaktivierung per Service Control Policy untersagt: Nicht einmal ein Administrator des Kontos kann es wieder einschalten.
• Prompt Caching. Der Prompt-Cache von Bedrock ist temporär (Minuten) und nicht persistent: Er senkt Kosten und Latenz bei langen Dokumenten, ohne ein Archiv anzulegen.
• Standardmäßig kein Verlauf in der Anwendung. Gespräche existieren nur in der Sitzung. Sie zu speichern ist eine bewusste Entscheidung der Nutzer, an ein Mandat gebunden, verschlüsselt und mit automatischer Löschung nach Ablauf (TTL) gemäß der in der DSFA festgelegten Frist.
• Keine Inhalte in Anwendungslogs. Die Backend-Logs sind gefiltert: Sie erfassen technische Kennungen, Zeiten und Fehlercodes, nie den Text. Für alle Log Groups ist eine Aufbewahrungsdauer gesetzt, kein "für immer aufbewahren".
• Keine Daten im Browser. Die Oberfläche speichert keine Gespräche in localStorage oder im Browser-Cache, damit ein offen gelassener oder geteilter Laptop nicht zum Archiv wird.
• Funktionen, die Daten aus dem Rahmen tragen, sind deaktiviert. Keine Websuche, keine Tools, die externe Dienste aufrufen, keine Drittanbieter-Modelle aus dem Marketplace, kein Fine-Tuning (das die Speicherung von Trainingsdaten erfordern würde).

2. Datenresidenz: alles in der Europäischen Union

• Europäische Regionen. Das Konto arbeitet aus einer EU-Region. Claude wird über regionsübergreifende Inferenzprofile eu. aufgerufen, die die Last nur auf europäische Regionen verteilen.
• Globale Profile untersagt. global.-Profile können Anfragen in jede Region der Welt leiten: Sie sind auf Organisationsebene gesperrt.
• Nichteuropäische Regionen gesperrt. Eine SCP verweigert jede Operation außerhalb der EU-Regionen (mit den rein technischen Ausnahmen für globale Dienste wie IAM).
• Alles andere folgt. S3-Buckets für Dokumente, Vektorindex, KMS-Schlüssel, Audit-Trails und Backups liegen in denselben europäischen Regionen.

Ein Auszug aus den auf das Konto angewendeten Organisationsrichtlinien:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyGlobalInferenceProfiles",
      "Effect": "Deny",
      "Action": ["bedrock:InvokeModel", "bedrock:InvokeModelWithResponseStream"],
      "Resource": "arn:aws:bedrock:*:*:inference-profile/global.*"
    },
    {
      "Sid": "DenyInvocationLoggingChanges",
      "Effect": "Deny",
      "Action": [
        "bedrock:PutModelInvocationLoggingConfiguration",
        "bedrock:DeleteModelInvocationLoggingConfiguration"
      ],
      "Resource": "*"
    },
    {
      "Sid": "DenyBedrockApiKeys",
      "Effect": "Deny",
      "Action": ["iam:CreateServiceSpecificCredential", "bedrock:CallWithBearerToken"],
      "Resource": "*"
    }
  ]
}

3. Persönliche Konten, keine geteilten Schlüssel

Der häufigste Fehler in KI-Projekten von Unternehmen ist ein einziger API-Schlüssel, der in eine Konfigurationsdatei kopiert und von allen genutzt wird. In einer Kanzlei heißt das: nicht zu wissen, wer was gesendet hat, und einer Person den Zugang nicht entziehen zu können, ohne ihn allen zu entziehen.

• Single Sign-on mit dem Identity Provider der Kanzlei. Die Nutzer melden sich mit denselben Zugangsdaten an, die sie für E-Mail und Dokumente verwenden, über föderiertes IAM Identity Center. MFA ist Pflicht.
• Automatisches Provisioning (SCIM). Verlässt jemand die Kanzlei, wird die Person an einer einzigen Stelle deaktiviert und verliert den Zugang überall, im selben Moment.
• Keine IAM-Benutzer, keine dauerhaften Access Keys. Nur temporäre Zugangsdaten. Das Anlegen von IAM-Benutzern, Access Keys und Bedrock API Keys ist per SCP untersagt.
• Rollenbasierte Berechtigungen. Partner, Anwälte, Referendare und Sekretariat haben unterschiedliche Profile: welche Modelle sie nutzen, welche Dokumentsammlungen sie abfragen dürfen, wer Gespräche speichern darf.
• Minimale Rechte auch für die Anwendung. Das Backend darf nur freigegebene Modelle und Inferenzprofile aufrufen, und nur mit dem Guardrail der Kanzlei.
• Root-Konto abgesichert. Hardware-MFA, keine operative Nutzung, dokumentiertes Notfallzugangsverfahren.

