KI im Betrieb – Datenschutz, Mitarbeiter und EU-KI-Verordnung gemeinsam planen

Eine Werkstatt testet eine KI, die Störungsberichte sortiert und passende Arbeitswerte vorschlägt. Nach wenigen Tagen entsteht eine zweite Idee: Aus denselben Protokollen ließe sich doch auswerten, welcher Monteur für welche Reparatur besonders lange braucht. Technisch liegen beide Auswertungen nah beieinander. Bei KI im Betrieb, Datenschutz und Mitarbeitern sind es jedoch zwei grundverschiedene Zwecke mit unterschiedlichen Folgen.

Die erste Anwendung unterstützt einen Auftrag. Die zweite bewertet möglicherweise Beschäftigte. Damit ändern sich Datenbedarf, Transparenz, Mitbestimmung, Risiko und die Rolle der menschlichen Entscheidung. Ein Unternehmen kann diese Fragen nicht nach dem technischen Pilot ergänzen. Zweck, Datenfluss, Zugriffe, Aufsicht und Verantwortlichkeit gehören in denselben Entwurf wie Modell und Schnittstelle.

Dieser Beitrag beschreibt eine technische und organisatorische Projektpraxis für klassische Betriebe. Er ersetzt keine Rechtsberatung. Die rechtliche Einordnung hängt vom konkreten System, seinem vorgesehenen Zweck, den verwendeten Daten, der Unternehmensrolle und den Auswirkungen auf Menschen ab.

KI im Betrieb – Datenschutz, Mitarbeiter und aktuelle AI-Act-Fristen

Die EU-KI-Verordnung gilt nicht mehr in ihrer ursprünglichen Zeitplanung. Die Verordnung (EU) 2026/1744, der sogenannte AI Omnibus, trat am 27. Juli 2026 in Kraft und änderte unter anderem Fristen und die Regelung zur KI-Kompetenz.

Für Unternehmen sind derzeit vier Zeitpunkte besonders relevant:

• Die allgemeinen Bestimmungen und Verbote aus den Kapiteln I und II gelten grundsätzlich seit dem 2. Februar 2025.
• Der allgemeine Anwendungsbeginn der EU-KI-Verordnung lag am 2. August 2026; hierzu gehören abhängig vom System unter anderem Transparenzvorgaben.
• Die besonderen Hochrisiko-Regeln für die in Anhang III genannten Einsatzbereiche – darunter bestimmte Beschäftigungsanwendungen – gelten nach der Änderung ab dem 2. Dezember 2027.
• Für Hochrisiko-KI als Sicherheitskomponente oder Produkt nach Anhang I gelten die entsprechenden Regeln ab dem 2. August 2028.

Die Verschiebung der Hochrisiko-Regeln ist kein Freibrief. DSGVO, Bundesdatenschutzgesetz, Arbeitsrecht, Betriebsverfassung und bereits geltende KI-Verbote bleiben eigenständig zu prüfen. Ein System, das heute Beschäftigtendaten verarbeitet, benötigt heute einen tragfähigen Zweck, eine Rechtsgrundlage und angemessene Schutzmaßnahmen.

Die EU-KI-Verordnung verwendet für ein Unternehmen, das ein KI-System unter eigener Verantwortung nutzt, regelmäßig die Rolle des Betreibers beziehungsweise „Deployers“. Wer ein System wesentlich verändert, seinen vorgesehenen Zweck ändert oder es unter eigenem Namen in Verkehr bringt, kann weitergehende Anbieterpflichten auslösen. Die Rollenprüfung gehört daher in jede individuelle Entwicklung und tiefe Integration.

EU-KI-Verordnung und DSGVO beantworten unterschiedliche Fragen

Die EU-KI-Verordnung ordnet KI-Systeme nach Praktiken, Rollen und Risiken. Die DSGVO regelt die Verarbeitung personenbezogener Daten. Beide Regelwerke können gleichzeitig gelten. Ein KI-System mit geringem Risiko nach der KI-Verordnung kann trotzdem eine unzulässige oder schlecht abgesicherte Verarbeitung personenbezogener Daten enthalten.

