Fallstudie: Rechtliche Bewertung eines KI-Use-Cases

Lernziele

• Sie sind in der Lage, einen konkreten KI-Use-Case mithilfe des Fünf-Blöcke-Prüfschemas vollständig rechtlich zu bewerten.
• Sie können DSGVO-Anforderungen, AI-Act-Klassifizierung, Urheberrecht, Vertraulichkeit, Bias-Risiken und ethische Aspekte in einer integrierten Analyse zusammenführen.
• Sie verstehen, wie die einzelnen Rechtsgebiete in der Praxis miteinander interagieren und sich gegenseitig beeinflussen.
• Sie können auf Basis einer rechtlichen Analyse handlungsorientierte Empfehlungen formulieren, die in Ihrer Organisation umsetzbar sind.
• Sie sind in der Lage, die Transfer-Commitment-Karte für die wichtigste Compliance-Maßnahme aus Ihrer Perspektive auszufüllen.

Auf einen Blick

Worum geht es? — Der didaktische Einstieg

Alle bisher behandelten Rechtsgebiete — DSGVO, EU AI Act, Urheberrecht, GeschGehG, Ethik-Frameworks, Bias-Recht und Betriebsverfassungsrecht — wirken in der Praxis nicht isoliert. Ein einziges KI-System kann gleichzeitig DSGVO-Implikationen, eine Hochrisiko-Klassifizierung, urheberrechtliche Fragen und Mitbestimmungspflichten auslösen. Compliance-Management bedeutet daher, diese Gebiete zu einer kohärenten Gesamtbewertung zu integrieren.

UE 24 ist die Synthese von Modul 2. Am Beispiel einer konkreten Fallstudie — einem KI-System für einen Maschinenbaukunden — wird das Fünf-Blöcke-Prüfschema vollständig durchgeführt. Dieser strukturierte Ansatz lässt sich auf beliebige KI-Use-Cases anwenden und dient als dauerhaftes Analyse-Instrument.

Lerntext — Theorie und Konzepte

Abb. 24.1 — Sequenz der rechtlichen Prüfung: Fünf-Blöcke-Schema

Das Fünf-Blöcke-Prüfschema

Das Fünf-Blöcke-Prüfschema ist ein strukturiertes Analyse-Framework für die rechtliche Bewertung von KI-Use-Cases. Es stellt sicher, dass alle relevanten Rechtsbereiche systematisch geprüft werden — und nichts übersehen wird.

Block A — DSGVO-Prüfung

Leitfragen: Werden personenbezogene Daten verarbeitet? (→ UE 13, 14) Wenn ja: Welche Rechtsgrundlage nach Art. 6 DSGVO? Werden besondere Kategorien nach Art. 9 DSGVO verarbeitet? Gibt es automatisierte Einzelentscheidungen (Art. 22 DSGVO)? Ist ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit dem KI-Anbieter erforderlich? Ist eine Datenschutz-Folgenabschätzung (DPIA, Art. 35 DSGVO) notwendig?

Block B — AI Act Klassifizierung

Leitfragen: Fällt das System unter eine verbotene Praktik (Art. 5)? (→ UE 16) Ist es Hochrisiko nach Anhang I oder III? Wenn ja: Welche Deployer-Pflichten nach Art. 26 gelten? (→ UE 17) Sind Transparenzpflichten nach Art. 50 einschlägig? Ist die AI Literacy der Nutzenden sichergestellt (Art. 4)? (→ UE 18)

Block C — Urheberrecht und Vertraulichkeit

Leitfragen: Werden urheberrechtlich geschützte Inhalte als Input verwendet? (→ UE 19) Wer ist Inhaber der Rechte am KI-Output? Enthält der Input vertrauliche Informationen oder Geschäftsgeheimnisse? (→ UE 20) Welche Nutzungsbedingungen hat der KI-Anbieter für die Verarbeitung von Eingaben?

