Vertrauenswürdige KI
Vertrauenswürdige KI: DSGVO und EU AI Act in der Praxis
Was die Regeln beim KI-Einsatz konkret verlangen und was ich dafür umsetze und dokumentiere. Für Forschung, Mittelstand und Verwaltung.
- DSGVO & EU AI Act
- Hosting in Deutschland
- Barrierefreiheit nach BITV 2.0 auf Wunsch
- XRechnung
Was die DSGVO beim KI-Einsatz verlangt
Sobald ein KI-System personenbezogene Daten verarbeitet, gilt die DSGVO wie für jede andere Software, auch für alles, was jemand in ein Chatfenster tippt. Für KI zählen vor allem:
- Rechtsgrundlage und Information: Jede Verarbeitung braucht eine Rechtsgrundlage, und Betroffene müssen verständlich erfahren, was mit ihren Daten geschieht.
- Auftragsverarbeitung: Jeder Dienstleister, der Daten in Ihrem Auftrag verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO. Übermittlungen außerhalb der EU brauchen eine Grundlage nach Art. 44 ff. DSGVO, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
- Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko ist vorab eine DSFA nach Art. 35 DSGVO nötig. Bei neuen Technologien wie KI ist das sorgfältig zu prüfen.
- Der Mensch entscheidet: Von engen Ausnahmen abgesehen muss niemand eine ausschließlich automatisierte Entscheidung hinnehmen, die ihn rechtlich oder ähnlich erheblich betrifft (Art. 22 DSGVO).
Technisch heißt das bei mir: nur nötige Daten verarbeiten, Personenbezug abtrennen, wo es geht, Zugriffe beschränken und protokollieren. Ihre Daten werden nicht zum Training von Modellen verwendet.
Was der EU AI Act verlangt
Der AI Act ordnet KI nach ihrem Risiko ein. Entscheidend ist der Einsatzzweck, nicht die Technik.
- Verbotene Praktiken: etwa Social Scoring oder Manipulation, die Menschen schadet. Diese Verbote gelten bereits.
- Hohes Risiko: KI, die zum Beispiel über den Zugang zu Bildung, über Bewerbungen oder über öffentliche Leistungen mitentscheidet. Verlangt werden unter anderem Risikomanagement, Dokumentation, Protokollierung und menschliche Aufsicht. Die Fristen dafür hat die EU 2026 verschoben. Wer ein solches System plant, sollte die Anforderungen trotzdem früh berücksichtigen.
- Transparenzpflichten: Wer Menschen mit einer KI chatten lässt, muss das erkennbar machen. Künstlich erzeugte Bilder, Videos oder Tonaufnahmen, die echt wirken, sind zu kennzeichnen.
- Minimales Risiko: in der Regel etwa eine interne Dokumentensuche. Besondere Pflichten entstehen kaum, die KI-Kompetenz nach Art. 4 gilt trotzdem.
Dazu kommt die Rolle. Wer KI in eigener Verantwortung nutzt, ist Betreiber. Wer ein System entwickeln lässt und unter eigenem Namen in Betrieb nimmt, kann auch als Anbieter gelten, mit weitergehenden Pflichten. Die Rolle gehört deshalb in jede Risikoeinstufung.
KI-Governance: klare Regeln statt Grauzone
KI-Governance beantwortet vier Fragen: Wo wird KI genutzt, wofür, mit welchen Daten, und wer ist verantwortlich? Dafür gehe ich mit Ihnen fünf Schritte:
- Bestandsaufnahme: Gespräche und eine kurze Befragung zeigen, welche KI-Werkzeuge schon im Einsatz sind, auch inoffiziell.
- Risikoeinstufung: Für jeden Anwendungsfall erarbeite ich einen begründeten Entwurf der Einordnung nach AI Act, mit Rolle und Pflichten. Ihre Rechtsberatung prüft ihn.
- Nutzungsrichtlinie: Ein Entwurf für eine kurze Richtlinie oder Dienstanweisung sagt, was gelten soll, welche Daten tabu sind und wen man fragt. Sie stimmen ihn intern ab und setzen ihn in Kraft.
- Rollen: Wer gibt neue Anwendungen frei, wer prüft sie, wer ist bei Fragen ansprechbar?
- Dokumentation: Ein Verzeichnis der KI-Anwendungen, das Sie selbst fortschreiben.
KI-Kompetenz nach Art. 4 AI Act
Wer KI beruflich einsetzt, muss Maßnahmen ergreifen, die die KI-Kompetenz der Beschäftigten fördern. Das gilt seit Februar 2025 für Unternehmen, Hochschulen und Behörden. Seit einer Änderung von 2026 steht ausdrücklich im Text, dass niemand ein bestimmtes Kompetenzniveau garantieren muss. Gefragt sind passende Maßnahmen, kein Zertifikat.
