OpenAI Astra for Law: Mandantengeheimnisse? Pilotabnahme 2026

17.09.2026: OpenAI hat Astra for Law veröffentlicht, zunächst für ausgewählte Kanzleien in den USA über Trusted Access, ChatGPT und Codex; die offizielle Produktinformation von OpenAI bestätigt zugleich, dass die API erst bevorsteht. Daraus folgt die schnellste Entscheidung: Sie dürfen Mandantengeheimnisse nicht allein wegen der juristischen Ausrichtung oder einer Zero-Data-Retention-Option direkt freigeben. Starten Sie höchstens einen kontrollierten Pilot mit schriftlich bestätigtem Zugang, vertraglich geprüften Datenbedingungen und risikoarmen, nachvollziehbaren Aufgaben.

Für wen dieser Leitfaden gedacht ist:
Für IT- und Sicherheitsverantwortliche in Kanzleien, die Datenklassen, Prüfprotokolle und zulässige Mandatsunterlagen festlegen müssen.
Für Legal-Tech- und Plattformteams, die Plugins, Codex oder später eine API in einen Rechts-Agenten integrieren wollen.
Für Partner und Innovationsverantwortliche, die zwischen begrenztem Pilot, weiterem Warten und breiterem Rollout entscheiden müssen.

Stand: 18.09.2026. Der Status wurde anhand der Astra-for-Law-Hilfe, der veröffentlichten Datenkontrollinformationen und der OpenAI-Unterlagen zu Geschäftsdaten geprüft. API-Verfügbarkeit, regionale Reichweite und konkrete Plugin-Freigaben dürfen sich ändern.

Zugangsbeschränkung statt allgemeiner Freigabe

Der erste Fehler ist die Gleichsetzung von „veröffentlicht“ mit „für jede Kanzlei produktionsbereit“. Nach dem derzeit bestätigten Stand ist Astra for Law zunächst nur für ausgewählte Kanzleien in den USA vorgesehen. Trusted Access, ein sichtbarer Einstieg in ChatGPT oder ein vorhandener Codex-Zugang beweisen nicht automatisch, dass Ihr konkretes Konto für alle beschriebenen Funktionen berechtigt ist.

Für die Abnahme müssen Sie drei Ebenen trennen:

1. Produktstatus: Die Funktion wurde angekündigt oder in einer offiziellen Hilfe beschrieben.
2. Institutionsberechtigung: Ihre Kanzlei erfüllt die Voraussetzungen für den Zugang.
3. Kontoberechtigung: Ihr konkretes Arbeitskonto, Ihr Workspace und Ihr Vertrag zeigen die benötigte Funktion tatsächlich an.

Diese Trennung ist wichtig, weil ein Entwicklerteam sonst eine Architektur auf einer Annahme aufbaut. Die API ist zum geprüften Zeitpunkt noch nicht allgemein als Produktionsschnittstelle verfügbar. „Demnächst“ ist daher kein Endpunkt, den Sie bereits mit Mandatsdaten testen dürfen. Legen Sie stattdessen eine Adapter-Schicht an, die später einen bestätigten Endpunkt aufnehmen kann, ohne heute einen nicht vorhandenen Modellnamen, ein unbestätigtes Feld oder ein vermutetes Kontingent zu simulieren.

Speichern Sie für jeden Piloten:

• die schriftliche Zugangsbestätigung,
• den Namen und Geltungsbereich des Vertrags,
• den sichtbaren Funktionsumfang des Kontos,
• die Administratorbestätigung,
• das Datum der Prüfung,
• die Entscheidung, welche Datenklassen ausgeschlossen bleiben.

Fehlt eine dieser Grundlagen, ist nur eine Bewertung mit öffentlichen oder synthetischen Dokumenten vertretbar. Eine Produktdemo mit echten Mandatsakten wäre unter diesen Bedingungen kein Pilot, sondern eine unkontrollierte Datenfreigabe.

