Dokumentation und pragmatische Umsetzung

Von Paragraphen zu Prozessen

Der EU AI Act ist umfangreich. Ein KI-Register, klare Anlaufstellen und dokumentierte Prüfungen können helfen, die konkrete Einordnung nachvollziehbar zu organisieren.

In dieser Abschlusslektion schauen wir uns an, wie Sie die Umsetzung pragmatisch aufsetzen, ohne Ressourcen zu verbrennen.

Das KI-Register: das zentrale Dokument

Ein internes KI-Register kann die KI-Systeme erfassen, die im Unternehmen eingesetzt oder entwickelt werden. Mögliche Felder sind:

• Bezeichnung: Name des Systems, Version, Anbieter.
• Zweck: Wofür wird es eingesetzt? In welchem Prozess?
• Vorläufige Einordnung: Betroffene Artikel und Anhänge, Rolle, Begründung und offener Prüfbedarf.
• Rolle des Unternehmens: Anbieter, Betreiber, Importeur, Händler.
• Verantwortliche Person oder Funktion.
• Datenquellen: Welche personenbezogenen und geschäftskritischen Daten werden verarbeitet?
• Kontrollmaßnahmen: Menschliche Aufsicht, Qualitätsprüfung, Abschaltung im Problemfall.
• Datum der letzten Prüfung.

Das Register muss nicht zwingend eine eigene Software sein. Entscheidend sind Aktualität, Zuständigkeit und ein für die konkrete Prüfung geeigneter Inhalt.

Weitere Dokumentationsbausteine

Neben dem KI-Register können zwei weitere Bestandteile sinnvoll sein:

Nutzungsrichtlinie für KI

Eine kurze, klare Richtlinie für alle Mitarbeitenden, die den Umgang mit KI-Tools regelt. Typische Inhalte:

• Erlaubte und nicht erlaubte Anwendungsfälle
• Umgang mit personenbezogenen und vertraulichen Daten: Rechtsgrundlage, Zweck, Datenminimierung, Vertraulichkeit, Übermittlungen, Anbieterbedingungen und gegebenenfalls Auftragsverarbeitung für den konkreten Einsatz prüfen
• Umgang mit vertraulichen Geschäftsinformationen
• Pflicht zur Prüfung von KI-generierten Ergebnissen
• Transparenzpflicht gegenüber Kunden und Partnern
• Meldepflicht bei Fehlern und Auffälligkeiten

Diese Richtlinie sollte von der Geschäftsführung freigegeben und allen Mitarbeitenden bekannt gemacht werden, idealerweise in Verbindung mit den Maßnahmen zur KI-Kompetenz aus Lektion 3.

Schulungsnachweise

Interne Aufzeichnungen können Zielgruppe, Inhalt, Zeitpunkt und Durchführung von Schulungen oder anderen Leitmaßnahmen festhalten. Artikel 4 schreibt weder ein Zertifikat noch eine personenbezogene Teilnahmeliste vor. Ob eine individuelle Zuordnung erforderlich und zulässig ist, sollte anhand von Zweck, Datenminimierung, Aufbewahrung und Zugriffsrechten geprüft werden.

Rollen und Verantwortlichkeiten

Unterschiedliche Unternehmen setzen unterschiedliche Strukturen auf. Drei Modelle sind verbreitet:

Modell A: Datenschutzbeauftragte als Treiber. In manchen mittleren Unternehmen liegen KI-Compliance und DSGVO-Compliance in einer Hand. Das kann praktikabel sein, wenn Zuständigkeit, Interessenkonflikte, Zeit und erforderliches Fachwissen geprüft wurden.

Modell B: KI-Beauftragte oder KI-Compliance-Funktion. Für Unternehmen mit intensiver KI-Nutzung ist eine dedizierte Rolle sinnvoll — oft eine Teilzeitfunktion, die zwischen IT, Recht und Fachabteilungen vermittelt.

Modell C: KI-Steuerkreis. Regelmäßige Zusammenkunft von IT, Recht, Datenschutz, Fachbereichen und Geschäftsführung, der Entscheidungen über KI-Einführung, Risikoklassifizierung und Richtlinien trifft. Besonders sinnvoll bei verteilten Initiativen.