Umgekehrt ist nicht jede Betriebsinformation personenbezogen. Ein Modell, das anonymisierte Maschinenvibrationen bewertet, kann ohne Beschäftigtendaten arbeiten. Sobald Schicht, Gerät, Auftrag und Zeitstempel einer Person zugeordnet werden können, kann aus vermeintlichen Maschinendaten eine Leistungs- oder Verhaltensinformation entstehen.

Die geänderte KI-Verordnung stellt ausdrücklich klar, dass Datenschutzrecht für personenbezogene Daten im Zusammenhang mit ihren Pflichten weiter gilt. Ein Projekt braucht deshalb mindestens zwei getrennte Prüfungen:

1. Welche Rolle und Risikoklasse hat das KI-System nach der EU-KI-Verordnung?
2. Welche personenbezogenen Daten werden zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet?

Eine Checkliste mit einem einzigen Feld „AI Act erfüllt“ kann diese Prüfungen nicht ersetzen.

Der Zweck begrenzt Daten, Auswertung und spätere Nutzung

Ein belastbarer Zweck beschreibt den betrieblichen Arbeitsschritt. „Effizienz steigern“ ist zu weit. „Eingehende Störungsmeldungen nach Anlage und Störungsart vorsortieren, damit der Disponent sie prüft“ ist konkret genug, um Daten und Ergebnis zu begrenzen.

Aus dem Zweck folgen praktische Entscheidungen:

• Welche Eingabefelder benötigt das System tatsächlich?
• Muss ein Personenname verarbeitet werden oder genügt eine Rollen- beziehungsweise Auftragsreferenz?
• Wird nur ein Vorschlag erstellt oder eine Entscheidung vorbereitet?
• Wer sieht Originaldaten, KI-Ausgabe und Protokolle?
• Wie lange werden Eingabe, Ausgabe und Korrektur benötigt?
• Darf der Anbieter Inhalte für eigene Modellverbesserung verwenden?
• Welche spätere Zweitnutzung ist ausgeschlossen?

Zweckänderungen werden nicht still in einem Dashboard ergänzt. Wenn aus Einsatzplanung eine Leistungsbewertung wird, beginnt eine neue fachliche und rechtliche Prüfung. Daten, die für die Auftragssteuerung erforderlich waren, sind nicht automatisch für Personalentscheidungen freigegeben.

Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe zu KI und Datenschutz, Auswahl, Implementierung und Nutzung gemeinsam zu betrachten. Ihre Hinweise sind kein abschließender Anforderungskatalog, zeigen aber, warum Verantwortliche die Datenverarbeitung bereits vor der Werkzeugauswahl klären sollten.

Datenminimierung beginnt vor Prompt und Modellaufruf

Ein Sprachmodell benötigt für die Klassifikation einer Störung oft Fehlertext, Anlage und fachlichen Kontext. Name, private Telefonnummer, Lohnmerkmal oder vollständige Kundenhistorie können entbehrlich sein. Die Integrationsschicht entfernt solche Felder, bevor sie den KI-Dienst erreichen.

Pseudonymisierung hilft, wenn die Zuordnung im Fachsystem erhalten bleiben muss. Statt „Max Mustermann“ erhält der KI-Dienst eine zufällige Fall- oder Rollenkennung. Die Zuordnung verbleibt in einer kontrollierten Umgebung. Pseudonymisierte Daten bleiben allerdings personenbezogen, wenn sie wieder einer Person zugeordnet werden können.

Für unstrukturierte Dokumente reicht eine Feldliste nicht. Freitext, PDF-Anhänge, Fotos oder Gesprächsnotizen können unerwartete Personendaten enthalten. Ein technischer Vorfilter, klare Eingaberegeln und eine begrenzte Ablage sind deshalb wichtiger als ein Hinweis an Beschäftigte, „keine sensiblen Daten einzugeben“.