ZDR-Bedingung statt Geheimnisgarantie

Zero Data Retention, kurz ZDR, wird leicht als automatische Antwort auf alle Vertraulichkeitsfragen verstanden. Das ist zu grob. Sie müssen mindestens vier Verarbeitungsebenen einzeln prüfen: Modelltraining, Missbrauchs- und Sicherheitsprotokolle, Anwendungszustände sowie von Ihrer Kanzlei kontrollierte Speicherorte. Die OpenAI-Informationen zu Geschäftsdaten sind dafür eine Ausgangsbasis, aber kein Ersatz für die Prüfung Ihres konkreten Vertrags und Zugangspfads.

Die zentrale Frage lautet nicht „Gibt es ZDR?“, sondern: Für welchen Eingang, welchen Workspace, welchen Auftrag und welchen nachgelagerten Dienst gilt die Bedingung tatsächlich?

Prüfen Sie insbesondere:

• Wird der verwendete Chat- oder Codex-Pfad ausdrücklich von der Datenbedingung erfasst?
• Entstehen trotzdem Statusdaten, Sicherheitsprotokolle oder administrative Metadaten?
• Werden hochgeladene Dateien in einem Anwendungszustand, Projektbereich oder externen Speicher gehalten?
• Läuft ein Plugin unter denselben Bedingungen oder verarbeitet es die Daten in einem eigenen System?
• Gibt es regionale oder vertragliche Anforderungen nach DSGVO, Berufsrecht und interner Informationsklassifizierung?

ZDR ersetzt weder die Zustimmung des Mandanten noch eine Prüfung der anwaltlichen Verschwiegenheitspflichten. Auch die interne Klassifizierung „streng vertraulich“ verschwindet nicht dadurch, dass ein Anbieter eine bestimmte Datenkontrolle anbietet. Sie brauchen einen Nachweis aus Vertragsklausel, Projekteinstellung und realem Request-Pfad.

Achtung: Eine Vertriebsdarstellung oder ein Produktname ist kein Abnahmenachweis. Fordern Sie für den konkreten Zugang eine schriftliche Bestätigung an und gleichen Sie sie mit einem kontrollierten Testlauf ab.

Wenn Sie den Speicherort nach einem Upload nicht erklären können, stoppen Sie den Pilot für Mandatsdaten. Für öffentliche Urteile, veröffentlichte Gesetzestexte oder synthetische Akten kann der Test fortgesetzt werden, sofern keine Verbindung zu realen Mandatskennungen besteht.

Recherchequalität statt fertiger Rechtsmeinung

Die zweite wesentliche Fehlannahme lautet: Ein korrekt wirkendes Rechercheergebnis sei bereits eine belastbare juristische Stellungnahme. Auch wenn Astra for Law juristische Quellen strukturiert durchsucht, müssen Sie die Beweiskette für jede wichtige Aussage selbst rekonstruieren.

Eine Abnahme sollte deshalb nicht nur die Antwortqualität bewerten. Für jede repräsentative Aufgabe speichern Sie:

1. die ursprüngliche Fragestellung,
2. die verwendete Datenklasse,
3. alle vom System genannten Quellen,
4. die konkreten zitierten Abschnitte,
5. die betroffene Gerichtsbarkeit,
6. den zeitlichen Geltungsstand,
7. die Prüfung durch eine qualifizierte Person,
8. erkannte Fehler und die anschließende Korrektur.

Besonders riskant sind Antworten, die eine ältere Entscheidung ohne spätere Entwicklung zusammenfassen, eine ausländische Gerichtsbarkeit einbeziehen oder belastende Gegenargumente auslassen. Ein Modellbenchmark kann die Fähigkeit zur Recherche illustrieren; er ist aber keine Zusicherung, dass die Antwort in Ihrem einzelnen Verfahren richtig, vollständig oder aktuell ist.

Definieren Sie vor dem Pilot drei Rückfallregeln:

• Verifizierbar: Die Quelle ist zugänglich, einschlägig und von einem Juristen geprüft.
• Unvollständig: Die Antwort darf nur als Recherchehinweis gespeichert werden.
• Nicht verifizierbar: Die Ausgabe darf nicht in eine Mandatsakte oder Kundenkommunikation gelangen.

Wenn Ihr Team die entscheidende Rechtsgrundlage nicht unabhängig prüfen kann, bleibt Astra for Law ein Rechercheassistent. Es darf dann keine abschließende Rechtsmeinung erzeugen, freigeben oder automatisiert an Mandanten versenden.