4. Personenbezogene Daten und Berufsgeheimnis: minimieren vor dem Modell

Die sichersten Daten sind die, die das Modell nie erhält. Für die meisten Aufgaben (einen Vertrag zusammenfassen, eine Klausel prüfen, einen Schriftsatz gliedern) muss das Modell nicht wissen, wie der Mandant heißt.

Umkehrbare Pseudonymisierung. Vor jedem Aufruf ersetzt eine Anwendungsschicht, die im Konto der Kanzlei läuft, Kennungen durch konsistente Platzhalter: [PERSONA_1], [SOCIETA_2], [CF_1]. Namen, italienische Steuernummern (Codice fiscale), USt-IdNr. (Partita IVA), IBAN, E-Mail-Adressen, Telefonnummern, Anschriften, Kfz-Kennzeichen, gerichtliche Aktenzeichen. Die Zuordnungstabelle liegt nur für die Dauer der Anfrage im Arbeitsspeicher und dient dazu, die Antwort wieder zusammenzusetzen: Der Anwalt liest den Text mit den echten Namen, das Modell hat sie nie gesehen.

Wenn eine Aufgabe tatsächlich die echten Daten erfordert (etwa die endgültige Fassung eines Schriftsatzes), kann die Pseudonymisierung für diese Anfrage deaktiviert werden: Die Entscheidung ist bewusst und wird im Audit protokolliert.

Bedrock Guardrails als zweite Verteidigungslinie. Über der Pseudonymisierung liegt ein Guardrail, der auf Ein- und Ausgabe angewendet wird:

• Filter für sensible Daten, die erkannte PII-Typen maskieren oder blockieren;
• eigene reguläre Ausdrücke für italienische Formate, bei denen die generische automatische Erkennung weniger zuverlässig ist: Codice fiscale, Partita IVA, italienische IBAN, gerichtliche Aktenzeichen (Numeri di RG);
• Filter gegen Prompt Attacks, wichtig, weil Nutzer Dokumente Dritter hochladen, die versteckte Anweisungen enthalten könnten (Prompt Injection);
• Grounding-Prüfung bei Antworten auf Basis der Kanzleidokumente, um Aussagen ohne Quellenbeleg zu reduzieren.

Der Guardrail ist nicht optional: Die IAM-Richtlinie verweigert jeden Modellaufruf, der den Guardrail der Kanzlei nicht enthält, über den Condition Key bedrock:GuardrailIdentifier.

Ein Beispiel für das Muster zur Erkennung des Codice fiscale:

\b[A-Z]{6}[0-9LMNPQRSTUV]{2}[ABCDEHLMPRST][0-9LMNPQRSTUV]{2}[A-Z][0-9LMNPQRSTUV]{3}[A-Z]\b

Besondere Kategorien und Daten über Straftaten. Verarbeitungen mit Gesundheitsdaten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) wurden in der DSFA gesondert erfasst, mit eigenen Nutzungsregeln.

5. Privates Netzwerk und Verschlüsselung

• Kein Weg über das Internet. Aufrufe an Bedrock, S3 und KMS laufen über VPC Interface Endpoints (AWS PrivateLink). Die Anwendung läuft in privaten Subnetzen.
• Zugangsdaten außerhalb des Rahmens wertlos. Die Richtlinien erlauben Aufrufe von Bedrock nur über den privaten Endpunkt der Kanzlei (Bedingung aws:SourceVpce): Selbst gestohlene Zugangsdaten funktionieren von außen nicht.
• Verschlüsselung bei der Übertragung mit TLS 1.2 oder höher, unverschlüsselte Anfragen werden auf Bucket-Ebene abgelehnt (aws:SecureTransport).
• Verschlüsselung ruhender Daten mit Schlüsseln der Kanzlei. Dokumente, Vektorindex, gespeicherte Gespräche, Logs und Trails sind mit kundenverwalteten KMS-Schlüsseln verschlüsselt, mit automatischer Rotation und Key Policies, die Schlüsselverwaltung und Schlüsselnutzung trennen. Wird ein Schlüssel widerrufen, sind die Daten nicht mehr lesbar.
• Block Public Access auf Kontoebene für alle S3-Buckets aktiv.
• Option External Key Store. Für die strengsten Anforderungen ist die Architektur darauf vorbereitet, die Schlüssel in einem HSM außerhalb von AWS (XKS) zu halten, bewertet in der Analyse der Datenübermittlungen.