Bei frei zugänglichen KI-Werkzeugen muss vor der Nutzung geklärt sein, ob eingegebene Inhalte gespeichert, zu Trainings- oder Verbesserungszwecken verwendet, an Unterauftragnehmer übermittelt oder außerhalb des vorgesehenen Rechtsraums verarbeitet werden. Ein kostenpflichtiger Zugang allein beantwortet diese Fragen nicht.

Rechtsgrundlage, Information und Betroffenenrechte bleiben Einzelfallarbeit

Jede Verarbeitung personenbezogener Daten benötigt eine passende Rechtsgrundlage. Im Beschäftigungskontext können zusätzlich § 26 BDSG, arbeitsrechtliche Regelungen, Tarifverträge oder Betriebsvereinbarungen relevant sein. Eine Einwilligung ist wegen des Abhängigkeitsverhältnisses nicht automatisch freiwillig und daher keine bequeme Standardlösung.

Beschäftigte und andere betroffene Personen müssen verständlich erfahren, welche Daten zu welchem Zweck verarbeitet werden, wer verantwortlich ist, welche Empfänger beteiligt sind, wie lange Daten gespeichert werden und welche Rechte bestehen. Die Information muss den tatsächlichen Datenweg beschreiben. „Wir nutzen KI zur Prozessverbesserung“ erklärt weder Leistungsbewertung noch externen Modelldienst.

Art. 22 DSGVO enthält besondere Regeln für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung entfalten. Eine nominelle Freigabe durch einen Menschen genügt nicht zwingend. Die prüfende Person benötigt Fachkunde, Zeit, Originalinformationen und die reale Befugnis, den Vorschlag zu ändern oder abzulehnen.

Ein Unternehmen sollte deshalb nicht nur den Schalter „Human in the Loop“ dokumentieren. Es muss zeigen, wie menschliche Kontrolle im konkreten Ablauf funktioniert.

Der Betriebsrat gehört früh in den Projektablauf

Besteht ein Betriebsrat, wird nicht erst die fertige Oberfläche präsentiert. Das Betriebsverfassungsgesetz enthält verschiedene Informations-, Beratungs- und Mitbestimmungsrechte, deren Anwendbarkeit vom konkreten Einsatz abhängt.

Besonders relevant können sein:

• technische Einrichtungen, die Verhalten oder Leistung von Beschäftigten überwachen können
• Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich KI-Einsatz
• allgemeine Beurteilungsgrundsätze und personelle Auswahlrichtlinien
• Qualifizierung und Veränderung von Arbeitsaufgaben
• Hinzuziehung sachverständiger Unterstützung bei der Bewertung von KI

Das Betriebsrätemodernisierungsgesetz hat ausdrücklich klargestellt, dass Beteiligungsrechte auch beim KI-Einsatz greifen und der Betriebsrat leichter Sachverstand hinzuziehen kann. Welche Norm im Einzelfall einschlägig ist und welche Vereinbarung benötigt wird, gehört in arbeitsrechtliche Beratung.

Ein Betrieb ohne Betriebsrat verliert dadurch nicht seine Pflichten aus Datenschutz, Arbeitsrecht oder KI-Verordnung. Auch dort ist eine frühe Beteiligung der Beschäftigten fachlich sinnvoll: Sie kennen Ausnahmefälle, erkennen verdeckte Leistungsauswertungen und können beurteilen, ob eine Prüfansicht im Arbeitsalltag tatsächlich funktioniert.

Die BMAS-Publikation „KI-Einsatz im Betrieb“ stellt Mitbestimmung, Datenschutz und mögliche Eckpunkte einer Betriebsvereinbarung aus Sicht von Beschäftigten und Betriebsräten zusammen. Sie ist eine Orientierung, kein Ersatz für die Prüfung des eigenen Systems.

