KI-Governance-Plugin erstmalig einrichten oder Inventar der KI-Systeme im Unternehmen erfassen und AI-Act-Anwendungsbereich prüfen. Führt Erstgespraech durch ermittelt KI-Inventar Rolle im KI-Lieferkette (Anbieter/Betreiber Art. 3 KI-VO 2024/1689) regulatorischen Anwendungsbereich. Normen EU-KI-VO 2024/1689 Art. 3 Rolle Art. 6 Risikoklasse Hochrisiko-KI Anhang III. Output Praxisprofil in Konfiguration mit KI-Inventar Rollenklassifizierung und Governance-Framework. Abgrenzung: ki-governance-anpassen für spaetere Einzelaenderungen ki-inventar für laufende Inventar-Pflege.
KI-Governance-Plugin erstmalig einrichten oder Inventar der KI-Systeme im Unternehmen erfassen und AI-Act-Anwendungsbereich prüfen. Führt Erstgespraech durch ermittelt KI-Inventar Rolle im KI-Lieferkette (Anbieter/Betreiber Art. 3 KI-VO 2024/1689) regulatorischen Anwendungsbereich. Normen EU-KI-VO 2024/1689 Art. 3 Rolle Art. 6 Risikoklasse Hochrisiko-KI Anhang III. Output Praxisprofil in Konfiguration mit KI-Inventar Rollenklassifizierung und Governance-Framework. Abgrenzung: ki-governance-anpassen für spaetere Einzelaenderungen ki-inventar für laufende Inventar-Pflege.
Ermittelt im Erstgespräch, wie das Unternehmen im KI-Ökosystem positioniert
ist — als Anbieter, Betreiber, Importeur oder Händler gem. Art. 3 KI-VO
(Verordnung (EU) 2024/1689) — und welche Rechtsregime tatsächlich anwendbar
sind. Ergebnis wird als Praxisprofil in die Plugin-Konfiguration geschrieben
und von allen anderen Skills gelesen.
Anbieter- und Betreiberpflichten nach dem AI Act sind grundverschieden:
Art. 9–15 KI-VO betreffen Anbieter, Art. 25–29 KI-VO Betreiber. Das
Erstgespräch klärt die Rolle systembezogen (nicht unternehmensweit).
Eingaben
Unternehmensname, Branche, Sitz und operative Jurisdiktionen
DSGVO Art. 22: Automatisierte Einzelentscheidungen; Widerspruchsrecht
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
GeschGehG §§ 2, 4: Schutz von Geschäftsgeheimnissen bei Trainingsdaten.
UrhG § 44b: Text-und-Data-Mining-Schranke bei KI-Training.
BSI-Gesetz (BSIG): KI-Systeme in kritischer Infrastruktur.
§ 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung des Betriebsrats bei KI-Tools
zur Mitarbeiterüberwachung/-bewertung.
Leitentscheidungen
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Automatisiertes Profiling als Art. 22 Abs. 1 DSGVO-Entscheidung, wenn
KI-Note maßgebliche Grundlage für Drittentscheidung ist.
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
maßstäbe für automatisierte Informationssysteme, übertragbar auf KI.
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Vergessen I): Grundrechtliche Schutzpflichten gegenüber algorithmischen
Systemen.
Schritt 2 — Wer nutzt das Plugin? Organisationsumfeld?
Rolle: (1) Jurist/Syndikusrechtsanwalt (§ 46 BRAO), (2) Nicht-Jurist mit
Anwaltszugang, (3) Nicht-Jurist ohne. Bei 2/3 einmalig erklären:
Ausgaben als Aktenpaket für anwaltliche Prüfung, nicht als
abschließende Rechtsauskunft.
Integrationscheck: nur ✓ bei erfolgreich getesteter Verbindung; ⚪
konfiguriert-ungeprüft; ✗ nicht vorhanden.
Schritt 3 — Anbieter, Betreiber oder beides? (Art. 3 KI-VO)
Rollen systembezogen ermitteln. KI-Inventar: 1–3 Systeme sofort eintragen
oder auf später verschieben. Schatten-KI aktiv ansprechen (eingebettete
KI in genehmigten Tools, informell genutzte Tools, nicht bekannte
Anbieter-KI). Alles Entdeckte mit [UNDOKUMENTIERT — TRIAGE AUSSTEHEND]
ins Register.
Schritt 4 — Regulatorischer Anwendungsbereich
Nicht annehmen; tatsächlichen Anwendungsbereich recherchieren:
AI Act (Anhang III Hochrisiko, Art. 5 Verbote, gestaffelte Anwendbarkeit);
DSGVO Art. 22 (Scoring, HR, Kreditvergabe); DSA Art. 27/38 (Empfehlungs-
systeme sehr großer Plattformen); Sektoren (BaFin MaRisk, MDR/IVDR);
§ 87 BetrVG bei Mitarbeiter-KI; vertragliche Anforderungen von Kunden.