Block D — Bias, Ethik und AGG

Leitfragen: In welchem Kontext werden KI-Entscheidungen oder -Empfehlungen eingesetzt? (→ UE 22) Besteht ein Risiko für Diskriminierung nach AGG? Wurden Bias-Audits durchgeführt? Entspricht das System den anwendbaren Ethik-Prinzipien (OECD, HLEG)? (→ UE 21)

Block E — Handlungsempfehlungen

Leitfragen: Welche konkreten Maßnahmen sind zur Compliance-Herstellung erforderlich? In welcher Reihenfolge sollten sie umgesetzt werden? Wer ist verantwortlich? Welche Dokumentation ist zu erstellen? Ist Betriebsrats-Einbindung erforderlich? (→ UE 23)

Merksatz

Das Fünf-Blöcke-Prüfschema ist kein Checklisten-Automat, sondern ein Analyse-Framework. Nicht alle Blöcke sind für jeden Use-Case gleich relevant — aber alle müssen geprüft werden, bevor ein Block als „nicht einschlägig” abgehakt werden kann.

Die Fallstudie — KI-System für einen Maschinenbaukunden

Ausgangssituation:

Ein IT-Dienstleistungsunternehmen entwickelt für einen Maschinenbaukunden ein KI-gestütztes After-Sales-System, das auf GPT-4o-API basiert und vier Funktionen bündelt:

1. Automatische Klassifizierung von Serviceanfragen: Eingehende Serviceanfragen werden automatisch nach Schweregrad und Sachgebiet klassifiziert. Die Klassifizierung bestimmt die Priorisierung und Weiterleitung ohne menschliche Zwischenprüfung.
2. KI-generierte Wartungsberichte: Das System generiert automatisch Wartungsberichte auf Basis von Sensordaten der Maschinen. Diese Berichte werden an Kunden gesendet und enthalten Handlungsempfehlungen.
3. Personalplanung-Unterstützung: Das System analysiert historische Servicedaten und empfiehlt, welche Techniker für welche Aufträge eingesetzt werden sollen — basierend auf dokumentierten Leistungsdaten (Kundenzufriedenheit, durchschnittliche Behebungszeit, Fehlerquoten).
4. Chatbot für Kundensupport: Ein Chatbot beantwortet Kundenanfragen, ohne klarzumachen, dass es sich um KI handelt.

Wie lautet die vollständige rechtliche Bewertung dieses Systems?

Merksatz

Ein einzelnes KI-Produkt kann gleichzeitig Hochrisiko-Elemente (Personalplanung), Transparenzpflichten (Chatbot), DSGVO-Verarbeitungen (Leistungsdaten), urheberrechtliche Fragen (generierte Berichte) und Mitbestimmungsrelevanz (§ 87 Nr. 6 BetrVG) auslösen. Die Prüfung muss jeden Aspekt separat beleuchten.

Musterlösung — Vollständige Anwendung des Fünf-Blöcke-Schemas

Block A — DSGVO-Prüfung

Funktion 1 (Serviceanfragen-Klassifizierung): Wenn Serviceanfragen Angaben enthalten, die sich auf identifizierbare Personen beziehen (z. B. Ansprechpartner beim Kunden), werden personenbezogene Daten verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder lit. f (berechtigtes Interesse). Wenn die Klassifizierung ohne menschliche Zwischenprüfung Priorisierungsentscheidungen trifft, die rechtliche oder ähnlich erhebliche Wirkung haben, ist Art. 22 DSGVO zu prüfen.

Funktion 2 (Wartungsberichte): Wenn Sensordaten personenbezogene Daten enthalten (z. B. zuordenbare Nutzeraktionen an bestimmten Maschinen), gilt DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f. AVV mit OpenAI (GPT-4o-API-Anbieter) ist gemäß Art. 28 DSGVO zwingend erforderlich.

Funktion 3 (Personalplanung): Hier werden Leistungsdaten individueller Techniker verarbeitet — personenbezogene Daten im Sinne der DSGVO, da sie auf identifizierbare Personen bezogen sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (berechtigtes Interesse) oder lit. b (Arbeitsverhältnis), in Deutschland ergänzt durch § 26 BDSG. DPIA nach Art. 35 DSGVO erforderlich, da systematische Bewertung von Arbeitnehmern. Automatisierte Einzelentscheidung (Art. 22): Wenn die KI-Empfehlung zur Techniker-Zuweisung ohne menschliche Prüfung umgesetzt wird, ist Art. 22 einschlägig.

Funktion 4 (Chatbot): Wenn Kunden den Chatbot nutzen und dabei personenbezogene Daten eingeben, DSGVO anwendbar. AVV mit Anbieter erforderlich.