Beschäftigungsbezogene KI kann in den Hochrisikobereich fallen

Anhang III der EU-KI-Verordnung nennt bestimmte KI-Systeme in Beschäftigung und Personalmanagement. Dazu gehören je nach vorgesehenem Zweck Systeme für Einstellung und Auswahl, Entscheidungen über Bedingungen, Beförderung oder Beendigung sowie bestimmte Aufgabenverteilung und Überwachung beziehungsweise Bewertung von Leistung und Verhalten.

Nicht jedes Werkzeug, das Beschäftigte benutzen, ist deshalb automatisch Hochrisiko-KI. Ein Wissensassistent für Reparaturanleitungen hat eine andere Funktion als ein System, das Beschäftigte bewertet oder Aufgaben anhand persönlicher Merkmale verteilt. Entscheidend ist der vorgesehene Zweck und die tatsächliche Nutzung.

Die Verordnung enthält zudem Regeln für die Abgrenzung von Systemen, die trotz Zuordnung zu einem Anhang-III-Bereich kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen und Entscheidungen nicht wesentlich beeinflussen. Profiling natürlicher Personen bleibt besonders relevant. Diese Einordnung sollte nicht aus einem Produktprospekt übernommen werden, sondern für den konkreten Einsatz dokumentiert und rechtlich geprüft werden.

Die speziellen Pflichten für solche Anhang-III-Hochrisikosysteme gelten nach dem AI Omnibus ab dem 2. Dezember 2027. Dazu gehören für Betreiber unter anderem Nutzung nach Anleitung, geeignete menschliche Aufsicht, Monitoring, bestimmte Protokollaufbewahrung und – bei Einsatz am Arbeitsplatz – Information von Arbeitnehmervertretung und betroffenen Beschäftigten. Wer heute ein System mit langer Laufzeit beschafft, sollte diese späteren Pflichten bereits in Architektur und Vertrag einplanen.

Verbotene Emotionserkennung ist keine Frage der späteren Hochrisikofrist

Die EU-KI-Verordnung verbietet grundsätzlich KI-Systeme, die Emotionen natürlicher Personen im Bereich Arbeitsplatz aus biometrischen Daten ableiten. Ausnahmen bestehen für medizinische oder sicherheitsbezogene Gründe. Das Verbot gilt nicht erst ab Dezember 2027.

Ein Anbieterhinweis wie „erkennt Motivation aus Stimme“ oder „misst Stimmung aus Gesichtsausdruck“ muss daher vor jeder Beschaffung gestoppt und rechtlich eingeordnet werden. Die Verordnung unterscheidet Emotionserkennung von der bloßen Erkennung offenkundiger Ausdrücke oder körperlicher Zustände; die konkrete Produktfunktion bleibt entscheidend.

Auch außerhalb eines ausdrücklichen Verbots können biometrische oder besonders sensible Daten strenge Datenschutzanforderungen auslösen. Eine emotionale Bewertung von Anrufen oder Videobildern ist deshalb kein harmloses Zusatzfeld für ein Management-Dashboard.

Drei Betriebsfälle benötigen unterschiedliche Leitplanken

Aufträge im Lager vorsortieren

Eine KI extrahiert aus E-Mails und PDF-Bestellungen Kunde, Lieferdatum und Positionen. Eingabedaten stammen von Kunden, nicht aus einer Leistungsbewertung der Sachbearbeitung. Trotzdem werden Bearbeitername und individuelle Bearbeitungszeit nicht automatisch für Modell oder Dashboard benötigt.

Der sichere Zuschnitt übergibt nur auftragsbezogene Felder, zeigt Originalbeleg und Vorschlag in einer Prüfansicht und schreibt erst nach Freigabe. Qualitätskennzahlen werden auf Prozess- und Dokumenttyp-Ebene ausgewertet. Soll später die Korrekturquote einzelner Beschäftigter bewertet werden, beginnt eine neue Prüfung.

Wissensassistent in der Werkstatt

Der Assistent durchsucht freigegebene Reparaturanleitungen, interne Hinweise und bestätigte Störungsberichte. Rollenbasierte Zugriffe verhindern, dass jeder Nutzer alle Kunden- oder Personaldaten sehen kann. Antworten enthalten Quellen und Versionsstand; ungeklärte Fälle gehen an Meister oder Technikverantwortliche.

