KI und Recht
Zwischen einem Schulungstag und einem Governance-Programm über neun Monate gibt es für Betriebe im Mittelstand bisher nichts. Der eine Tag erzeugt kein Verzeichnis über acht Abteilungen, das Programm ist für einen Konzern gerechnet. Das hier ist das Dazwischen: vier Wochen, vier Ergebnisse, Festpreis.
Warum das ansteht
Wer KI einsetzt, ist Betreiber im Sinne der Verordnung (EU) 2024/1689. Art. 4 verlangt seit dem 2. Februar 2025 Maßnahmen zur KI-Kompetenz des Personals — bezogen auf die Systeme, die bei Ihnen tatsächlich laufen.
Der häufigste Fall in Betrieben Ihrer Größe ist Anhang III Nr. 4: Bewerbervorauswahl, Zuweisung von Aufgaben, Bewertung von Arbeitsleistung. Wer im Recruiting ein Werkzeug mit KI-Funktion nutzt, hat damit ein Hochrisiko-System im Haus — meist ohne es zu wissen, weil niemand ein KI-System eingeführt hat: Es kam als Funktionserweiterung einer Software, die seit Jahren läuft. Genau deshalb fällt der Satz „bei uns ist das nicht einschlägig" so oft, und so oft zu Unrecht.
Das Projekt
Vier Wochen, vier Ergebnisse — und ein Verfahren, mit dem Sie das nächste System selbst einstufen.
Abteilungsweise, fortschreibbar
Alle eingesetzten und geplanten Systeme. Je Eintrag Verantwortlicher, Einstufung, Freigabestand und die Daten, die hineingehen. Einschließlich der Anwendungen, die niemand eingeführt hat — KI-Funktionen in vorhandener Software, Browser-Erweiterungen, private Konten am Dienstrechner.
Der Unterschied zum Gutachten
Nicht nur die Einordnung nach Anhang III, sondern das Raster dahinter: welche Fragen, in welcher Reihenfolge, und was die Antwort bedeutet. Damit ordnet Ihr Haus das nächste System selbst ein — ohne mich und ohne Anwalt.
Mit schriftlicher Begründung je System
Abgleich gegen Art. 4 und die einschlägigen Pflichten. Verwendbar gegenüber Aufsicht, Versicherer und in Ausschreibungen — und als Grundlage für Ihre Datenschutzbeauftragte oder Ihre Kanzlei, statt einer Tabelle, die erst übersetzt werden muss.
Für die Geschäftsführung lesbar
Was zu tun ist, in welcher Reihenfolge, mit Aufwand und Kosten. Was Sie selbst erledigen können und was nicht. Übergabe in einem Termin, an dem jemand mit Entscheidungsbefugnis dabei sein sollte.
Das Register entsteht nicht aus einem Fragebogen, sondern im Gespräch mit den Leuten, die die Systeme tatsächlich bedienen. Deshalb steht darin, was wirklich läuft — nicht, was eingeführt wurde.
Ablauf
Je Fachbereich ein Gespräch von 45 Minuten: womit wird gearbeitet, was geht hinein, wer bedient es. Parallel die technische Sichtung. Hier kommt regelmäßig zum Vorschein, was niemand eingeführt hat.
Jedes System gegen Anhang III, mit schriftlicher Begründung. Dabei entsteht nicht nur das Ergebnis, sondern das Verfahren, mit dem Ihr Haus es künftig selbst macht.
Der Art.-4-Schulungstag mit Rollengruppen — und zugleich die Probe aufs Exempel: Das Register wird mit denen durchgegangen, die damit arbeiten. Nutzungsrichtlinie, Lernerfolgskontrolle und Teilnehmernachweis inklusive.
Gap-Analyse, priorisierte Maßnahmen mit Aufwand, Register in der Endfassung. Übergabe in einem Termin von 90 Minuten.
Ihr Aufwand: ein Gespräch von 45 Minuten je Fachbereich, der Fachtag, der Übergabetermin. Keine Vorarbeit, keine ausgefüllten Bögen vorab, kein Zugang zu Ihren Systemen nötig.
Preise
Ein halber Tag remote: wie viele Systeme, wie viele Fachbereiche, liegt ein Anhang-III-Fall vor, was ist bereits dokumentiert. Ergebnis ist ein schriftlicher Zuschnitt mit Festpreis — auch dann, wenn er lautet, dass sich das Projekt bei Ihnen nicht lohnt.
Vier Wochen, alle vier Ergebnisse, Fachtag für bis zu zwölf Personen enthalten. Üblicherweise vier bis sechs Fachbereiche.
Gleicher Ablauf, mehr Fachbereiche und mehr Systeme. Zweiter Schulungsdurchgang enthalten, weil selten alle gleichzeitig weg können.
Wenn das Projekt zu groß ist
Der Art.-4-Schulungstag ohne das Projekt drumherum: Systeminventar im Seminar, Nutzungsrichtlinie gemeinsam erarbeitet, Lernerfolgskontrolle und Teilnehmernachweis. Kompakt ganztägig bis zwölf Personen, Light als halber Tag bis acht.
Nach dem Projekt, optional: Fortschreibung für 180 € netto im Monat — neue Systeme werden eingeordnet, das Register fortgeschrieben, neue Mitarbeitende remote nachgeschult. Monatlich kündbar, keine Mindestlaufzeit. Die Vorprüfung wird bei Beauftragung vollständig angerechnet; beauftragen Sie nicht, behalten Sie den schriftlichen Zuschnitt.
Grenzen
Und kein Durchwinken. Zeigt die Erhebung ein Hochrisiko-System aus Anhang III, sage ich das sofort und nicht in der Abschlusspräsentation. Dann gelten weitergehende Pflichten, und die bekommen eine eigene Position — nicht das Etikett „ist mitgemacht". Das Register ist eine brauchbare Grundlage für eine spätere Zertifizierung nach ISO/IEC 42001; die Zertifizierung selbst macht eine akkreditierte Stelle, nicht ich.
Woran Sie merken, dass es funktioniert hat
Sechs Monate später führt ein neues Werkzeug in den Betrieb ein, und jemand aus Ihrem Haus stuft es ein, ohne mich anzurufen. Dafür ist das Verfahren da.