Block B — AI Act Klassifizierung

Funktion 1 (Serviceanfragen): Kein Verbots-Tatbestand. Kein offensichtlicher Hochrisiko-Tatbestand, sofern keine Grundrechte-relevanten Entscheidungen getroffen werden. Wenn die Priorisierung Auswirkungen auf die Leistungsbeurteilung von Technikern hat (z. B. wer welche Aufträge bekommt), Grenzfall zu Hochrisiko (Anhang III Nr. 4 — Beschäftigung).

Funktion 3 (Personalplanung): Hochwahrscheinlich Hochrisiko nach Anhang III Nr. 4 EU AI Act, da KI bei Beschäftigungsentscheidungen eingesetzt wird. Deployer-Pflichten nach Art. 26 vollumfänglich anwendbar: menschliche Aufsicht (Art. 26 Abs. 2), Risikomanagementsystem, Aufzeichnungspflichten, technische Dokumentation prüfen.

Funktion 4 (Chatbot): Art. 50 EU AI Act zwingend anwendbar — Chatbot muss als KI-System kenntlich gemacht werden, wenn nicht offensichtlich. Die aktuelle Implementierung (kein Hinweis auf KI) verstößt gegen Art. 50.

Block C — Urheberrecht und Vertraulichkeit

Funktion 2 (Wartungsberichte): KI-generierte Berichte sind nach deutschem Recht nicht urheberrechtlich geschützt, da kein menschlicher Schöpfungsakt vorliegt. Der Maschinenbaukunde kann die Berichte nicht als urheberrechtlich geschützte Werke schützen. Falls Berichte auf Input-Daten basieren, die urheberrechtlich geschützt sind (z. B. Handbücher, technische Spezifikationen), ist die TDM-Ausnahme (DSM-Richtlinie Art. 4) zu prüfen. OpenAI-Nutzungsbedingungen erlauben gewerbliche Nutzung der Outputs, übertragen aber das Eigentum an den Outputs an den Nutzer — dies sollte explizit im AVV bestätigt werden.

Vertraulichkeit: Sensordaten und Servicedaten des Maschinenbaukunden sind Geschäftsgeheimnisse des Kunden. Der AVV muss sicherstellen, dass OpenAI diese Daten nicht für Trainingsvorbereitungen nutzt (im Enterprise-Plan von OpenAI standardmäßig ausgeschlossen, aber vertraglich zu sichern).

Block D — Bias, Ethik und AGG

Funktion 3 (Personalplanung): Historische Leistungsdaten können systematische Benachteiligungen widerspiegeln (z. B. wenn Techniker aus bestimmten Gruppen historisch schlechtere Bewertungen erhielten, weil ihnen schwierigere Aufträge zugewiesen wurden). Das KI-System würde dann diese Benachteiligung perpetuieren. AGG-Risiko: Wenn geschützte Merkmale (Alter, Geschlecht, Herkunft) korreliert mit den Leistungsdaten sind, können systematische Benachteiligungen entstehen. Bias-Audit vor Einführung erforderlich. OECD-Prinzip der Nicht-Diskriminierung und das Human-in-the-Loop-Prinzip müssen implementiert werden.

Block E — Handlungsempfehlungen

Priorisierte Maßnahmen:

1. Sofortmaßnahme: Chatbot mit deutlichem KI-Hinweis versehen (Art. 50 AI Act, niedrigste Umsetzungskosten, höchste rechtliche Dringlichkeit).
2. Kurzfristig (4 Wochen): AVV mit OpenAI für alle vier Funktionen abschließen oder prüfen, ob bestehender Vertrag DSGVO-konform ist.
3. Mittelfristig (3 Monate): DPIA für Funktion 3 (Personalplanung) durchführen; Hochrisiko-Klassifizierung formal bestätigen und Art.-26-Pflichten umsetzen (menschliche Aufsicht, Dokumentation).
4. Mittelfristig (3 Monate): Bias-Audit für Funktion 3 beauftragen; interne Leitlinie für Human-in-the-Loop bei Techniker-Zuweisung einführen.
5. Mittelfristig (3 Monate): Betriebsrat einbeziehen (§ 87 Abs. 1 Nr. 6 BetrVG für Funktion 3) — BV-Anlage für das Personalplanungssystem aushandeln.
6. Langfristig (6–12 Monate): Vollständige AI Literacy-Schulung für alle Techniker, die mit dem System arbeiten (Art. 4 AI Act).