6. Kanzleidokumente und Ethical Walls

Der eigentliche Mehrwert entsteht, wenn Claude mit den Dokumenten der Kanzlei arbeiten kann: Schriftsatzvorlagen, frühere Gutachten, Musterverträge, über Jahre gesammelte Rechtsprechung.

• Bedrock Knowledge Bases auf S3-Buckets in der EU, mit einem mehrsprachigen Embedding-Modell auf Bedrock in der EU und verschlüsseltem Vektorindex.
• Metadaten zu jedem Dokument: Mandat, Mandant, zuständiges Team, Vertraulichkeitsstufe.
• Serverseitig durchgesetzte Ethical Walls. Jede Suche wird anhand der Gruppen gefiltert, die aus der SSO-Identität des Nutzers stammen, nicht aus dem Text der Frage. Wer einem Mandat nicht zugeordnet ist, kann dessen Dokumente nicht abrufen, auch nicht auf ausdrückliche Nachfrage. Es ist dasselbe Prinzip, nach dem die Kanzlei Interessenkonflikte und interne Vertraulichkeit handhabt, übertragen auf das KI-System.
• Quellenangaben in jeder Antwort, mit Link zum Originaldokument, damit die Prüfung sofort möglich ist.
• Konsistente Löschung. Wird ein Dokument gelöscht oder eine Akte archiviert, entfernt die Synchronisierung es auch aus dem Index. Die Aufbewahrungsregeln folgen denen der Akte.

7. Nachvollziehbarkeit ohne Archivierung von Inhalten

Die Kanzlei muss beantworten können, "wer das System wann und zu welchem Mandat genutzt hat", ohne ein zweites Archiv vertraulicher Daten zu schaffen.

• AWS CloudTrail auf Organisationsebene, über alle Regionen, mit Integritätsprüfung der Logdateien und Speicherung in einem separaten Log-Konto auf Buckets mit Object Lock (für den festgelegten Zeitraum weder änderbar noch löschbar).
• Anwendungsaudit nur mit Metadaten: Nutzer, Uhrzeit, Modell, Mandat, Tokenanzahl, gegebenenfalls ein Eingreifen des Guardrails (die Art, nicht der Text), Deaktivierung der Pseudonymisierung.
• Kontinuierliche Konfigurationsüberwachung mit AWS Config, Security Hub und GuardDuty: Versucht jemand, das Inhaltslogging zu aktivieren, einen dauerhaften Schlüssel anzulegen, CloudTrail abzuschalten oder einen Bucket zu öffnen, wird ein Alarm ausgelöst.
• Kostenzuordnung nach Bereich über getaggte Application Inference Profiles, die auch zeigen, wer das Werkzeug tatsächlich nutzt.

8. Kontogovernance und die Rolle von Rayo

• AWS Organizations mit getrennten Konten für KI-Workload, Logs und Sicherheit: Wer die Anwendung verwaltet, kann die Audit-Logs nicht anfassen.
• Das Konto gehört der Kanzlei. Rayo arbeitet über eine kontoübergreifende Rolle mit zeitlich begrenztem, genehmigtem und protokolliertem Zugang. Rayo hat keinen Zugriff auf Gesprächsinhalte oder Dokumente.
• Rayo als Auftragsverarbeiter mit Vertrag nach Art. 28 DSGVO, ausschließlich für die technische Betreuung.
• Infrastructure as Code. Die gesamte Konfiguration ist versioniert und prüfbar: Jede Änderung hat einen Autor, ein Datum und einen Grund, und die Umgebung lässt sich identisch neu aufbauen.
• Budgets und Kontingente mit Alarmschwellen, um Überraschungen bei der Abrechnung zu vermeiden und ungewöhnliche Nutzung zu erkennen.

