Der KI-Check. Erst der Überblick.
Der KI-Check klärt, welche KI-Anwendungen bei Ihrem Träger im Einsatz sind, wie sie nach der KI-Verordnung einzuordnen sind und was zu tun bleibt. Dafür sehe ich mir Verträge, Verzeichnisse und die gelebte Praxis in Ihren Teams an.
- Festpreis
- 1.500 € für eine Einrichtung oder einen kleinen Träger unter 50 Beschäftigten
- Bericht
- innerhalb von drei Wochen nach dem Termin vor Ort
- Ergebnis
- Verzeichnis, Einstufung und Maßnahmenplan
Was der KI-Check klärt
Schreibhilfe, Übersetzung und Wissensabfrage stehen nicht auf der Hochrisiko-Liste der KI-Verordnung. Regeln brauchen sie trotzdem: welche Anwendungen laufen, welche Daten hineindürfen und wer ein Ergebnis prüft, bevor es in die Akte geht.
Für solche Anwendungen verlangt die KI-Verordnung von Ihrem Träger vor allem Maßnahmen zur KI-Kompetenz der Beschäftigten (Art. 4) und den Ausschluss verbotener Praktiken (Art. 5). Den größeren Teil der Pflichten bringen Datenschutz und Schweigepflicht mit.
Bevor solche Regeln entstehen, braucht Ihre Leitung den Überblick. Dazu gehören auch Anwendungen, die niemand eigens eingeführt hat: KI-Funktionen, die per Update in die Fachsoftware gekommen sind, und Werkzeuge, die Mitarbeitende privat nutzen. Ohne diesen Überblick lässt sich nicht nachvollziehen, welche Daten wohin gehen. Was gilt, wenn Mitarbeitende private KI-Konten für die Arbeit nutzen, erklärt der Fachbeitrag Schatten-KI und private KI-Konten.
Der KI-Check verbindet drei Teile zu einem Projekt: das Verzeichnis Ihrer KI-Anwendungen, ihre Einstufung nach der KI-Verordnung und eine Bestandsaufnahme. ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme. Die Bestandsaufnahme ist an sie angelehnt und zeigt, welche Bausteine eines geregelten KI-Einsatzes Ihr Träger schon hat und wo etwas fehlt.
Der KI-Check ist für Träger gedacht, die vor einer Entscheidung wissen wollen, wo sie stehen, mit oder ohne eigenen Datenschutzbeauftragten.
Was Sie am Ende in der Hand haben
| Nr. | Dokument | Inhalt | Rechtsgrundlage |
|---|---|---|---|
| 1 | KI-Verzeichnis, erste Fassung | Jede Anwendung, auch KI in der Fachsoftware und privat genutzte Werkzeuge: Zweck, Anbieter, Datenarten, Verantwortliche, Bezug zu Verarbeitungsverzeichnis und Verträgen | Art. 4, 5, 50 KI-VO · Art. 30 DSGVO |
| 2 | Einstufungsvermerke für bis zu zehn Anwendungen | Verbot, Hochrisiko, Transparenz; Bedingungen der Nutzung wie menschliche Prüfung, Protokollierung und Kennzeichnung; Anlässe für eine neue Prüfung. Als Arbeitsgrundlage für die Leitung | Art. 5, 6, 50 und Anhang III KI-VO |
| 3 | Kurzbericht mit Ampel und Maßnahmenplan | Bestandsaufnahme angelehnt an ISO/IEC 42001, Handlungsbedarf in Rot, Gelb und Grün, Maßnahmen mit einer Empfehlung für Ihre KI-Regeln | Organisationspflicht der Leitung |
| 4 | Rollenkarte | Ist-Stand und Vorschlag: wer entscheidet, wer koordiniert, wer berät | Art. 38 Abs. 6 DSGVO |
Prüfmaßstab für den Datenschutz sind die Orientierungshilfen der Datenschutzkonferenz, des gemeinsamen Gremiums der Datenschutzaufsichtsbehörden von Bund und Ländern. Für Chat-Dienste und andere generative KI dient der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) als Prüfliste.