Verantwortlichkeiten: Datenschutzbeauftragte/r für DSGVO-Maßnahmen, Legal/Compliance für AI Act, HR für BetrVG und AGG, IT-Sicherheit für technische Dokumentation.

Vertiefung — Wie Rechtsgebiete interagieren: ein systemisches Verständnis

Die Interdependenz der Rechtsgebiete

Das Fallstudien-Beispiel zeigt, dass die verschiedenen Rechtsgebiete nicht isoliert existieren. Sie sind miteinander verknüpft — und Entscheidungen in einem Bereich wirken sich auf andere aus.

Beispiel 1: Die Entscheidung, für Funktion 3 eine DPIA durchzuführen (DSGVO-Pflicht), liefert gleichzeitig die Grundlage für die Hochrisiko-Dokumentation nach AI Act. Ein gut gestalteter DPIA-Prozess kann also beide Anforderungen gleichzeitig erfüllen.

Beispiel 2: Die Implementierung von Human-in-the-Loop für Funktion 3 (Art. 22 DSGVO und Art. 26 AI Act) erfüllt gleichzeitig eine Anforderung aus dem Betriebsverfassungsrecht (§ 8 der Muster-BV — Menschliche Entscheidungsverantwortung).

Beispiel 3: Das Bias-Audit für Funktion 3 (AGG + Art. 10 AI Act) schützt gleichzeitig vor ethischen Reputationsrisiken und arbeitsrechtlichen Haftungsrisiken.

Diese Interdependenzen bedeuten: Ein integrierter Compliance-Ansatz ist effizienter als separate Prüfprozesse pro Rechtsgebiet. Unternehmen, die KI-Compliance ganzheitlich angehen, sparen Zeit und Kosten.

Das Compliance-als-Design-Prinzip

Das Fünf-Blöcke-Schema eignet sich nicht nur zur retrospektiven Prüfung bestehender Systeme — es kann auch als Design-Framework für die Entwicklung neuer KI-Systeme eingesetzt werden. „Compliance by Design” bedeutet: Vor der Implementierung eines KI-Systems alle fünf Blöcke durchzuarbeiten und die Ergebnisse in die Systemarchitektur einzubauen.

Dieser Ansatz ist langfristig günstiger als nachträgliche Compliance-Korrekturen: Laut verschiedenen Studien kostet die Behebung von Compliance-Mängeln nach dem Launch eines Systems durchschnittlich 30–50-mal mehr als die präventive Integration von Anfang an. Das Prinzip „Privacy by Design” aus Art. 25 DSGVO gilt analog für alle anderen Rechtsgebiete.

Transfer auf andere Use-Cases

Das Fünf-Blöcke-Schema ist nicht auf den Maschinenbau beschränkt. Es lässt sich auf jede Branche und jeden KI-Use-Case anwenden:

• Finanzdienstleistung: Kreditscoring-KI → Block A (Scoring = Art. 22 DSGVO), Block B (Hochrisiko Anhang III Nr. 5 — Kredit/Versicherung), Block D (Bias nach Herkunft/Geschlecht), Block E (BaFin-konforme Dokumentation).
• Personalwesen: Bewerbungsscreening-KI → Block A (PII der Bewerber), Block B (Hochrisiko Anhang III Nr. 4), Block D (AGG-Risiko), Block E (BR-Einbindung).
• Gesundheitswesen: KI-gestützte Diagnoseunterstützung → Block A (Gesundheitsdaten Art. 9), Block B (Hochrisiko Anhang III Nr. 6 + Anhang I Medizinprodukte), Block C (Urheberrecht an medizinischen Daten), Block E (spezifische Zertifizierungsanforderungen).

Branchen-Anwendungen

IT-Dienstleistung & Beratung

IT-Dienstleistungsunternehmen, die KI-Systeme für Kunden entwickeln, sind selbst nicht nur Berater — sie sind oft auch Auftragsverarbeiter (Art. 28 DSGVO) und haben eigenständige Haftungsrisiken. Das Fünf-Blöcke-Schema sollte daher Standard im Pre-Sales-Prozess sein: Bevor ein Projekt gestartet wird, ist eine vorläufige rechtliche Einschätzung der fünf Blöcke zu erstellen. Dies schützt vor Haftungsrisiken und schafft Vertrauen beim Kunden. Manche führenden IT-Dienstleister bieten das „KI-Compliance-Assessment” als eigenständige Beratungsleistung an — ein wachsendes Geschäftsfeld.