9. Der Rechtsrahmen, Punkt für Punkt

Norm	Pflicht	Wie sie abgedeckt ist
DSGVO Art. 5 und 25	Datenminimierung, Privacy by Design und by Default	Pseudonymisierung, Zero Retention, Verlauf standardmäßig deaktiviert
DSGVO Art. 28	Verträge mit Auftragsverarbeitern	DPA von AWS, Vertrag nach Art. 28 mit Rayo
DSGVO Art. 30	Verzeichnis der Verarbeitungstätigkeiten	Eigener Eintrag für den KI-Assistenten, mit Zwecken, Datenkategorien und Maßnahmen
DSGVO Art. 32	Sicherheit der Verarbeitung	Verschlüsselung, MFA, minimale Rechte, privates Netzwerk, Monitoring
DSGVO Art. 33 und 34	Umgang mit Datenschutzverletzungen	Automatische Alarme und Meldeverfahren innerhalb von 72 Stunden
DSGVO Art. 35	Datenschutz-Folgenabschätzung	Vollständige DSFA mit dokumentierten technischen Maßnahmen
DSGVO Art. 9 und 10	Gesundheitsdaten und Daten über Straftaten	Eigene Nutzungsregeln und verstärkte Kontrollen
DSGVO Kapitel V	Übermittlungen in Drittländer	Verarbeitung in der EU, Data Privacy Framework und Standardvertragsklauseln, Transfer Impact Assessment
Italienische Berufsordnung für Rechtsanwälte (Codice deontologico forense), Art. 28	Verschwiegenheit und Berufsgeheimnis	Geschlossener Rahmen, Ethical Walls zwischen Mandaten, kein Zugriff des Modellanbieters
Italienisches Gesetz 132/2025, Art. 13	KI in freien geistigen Berufen nur unterstützend und mit Information des Mandanten	Ergebnisse stets als Entwurf gekennzeichnet, Klausel in der Mandatsvereinbarung, Mandanteninformation
AI Act, Art. 4	KI-Kompetenz	Verpflichtende Schulung aller Nutzer vor der Freischaltung
AI Act, Einstufung	Prüfung der Risikostufe	Unterstützende Nutzung als nicht hochriskant dokumentiert, bei jedem neuen Anwendungsfall neu bewertet

10. Was Technik allein nicht leisten kann

Eine perfekte Konfiguration reicht nicht, wenn die Menschen, die sie nutzen, nicht wissen, was sie tun. Das Projekt umfasste deshalb auch:

• Interne Nutzungsrichtlinie: was eingegeben werden darf, wann die Pseudonymisierung abgeschaltet wird, wie Quellen geprüft werden, was nie delegiert wird.
• Schulungen für Partner, angestellte Anwälte, Referendare und Sekretariat: Halluzinationen, Prüfung von Zitaten, Risiken durch Prompt Injection in Dokumenten Dritter.
• Verpflichtende menschliche Aufsicht. Jedes Ergebnis ist ein Entwurf. Unterschrift und Verantwortung bleiben beim Anwalt, wie es das Gesetz vorsieht.
• Mandanteninformation und eine Klausel in der Mandatsvereinbarung, die verständlich erklärt, welche KI-Werkzeuge mit welchen Garantien eingesetzt werden.
• Regelmäßige Überprüfung der Konfiguration und der DSFA bei jedem neuen Modell und jeder neuen Funktion.

Die vollständige Checkliste

Alles, was wir geprüft haben, bevor der erste Nutzer Zugang erhielt:

Daten und Speicherung

• Model Invocation Logging deaktiviert und per SCP gesperrt
• Standardmäßig kein Verlauf, TTL für gespeicherte Gespräche
• Anwendungslogs ohne Inhalte, Aufbewahrungsdauer für jede Log Group gesetzt
• Keine Daten im Browser gespeichert
• Websuche, externe Tools, Marketplace und Fine-Tuning deaktiviert

Residenz

• Nur Inferenzprofile eu., Profile global. untersagt
• SCP, die Regionen außerhalb der EU verweigert
• S3, Vektorindex, KMS, Logs und Backups in der EU