Was die Einstufung prüft
Ein Einstufungsvermerk hält für eine Anwendung fest, wie sie nach der KI-Verordnung einzuordnen ist. Er geht drei Fragen nach:
- Berührt die Anwendung eine verbotene Praktik? Für soziale Träger sind vor allem drei Verbote zu prüfen: die Ausnutzung von Schutzbedürftigkeit, die Bewertung von Menschen nach ihrem sozialen Verhalten und die Erkennung von Emotionen am Arbeitsplatz oder in der Bildung (Art. 5 KI-VO).
- Steht sie auf der Hochrisiko-Liste, also in Anhang III der KI-Verordnung? Absehbare Prüfpunkte sind Software für Bewerbung und Personal (Nr. 4) und die Zulassung oder Bewertung in Bildungsangeboten (Nr. 3). Dazu kommen Emotionserkennung bei Klientinnen und Klienten (Nr. 1 c), die Bewertung von Notrufen, etwa im Hausnotruf (Nr. 5 d), und die Prüfung von Ansprüchen auf öffentliche Leistungen, wenn eine Behörde das System einsetzt oder beauftragt (Nr. 5 a).
- Gelten Hinweispflichten? Das kann etwa Emotionserkennung betreffen oder einen Chatbot, den Ihr Träger entwickeln lässt und unter eigenem Namen in Betrieb nimmt (Art. 50 KI-VO).
Dazu nennt der Vermerk die Bedingungen der Nutzung und die Anlässe, zu denen eine Anwendung neu zu prüfen ist. Die Einstufung ist eine Arbeitsgrundlage für die Entscheidung Ihrer Leitung, kein Rechtsgutachten.
So läuft der KI-Check ab
Auftakt
Ein Gespräch per Video mit Ihrer Leitung, in dem wir Ablauf und Beteiligte festlegen.
Kurzabfrage
Eine anonyme Kurzabfrage in den Bereichen zeigt, welche KI-Werkzeuge die Teams nutzen, auch privat.
Unterlagen
Ich sehe die Übersicht der Verträge zur Auftragsverarbeitung, das Verarbeitungsverzeichnis sowie Verträge und Versionshinweise der Fachsoftware durch, soweit vorhanden.
Termin vor Ort
Ein Termin mit der Leitung, mit IT und Datenschutzkoordination, soweit vorhanden, mit Mitarbeitervertretung (MAV) oder Betriebsrat und mit zwei bis drei Bereichsleitungen.
Einstufung und Bericht
Ich stufe die Anwendungen ein und fasse den Stand im Kurzbericht mit Ampel und Maßnahmenplan zusammen.
Innerhalb von drei Wochen nach dem Termin vor Ort
Abschlussgespräch
Per Video bespreche ich die Ergebnisse mit Ihrer Leitung. Danach entscheiden Sie, ob es weitergeht.
Vor der Kurzabfrage: Ihre Leitung erklärt den Teams, dass die Angaben folgenlos bleiben, und informiert MAV oder Betriebsrat. Sonst bleibt unsichtbar, welche Werkzeuge ohne Wissen der Leitung im Einsatz sind.
Was nicht dazugehört
- Die KI-Richtlinie selbst, der Freigabeweg und die Schulung. Sie entstehen in Abschnitt 2 des Projekts „KI-Richtlinie entwickeln“.
- Eine Datenschutz-Folgenabschätzung, also die Prüfung, welche Risiken eine Verarbeitung für die betroffenen Menschen hat. Das Verzeichnis zeigt, wo eine nötig sein kann; durchführen wird sie Ihr Träger.
- Rechtsgutachten und die Prüfung von Verträgen auf Wirksamkeit
- Die Empfehlung, Vermittlung, Einführung oder der Betrieb von Software
Die Einstufung ist ein Vorschlag an Ihre Leitung. Ein Freigabe- oder Beschaffungsrecht habe ich nicht. Welche Rolle ich bei Ihnen übernehme, legen wir schriftlich fest. Verantwortlich bleibt Ihr Träger.
