Welche KI-Anwendungen bei Ihnen laufen, welche Daten hineindürfen und wer ein Ergebnis prüft, bevor es in die Akte geht. Ich entwickle die Richtlinie mit Ihnen oder prüfe die, die Sie bereits haben.
Schreibhilfe, Übersetzung und Wissensabfrage stehen nicht auf der Hochrisiko-Liste der KI-Verordnung. Regeln brauchen sie trotzdem.
Das Projekt liefert die Bausteine eines KI-Managementsystems, die ein Träger ohne Hochrisiko-Anwendungen braucht: ein Verzeichnis, eine Einstufung je Anwendung, Regeln für den Umgang mit Daten, einen Freigabeweg und den Nachweis der Schulung.
Für Träger mit Dienstanweisung oder Verbandsmuster. Ich gleiche Ihre Richtlinie mit der Nutzung in Ihren Teams und mit den Bausteinen ab, die eine Richtlinie tragen.
ab 1.500 €
AblaufFür Träger ohne verbindliche KI-Regeln, mit oder ohne eigenen Datenschutzbeauftragten. Am Anfang steht der KI-Check, danach entscheiden Sie, ob es weitergeht.
ab 4.500 €
AblaufFür Anwendungen ohne Hochrisiko schuldet ein Träger aus der KI-Verordnung vor allem Maßnahmen zur KI-Kompetenz seiner Beschäftigten (Art. 4) und den Ausschluss verbotener Praktiken (Art. 5). Den größeren Teil der Pflichten bringen der Datenschutz und die Schweigepflicht mit:
Absehbar kann es an zwei Stellen Hochrisiko werden: bei Software für Bewerbung und Personal (Anhang III Nr. 4) und bei Zulassung oder Bewertung in Bildungsangeboten (Anhang III Nr. 3). Das prüft der Einstufungsvermerk für jede Anwendung, zusammen mit den übrigen Punkten der Hochrisiko-Liste. Was bei Software für Bewerbung und Dienstplanung gilt, erklärt der Fachbeitrag KI in der Personalauswahl als Hochrisiko.
| Nr. | Dokument | Inhalt | Rechtsgrundlage |
|---|---|---|---|
| 1 | KI-Verzeichnis | Jede Anwendung, auch KI in der Fachsoftware und privat genutzte Werkzeuge: Zweck, Anbieter, Datenarten, Verantwortliche, Bezug zu Verarbeitungsverzeichnis und Verträgen | Art. 4, 5, 50 KI-VO · Art. 30 DSGVO |
| 2 | Einstufungsvermerke für bis zu zehn Anwendungen | Verbot, Hochrisiko, Transparenz; Bedingungen der Nutzung und Anlässe für eine neue Prüfung, als Arbeitsgrundlage für die Leitung | Art. 5, 6, 50 und Anhang III KI-VO |
| 3 | Kurzbericht mit Ampel | Handlungsbedarf und Maßnahmenplan | Organisationspflicht der Leitung |
| 4 | KI-Richtlinie | Zugelassene Werkzeuge, Freigabematrix nach Datenarten, menschliche Prüfung, Kennzeichnung, Schweigepflicht, Prüfintervall | Art. 4 KI-VO · Art. 5, 9, 32 DSGVO · § 78 SGB X · § 203 StGB |
| 5 | Freigabeweg mit Prüfliste für Anbieter | Wer eine neue Anwendung oder ein KI-Update prüft, bevor es genutzt wird: Vertrag, Speicherort, Drittland, Protokollierung, Löschung | Art. 28, 35 DSGVO · § 203 Abs. 3 StGB |
| 6 | Rollenmatrix | Leitung entscheidet, eine interne KI-Ansprechperson koordiniert, der Datenschutzbeauftragte berät | Art. 38 Abs. 6 DSGVO |
| 7 | Meldeweg für Fehler und Bedenken | Angedockt an Ihr vorhandenes Beschwerde- oder Hinweisgebersystem | Art. 33 DSGVO |
| 8 | Schulungsunterlagen und Nachweis | Grundschulung, Leitungsbriefing, Teilnahmenachweis, Kompetenzübersicht nach Rollen | Art. 4 KI-VO · Art. 39 Abs. 1 lit. b DSGVO |
| 9 | Informationsunterlage für MAV oder Betriebsrat | Zweck, Daten und Kontrolle der Anwendungen | §§ 87, 90 BetrVG · MAVO · MVG-EKD |
| 10 | Nachweismappe | Übersicht der Pflichten, Dokumentenverzeichnis, Beschlussvorlage und Pflegeplan: wer prüft was wann | Art. 5 Abs. 2 DSGVO |
Die Gliederung lehnt sich an ISO/IEC 42001 an. Den Freigabeweg baue ich nach dem Kriterienkatalog des BSI für generative KI auf, die Datenschutzprüfung nach den Orientierungshilfen der Datenschutzkonferenz.