Beschäftigte benötigen Schulung zu Grenzen, vertraulichen Eingaben und fachlicher Kontrolle. Der Beitrag zum Sichern von Erfahrungswissen mit KI beschreibt den fachlichen Datenweg. Dieser Artikel ergänzt Zweckbindung, Zugriffsrechte und Beteiligung.

KI-gestützte Einsatzplanung

Ein Dispositionssystem nutzt Qualifikation, Verfügbarkeit, Entfernung und Auftragsanforderung. Solange die KI nur Vorschläge vorbereitet, bleibt die menschliche Entscheidung sichtbar. Werden zusätzlich Verhalten, individuelle Geschwindigkeit, Fehlzeiten oder Persönlichkeitsmerkmale zur Aufgabenverteilung verwendet, steigen Risiko und Eingriffsintensität deutlich.

Die Datenfelder werden einzeln begründet. Nicht jede vorhandene Personalinformation ist für eine passende Einsatzentscheidung erforderlich. Beschäftigte müssen erkennen können, welche Faktoren verwendet werden; Disponenten brauchen eine Möglichkeit, falsche Stammdaten und unpassende Vorschläge zu korrigieren.

Menschliche Aufsicht ist ein gestalteter Arbeitsplatz

Eine wirksame Aufsicht besteht aus Oberfläche, Befugnis und Arbeitsorganisation. Die prüfende Person sieht Originalquelle, KI-Vorschlag, Unsicherheit und relevante Regeln. Sie kann ablehnen, korrigieren, eskalieren und den automatischen Ablauf unterbrechen.

Folgende Bedingungen werden getestet:

• Ist die Originalinformation ohne Umwege erreichbar?
• Sind kritische Felder und fehlende Angaben sichtbar?
• Bleibt genügend Zeit für eine echte Prüfung?
• Werden Korrekturen mit Grund erfasst, ohne Beschäftigte zu überwachen?
• Gibt es einen Rückfallweg ohne KI?
• Wer entscheidet bei Grenzfällen?
• Können Betroffene eine fehlerhafte Grundlage berichtigen lassen?

Der Artikel zum KI-Schattenbetrieb zeigt, wie Fachentscheidungen zunächst unbeeinflusst mit KI-Ausgaben verglichen werden. Erst danach sollte eine Assistenzstufe folgen.

KI-Kompetenz muss zum Einsatz passen

Art. 4 der EU-KI-Verordnung wurde durch den AI Omnibus neu gefasst. Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz bei Beschäftigten und anderen Personen zu unterstützen, die in ihrem Auftrag KI betreiben oder nutzen. Berücksichtigt werden Wissen, Erfahrung, Ausbildung, Nutzungskontext und die betroffenen Personengruppen. Ein bestimmtes individuelles Kompetenzniveau muss nicht garantiert werden.

Für einen Betrieb folgt daraus kein universeller Zertifikatskurs. Ein Monteur, der einen Wissensassistenten nutzt, benötigt andere Kenntnisse als eine Administratorin, ein Disponent mit Freigabeverantwortung oder ein Entwickler der Integrationsschicht.

Ein rollenbezogenes Konzept umfasst beispielsweise:

• erlaubte und ausgeschlossene Zwecke
• geeignete und ungeeignete Eingabedaten
• typische Fehler und Grenzen des konkreten Systems
• fachliche Prüfung und Eskalation
• Datenschutz- und Sicherheitsregeln
• Dokumentation von Korrekturen und Vorfällen
• Vorgehen bei Systemausfall
• Änderungen an Modell, Prompt oder Datenquelle

Unterweisungen werden mit Rolle, Inhalt und Aktualisierungsanlass dokumentiert. Das dient nicht nur einem Nachweis, sondern verhindert, dass alte Arbeitsanweisungen nach einem Modellwechsel weiterverwendet werden.

