KI im Mittelstand rechtssicher einführen: die Checkliste.

Schreiben Sie auf, welcher Ablauf umgebaut wird, vom ersten Eingang bis zum fertigen Ergebnis. Ein Ablauf mit klaren Grenzen lässt sich rechtlich einordnen, ein allgemeines KI-Projekt nicht.

Legen Sie fest, woran Sie den Erfolg messen: Stunden je Woche, Durchlaufzeit, Fehlerquote. Ohne Zahl vorher gibt es nachher keinen Nachweis, auch nicht gegenüber Betriebsrat und Geschäftsführung.

Benennen Sie eine Person, die fachlich entscheidet, und eine, die Zugänge freigibt. Dazu gehört, wer im Betrieb die Fälle prüft, die der Ablauf einem Menschen vorlegt.

Halten Sie fest, welche Daten der Ablauf liest und schreibt und ob Personenbezug oder Geheimhaltung im Spiel ist. Diese Einordnung bestimmt Rechtsgrundlage, Betriebsart und den Umfang aller weiteren Prüfungen.

Drei Betriebsarten je Datenart

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Artikel 6 DSGVO, meist Vertrag oder berechtigtes Interesse. Halten Sie die Abwägung schriftlich fest, bevor der Ablauf startet.

Mit dem Dienstleister und mit dem Anbieter des Modells brauchen Sie je einen Vertrag nach Artikel 28 DSGVO. Prüfen Sie, ob der Modellanbieter Eingaben zum Training verwenden darf, und schließen Sie das aus.

Läuft das Modell außerhalb der EU, braucht die Übermittlung eine Grundlage, etwa das EU-US Data Privacy Framework oder Standardvertragsklauseln. Wo das nicht trägt, läuft der Ablauf im Haus oder in einem europäischen Rechenzentrum.

Im Haus, in Europa oder in der Cloud

Der neue Ablauf gehört mit Zweck, Datenarten, Empfängern und Fristen in Ihr Verzeichnis nach Artikel 30 DSGVO. Das ist eine Stunde Arbeit und die erste Frage jeder Prüfung.

Legen Sie fest, wie lange Eingaben, Zwischenstände und Protokolle aufbewahrt werden. Protokolle sollten Kennungen enthalten, keine vollständigen Texte mit Personendaten.

Bewertet der Ablauf Menschen, etwa Bewerber oder Mitarbeiter, oder verarbeitet er besondere Kategorien von Daten, kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO nötig sein. Klären Sie das mit Ihrem Datenschutzbeauftragten, bevor gebaut wird.

Technische Einrichtungen, die Verhalten oder Leistung überwachen können, sind nach § 87 Absatz 1 Nr. 6 BetrVG mitbestimmungspflichtig. Dafür reicht schon die technische Möglichkeit, nicht erst die Absicht.

KI einführen mit dem Betriebsrat

Klären Sie früh, ob eine Betriebsvereinbarung nötig ist oder eine Regelungsabrede genügt. Eine Rahmenvereinbarung für KI erspart bei jedem weiteren Ablauf eine neue Runde.

Schreiben Sie auf, was der Ablauf protokolliert und wer die Protokolle sieht. Mitarbeiterdaten sind kein Steuerungsziel, und das gehört so in die Vereinbarung.

Sagen Sie den Menschen, die mit dem Ablauf arbeiten, was er tut und was nicht, bevor er startet. Wer die Arbeit heute macht, kennt die Ausnahmen und gehört in die Analyse.

Planen Sie, wie Ihr Team Vorlagen prüft, Regeln anpasst und Fehler meldet. Die Schulung ist zugleich Ihr Nachweis der KI-Kompetenz nach Artikel 4 der KI-Verordnung.

Ordnen Sie jeden Ablauf einer Risikoklasse der KI-Verordnung zu. Produkttexte und Anfragen sind meist geringes Risiko, Bewerberauswahl und Leistungsbewertung von Mitarbeitern gelten als Hochrisiko.

EU AI Act: Pflichten je Ablauf

Wer mit einem Chat spricht, muss erkennen können, dass eine KI antwortet, und KI-erzeugte Inhalte sind in bestimmten Fällen zu kennzeichnen. Legen Sie fest, wo und wie das im Ablauf geschieht.

Bestimmen Sie, welche Fälle ein Mensch prüft und freigibt, bevor sie wirken. Ein Ablauf, der Unklares vorlegt, statt zu raten, erfüllt diese Pflicht im Alltag von selbst.

Halten Sie Zweck, Modell, Regeln, Prüfschritte und Änderungen schriftlich fest. Dieselben Unterlagen braucht Ihre IT, wenn sie den Ablauf später übernimmt.

Seit Februar 2025 müssen Unternehmen, die KI einsetzen, für ausreichende KI-Kompetenz der beteiligten Mitarbeiter sorgen. Dokumentieren Sie, wer wann wie geschult wurde.

Entscheiden Sie je Ablauf, ob das Modell im Haus, in einem europäischen Rechenzentrum oder in der Cloud unter Vertrag läuft. Maßstab ist die Datenart aus dem ersten Abschnitt, nicht die Gewohnheit.

Drei Betriebsarten im Vergleich

Der Ablauf bekommt nur die Rechte, die er braucht, mit eigenem Zugang statt einem persönlichen. Jede Änderung an Daten steht im Protokoll mit Zeitpunkt und Grund.

Legen Sie fest, welche Ergebnisse automatisch durchgehen und welche ein Mensch freigibt. Die Grenze verschieben Sie nach den ersten Wochen anhand der Zahlen, nicht nach Gefühl.

Jede Änderung des Ablaufs muss sich zurücknehmen lassen, einzeln und gesammelt. Probieren Sie das vor dem Start einmal aus.

Jemand muss merken, wenn der Ablauf stillsteht oder seine Fehlerquote steigt, bevor es ein Kunde merkt. Legen Sie Schwellen und Meldewege fest.

KI-Abläufe im Betrieb überwachen

Benennen Sie, wer nach dem Start für den Ablauf zuständig ist, intern und beim Dienstleister. Ohne Namen bleibt ein Fehler am Freitagabend liegen.

Code, Regeln, Prompts und Dokumentation sollten nach Zahlung Ihnen gehören. Sonst zahlen Sie für einen Ablauf, den Sie nicht mitnehmen können.

Vereinbaren Sie, dass der Ablauf so dokumentiert wird, dass Ihre IT oder ein anderer Dienstleister ihn übernehmen kann. Prüfen Sie das bei der Übergabe an einem Beispiel.

Betrieb und Begleitung sollten mit kurzer Frist kündbar sein. Eine lange Mindestlaufzeit ersetzt kein gutes Ergebnis.

Regeln Sie, wer für fehlerhafte Ausgaben einsteht und welche Prüfschritte der Dienstleister schuldet. Die Freigabe bleibt bei Ihnen, die Sorgfalt beim Bau liegt beim Dienstleister.

Lassen Sie schriftlich bestätigen, dass Ihre Daten weder vom Dienstleister noch vom Modellanbieter zum Training verwendet werden. Der Satz gehört in den Vertrag, nicht in die Präsentation.