Unabhängig vom Modell hilft eine klar benannte Anlaufstelle. Die EU-Kommission stellt in ihren Fragen und Antworten zu Artikel 4 klar, dass keine bestimmte Governance-Struktur vorgeschrieben ist.

Sonderfall: Hochrisiko-Systeme

Wenn ein Einsatz als Hochrisiko-System eingeordnet wird, können nach Anwendbarkeit der entsprechenden Regeln zusätzliche Pflichten hinzukommen:

• Nutzung ausschließlich gemäß Anbieter-Vorgaben
• Menschliche Aufsicht (eine klar benannte Person, die eingreifen kann)
• Dokumentation der Nutzung, insbesondere bei Abweichungen
• Monitoring auf Funktion und Bias
• Information der betroffenen Personen
• In manchen Fällen: Grundrechte-Folgenabschätzung

In dieser Situation ist frühzeitig eine fachlich qualifizierte Beratung empfehlenswert, insbesondere wenn die Aufsichtsbehörden bislang keine klaren Auslegungshinweise veröffentlicht haben.

Ein schlanker Fahrplan für die nächsten 90 Tage

Wenn Ihr Unternehmen noch am Anfang steht, reicht ein kompakter Startplan:

Tage 1 bis 15. Zuständige Person benennen. Kick-off mit IT, Datenschutz und Fachbereichen.

Tage 16 bis 45. KI-Register aufbauen: Eingesetzte und geplante KI-Systeme erfassen, eine vorläufige Einordnung mit Prüfgrundlage dokumentieren und Verantwortlichkeiten zuordnen.

Tage 46 bis 75. Nutzungsrichtlinie erstellen und freigeben. Schulungsbedarf pro Rolle definieren. Schulungsangebot (intern oder extern) auswählen.

Tage 76 bis 90. Zielgruppen informieren, passende Maßnahmen zur KI-Kompetenz starten und die gewählte Dokumentation einrichten.

Nach dem Beispielzeitraum sollte geprüft werden, welche offenen Punkte bestehen und ob Register, Richtlinie und Schulungsmaßnahmen tatsächlich zum Einsatz passen. Der Ablauf ist eine Planungsannahme, kein zugesagter Compliance-Status.

Was Sie vermeiden sollten

• Die maximale Reaktion. Alles in Ordnung bringen zu wollen, bevor der erste KI-Einsatz weitergeht, lähmt. Besser: schrittweise umsetzen und dabei transparent machen, was noch offen ist.
• Die reine Juristen-Lösung. Der EU AI Act ist juristisch, aber die Umsetzung ist Organisation. Wer Compliance rein als Rechtsthema sieht, produziert Papier, ohne Prozesse zu verankern.
• Das reine Tool-Denken. Eine Compliance-Software löst keine Compliance-Probleme. Sie kann helfen, wenn die Prozesse stehen — aber ohne Prozesse ist sie ein leeres Gerüst.

Kursabschluss

Sie haben jetzt einen klaren Überblick:

• Der EU AI Act ist ein risikobasierter Rahmen, der seit August 2024 in Kraft ist und stufenweise greift.
• Für den Mittelstand sind Rolle, Zweck, Artikel 4, mögliche Transparenzpflichten und gegebenenfalls Hochrisiko-Regeln wichtige Prüfpunkte.
• Eigene Anwendungen sollten anhand der einschlägigen Artikel und Anhänge eingeordnet und die Begründung dokumentiert werden.
• Als organisatorisches Modell können eine benannte Anlaufstelle, ein KI-Register, eine Nutzungsrichtlinie und dokumentierte Maßnahmen zur KI-Kompetenz sinnvoll sein. Welche Bausteine erforderlich sind, hängt vom konkreten Einsatz und den anwendbaren Vorschriften ab.
• Der 90-Tage-Plan ist ein konstruierter Arbeitsrahmen, dessen Umfang an das Unternehmen angepasst werden muss.

Compliance ist kein Ziel, das man einmal erreicht. Sie ist ein Prozess, der begleitet werden muss — im gleichen Tempo, in dem sich die Technologie entwickelt.

Die Abschlussprüfung wartet auf Sie.