Industrie & Fertigung

In der Industrie werden KI-Systeme zunehmend in kritische Produktionsprozesse integriert. Wenn ein KI-System autonome Entscheidungen in sicherheitsrelevanten Bereichen trifft (z. B. automatische Abschaltung von Anlagen), kann eine Hochrisiko-Klassifizierung nach Anhang III Nr. 3 (Kritische Infrastruktur) in Betracht kommen. Das Fünf-Blöcke-Schema hilft Industrieunternehmen, diese Risiken frühzeitig zu erkennen und Konformitätsbewertungen einzuplanen.

Finanzdienstleistung & Versicherung

Finanzdienstleister stehen vor einer besonders komplexen Compliance-Landschaft: DSGVO, MiFID II, Solvency II, BaFin-Anforderungen und nun der EU AI Act müssen gleichzeitig erfüllt werden. Das Fünf-Blöcke-Schema bietet einen Einstiegspunkt, bevor die bereichsspezifischen Anforderungen vertieft werden. In der Praxis arbeiten Compliance-Teams in Banken zunehmend mit KI-spezifischen Checklisten, die auf dem Fünf-Blöcke-Prinzip basieren.

Öffentliche Verwaltung

Behörden, die KI für Verwaltungsentscheidungen einsetzen, stehen unter besonderer Beobachtung: Art. 22 DSGVO (automatisierte Einzelentscheidungen) und Art. 41 EU-Grundrechtecharta (gute Verwaltung) schränken den Spielraum für vollautomatisierte Entscheidungen stark ein. Das Fünf-Blöcke-Schema sollte in Behörden als Pflichtbaustein in Beschaffungsprozesse für IT-Systeme integriert werden — analog zu einem Vergaberechtlichen Compliance-Check.

KI-Compliance-Management als strategische Funktion

KI-Compliance ist in vielen Organisationen noch eine reaktive Funktion — man reagiert auf Vorfälle, Behördenanfragen oder neue Gesetze. Zukunftsorientierte Organisationen entwickeln KI-Compliance als strategische Funktion:

Von Reaktiv zu Proaktiv: Proaktive KI-Compliance bedeutet, regulatorische Entwicklungen frühzeitig zu verfolgen und antizipieren — nicht nur zu reagieren, wenn neue Gesetze in Kraft treten. Dies erfordert eine enge Verbindung zwischen Legal, IT und Business.

Compliance as a Competitive Advantage: In B2B-Märkten, in denen Kunden zunehmend nach KI-Compliance-Nachweisen fragen (z. B. im Rahmen von Lieferantenbewertungen), wird nachgewiesene KI-Compliance zum Wettbewerbsvorteil. Unternehmen, die proaktiv in Compliance investieren, können dies als Differenzierungsmerkmal nutzen.

Integration in den Einkaufsprozess: KI-Systeme werden von Beschaffungsabteilungen eingekauft — oft ohne ausreichendes Compliance-Know-how. Eine strategische KI-Governance-Funktion stellt sicher, dass jede KI-Beschaffung durch ein standardisiertes Compliance-Assessment läuft, bevor der Vertrag unterschrieben wird.

Zusammenfassung Modul 2 — Kompaktübersicht der Kernpflichten

Als abschließende Zusammenfassung: Die wichtigsten Compliance-Pflichten für KI-nutzende Unternehmen auf einen Blick:

Diese Tabelle zeigt: Es gibt keine KI-Nutzung ohne rechtliche Anforderungen. Das Fünf-Blöcke-Schema hilft, alle diese Anforderungen systematisch zu adressieren.

Übung 1 — Schnellprüfung: Welcher Block greift?

Ihnen werden vier Szenarien präsentiert. Ordnen Sie jedem Szenario den oder die hauptsächlich einschlägigen Block(e) des Fünf-Blöcke-Schemas zu und begründen Sie kurz:

1. Ein KI-Chatbot generiert Marketingtexte für Ihr Unternehmen — diese Texte sollen auf der Website veröffentlicht werden.
2. Ein KI-System analysiert Kundenbeschwerden und erstellt eine automatische Antwort, die ohne menschliche Prüfung verschickt wird.
3. Ein KI-System wertet Mitarbeiterbefragungsergebnisse aus und erstellt eine Rangliste der Abteilungen nach Zufriedenheitswert.
4. Ein KI-System empfiehlt Bücher und Artikel zur Weiterbildung — basierend auf dem bisherigen Leseverhalten der Mitarbeitenden.