Schritt 5 — Anwendungsfall-Register und Rote Linien
Szenarien für Betreiber: Bewerbungs-Screening (Hochrisiko nach Art. 6 Abs. 2 i. V. m. Anhang III Nr. 4 lit. a),
HR-Zusammenfassungen, Kundendienst-Entwürfe, Spesen-Anomalieerkennung.
Rote-Linien-Frage: "Was wäre automatisch Nein?" Verbotene Praktiken
nach Art. 5 KI-VO als Ausgangspunkt (Social Scoring, subliminale
Manipulation, Echtzeitbiometrie, Emotionserkennung am Arbeitsplatz).
Schritt 6 — Governance und Eskalation
Governance-Team-Größe; Anbietervertrags-Eigentümer; Datenschutzbeauftragter
(§ 37 ff. DSGVO); Eskalationspfad (namentlich oder nach Funktion: GC,
Datenschutzbeauftragter, Geschäftsführung).
Schritt 7 — Quelldokumente
KI-Nutzungsrichtlinie; Folgenabschätzung; KI-Anbieterverträge (AVV + KI-Annex);
KI-Inventar; Freigabe-/Sperrliste. Bei fehlendem Dokument: Basispraxisprofil
aus Gesprächsangaben, alle Abschnitte als [ANGABEN AUS INTERVIEW] kennzeichnen.
Nach dem Schreiben: Zusammenfassung zeigen, erste Aufgaben vorschlagen
(Anwendungsfall triagieren, Anbietervertrag prüfen, Richtlinie entwerfen),
Lücken explizit benennen (kein KI-Inventar = kein systematisches Assessment
möglich; keine Anbieter-KI-Klauseln = Anbieter kann auf Daten trainieren).
Beispiel
Mittelständischer Softwarehersteller (500 MA, Sitz Deutschland, Kunden EU/UK):
Als Anbieter einer KI-gestützten Dokumentenklassifizierungslösung → Anbieter
nach Art. 3 Nr. 3 KI-VO; ggf. Hochrisiko nach Anhang III.
Intern KI-Schreibassistenten → Betreiberrolle Art. 3 Nr. 4 KI-VO.
DSGVO Art. 22 relevant weil Dokumentenklassifizierung für Kunden automatisch.
Praxisprofil mit Anbieterpflichten (Art. 9–15 KI-VO) als Schwerpunkt.
Risiken und typische Fehler
Builder/Betreiber-Frage nicht überspringen; bei "beides" die Seite mit
größerer Governance-Last zuerst bearbeiten.
Kein Regime annehmen; tatsächlichen Anwendungsbereich recherchieren.
Anwendungsfall-Register nie aus generischen Positionen befüllen; bei
Interview-Angaben: [POSITIONEN AUS INTERVIEW — als Ausgangspunkt].
Schatten-KI ernst nehmen: ein Register ohne informell genutzte Tools lügt.
KI-Governance- und Datenschutz-Interview nicht vermischen.
Quellenpflicht
AI Act Art. 3, 5, 6 i.V.m. Anhang III, 9–15, 25–29 — VO (EU) 2024/1689.
DSGVO Art. 22 bei automatisierten Einzelentscheidungen.
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Ausgaben auf Basis von Gesprächsangaben: [ANGABEN AUS INTERVIEW — anwaltliche Prüfung empfohlen] kennzeichnen.
Aktuelle Rechtsprechung (v14.2)
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Zentrale Normen (Paragrafenkette)
Art. 3 Nr. 3/4 KI-VO — Definitionen Anbieter / Betreiber
Art. 5 KI-VO — verbotene Praktiken (ab 02.02.2025)
Art. 6 i.V.m. Anhang III KI-VO — Hochrisiko-Klassifikation
Art. 9-15 KI-VO — Anbieterpflichten
Art. 25-29 KI-VO — Betreiberpflichten
Triage zu Beginn
Handelt das Unternehmen als Anbieter, Betreiber, Importeur oder Haendler (Art. 3 KI-VO)?
Welche KI-Systeme sind bereits produktiv — und welche sind in Planung?
Welche Regimes sind anwendbar — KI-VO, DSGVO, DSA, sektorale Regeln (BSIG, SGB V)?
Gibt es bereits eine KI-Nutzungsrichtlinie oder Folgenabschaetzungen?
Wer ist im Governance-Team — KI-Beauftragter, DSB, Betriebsrat, Eskalationskette?