Was es kostet
KI-Check
1.500 €
Richtwert bei vier Standorten: 2.500 bis 3.000 €
- Der Festpreis gilt für eine Einrichtung an einem Standort und für kleine Träger mit weniger als 50 Beschäftigten, auch wenn sie mehrere Standorte haben. Bei größeren Trägern zählt jede Einrichtung und jeder Dienst mit eigenem Team als Standort.
- Enthalten sind Auftakt, Kurzabfrage, Durchsicht der Unterlagen, Termin vor Ort, Einstufung von bis zu zehn Anwendungen, Kurzbericht und Abschlussgespräch
- Das Verzeichnis erfasst alle Anwendungen. Für Einstufungsvermerke über zehn hinaus nennt das Angebot einen Festpreis.
- Bei größeren Trägern mit mehreren Standorten nennt das Angebot nach dem Erstgespräch den verbindlichen Festpreis
- Alle Preise sind Endbeträge. Derzeit fällt keine Umsatzsteuer an (§ 19 UStG).
- Reisekosten sind im Umkreis von 100 km um Chemnitz enthalten. Darüber berechne ich die Bahnfahrt in der 2. Klasse und eine nötige Übernachtung nach Beleg.
Nach dem KI-Check: Er ist zugleich Abschnitt 1 von „KI-Richtlinie entwickeln“. Wer weitermacht, bucht Abschnitt 2 mit Regeln, Rollen und Schulung, für eine Einrichtung oder einen kleinen Träger für 3.000 €.
Wie es danach weitergehen kann
Der KI-Check ist ein Projekt mit festem Ende. Mit Verzeichnis, Vermerken und Maßnahmenplan kann Ihr Team selbst weiterarbeiten. Wer die Regeln nicht allein aufstellen oder nicht selbst pflegen möchte, hat drei Wege.
Sie haben bereits einen Datenschutzbeauftragten? Die KI-Compliance gibt es auch ohne Benennung, ab 300 € im Monat. Mehr dazu
Fragen zum KI-Check
Was müssen wir für den KI-Check vorbereiten?
Hilfreich sind die Übersicht Ihrer Verträge zur Auftragsverarbeitung, das Verarbeitungsverzeichnis sowie Verträge und Versionshinweise Ihrer Fachsoftware, soweit vorhanden. Für den Termin vor Ort planen Sie Leitung, IT, Datenschutzkoordination, MAV oder Betriebsrat und zwei bis drei Bereichsleitungen ein. Vor der Kurzabfrage erklärt Ihre Leitung den Teams, dass die Angaben folgenlos bleiben.
Zählt KI in unserer Fachsoftware mit?
Ja. KI kann per Update der Fachsoftware ins Haus kommen, ohne dass jemand sie eigens eingeführt hat. Deshalb sehe ich Verträge und Versionshinweise Ihrer Fachsoftware durch und nehme die KI-Funktionen, die sich dort zeigen, ins Verzeichnis auf. Wer neue Funktionen künftig prüft, bevor sie genutzt werden, regelt der Freigabeweg in Abschnitt 2 von „KI-Richtlinie entwickeln“.
Was gilt, wenn bei uns mehr als zehn KI-Anwendungen im Einsatz sind?
Das Verzeichnis erfasst alle Anwendungen. Einstufungsvermerke enthält der Festpreis für bis zu zehn. Sind es mehr, legen wir im Auftakt gemeinsam fest, welche zuerst einen Vermerk bekommen: Anwendungen mit Daten von Klientinnen und Klienten oder Beschäftigten und Anwendungen mit einem Prüfpunkt der Hochrisiko-Liste. Für weitere Vermerke nennt das Angebot einen Festpreis.
Brauchen wir für den KI-Check einen Datenschutzbeauftragten?
