Verzeichnis, Regeln, Risiken und Nachweis in einem System, das Ihre Leitung jährlich bewertet. Ich baue es befristet mit Ihnen auf: angelehnt an ISO/IEC 42001 oder als Aufbau nach ISO/IEC 42001 und Vorbereitung auf die Zertifizierung.
Ein KI-Managementsystem ist der feste Rahmen, in dem Ihr Träger den Einsatz von KI plant, steuert, überprüft und verbessert: mit Zielen, Zuständigkeiten, festgelegten Abläufen und einer jährlichen Bewertung durch die Leitung, der Managementbewertung.
In meiner laufenden Begleitung ist es Stufe 3. Stufe 1 ist die Funktion als Datenschutzbeauftragter, Stufe 2 ergänzt sie um die KI-Compliance. Das System passt zu Trägern, die ihren KI-Einsatz dauerhaft systematisch steuern wollen, eingebunden in ihr Qualitätsmanagement. Drei Anlässe sprechen dafür:
Ob eine Anwendung tatsächlich unter die Liste fällt, hält ein Einstufungsvermerk je Anwendung fest, als Arbeitsgrundlage für die Entscheidung Ihrer Leitung. Er prüft auch die übrigen Punkte der Liste.
Schreibhilfe, Übersetzung und Wissensabfrage stehen nicht auf der Hochrisiko-Liste. Nutzt Ihr Träger nur solche Anwendungen, reicht das Projekt KI-Richtlinie entwickeln, solange Sie weder ein Zertifikat anstreben noch KI mit eigenen Zielen steuern wollen. Auf seinem Ergebnis lässt sich das ganze System später aufbauen.
Die Bausteine eines KI-Managementsystems gibt es auch ohne Hochrisiko-Anwendung: Verzeichnis, Regeln, Freigabeweg und Nachweis im Projekt, das ganze System in Stufe 3.
| Baustein | Wofür Sie ihn brauchen | Im Projekt „KI-Richtlinie entwickeln“ | In Stufe 3 |
|---|---|---|---|
| KI-Verzeichnis | Überblick über alle Anwendungen, auch KI aus der Fachsoftware | Erste vollständige Fassung | Gepflegt, mit Geltungsbereich |
| Einstufung je Anwendung | Arbeitsgrundlage für die Entscheidung der Leitung: ob eine Anwendung unter die Hochrisiko-Liste fällt und wann neu zu prüfen ist | Vermerk je Anwendung, bis zu zehn im Festpreis | Für jede neue Anwendung |
| KI-Richtlinie mit Freigabematrix | Welche Daten in welche Anwendung dürfen | Entwurf zur Beschlussfassung | Mit KI-Politik und KI-Zielen |
| Freigabeweg | Neue Anwendungen und Updates prüfen, bevor sie genutzt werden | Prüfliste für Anbieter | Steuerung der Lieferanten |
| Rollen | Wer entscheidet, wer berät, wer koordiniert | Rollenmatrix | Rollenmatrix und Prozessbeschreibung |
| Meldeweg | Fehler und Bedenken ansprechbar machen | Angedockt an Ihr Beschwerdesystem | Mit Auswertung in der Managementbewertung |
| Schulung | KI-Kompetenz nach Art. 4 KI-VO | Grundschulung und Leitungsbriefing | Kompetenzprogramm |
| Risiken und Folgen | Schutz der Menschen, die Ihre Einrichtung begleitet | Grundzüge im Vermerk | Risikobetrachtung und Folgenabschätzung je Anwendung |
| Nachweis | Unterlagen für Leitung, Gremien und Prüfungen | Nachweismappe | Managementbewertung; mit Zertifizierungsziel Auditprogramm |
ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme. Seit August 2026 liegt sie als DIN EN ISO/IEC 42001:2026-08 auf Deutsch vor.
Die Norm ist freiwillig. Zertifizieren lassen können sich auch Organisationen, die KI nur einsetzen. Beide Wege biete ich gleichwertig an: Ohne Zertifikat liegt der Nutzen in geordneten Abläufen, im Nachweis und im Anschluss an Ihr Qualitätsmanagement. Mit Zertifikat kommt der Nachweis gegenüber Dritten hinzu.
Einen rechtlichen Vorteil nach der KI-Verordnung bringt ein Zertifikat bei reiner Nutzung nicht. Die Wahl hängt deshalb davon ab, ob Sie diesen Nachweis brauchen. Wann sich ein Managementsystem lohnt und wann eine KI-Richtlinie reicht, erklärt der Fachbeitrag ISO/IEC 42001 für soziale Träger.
Für Träger ohne Zertifizierungsziel. Das System folgt der Gliederung der Norm und übernimmt aus ihr, was Ihr KI-Einsatz braucht.
Planen Sie sechs Monate ein.
