CIO Forward: Die Rechtsabteilung als Enabler bei KI-Projekten

Im Rahmen der CIO Forward, die am 29. Januar 2026 im IBM Forum Wien Premiere feierte, stand das Panel „KI Reality Check: Lessons Learned & Hot Questions“ ganz im Zeichen von Technologie, Umsetzung und Skalierung. Die Veranstaltung richtete sich primär an CIOs und IT-Verantwortliche. Dennoch rückte ein Thema immer wieder in den Mittelpunkt: die Rolle der Rechtsabteilung bei KI-Projekten. Als LegalAI-Startup freute uns das natürlich ganz besonders.

Moderiert von Patrick Ratheiser (AI Austria) diskutierten Paul Fussenegger (EVVA Sicherheitstechnologie GmbH), Magdalena Hutze (VERBUND) und Karin Wegscheider (ÖBB Personenverkehr). Ihre Aussagen zeigen klar: Ohne die frühzeitige, strukturierte Einbindung der Rechtsabteilung „lahmt“ KI nicht an der Technologie und unrealistischen Use Cases, sondern an Governance, Haftung und Regulierung.

KI-Projekte ohne Legal sind kein Innovationsbeschleuniger

Karin Wegscheider machte für die ÖBB deutlich, dass die Einbindung der Rechtsabteilung kein formaler Akt am Ende eines Projekts sein darf. Großunternehmen wie die ÖBB stehen unter besonderem regulatorischem Druck und müssen den AI Act ernst nehmen. KI-Initiativen lassen sich nicht „einfach ausprobieren“, und rechtliche Themen zu „improvisieren“.

Bei den ÖBB ist die Rechtsabteilung bewusst strikt. Das Strenge ist eine notwendige Voraussetzung für eine nachhaltige Umsetzung. Anstatt ad hoc zu prüfen, wurden klare rechtliche Vorgaben geschaffen, die als Ausgangsbasis für neue KI-Projekte dienen. Dadurch wird die Rechtsprüfung skalierbarer. In regulierten Umfeldern ist rechtliche Improvisation keine Option.

KI-Governance wird oft erst zu spät berücksichtigt

Paul Fussenegger von EVVA lenkte den Blick auf einen weiteren kritischen Aspekt: die Governance. EVVA ermöglicht ihren Mitarbeitenden, KI-Projekte selbst zu initiieren und umzusetzen, doch häufig wurde dabei KI-Governance erst spät berücksichtigt. Ressourcen, Tools und Freiräume sind vorhanden. Was dabei fehlt, ist eine frühzeitige Klärung rechtlicher Verantwortlichkeiten.

Fragen wie:

• Wie ist die Datenqualität abgesichert?
• Wie wird Datensicherheit gewährleistet?
• Wer wartet und betreibt die Applikation nach der Umsetzung?
• Wer trägt die (rechtliche) Verantwortung?

Diese Fragen betreffen nicht nur die IT- oder Fachabteilungen, sondern auch unmittelbar die Rechtsabteilung. Werden diese Aspekte erst nachträglich geklärt, entstehen Haftungsrisiken und operative Unsicherheiten. Eine rechtliche Struktur ist somit kein Begleitthema, sondern ein integraler Bestandteil jeder KI-Strategie.

Regulierung ist eine Daueraufgabe

Magdalena Hutze betonte für VERBUND, dass die Regulierung von KI nicht punktuell betrachtet werden kann. Als Energieversorger und Betreiber kritischer Infrastruktur beschäftigt sich das Unternehmen intensiv mit dem AI Act und der Omnibus-Verordnung.

Die Sicherheitsanforderungen in kritischer Infrastruktur sind hoch. Entsprechend arbeitet die Rechtsabteilung von VERBUND eng mit externen Beratungen zusammen, um tragfähige Konzepte zu entwickeln. Dabei ist ein ganzheitlicher Ansatz entscheidend: KI-Compliance ist keine isolierte Rechtsfrage, sondern eine unternehmensweite Governance-Aufgabe.

Klassifizierung, Datenlabeling und Tool-Zugriff

Ein weiteres konkretes Praxisbeispiel lieferte erneut EVVA. Die Rechtsabteilung hat dort ein mehrstufiges Framework entwickelt, um KI-Projekte rechtlich korrekt einzuordnen. Daten und Anwendungen werden dabei nach Vertraulichkeitsstufen klassifiziert – von „nicht vertraulich” bis „streng vertraulich”.

Diese Einordnung bleibt nicht abstrakt. Sie entscheidet unmittelbar darüber,

• welche KI-Tools eingesetzt werden dürfen,
• auf welchen Daten diese Tools arbeiten dürfen und
• und welche Einsatzszenarien ausgeschlossen sind.

Zentral ist dabei das korrekte Labeling von Daten. Die Rechtsabteilung definiert den Rahmen, innerhalb dessen Innovation möglich ist.

Fazit: Legal als Enabler statt als Bremse

Das Panel zeigte deutlich, dass KI-Projekte nicht an fehlenden Use Cases scheitern, sondern an unklarer rechtlicher Verantwortung. Unternehmen, die ihre Rechtsabteilung frühzeitig einbinden, schaffen klare Leitplanken und damit Geschwindigkeit. AI Act, Governance, Haftung und Datensicherheit sind keine Nebenschauplätze, sondern zentrale Erfolgsfaktoren.

Rechtsabteilungen entwickeln sich somit vom reaktiven Prüforgan zum aktiven Enabler von KI-Innovationen: durch klare Rahmenbedingungen, definierte Prozesse und wiederverwendbare Standards. In einer zunehmend regulierten KI-Landschaft wird genau das zum Wettbewerbsvorteil.

Die CIO Forward ist eine Kooperation von AI Austria, Business Circle und IBM Austria und brachte CIOs, IT-Profis und Experten zusammen, um praktische KI-Erfahrungen zu diskutieren. Codara gestaltete das Konzept und das Programm.