Plugin-Rechte statt Workspace-Vertrauen

Verbundene Plugins vergrößern die Datenkette erheblich. Ein ChatGPT-Arbeitsbereich kann eine Identität und bestimmte Rollen abbilden, aber daraus folgt nicht, dass ein Dokumentenmanagement-, Fallmanagement- oder Rechtsrecherche-System dieselben Rechte übernimmt. Die OpenAI-Hilfe zum Verbinden und Verwalten von App-Konten beschreibt den Verbindungsvorgang; Ihre Abnahme muss darüber hinaus die tatsächlichen Lese- und Schreibwege untersuchen.

Testen Sie Plugins nicht mit einer einzigen „funktioniert“-Frage. Verwenden Sie mindestens diese getrennten Fälle:

• Nur-Lese-Suche in einem ausdrücklich erlaubten Mandat,
• Abruf eines Dokuments mit einer verweigerten Matter-Berechtigung,
• Speichern einer generierten Notiz,
• Änderung eines bestehenden Inhalts,
• Suche über zwei getrennte Mandate,
• sofortiger Entzug der Verbindung,
• Wiederholung eines zuvor erteilten Auftrags nach dem Entzug.

Dokumentieren Sie für jeden Fall, ob Daten gelesen, geschrieben, zwischengespeichert oder an einen weiteren Dienst übermittelt wurden. Prüfen Sie zusätzlich, ob Ethical Walls, Teamgrenzen und Aktenberechtigungen tatsächlich vererbt werden. Ein Plugin, das nach dem Entzug noch auf einen früheren Auftrag zugreifen kann, ist für vertrauliche Akten nicht abgenommen.

Für Ihre Governance eignet sich eine getrennte Freigabe je Aktion: Lesen, Speichern, Ändern und mandatsübergreifende Suche. Eine pauschale Zustimmung für „das Plugin“ verdeckt genau die Schreib- und Querzugriffsrisiken, die später schwer zu rekonstruieren sind. Ergänzende Kriterien für eine Prüfung von Plugin-Berechtigungen und Audit-Protokollen sollten als Bestandteil des internen Kontrollkatalogs dokumentiert werden.

Codex-Ausführung statt reiner Textantwort

Codex verändert die Risikoklasse, weil der Arbeitsablauf nicht bei einer Modellantwort endet. Neben der Antwort müssen Sie Code- und Dateivorgänge, externe Werkzeuge, Netzwerkzugriffe und die Berechtigungen des Betriebssystems trennen. Ein Codex-Auftrag, der eine große Menge interner Dokumente verarbeitet, kann daher mehr bewirken als ein einzelner Chat.

Die Abnahme beginnt mit einer eigenen Testumgebung. Verwenden Sie kein gemeinsames Arbeitsverzeichnis für Mandantenakten und gewöhnliche Entwicklungsaufgaben. Prüfen Sie anschließend:

1. den exakten Arbeitsordner und seine Vererbung,
2. temporäre Zugangsdaten und deren Lebensdauer,
3. erlaubte Netzwerkziele,
4. manuelle Bestätigung vor Dateiänderungen,
5. Protokollierung von Werkzeugaufrufen,
6. Bereinigung nach Abschluss,
7. Verhalten bei Abbruch, Timeout und Wiederanlauf.

Auch der Chat-Verlauf braucht eine eigene Lösch- und Archivierungsprüfung. Die offizielle Anleitung zum Archivieren und Löschen von Codex-Chats ist dabei nur ein Teil der Kontrolle; zusätzlich müssen Sie lokale Arbeitsdateien, temporäre Kopien, Ausgaben und angebundene Speicher untersuchen.

Für interne Legal Agents gilt: Erst synthetische Akten, dann veröffentlichte Dokumente, danach höchstens ausdrücklich freigegebene risikoarme interne Inhalte. Eine automatische Änderung in einem produktiven Fallmanagement-System sollte im Pilot ausgeschlossen bleiben. Wenn ein Auftrag nicht nachvollziehbar beendet und bereinigt werden kann, ist die technische Ausführung nicht für Mandatsgeheimnisse geeignet.