Aufbau nach ISO/IEC 42001 und Vorbereitung auf die Zertifizierung; die Zertifizierungsstelle beauftragen Sie. Zusätzlich zum System entstehen:
Planen Sie neun bis zwölf Monate ein. Die Kosten der Zertifizierungsstelle kommen hinzu.
| Nr. | Baustein | Inhalt | Rechtsgrundlage |
|---|---|---|---|
| 1 | Geltungsbereich, KI-Politik und KI-Ziele | Welche Bereiche und Anwendungen das System erfasst, wer Erwartungen an Ihren KI-Einsatz hat, die Grundsätze der Leitung (KI-Politik) und zwei bis drei KI-Ziele | Organisationspflicht der Leitung |
| 2 | KI-Verzeichnis und Einstufung | Alle Anwendungen, auch KI aus der Fachsoftware, mit einem Einstufungsvermerk für jede neue Anwendung | Art. 4, 5, 6, 50 und Anhang III KI-VO · Art. 30 DSGVO |
| 3 | Rollenmatrix | Leitung entscheidet, eine interne KI-Ansprechperson koordiniert, der Datenschutzbeauftragte berät; dazu die Beschreibung der Abläufe | Art. 38 Abs. 6 DSGVO |
| 4 | Freigabe neuer Anwendungen | Prozess „Freigabe einer neuen KI-Anwendung“ mit Steuerung der Lieferanten: wie Anbieter vor dem Einkauf und bei Updates geprüft werden | Art. 28, 35 DSGVO · § 203 Abs. 3 StGB |
| 5 | Risikobetrachtung je Anwendung | Im vorhandenen Risikoregister Ihres Trägers, mit der Methode nach ISO/IEC 23894 | Art. 32 DSGVO · bei Hochrisiko Art. 26 Abs. 5 KI-VO |
| 6 | Folgenabschätzung je Anwendung | Für Anwendungen mit Klientenbezug: Folgen für Teilhabe, Selbstbestimmung und fachliche Entscheidung, orientiert an ISO/IEC 42005 und verbunden mit der Datenschutz-Folgenabschätzung. Ihr Träger führt sie durch, ich moderiere. | Art. 35 DSGVO · bei Hochrisiko im Einzelfall Art. 27 KI-VO |
| 7 | Meldeweg für Bedenken | Angedockt an Ihr Beschwerde- oder Hinweisgebersystem, mit Auswertung in der Managementbewertung | Art. 33 DSGVO |
| 8 | Kompetenzprogramm | Schulungen nach Rollen mit Teilnahmenachweis und Kompetenzübersicht | Art. 4 KI-VO · Art. 39 Abs. 1 lit. b DSGVO |
| 9 | Beteiligungsplan | Wann und wie Mitarbeitervertretung (MAV) oder Betriebsrat einbezogen werden | §§ 87, 90 BetrVG · MAVO · MVG-EKD |
| 10 | Rechtskataster und Dokumentenverzeichnis | Übersicht der Vorschriften für Ihren KI-Einsatz mit festgelegtem Verfahren zur Pflege, dazu ein Verzeichnis aller Dokumente des Systems | Art. 5 Abs. 2 DSGVO |
| 11 | Managementbewertung | Jährliche Bewertung des Systems durch die Leitung, gemeinsam mit Datenschutz und Qualitätsmanagement | Organisationspflicht der Leitung |
Die Bausteine lehnen sich an die Gliederung von ISO/IEC 42001 an. Den Freigabeweg baue ich nach dem Kriterienkatalog für generative KI des Bundesamts für Sicherheit in der Informationstechnik auf, die Datenschutzprüfung nach den Orientierungshilfen der Datenschutzkonferenz. Bei kirchlichen Trägern gelten statt der DSGVO die entsprechenden Normen in KDG oder DSG-EKD, statt des BetrVG die MAVO oder das MVG-EKD.
Ein KI-Managementsystem braucht keinen eigenen Ordner neben dem Qualitätsmanagement. ISO 9001:2026, ISO/IEC 42001 und ISO/IEC 27701:2025 teilen dieselbe Grundstruktur mit den Kapiteln 4 bis 10, vom Kontext der Organisation bis zur Verbesserung.
Deshalb führt Ihr Träger diese Werkzeuge nur einmal:
Das KI-Verzeichnis steht neben dem Verzeichnis der Verarbeitungstätigkeiten, das der Datenschutz verlangt. Prüffragen zu KI gehen in das geplante interne Audit ein. Den Datenschutz binde ich in der Struktur von ISO/IEC 27701 an, die seit Oktober 2025 eine eigenständige Norm für Datenschutz-Managementsysteme ist.
ISO 9001:2026 ist am 16. September 2026 erschienen, mit einer Übergangsfrist von drei Jahren. Stellen Sie Ihr Qualitätsmanagement auf die neue Fassung um, lassen sich KI-Regeln und KI-Risiken im selben Durchgang einarbeiten. Mit einem bestehenden System nach ISO 9001 geht der Aufbau schneller.
Qualitätsmanagement für Einrichtungen der Sozialen Arbeit und Pflege biete ich unter QM-Praxiswerk an. Beide Angebote folgen derselben Bauweise.
