Analyse · Rechtslage · Audit-Prozess
Ein Entwicklungsteam integriert einen KI-Coding-Assistant. Ein HR-Team nutzt ein KI-gestütztes Bewerber-Screening-Tool. Ein Medizinproduktehersteller setzt maschinelles Lernen zur Anomalie-Erkennung ein. In allen drei Fällen laufen vermutlich KI-Systeme ohne formale Klassifizierung, ohne Auftragsverarbeitungsvertrag und ohne dokumentierten Audit-Trail. Das war lange tolerierbar. Es ist es nicht mehr.
Der EU AI Act ist seit dem 1. August 2024 in Kraft. Die ersten Verbote galten ab Februar 2025. Ab August 2026 gelten die vollständigen Pflichten für Hochrisiko-KI-Systeme. Wer bis dahin kein strukturiertes Audit durchgeführt hat, riskiert nicht nur Bußgelder — er riskiert operative Unterbrechungen, weil Tools abgeschaltet werden müssen, die nicht compliant sind.
EU AI Act (Verordnung 2024/1689)
- Art. 9 — Risikomanagementsystem
- Anbieter und Betreiber von Hochrisiko-KI-Systemen müssen ein dokumentiertes Risikomanagementsystem einrichten und pflegen. Risiken müssen identifiziert, bewertet und mit Gegenmaßnahmen versehen werden.
- Art. 13 — Transparenz und Bereitstellung von Informationen
- Hochrisiko-KI-Systeme müssen so gestaltet sein, dass ihr Betrieb für Betreiber hinreichend transparent ist. Nutzer müssen verstehen, womit sie es zu tun haben — Ausgaben müssen interpretierbar sein.
- Art. 17 — Qualitätsmanagementsystem
- Anbieter von Hochrisiko-Systemen benötigen ein dokumentiertes QMS: Risikokontrollen, Datengovernance, technische Dokumentation, Post-Market-Monitoring. Das trifft auch interne KI-Lösungen, die intern als Hochrisiko eingestuft werden.
DSGVO (Verordnung 2016/679)
- Art. 28 — Auftragsverarbeitung
- Werden personenbezogene Daten an einen externen KI-Dienst übermittelt — etwa durch API-Calls mit Nutzerinhalten — ist ein Auftragsverarbeitungsvertrag (AVV) erforderlich. Ohne AVV ist die Übermittlung rechtswidrig. Das gilt für jeden Cloud-KI-Dienst, dem Prompts mit Kundendaten, Mitarbeiterdaten oder anderen personenbezogenen Inhalten übergeben werden.
- Art. 35 — Datenschutz-Folgenabschätzung (DSFA)
- Verarbeitungen mit hohem Risiko für natürliche Personen — systematische Profilerstellung, Verarbeitung sensibler Daten im großen Stil, automatisierte Entscheidungen — erfordern eine DSFA vor der Inbetriebnahme. KI-gestütztes HR-Screening oder medizinische KI lösen diese Pflicht regelmäßig aus.
- Art. 22 — Automatisierte Entscheidungen
- Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Auswirkungen haben, sind grundsätzlich unzulässig — außer mit ausdrücklicher Einwilligung oder gesetzlicher Grundlage. KI-gestütztes Kredit-Scoring, Bewerbungsauswahl oder Mitarbeiterbeurteilung fallen darunter.
Branchenspezifische Anforderungen
- DO-178C — Luftfahrt
- Software-Lebenszyklusstandard für airborne systems. KI-Komponenten in flugkritischer Software erfordern vollständige Nachvollziehbarkeit, formale Verifikation und Zertifizierungsplanung.
- IEC 62304 — Medizinprodukte-Software
- Softwareentwicklungsprozess für Medizingeräte. KI-Algorithmen in Diagnosesoftware oder Medizingeräten fallen unter diese Norm und erfordern Risikoklassifizierung, Validierungsdokumentation und Traceability.
- ISO 26262 — Automotive
- Funktionale Sicherheit für Straßenfahrzeuge. KI in ADAS-Systemen oder autonomen Fahrfunktionen muss ASIL-Anforderungen erfüllen, was KI-Modelle mit stochastischem Verhalten vor erhebliche Herausforderungen stellt.
- BetrVG §87 — Mitbestimmung
- Der Betriebsrat hat bei der Einführung von Systemen, die das Verhalten oder die Leistung der Arbeitnehmer überwachen, ein zwingendes Mitbestimmungsrecht. KI-gestützte Produktivitätsüberwachung, Code-Review-Auswertungen oder Anwesenheitserfassung durch KI sind mitbestimmungspflichtig — auch wenn das Tool primär als "Entwicklerwerkzeug" eingeführt wird.
Ein KI-Compliance-Audit ist kein Papierprojekt. Es beginnt mit der Frage: Welche KI-Tools sind überhaupt im Einsatz? Diese Frage ist in den meisten Unternehmen nicht trivial zu beantworten.
Der Einsatz von Cloud-KI-Diensten in regulierten Umgebungen erzeugt strukturelle Probleme, die keine einfache Lösung haben.
Bei jedem API-Call verlassen potenziell sensible Daten das Unternehmen. Das gilt für Prompts, die Codeausschnitte mit Geschäftslogik enthalten, für HR-Anfragen mit Mitarbeiterdaten, für medizinische Anfragen mit Patienteninformationen. Der Nutzer eines KI-Assistenten denkt selten daran, was er gerade in den API-Request schreibt.
AVVs mit US-Anbietern unter EU-DSGVO sind kompliziert. Das Privacy Shield war ungültig, das EU-US Data Privacy Framework existiert, steht aber unter politischem Druck. Wer sich auf Standardvertragsklauseln stützt, muss eine Transfer Impact Assessment durchführen und dokumentieren. Das erledigen die wenigsten Teams systematisch.
In Umgebungen ohne Cloud-Zugriff — Defense, sicherheitskritische Infrastruktur, bestimmte Healthcare-Settings — scheidet Cloud-KI vollständig aus. Hier sind ausschließlich on-premise betriebene Modelle zulässig. Das ist technisch lösbar, erfordert aber andere Infrastruktur und andere Deployment-Prozesse als Cloud-Dienste.
Wir folgen einem strukturierten Fünf-Schritte-Prozess. Das Ergebnis ist kein Gutachten, das im Regal bleibt — sondern ein priorisierter Aktionsplan mit konkreten Maßnahmen und Zeitrahmen.
Der Audit-Bericht ist schriftlich und enthält alle Grundlagen, die für eine Kommunikation mit Datenschutzbehörden, Betriebsrat oder Zertifizierungsstellen erforderlich sind. Auf Wunsch begleiten wir die Umsetzung — von der AVV-Erstellung bis zur on-premise Modell-Deployment.
Technisches Gespräch vereinbaren
Wir beginnen mit einer kostenlosen Ersteinschätzung. Keine Vorabverpflichtung — Sie erhalten eine erste Bewertung Ihrer KI-Tool-Landschaft und der dringlichsten Compliance-Lücken.
Ersteinschätzung anfragen → alpitype.deClaude on-premise: Praxisworkshop
Lokale KI ohne Cloud-Abhängigkeit. Wir zeigen, wie Claude sicher im eigenen Rechenzentrum oder in einer Umgebung ohne Cloud-Zugriff betrieben wird — DSGVO-konform, ohne API-Key, ohne externe Datenübertragung.
Workshop-Details ansehen →