Identität

• SSO mit dem Identity Provider der Kanzlei und verpflichtender MFA
• Automatisches Provisioning und Deprovisioning über SCIM
• Keine IAM-Benutzer, keine dauerhaften Access Keys, Bedrock API Keys untersagt
• Rollenbasierte Berechtigungen und minimale Rechte für die Anwendung
• Root-Konto mit Hardware-MFA geschützt

Minimierung

• Umkehrbare Pseudonymisierung vor dem Modell
• Verpflichtender Guardrail für Ein- und Ausgabe, per IAM erzwungen
• Eigene Muster für Codice fiscale, Partita IVA, IBAN und gerichtliche Aktenzeichen
• Filter gegen Prompt Attacks und Grounding-Prüfung

Netzwerk und Verschlüsselung

• PrivateLink für Bedrock, S3 und KMS
• Aufrufe nur über den privaten Endpunkt erlaubt
• TLS verpflichtend, öffentlicher S3-Zugriff gesperrt
• Von der Kanzlei verwaltete KMS-Schlüssel mit automatischer Rotation

Dokumente

• Metadaten zu Mandat, Mandant, Team und Vertraulichkeit
• Serverseitige Zugriffsfilter auf Basis der SSO-Identität
• Quellenangaben und synchronisierte Löschung

Audit und Governance

• Organisationsweites CloudTrail mit Object Lock in separatem Konto
• Anwendungsaudit nur mit Metadaten
• AWS Config, Security Hub und GuardDuty mit Alarmen
• Infrastructure as Code, Budgets und Kontingente
• Zugang von Rayo zeitlich begrenzt, protokolliert und ohne Einsicht in Inhalte

Dokumentation und Menschen

• DSFA, Verzeichnis der Verarbeitungstätigkeiten, Analyse der Datenübermittlungen
• Vertrag nach Art. 28 mit Rayo
• Interne Nutzungsrichtlinie und Schulung nach Art. 4 AI Act
• Mandanteninformation und Klausel in der Mandatsvereinbarung

Ergebnisse

• Schluss mit "Schatten-KI". Die privaten Konten wurden abgeschafft: Die gesamte Kanzlei nutzt ein einziges Werkzeug unter eigener Kontrolle.
• Nachweisbare Konformität. Für jede Pflicht gibt es eine präzise Konfiguration, überprüfbar und in der DSFA dokumentiert. Fragt die italienische Datenschutzbehörde (Garante) oder ein Mandant "Wohin gehen meine Daten?", ist die Antwort eine Seite, keine Beschwichtigung.
• Kein neues Archiv vertraulicher Daten. Das System erstellt Entwürfe, Zusammenfassungen und Prüfungen und behält nichts über das hinaus, was die Kanzlei festgelegt hat.
• Sofortiger Entzug. Wer die Kanzlei verlässt, verliert den Zugang in dem Moment, in dem das Firmenkonto deaktiviert wird.
• Kontrollen, die sich nicht umgehen lassen. Die wichtigsten Schutzmaßnahmen sind auf Organisationsebene erzwungen: Sie hängen nicht vom guten Willen derjenigen ab, die das Konto verwalten.

Technologie-Stack

Bereich	Technologien
Modell	Claude auf Amazon Bedrock (EU-Inferenzprofile)
Identität	AWS IAM Identity Center, föderiertes SSO, SCIM, MFA
Datenschutz	Eigene Pseudonymisierungsschicht, Amazon Bedrock Guardrails
Dokumente	Amazon Bedrock Knowledge Bases, Amazon S3, verschlüsselter Vektorindex
Netzwerk	Amazon VPC, AWS PrivateLink
Verschlüsselung	AWS KMS mit kundenverwalteten Schlüsseln
Audit und Sicherheit	AWS CloudTrail, S3 Object Lock, AWS Config, Security Hub, GuardDuty
Governance	AWS Organizations, Service Control Policies, Infrastructure as Code

Fazit

Claude in einer Kanzlei konform einzusetzen heißt nicht, auf das beste Modell zu verzichten, sondern den richtigen Rahmen darum zu bauen. Zero Retention, Daten in der EU, persönliche Identitäten, Minimierung, Verschlüsselung mit eigenen Schlüsseln, Ethical Walls und Audit: Keiner dieser Punkte reicht für sich allein. Zusammen machen sie aus einer leistungsfähigen KI ein Werkzeug, das eine Kanzlei für echte Akten nutzen und gegenüber jedem vertreten kann, der Rechenschaft verlangt.