Grundlage ist ein KI-Check oder das Projekt KI-Richtlinie entwickeln. Mit Zertifizierungsziel folgt die Gap-Analyse.
Geltungsbereich, KI-Politik, KI-Ziele und Rollen. Der Projektplan legt fest, was bis wann entsteht.
Freigabe neuer Anwendungen, Risikobetrachtung und Folgenabschätzung je Anwendung, Meldeweg, Kompetenzprogramm und Beteiligungsplan.
Die Leitung bewertet das System. Mit Zertifizierungsziel prüft es vorher eine andere Person im internen Audit, danach folgt das Zertifizierungsaudit.
Nach dem Aufbau kann die Begleitung in Stufe 2 weiterlaufen. Dort pflege ich Verzeichnis, Einstufung und Richtlinie mit Ihnen laufend.
Lässt Ihr Träger eine eigene Anwendung entwickeln und nimmt sie unter eigenem Namen in Betrieb, kann er selbst zum Anbieter werden. Das prüft der Einstufungsvermerk. Einstufungen nach der KI-Verordnung sind Arbeitsgrundlage für die Entscheidung Ihrer Leitung, kein Rechtsgutachten.
1.500 bis 2.500 € im Monat
Das untere Ende der Spanne gilt für einen Standort und für kleine Träger mit weniger als 50 Beschäftigten, das obere für vier Standorte. Größere Träger mit fünf und mehr Standorten erhalten ein Angebot.
Voraussetzung: Grundlage ist ein KI-Check oder das Projekt KI-Richtlinie entwickeln. Wechseln Sie aus Stufe 2 in Stufe 3, entfällt diese Voraussetzung.
Nach dem Aufbau: Die laufende Pflege übernimmt Stufe 2, Datenschutz und KI-Compliance. Mit der Funktion als Datenschutzbeauftragter kostet sie ab 700 € im Monat, ohne Benennung ab 300 € im Monat.
Buchen Sie die Funktion als Datenschutzbeauftragter dazu, baue ich das System mit Schutzvorkehrungen auf. Damit Beratung und Kontrolle getrennt bleiben, gelten vier Regeln:
Zur Datenschutz-Folgenabschätzung berate ich dann und überwache ihre Durchführung. Erstellen wird sie Ihr Träger, der auch für das System verantwortlich bleibt.
Nicht zwingend. Für Anwendungen, die nicht auf der Hochrisiko-Liste stehen, reichen die Bausteine aus dem Projekt KI-Richtlinie entwickeln: Verzeichnis, Einstufung, Regeln, Freigabeweg und Nachweis. Das ganze System lohnt sich, wenn Sie KI dauerhaft mit Zielen und Managementbewertung steuern oder ein Zertifikat anstreben.
Nein, Normen sind freiwillig. Bei reiner Nutzung von KI bringt ein Zertifikat keinen rechtlichen Vorteil nach der KI-Verordnung; sein Nutzen ist der Nachweis gegenüber Dritten. Geordnete Abläufe, Nachweis und den Anschluss an Ihr Qualitätsmanagement erreichen Sie auch mit einem System, das sich an die Norm anlehnt.
Dann kommen ab dem 02.12.2027 die Pflichten für Betreiber hinzu, also für Organisationen, die KI einsetzen (Art. 26 KI-Verordnung). Ihre Leitung hat drei Wege: die Funktion nicht nutzen, die Pflichten selbst umsetzen oder ihre Umsetzung in das KI-Managementsystem einbinden. Die Einordnung hält der Einstufungsvermerk als Arbeitsgrundlage fest, einschließlich der Frage, ob der Bestandsschutz für ältere Systeme greift.
ISO/IEC 42001 hat dieselbe Grundstruktur wie ISO 9001:2026. KI-Risiken stehen deshalb in Ihrem vorhandenen Risikoregister, Schulungen in Ihrem Jahreskalender und der KI-Teil in Ihrer Managementbewertung. Mit einem bestehenden System nach ISO 9001 geht der Aufbau schneller.
Ihr Träger. Ich bringe die Methode mit, orientiert an ISO/IEC 42005, moderiere und verbinde sie mit der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Bin ich zugleich Ihr Datenschutzbeauftragter, berate ich und überwache die Durchführung; ein eigenes Werk erstelle ich in keiner der beiden Rollen.
Die KI-Verordnung kennt keine solche Pflichtrolle. Im System legt die Rollenmatrix fest, wer entscheidet, wer berät und wer koordiniert. Die Koordination kann eine interne KI-Ansprechperson übernehmen, die Entscheidung bleibt bei Ihrer Leitung.
KI-Management
KI-Verordnung
LeitungIn einem kostenfreien Erstgespräch klären wir, ob die KI-Richtlinie reicht oder ob sich das ganze System lohnt. Dazu gehört die Frage, ob Sie eine Zertifizierung anstreben.
Erstgespräch vereinbaren
