AI Governance & Compliance
Beratung zum EU AI Act, Richtlinien für den unternehmensweiten KI-Einsatz, Risikobewertung und Dokumentationspflichten – praxisnah statt papierlastig.
Kurz erklärt
AI Governance ist der Ordnungsrahmen für den KI-Einsatz im Unternehmen. Er beantwortet vier Fragen: Wer darf welche Werkzeuge nutzen? Mit welchen Daten? Wer prüft die Ergebnisse? Und wer trägt die Verantwortung, wenn etwas schiefgeht?
Der EU AI Act ist die europäische Regelung dazu. Sein Grundgedanke: Je größer das Risiko einer Anwendung, desto strenger die Pflichten. Ein Werkzeug, das Textentwürfe schreibt, wird anders behandelt als ein System, das Bewerbungen vorsortiert oder über Kreditvergabe mitentscheidet.
Für die meisten typischen Büroanwendungen im Mittelstand sind die Anforderungen überschaubar. Wichtiger als Papier ist, überhaupt zu wissen, welche Systeme im Haus genutzt werden.
Warum das für euch zählt
Das häufigste Ergebnis einer ersten Bestandsaufnahme ist Überraschung: In mehreren Abteilungen laufen private Konten mit Unternehmensdaten, oft seit Monaten, ohne dass jemand das entschieden hätte.
Das ist selten böse Absicht. Es passiert, weil es keine Regel gibt und die Werkzeuge frei verfügbar sind. Genau deshalb ist der erste Schritt keine Richtlinie, sondern ein Überblick.
Der zweite Grund ist praktischer Natur: Immer mehr Geschäftskunden fragen bei Ausschreibungen inzwischen nach dem Umgang mit KI. Wer hier belegen kann, dass es Regeln gibt, hat einen Vorteil – unabhängig von gesetzlichen Pflichten.
Welche Pflichten daraus im Einzelfall folgen, ist am Ende eine juristische Frage – wir bereiten die technische und organisatorische Seite so auf, dass eure Rechtsberatung darauf aufbauen kann.
Unsere Leistungen
Das leisten wir:
- Bestandsaufnahme: Welche KI-Systeme sind bei euch tatsächlich im Einsatz, auch inoffiziell?
- Einordnung nach EU AI Act: Welche Risikoklasse trifft auf welchen Anwendungsfall zu und welche Pflichten folgen daraus?
- Erarbeitung einer unternehmensweiten KI-Richtlinie: erlaubte Tools, Datenklassen, Freigabewege, Kennzeichnungspflichten
- Risikobewertung einzelner Anwendungsfälle inklusive Maßnahmen zur Risikominderung
- Dokumentationspflichten: Was muss festgehalten werden, in welcher Tiefe, durch wen?
- Verzahnung mit bestehenden Prozessen aus Datenschutz und Informationssicherheit, statt paralleler Strukturen
Wir arbeiten praxisnah: Ergebnis ist ein Regelwerk, das im Alltag anwendbar ist – kein Dokument, das nach der Erstellung niemand mehr öffnet.
Abrechnung nach Aufwand (Stunden- oder Tagessatz).
Beispiele
- 1Eine Bestandsaufnahme zeigt, dass in drei Abteilungen private KI-Konten mit Kundendaten genutzt werden – daraus entsteht eine verbindliche Freigabeliste.
- 2Ein Unternehmen ordnet seine Anwendungsfälle nach Risiko und stellt fest, dass nur ein einziger erhöhte Pflichten auslöst.
- 3Für eine KI-gestützte Vorauswahl von Bewerbungen werden Transparenz- und Kontrollmaßnahmen definiert, bevor sie eingesetzt wird.
- 4Eine Arztpraxis lässt den Einsatz eines KI-gestützten Anamnese-Tools einordnen, bevor es mit Patientendaten arbeitet.
- 5Eine Kommune erstellt eine Freigabeliste erlaubter KI-Werkzeuge für die Verwaltung, nachdem in mehreren Ämtern unterschiedliche Tools ohne Absprache genutzt wurden.
Häufige Fragen
Wie finde ich heraus, welche KI-Richtlinie unser Unternehmen braucht?
Der erste Schritt ist immer eine Bestandsaufnahme der tatsächlich genutzten KI-Systeme, auch der inoffiziellen. Ohne diesen Überblick regelt man Anwendungsfälle, die es nicht gibt, und übersieht die, die längst laufen.
Betrifft uns der EU AI Act als mittelständisches Unternehmen?
Wenn ihr KI-Systeme einsetzt, in der Regel ja – der Umfang der Pflichten hängt aber stark vom Anwendungsfall ab. Für typische Büroanwendungen sind die Anforderungen überschaubar, bei Personalauswahl oder Kreditentscheidungen deutlich höher.
Was müssen wir konkret dokumentieren?
Im Kern: welche KI-Systeme genutzt werden, wofür, mit welchen Daten, wer verantwortlich ist und wie Ergebnisse geprüft werden. Der Aufwand richtet sich nach der Risikoklasse des jeweiligen Anwendungsfalls.
Womit fangen wir am besten an?
Mit einer Bestandsaufnahme der tatsächlich genutzten Systeme. Ohne diesen Überblick regelt man Anwendungsfälle, die es nicht gibt – und übersieht die, die längst laufen.
Ersetzt ihr unsere Rechtsberatung?
Nein. Wir bringen die technische und organisatorische Perspektive ein und bereiten Entscheidungen vor. Die verbindliche rechtliche Bewertung gehört zu eurer Rechtsberatung oder eurem Datenschutzbeauftragten, mit denen wir gern zusammenarbeiten.
Brauchen wir eine KI-Richtlinie für unsere Mitarbeitenden?
Sobald mehrere Personen KI nutzen, ja – aber knapp und praxistauglich. Eine Seite, die gelesen wird, ist mehr wert als zwanzig Seiten im Intranet.
Wie hängt das mit dem Datenschutz zusammen?
Eng. Viele Anforderungen überschneiden sich mit dem, was ihr für die DSGVO ohnehin regeln müsst. Wir verzahnen beides, statt eine zweite Struktur daneben aufzubauen.