API-Vorbereitung statt erfundener Produktionsarchitektur

Viele Teams beginnen bereits mit einem Produktionsdesign, obwohl die Astra-for-Law-API noch nicht allgemein bestätigt verfügbar ist. Das erzeugt falsche Sicherheit: Endpunkte, Datenfelder, Zustandslogik und Kosten werden angenommen, bevor sie geprüft werden können.

Bis zur offiziellen Freigabe sollten Sie nur die Teile entwickeln, die unabhängig vom späteren Endpunkt sind:

• Datenklassifizierung und Sperrregeln,
• synthetische Evaluationsdatensätze,
• Quellen- und Zitationsprüfung,
• Protokollschema,
• menschliche Freigabepunkte,
• Fehler- und Rückfallpfad,
• Trennung von Test- und Produktionsspeicher.

Die Dokumentation zu Datenkontrollen nach API-Endpunkt muss nach einer tatsächlichen Freigabe erneut gegen den konkreten Zugang geprüft werden. Entscheidend sind dann nicht nur Modellname und Antwortformat, sondern ZDR-Kompatibilität, Zustandsverwaltung, Plugin-Ersatz, regionale Bedingungen und die vollständigen Kosten jedes Arbeitsschritts.

Planen Sie den API-Einsatz daher in drei Phasen:

• Vorbereitung: Adapter, Testdaten und Rückfalllogik ohne echte Mandatsdaten.
• Technische Abnahme: bestätigter Endpunkt, Vertragsprüfung, Datenpfad und Löschverhalten.
• Begrenzter Pilot: nur freigegebene Aufgaben mit Protokoll, menschlicher Prüfung und sofortigem Rückzug.

Ein unveröffentlichtes Datum darf nicht als Lieferplan an Partner oder Mandanten kommuniziert werden. Falls ein Team heute bereits einen produktiven Rechts-Agenten benötigt, muss es eine verfügbare, vertraglich geprüfte Alternative verwenden oder den Einsatz verschieben.

Abnahme-Score für die Pilotentscheidung

Nutzen Sie die folgende Bewertung nicht als mathematische Sicherheitsgarantie, sondern als nachvollziehbares Gate. Jeder Bereich erhält intern den Status „bestanden“, „mit Auflage“ oder „nicht bestanden“. Die Tabelle trennt die häufig verwechselten Systeme und ihre zulässige Rolle:

Achten Sie besonders auf die Trennung zwischen Astra for Law und GPT-6 Astra Law. Ein ähnlicher Produktname ist kein Beleg dafür, dass Modelle, Zugriffsrechte, Datenkontrollen oder API-Bedingungen identisch sind. Ebenso darf ChatGPT Enterprise nicht pauschal als Ersatz für die gesonderte Prüfung von Codex, Plugins oder Betriebssystemrechten behandelt werden.

Durchführbare Abnahme in sieben Schritten

1. Zugang festhalten: Exportieren oder archivieren Sie die sichtbare Produktfreigabe, den Konto-Status und die schriftliche Berechtigung.
2. Datenklassen definieren: Teilen Sie Inhalte mindestens in öffentlich, synthetisch, intern, vertraulich und mandatsbezogen ein; legen Sie für jede Klasse einen zulässigen Pfad fest.
3. Request-Wege zeichnen: Dokumentieren Sie Modell, ChatGPT- oder Codex-Einstieg, Plugin, Speicher, Protokoll und Löschweg.
4. ZDR verifizieren: Vergleichen Sie Vertrag, Projektkonfiguration und tatsächlichen Testpfad; akzeptieren Sie keine Aussage, die nur allgemein auf ZDR verweist.
5. Recherche prüfen: Verwenden Sie repräsentative Aufgaben und speichern Sie Frage, Quelle, Zitat, Gerichtsbarkeit, Aktualität, juristische Prüfung und Fehlerkorrektur.
6. Ausführung begrenzen: Testen Sie Codex in einem separaten Arbeitsbereich mit temporären Zugangsdaten, gesperrtem Netzwerk und manueller Freigabe vor Änderungen.
7. Entscheidung protokollieren: Wählen Sie nur eine von drei Stufen: öffentliche Erprobung, begrenzter Pilot mit freigegebenen Aufgaben oder vorläufige Nichtanbindung.