Auftakt mit der Leitung, eine anonyme Kurzabfrage in den Teams, ein Termin vor Ort und Einstufungsvermerke für bis zu zehn Anwendungen.
Bericht nach drei Wochen
Richtlinie, Freigabeweg, Rollenmatrix und Meldeweg als Entwurf, dazu eine gemeinsame Entwurfsrunde per Video.
Die Leitung beschließt auf Grundlage einer Beschlussvorlage. MAV oder Betriebsrat erhalten die Informationsunterlage.
Grundschulung für das Team, ein kurzes Leitungsbriefing und die Übergabe des Pflegeplans.
Planen Sie zehn bis zwölf Wochen ein, dazu die Fristen der Mitbestimmung. Nach dem KI-Check können Sie aufhören; Sie bezahlen dann nur diesen Abschnitt.
Sie senden mir Ihre Richtlinie oder Dienstanweisung und, soweit vorhanden, eine Übersicht der genutzten Anwendungen.
Wir gleichen die Regeln mit der Nutzung in Ihren Teams ab.
Sie erhalten einen Bericht mit konkreten Änderungsvorschlägen.
Zwei bis drei Wochen
Bei der Prüfung einer Richtlinie gibt es rechtliche Hinweise nur am Rande. Die rechtliche Freigabe liegt bei Ihrem Datenschutzbeauftragten, Ihrem Justiziariat oder Ihrer Anwältin.
ab 4.500 €
Richtwert bei vier Standorten: 6.500 bis 8.000 €
ab 1.500 €
Richtwert bei vier Standorten: 2.250 bis 3.000 €
Nach dem Projekt: Wer Verzeichnis, Einstufung und Richtlinie laufend pflegen lassen möchte, bucht die KI-Compliance in der laufenden Begleitung. Zusammen mit der Funktion als Datenschutzbeauftragter ab 700 € im Monat, ohne Benennung ab 300 € im Monat.
Dann entwickle ich die Richtlinie als Entwurf zur Beschlussfassung. Damit Beratung und Kontrolle getrennt bleiben, gelten vier Regeln:
Eine Pflicht zu einem Dokument mit diesem Namen gibt es nicht. Die Pflichten aus Datenschutz, Schweigepflicht und Art. 4 der KI-Verordnung gelten aber auch für Schreibhilfe und Übersetzung. Eine Richtlinie hält fest, wie Ihr Träger sie erfüllt, und gibt den Teams Sicherheit im Alltag.
Ein Verbandsmuster ist ein guter Ausgangspunkt. Was fehlt, ist der Abgleich mit den Anwendungen, die bei Ihnen tatsächlich laufen, und mit Ihren Abläufen. Genau das leistet die Prüfung.
Absehbar betroffen sind Software, die Bewerbungen sichtet oder Leistung bewertet, und Anwendungen, die in Bildungsangeboten über Zulassung oder Bewertung entscheiden. Für Systeme, die vor dem 02.12.2027 in Verkehr gebracht oder in Betrieb genommen werden, gelten die Hochrisiko-Pflichten nur, wenn sie danach in ihrer Konzeption erheblich verändert werden. Der Einstufungsvermerk hält die Einordnung für jede Anwendung fest, als Arbeitsgrundlage für Ihre Leitung.
Der Freigabeweg legt fest, wer eine neue Funktion prüft, bevor sie genutzt wird. Dazu gehören der Vertrag zur Auftragsverarbeitung, der Ort der Verarbeitung und die Frage, ob ein weiterer Dienstleister hinzukommt.
Wenn eine Anwendung geeignet ist, Verhalten oder Leistung zu überwachen, greift die Mitbestimmung. Im Projekt entsteht dafür eine Informationsunterlage. Den Entwurf einer Betriebs- oder Dienstvereinbarung übernimmt Ihre Rechtsberatung.
Nein. Die Richtlinie regelt den Umgang, die Schulung vermittelt ihn. Deshalb gehören eine Grundschulung und ein Leitungsbriefing zum Projekt, mit Teilnahmenachweis.
Leitung
KI im Alltag
KI im AlltagIn einem kostenfreien Erstgespräch klären wir, ob eine Prüfung reicht oder ob wir die Richtlinie gemeinsam entwickeln.
Erstgespräch vereinbaren
