KI-Governance und EU AI Act
Ich erfasse mit Ihnen KI-Anwendungen, ordne Rollen und Pflichten ein und unterstütze bei Nutzungsregeln und Freigaben. Einsatzzweck, Daten und Risiken bestimmen die Prüftiefe. Datenschutz, Informationssicherheit und Anbieteranforderungen werden gemeinsam berücksichtigt.
Marc PölckowPersönliche Beratung · Hannover und bundesweitZusammenarbeit
Ausgangspunkt sind die tatsächlichen Anwendungen und Ihre Rolle. Nicht jedes KI-Werkzeug ist ein Hochrisiko-System; auch bei geringerem Risiko können konkrete Pflichten und interne Schutzregeln relevant sein.
Bestehender KI-Einsatz
Wenn bereits verschiedene KI-Werkzeuge verwendet werden und eine gemeinsame Übersicht, Zuständigkeiten oder abgestimmte Nutzungsregeln fehlen.
Konkretes KI-Projekt
Für Beschaffung, Entwicklung oder Änderung eines KI-Systems. Wir prüfen den Einsatzkontext frühzeitig und machen offene fachliche, technische und rechtliche Fragen sichtbar.
Was Sie in der Hand haben
Welche Ergebnisse Sie benötigen, hängt von System, Rolle, Risiken und Auftrag ab. Wir nutzen geeignete Beschaffungs-, Datenschutz- und Sicherheitsprozesse weiter. Regeln und Freigaben müssen für Ihre Beschäftigten verständlich und im Arbeitsalltag anwendbar sein.
Meine Arbeitsweise kennenlernenUmsetzung in der Praxis
Eine KI-Freigabe bezieht sich auf einen bestimmten Einsatzfall. Derselbe Dienst kann für öffentliche Textentwürfe vertretbar sein und für vertrauliche Personalunterlagen eine andere Bewertung erfordern. Ein nachvollziehbarer Ablauf verbindet sechs Entscheidungen mit den zugehörigen Nachweisen.
Der Fachbereich beschreibt Aufgabe, Nutzerkreis, Anbieter, Datenarten und die beabsichtigte Verwendung der Ergebnisse. Er benennt eine verantwortliche Person. Diese Angaben bilden den Inventareintrag; eine bloße Liste von Produktnamen reicht dafür nicht.
Prüfen Sie anhand des konkreten Einsatzes, ob Sie Betreiber oder Anbieter sind und ob Verbote, Hochrisikokriterien oder Transparenzpflichten berührt werden. Annahmen und offene Fragen gehören in die Entscheidungsvorlage. Ungeklärte wesentliche Anforderungen können eine Freigabe verhindern.
Datenschutzverantwortliche klären unter anderem Rechtsgrundlage, Datenflüsse, gegebenenfalls Auftragsverarbeitung, Drittlandtransfers und den Bedarf einer Folgenabschätzung. IT und Informationssicherheit prüfen Zugriffe, Speicherung, Datenverwendung durch den Anbieter und Vorfallwege. Die Beschaffung führt Vertrags- und Anbieterunterlagen zusammen; der Datenschutzbeauftragte berät und überwacht unabhängig.
Testen Sie den freizugebenden Ablauf zunächst mit geeigneten, möglichst nicht personenbezogenen Testdaten. Prüfen Sie typische Fehlantworten, Quellen, unzulässige Eingaben und die menschliche Ergebnisprüfung. Halten Sie Testfälle, Befunde und erforderliche Nutzungsbeschränkungen fest.
Die intern entscheidungsbefugte Stelle gibt den abgegrenzten Einsatz frei, verlangt Nacharbeiten oder lehnt ihn ab. Dokumentiert werden erlaubte Daten und Aufgaben, gesperrte Funktionen, Kontrollpflichten, verbleibende Risiken, Verantwortliche und Prüftermin. Beschäftigte erhalten passende Nutzungsregeln und Unterstützung beim Aufbau ihrer KI-Kompetenz.
Neue Datenarten, Schnittstellen, Anbieterbedingungen oder Verwendungszwecke lösen eine erneute Prüfung aus. Beschwerden, Fehlverhalten und Sicherheitsvorfälle werden an festgelegte Stellen gemeldet. Der Inventareintrag verweist auf die aktuelle Freigabe; überholte Entscheidungen bleiben nachvollziehbar.
Praktische Freigabeakte: Inventareintrag, Rollen- und Pflichtenprüfung, Anbieterbewertung, gegebenenfalls Datenschutzunterlagen, Testprotokoll, Entscheidung mit Auflagen und Wiedervorlage. Das ist eine organisatorische Arbeitshilfe; Umfang und gesetzlich erforderliche Unterlagen richten sich nach dem konkreten System und Einsatz.
So können Arbeitsergebnisse aussehen
Illustratives Beispiel, keine Kundenreferenz: Eine Kommunikationsabteilung möchte mit einem externen KI-Assistenten Entwürfe für Fachtexte erstellen. Sie nutzt bereits freigegebene öffentliche Ausgangstexte. Personenbezogene Kundeninformationen und vertrauliche Projektunterlagen sind für diesen Einsatz ausgeschlossen.