Anbieterprüfung und Vertrag müssen den echten Datenweg abbilden

Bei einem externen KI-Dienst werden Verantwortlichkeiten und Datenflüsse vor Vertragsabschluss geklärt. Je nach Konstellation kann eine Auftragsverarbeitung vorliegen; andere Rollenmodelle sind möglich und müssen geprüft werden.

Die technische und vertragliche Prüfung umfasst:

• konkrete Dienst- und Modellversion
• Verarbeitungszweck und Weisungsbindung
• Nutzung von Eingaben und Ausgaben für Anbietertraining
• Speicherfristen und Löschverfahren
• Unterauftragnehmer und Verarbeitungsorte
• Drittlandübermittlungen und Schutzmechanismen
• Verschlüsselung, Mandantentrennung und Zugriffskontrollen
• Protokolle, Vorfallmeldung und Unterstützung bei Betroffenenrechten
• Änderung von Modell, Bedingungen und Datenverwendung
• Datenexport, Anbieterwechsel und Vertragsende

Eine Firmenedition kann bessere Kontrollen bieten, garantiert aber nicht automatisch die Eignung für jeden Datentyp. Das Unternehmen prüft Produktkonfiguration und tatsächlichen Vertrag, nicht nur die Marketingseite.

Datenschutz-Folgenabschätzung und Grundrechteprüfung nicht vermischen

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Neue Technologie, systematische Bewertung, umfangreiche oder sensible Daten können wichtige Indikatoren sein. Die Entscheidung wird dokumentiert; ist eine Folgenabschätzung nötig, beschreibt sie Verarbeitung, Notwendigkeit, Risiken und Schutzmaßnahmen.

Die Grundrechte-Folgenabschätzung nach Art. 27 der EU-KI-Verordnung betrifft bestimmte Betreiber und Hochrisiko-Systeme. Sie gilt nicht pauschal für jedes private KMU. Der AI Omnibus erlaubt an geeigneten Stellen Querverweise zwischen ihr und einer Datenschutz-Folgenabschätzung. Das macht beide Prüfungen nicht identisch.

Unternehmen sollten daher keine Vorlage mit beiden Überschriften füllen und von vollständiger Compliance ausgehen. Datenschutzbeauftragte, Betriebsrat, Informationssicherheit, Fachbereich und qualifizierte Rechtsberatung bringen unterschiedliche Prüfaufgaben ein.

Ein KI-Systemverzeichnis hält Änderungen sichtbar

Ein einfaches Verzeichnis verhindert, dass Pilotdienste, Browserwerkzeuge und individuelle Integrationen unbemerkt auseinanderlaufen. Für jedes System werden mindestens erfasst:

• Bezeichnung, Anbieter, Version und verantwortliche Stelle
• vorgesehener Zweck und ausgeschlossene Zwecke
• Nutzerrollen und betroffene Personengruppen
• Datenkategorien, Quellen und Empfänger
• Rollen nach Datenschutzrecht und KI-Verordnung
• Risikoklassifizierung mit Begründung und Prüfdatum
• Rechtsgrundlage und Informationspflichten
• Beteiligung von Datenschutz, Sicherheit und Interessenvertretung
• menschliche Aufsicht und Rückfallweg
• Aufbewahrung, Protokolle und Löschung
• Schulung, Monitoring und Änderungsprozess

Eine neue Modellversion, zusätzliche Datenquelle oder geänderte Automatisierungsstufe löst eine Änderungsprüfung aus. Ein Verzeichnis ohne Verantwortliche und Termine wird schnell zur Inventarliste ohne Steuerungswirkung.

Technische und organisatorische Maßnahmen müssen KI-spezifische Fehler abdecken

Klassische Maßnahmen wie Berechtigung, Verschlüsselung, Sicherung und Protokollierung bleiben notwendig. Hinzu kommen Risiken aus Modellausgaben, Eingabemanipulation, ungewollter Datenoffenlegung, Modelländerung und unklarem Kontext.