Ich schule an Ihren eigenen Aufgaben, abgestimmt auf Rolle und Vorwissen: Die Sachbearbeitung braucht anderes als die IT. Dazu kommen ein Leitfaden für den Alltag und eine Übersicht, wer woran teilgenommen hat. So können Sie zeigen, was Sie unternommen haben.
Souverän betrieben
Souverän heißt: Sie behalten die Kontrolle über Ihre Daten und wissen, wo und mit welchen Modellen sie verarbeitet werden.
- Betrieb in deutschen Rechenzentren, mit Vertrag zur Auftragsverarbeitung.
- Offene Modelle, wo sie die Aufgabe gut lösen, sonst Anbieter, die Ihre Daten in Deutschland oder der EU verarbeiten. Kein Training mit Ihren Daten.
- Standard-Technologien und offene Schnittstellen, das Modell bleibt austauschbar.
- Ob ich die Lösung für Sie betreibe oder Sie Code und Dokumentation übernehmen, legen wir im Angebot fest.
Was Sie schriftlich bekommen
Je nach Vorhaben gehören dazu:
- Datenschutz-Folgenabschätzung (Entwurf): technische und organisatorische Zuarbeit, wo eine nötig ist, zur Abstimmung mit Ihrer Datenschutzstelle; die Bewertung bleibt bei Ihnen
- AI-Act-Risikoeinstufung: als begründeter Entwurf, mit Rolle und Pflichten je Anwendungsfall, zur Prüfung durch Ihre Rechtsberatung
- Barrierefreiheitserklärung (Entwurf): auf Wunsch, für Weboberflächen nach WCAG 2.2 bzw. BITV 2.0
- Dokumentation: Aufbau, Betrieb, Zugänge, eingesetzte Modelle und Lizenzen
Keine Rechtsberatung
Ich bin Softwareentwickler, kein Jurist. Ich setze die technischen und organisatorischen Anforderungen um und dokumentiere sie. Meine Entwürfe, etwa zur Risikoeinstufung oder Datenschutz-Folgenabschätzung, sind fachlich begründete Vorarbeit und keine rechtliche Bewertung. Ob eine Rechtsgrundlage trägt oder ein System als hochriskant gilt, bewertet und verantwortet Ihre Datenschutz- oder Rechtsberatung. Meine Unterlagen liefern ihr die technischen Fakten dazu.
Häufige Fragen
Was kostet ein Projekt?
Das hängt vom Umfang ab, deshalb gibt es hier keine Preisliste. Nach dem Erstgespräch erhalten Sie ein Pauschalangebot mit festem Preis für einen klar beschriebenen Leistungsumfang. Den Preis bestimmen vor allem die Zahl der Anwendungsfälle und Abläufe, die Anbindung an bestehende Systeme, die Sensibilität der Daten und der Dokumentationsbedarf, der daraus folgt, sowie die Frage, ob ich die Lösung danach betreibe. Ein überschaubarer Einstieg ist eine Bestandsaufnahme mit Risikoeinstufung.
Machen Sie auch Rechtsberatung?
Nein. Ich setze technische und organisatorische Anforderungen aus DSGVO und AI Act um und dokumentiere sie. Entwürfe, etwa zur Risikoeinstufung oder zur Datenschutz-Folgenabschätzung, bereite ich fachlich vor. Die rechtliche Prüfung und Bewertung im Einzelfall übernimmt Ihre Datenschutz- oder Rechtsberatung, mit der wir uns abstimmen. Rechtsauskünfte erteile ich nicht.
Welche KI-Modelle setzen Sie ein?
Je nach Aufgabe offene Modelle auf Servern in Deutschland oder Modelle von Anbietern, die Ihre Daten in Deutschland oder der EU verarbeiten. Ihre Daten werden nicht zum Training verwendet. Wo Ihre Daten verarbeitet werden, steht vorab im Angebot und im Vertrag zur Auftragsverarbeitung.
Wem gehört der Code?
Das legen wir im Angebot fest, passend zum Projekt. Betreibe ich die Lösung für Sie, erhalten Sie Zugang zur Anwendung, und nach Vertragsende gebe ich Ihre Daten nach Ihrer Wahl zurück oder lösche sie. Wollen Sie die Lösung selbst weiterführen, regelt das Angebot Übergabe und Nutzungsrechte.
Was, wenn Sie ausfallen?
Ich setze verbreitete Standard-Technologien ein und dokumentiere Aufbau und Betrieb. Planbare Abwesenheiten kündige ich rechtzeitig an. Soll im Ernstfall jemand anderes übernehmen können, lässt sich das im Angebot vereinbaren, etwa mit einer Übergabe von Code und Dokumentation.
Sie haben ein Vorhaben im Kopf?
Schreiben Sie mir kurz, worum es geht und bis wann. Ich melde mich mit einem Terminvorschlag.