Mögliche Entscheidung im Beispiel: Freigabe unter den dokumentierten Bedingungen. Kommen später Kundenakten, eine automatische Publikation oder weitere Gesellschaften hinzu, wird der Einsatz vor dieser Erweiterung neu bewertet.
Der gemeinsame Weg
Wir sichten Anwendungen, Einsatzzwecke, Datenarten und vorhandene Regeln. Fachbereich, IT, Datenschutz und Informationssicherheit werden passend einbezogen.
Wir klären Ihre Rolle und prüfen Risiko- und Pflichtenkontext. Ungeklärte technische oder rechtliche Fragen werden ausdrücklich festgehalten.
Nutzungsregeln, Kontrollschritte, Kompetenzbedarf und Entscheidungswege werden festgelegt. Bestehende Prozesse dienen als Grundlage.
Wir legen fest, wie neue Anwendungen, geänderte Einsatzzwecke, Vorfälle und Rückmeldungen bewertet und dokumentiert werden.
Für ein erstes Gespräch
Ein kurzer Überblick reicht zunächst aus. Vorhandene Unterlagen sichten wir anschließend im vereinbarten Rahmen.
Häufige Fragen
Die wichtigsten Fragen zu Umfang, Zusammenarbeit und Verantwortung.
Die Organisation legt eine entscheidungsbefugte Stelle fest. Der Fachbereich verantwortet Zweck und Nutzung; IT und Informationssicherheit bewerten technische Risiken, Datenschutzverantwortliche die Verarbeitung personenbezogener Daten. Der Datenschutzbeauftragte berät und überwacht unabhängig und übernimmt nicht allein durch seine Funktion die operative Freigabe. Die Entscheidung hält fachliche Bewertungen, offene Punkte und Bedingungen zusammen.
Gemeinsame Mindestregeln, ein Inventarschema und eine zentrale Anbieterbewertung können Aufwand reduzieren. Je Gesellschaft müssen jedoch Verwendungszwecke, Vertragsrollen, Datenflüsse und Entscheidungsbefugnisse geklärt bleiben. Eine Konzernfreigabe deckt zusätzliche Daten oder andere Einsatzfälle nicht automatisch ab. Abweichungen und lokale Freigaben werden mit dem gemeinsamen Bewertungsstand verknüpft.
Ein eigenes Gremium ist kein Selbstzweck. Häufig lässt sich der Freigabeweg in vorhandene Beschaffungs-, Datenschutz- und Sicherheitsprozesse integrieren. Entscheidend sind klare Zuständigkeiten, Entscheidungsbefugnisse und Eskalationswege. Bei vielen Gesellschaften, komplexen Risiken oder bereichsübergreifenden Konflikten kann eine zusätzliche gemeinsame Entscheidungsrunde sinnvoll sein.
Nein. Maßgeblich sind unter anderem Verwendungszweck, Einsatzkontext und die gesetzlichen Kriterien einschließlich Ausnahmen. Verbote, Transparenzanforderungen, Vorgaben für Modelle mit allgemeinem Verwendungszweck und Hochrisikopflichten müssen getrennt geprüft werden.
Wer ein fremdes System in eigener Verantwortung beruflich nutzt, kann Betreiber sein. Eigene Entwicklung, Bereitstellung unter eigenem Namen oder bestimmte Änderungen können Anbieterpflichten auslösen. Vertragsbezeichnungen allein entscheiden die Rolle nicht; der konkrete Sachverhalt ist maßgeblich.
Der EU AI Act ist grundsätzlich seit 2. August 2026 anwendbar. Einzelne Regeln gelten früher oder später. Der aktuelle Zeitplan der EU-Kommission nennt für Hochrisiko-Anwendungen nach Anhang III den 2. Dezember 2027 und für produktbezogene Hochrisiko-Systeme nach Anhang I den 2. August 2028. Welche Vorschriften greifen, prüfen wir nach Rolle, System und Übergangsregel; diese Termine sind keine allgemeine Freistellung für KI-Projekte.
KI-Freigaben lassen sich mit Beschaffung, Zugriffssteuerung, Datenschutzprüfung und Vorfallmanagement verbinden. Werden personenbezogene Daten verarbeitet, bleibt die DSGVO eigenständig anwendbar. Ob beispielsweise eine Datenschutz-Folgenabschätzung erforderlich ist, wird gesondert geprüft.
Der notwendige Kompetenzumfang hängt von Aufgaben, Kenntnissen, eingesetzten Systemen und Risiken ab. Wir ordnen Zielgruppen und Lernbedarf zu und planen geeignete Nachweise. Ein allgemeines Teilnahmezertifikat ersetzt keine rollenbezogene Bewertung.
Wir beginnen mit dem konkreten Einsatzzweck und prüfen die dafür relevanten Pflichten und Risiken. Eine überschaubare Anwendung kann mit klaren Nutzungsregeln und einem schlanken Freigabeprozess auskommen. Sensible Daten, weitreichende Entscheidungen oder kritische Abhängigkeiten können vertiefte Prüfungen erfordern. Die Größe Ihrer Organisation allein bestimmt die Anforderungen nicht.
Nennen Sie die eingesetzten Werkzeuge oder das geplante Projekt und Ihre offenen Fragen. Wir grenzen einen passenden Auftrag gemeinsam ab.