Checkliste für die Freigabe

• [ ] Schriftliche Astra-for-Law-Berechtigung und konkreter Kontostatus sind archiviert.
• [ ] Vertrag, Region und zulässige Datenkontrollen sind geprüft.
• [ ] Die API wird nicht als verfügbar behandelt, solange kein bestätigter Produktionszugang vorliegt.
• [ ] Mandatsdaten sind von öffentlichen und synthetischen Testdaten getrennt.
• [ ] ZDR wurde für den tatsächlichen Einstieg und nicht nur für das Produkt allgemein belegt.
• [ ] Plugin-Lese-, Schreib-, Cache- und Widerrufspfade sind getestet.
• [ ] Ethical Walls und Matter-Berechtigungen wurden mit verweigerten Zugriffen geprüft.
• [ ] Codex nutzt einen isolierten Arbeitsbereich ohne gemeinsame produktive Akten.
• [ ] Temporäre Zugangsdaten, Netzwerkzugriffe und Bereinigung sind nachvollziehbar.
• [ ] Juristische Quellen werden von qualifizierten Personen unabhängig geprüft.
• [ ] Fehler, Korrekturen und manuelle Übernahmen werden protokolliert.
• [ ] Es gibt eine dokumentierte Rückfallentscheidung und einen sofortigen Abschaltweg.

Bestehen weniger als alle kritischen Punkte zu Datenpfad, Berechtigungsentzug, Quellenprüfung oder Codex-Isolierung, sollten Sie nicht mit Mandatsgeheimnissen fortfahren. Für die technische Vorbereitung können Sie eine abgeschottete Cloud-Mac-Testumgebung für sensible Dokumente prüfen; sie ersetzt allerdings keine vertragliche und berufsrechtliche Freigabe.

Der Unterschied zum direkten Import in eine bestehende Entwicklerumgebung ist konkret: Ein gemeinsamer Arbeitsplatz vermischt häufig temporäre Dateien, Zugangsdaten, Netzwerkwege und Arbeitsprotokolle. Bei einem separaten Testsystem können Sie diese Pfade kontrollieren, nach dem Versuch zurücksetzen und die Abnahme von der produktiven Fallverwaltung fernhalten. Für die Auswahl eines solchen Systems sollten Sie Cloud-Mac-Mietmodelle und Bereitstellungsbedingungen erst nach der Daten- und Rechteprüfung vergleichen; die Hardware allein macht einen Rechts-Agenten nicht vertraulich.

Wenn Sie diese Prüfung abschließen, ergibt sich eine belastbare Entscheidung: Nur öffentliche Unterlagen? Ein dokumentierter Informationspilot ist möglich. Bestätigter Zugang, kontrollierter Datenpfad, isolierte Ausführung und menschliche Quellenprüfung? Ein begrenzter Pilot mit ausdrücklich freigegebenen Aufgaben ist vertretbar. Unklare Plugin-Rechte, fehlende API-Bestätigung oder nicht nachweisbare Löschung? Die Anbindung wird verschoben.

Der derzeitige Ansatz über eine gemeinsam genutzte Chat- oder Entwicklungsumgebung hat für Mandatsarbeit drei reale Schwächen: Zustände und Dateien können über mehrere Verarbeitungsschritte verteilt sein, Plugin-Rechte lassen sich nicht aus dem Workspace-Namen ableiten, und Codex erweitert das Risiko von der Antwort auf lokale Dateien und Werkzeuge. Für einen kurzfristigen, getrennten Test kann das Mieten eines dedizierten Mac-Arbeitsplatzes über MacPull deshalb kontrollierbarer sein als die spontane Nutzung einer vorhandenen Entwicklerumgebung. Es bleibt aber eine Infrastrukturentscheidung: Bei dauerhaft hoher Auslastung, zwingenden physischen Schnittstellen oder langfristig stabilen Workloads kann ein eigener Mac sinnvoller sein. Prüfen Sie zuerst Astra-for-Law-Zugang, Vertragsumfang und Datenpfad; erst danach entscheiden Sie, ob eine unabhängige Cloud-Mac-Umgebung den Pilot sicherer und nachvollziehbarer macht.

Häufige Fragen