Die Datenschutzkonferenz veröffentlichte 2025 eine eigene Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen. Für einen konkreten Betrieb können daraus Maßnahmen wie Eingabefilter, getrennte Testumgebung, versionsgebundene Evaluation, Ausgabeprüfung, Zugriffstrennung und kontinuierliches Monitoring abgeleitet werden.

Nicht jede Protokollierung ist automatisch datenschutzfreundlich. Vollständige Prompts und Antworten können mehr personenbezogene Daten enthalten als das Fachsystem. Logs werden deshalb nach Zweck, Zugriff und Aufbewahrungsfrist gestaltet. Für spätere Hochrisiko-Systeme können besondere Protokollpflichten hinzukommen; Datenschutz und Nachweisbedarf müssen gemeinsam aufgelöst werden.

Der Freigabeplan verbindet Recht, Organisation und Technik

Ein belastbarer Projektplan enthält keine einzelne „Compliance-Freigabe“ am Ende. Er arbeitet mit aufeinanderfolgenden Entscheidungen:

1. Zweck und Prozessgrenze freigeben.
2. Daten, Rechtsgrundlage und Rollen prüfen.
3. Betriebsrat beziehungsweise Beschäftigte früh einbinden.
4. Risikoklasse und verbotene Praktiken prüfen.
5. Anbieter, Vertrag und technische Architektur bewerten.
6. Datenschutz- und Sicherheitsmaßnahmen umsetzen.
7. Rollenbezogene Schulung vorbereiten.
8. Offline-Test und Schattenbetrieb durchführen.
9. Menschliche Aufsicht praktisch abnehmen.
10. Betrieb, Änderungen, Vorfälle und Abschaltung organisieren.

Eine rechtliche Prüfung kann den vorgesehenen Zuschnitt verändern. Vielleicht wird die individuelle Leistungskennzahl gestrichen, die KI darf nur Vorschläge liefern oder personenbezogene Daten bleiben vollständig im lokalen System. Solche Begrenzungen sind kein Projektverlust, sondern Teil einer tragfähigen Lösung.

SW Business Solutions entwickelt den prüfbaren technischen Rahmen

SW Business Solutions erbringt keine Rechtsberatung und verspricht keine pauschale Rechtskonformität. Das Team entwickelt die technische und organisatorische Grundlage, auf der Datenschutzbeauftragte, Interessenvertretung, Informationssicherheit und Rechtsberatung den konkreten Einsatz nachvollziehbar prüfen können.

Je nach Projekt umfasst das:

• Prozess- und Datenflusskarte
• Datenminimierung und Pseudonymisierung
• Rollen- und Berechtigungskonzept
• lokales Gateway oder kontrollierte Cloud-Anbindung
• Anbieter- und Modellkonfiguration
• Prüfansicht mit Quellen und Korrekturmöglichkeit
• Protokollierung nach Zweck und Aufbewahrung
• Schattenbetrieb, Testfälle und Abbruchregeln
• KI-Systemverzeichnis und Änderungsworkflow
• technischer Rückfall- und Abschaltweg

Die KI-Integration von SW Business Solutions verbindet geeignete Standardmodelle, bestehende Fachsoftware und individuell entwickelte Komponenten. Die API-Entwicklung begrenzt Datenzugriffe und macht Übergaben nachvollziehbar. Bei älteren Systemen zeigt der Beitrag KI an alte Fachsoftware anbinden, wie Lese- und Schreibwege getrennt werden.

Für den Einstieg reichen ein realer Arbeitsschritt, die verwendeten Daten, betroffene Rollen und das gewünschte KI-Ergebnis. SW Business Solutions erstellt daraus ein prüfbares technisches und organisatorisches KI-Konzept. Die nächste Entscheidung kann dann auf einem konkreten Datenfluss beruhen – nicht auf der Annahme, ein Anbieter habe Datenschutz, Mitbestimmung und KI-Verordnung bereits pauschal gelöst.