Nein. Der KI-Check ist ein eigenes Projekt, unabhängig davon, ob Ihr Träger einen Datenschutzbeauftragten hat und wer diese Funktion übernimmt. Die Ergebnisse sind eine Arbeitsgrundlage für Ihre Leitung und, wenn Sie einen haben, für Ihren Datenschutzbeauftragten. Ob Ihr Träger einen Datenschutzbeauftragten benennen muss, steht auf der Seite zum externen Datenschutzbeauftragten.
Brauchen wir den KI-Check, wenn Sie bereits unser Datenschutzbeauftragter sind?
Als Datenschutzbeauftragter erfasse ich mit Ihnen KI-Anwendungen, mit denen personenbezogene Daten verarbeitet werden, im Verarbeitungsverzeichnis und prüfe die Verträge. Der KI-Check geht weiter: Sein KI-Verzeichnis erfasst jede Anwendung, auch Werkzeuge, die Mitarbeitende privat nutzen. Dazu kommen die anonyme Kurzabfrage in den Teams, die Einstufung nach der KI-Verordnung und der Maßnahmenplan. Das KI-Verzeichnis ist zugleich eine Voraussetzung für die laufende KI-Compliance.
Was geschieht, wenn eine Anwendung unter die Hochrisiko-Liste fällt?
Der Einstufungsvermerk hält die Einordnung als Arbeitsgrundlage für Ihre Leitung fest, auch ob ein Bestandsschutz greift. Bestandsschutz heißt: Für Anwendungen auf dieser Liste, die vor dem 02.12.2027 in Verkehr gebracht oder in Betrieb genommen werden, gelten die Hochrisiko-Pflichten nur, wenn sie danach in ihrer Konzeption erheblich verändert werden. Liegt Hochrisiko vor, hat Ihre Leitung drei Wege: die Funktion nicht nutzen, die Pflichten Ihres Trägers als Betreiber (Art. 26 KI-VO) bis zum 02.12.2027 selbst umsetzen oder die Umsetzung in den Aufbau eines KI-Managementsystems einbinden. Betreiber ist die Organisation, die das System einsetzt.
Gilt der KI-Check auch für kirchliche Träger?
Ja. Für den Datenschutz gelten dann das Gesetz über den Kirchlichen Datenschutz (KDG) oder das Datenschutzgesetz der EKD (DSG-EKD), mit der eigenen kirchlichen Aufsicht. Die Orientierungshilfen der Datenschutzkonferenz geben dort Anhaltspunkte, sind aber nicht der Maßstab dieser Aufsicht. Statt eines Betriebsrats ist die Mitarbeitervertretung beteiligt.
Was kommt nach dem KI-Check?
Das entscheiden Sie nach dem Abschlussgespräch. Sie können mit Verzeichnis und Maßnahmenplan selbst weiterarbeiten, die Richtlinie in Abschnitt 2 von „KI-Richtlinie entwickeln“ erarbeiten lassen oder, sobald KI-Richtlinie und KI-Verzeichnis vorliegen, beides laufend pflegen lassen. Die Wege und ihre Preise stehen im Abschnitt „Wie es danach weitergehen kann“.
Fachbeiträge zum Thema.
Alle Fachbeiträge
KI im AlltagWelche KI nutzt unser Team?
Mit Mustern für eine anonyme Kurzabfrage, ein KI-Verzeichnis und die Durchsicht von Updates der Fachsoftware klärt die Leitung, welche KI im Träger läuft, auch privat.
KI im AlltagSchatten-KI und private KI-Konten
Was gilt, wenn Mitarbeitende private KI-Konten für die Arbeit nutzen, und wie die Leitung zu einer zugelassenen Lösung kommt.
RechtsstandFristenkalender 2026 bis 2030
Was für Träger der Sozialen Arbeit und Pflege schon gilt, was mit festem Datum kommt und was nur Vorschlag ist: KI-Verordnung, NIS2 und Datenschutz.Der nächste Schritt
In einem kostenfreien Erstgespräch klären wir, welche Bereiche der KI-Check umfasst und ob er für Ihren Träger der passende Einstieg ist.
Erstgespräch vereinbaren