Musterlösung Übung 1:

(A) Marketing-Chatbot: Primär Block C (Urheberrecht am KI-Output — wer ist Inhaber?; sind Quelltexte urheberrechtlich geschützt?). Auch Block B (Art. 50 — muss als KI-generiert gekennzeichnet werden, wenn auf öffentlich relevantem Kanal). DSGVO nur wenn personenbezogene Daten in Prompts einfließen.

(B) Automatische Kundenantworten: Primär Block A (DSGVO — Kundenbeschwerden enthalten PII; Art. 22 — automatisierte Entscheidung ohne menschliche Prüfung). Block B (Art. 50 — Transparenzpflicht für automatisierte Kommunikation). Block E (Maßnahme: Human-in-the-Loop oder opt-out für Kunden einführen).

(C) Mitarbeiterbefragungsauswertung: Primär Block A (Leistungsbezogene Daten von Mitarbeitenden = PII; DPIA möglicherweise erforderlich). Block D (Bias-Risiko: Sind bestimmte Abteilungen systematisch benachteiligt?). Block B (Hochrisiko-Prüfung: Wenn Rangliste für Personalentscheidungen genutzt wird → Anhang III Nr. 4). Block E (BetrVG-Einbindung).

(D) Weiterbildungsempfehler: Primär Block A (Leseverhalten = Verhaltens-PII). Block B (minimal riskant, sofern keine personalrelevanten Entscheidungen). Block D (Filterbubble-Risiko — wenn Empfehlungen einseitig sind, werden Mitarbeitende nur in bestimmten Themengebieten weitergebildet). Weniger kritisch als die anderen Szenarien.

Übung 2 — Vollständige Prüfung: Ihr eigener Use-Case

Wählen Sie einen KI-Use-Case aus Ihrer eigenen beruflichen Praxis oder aus Ihrer Organisation (oder einen hypothetischen Use-Case, falls noch kein konkreter vorhanden ist). Führen Sie das Fünf-Blöcke-Schema vollständig durch. Arbeiten Sie in 2er- oder 3er-Gruppen. Dokumentieren Sie für jeden Block: (1) Ist der Block einschlägig? (2) Welche spezifischen Fragen entstehen? (3) Welche Maßnahme würden Sie empfehlen? Präsentieren Sie Ihre Ergebnisse in 5 Minuten dem Plenum.

Hinweise zur Musterlösung Übung 2:

Diese Übung hat keine einheitliche Musterlösung — die Qualität liegt in der methodischen Anwendung des Schemas. Bewertungskriterien: Vollständigkeit (alle fünf Blöcke bearbeitet?), Tiefe (konkrete rechtliche Normen benannt?), Handlungsorientierung (klare, priorisierte Empfehlungen?). Trainer gibt Feedback anhand dieser drei Kriterien.

Compliance-Architektur — Das integrierte KI-Governance-Modell

Eine ausgereiftere Compliance-Architektur geht über das Fünf-Blöcke-Prüfschema hinaus und etabliert dauerhafte Governance-Strukturen:

KI-Register (AI Inventory): Ein vollständiges, aktuell gehaltenes Verzeichnis aller eingesetzten KI-Systeme mit ihrer Risikoklassifizierung, dem Anbieter, dem Einsatzbereich und dem Compliance-Status. Das AI Register ist die Basis für alles Weitere — ohne es ist systematisches KI-Compliance-Management unmöglich.

KI-Governance-Komitee: Ein interdisziplinäres Gremium aus Vertretern von Legal, Compliance, IT, HR, Datenschutz und relevanten Fachabteilungen. Das Komitee überprüft neue KI-Systeme, genehmigt Hochrisiko-Systeme und entscheidet bei Grenzfällen. Trifft sich regelmäßig (z. B. monatlich).

KI-Policy: Eine unternehmensweit gültige Richtlinie, die definiert: Welche KI-Tools sind erlaubt (→ Drei-Stufen-Freigabemodell)? Welche Informationsklassifizierung gilt für KI-Eingaben? Welche Schulungsanforderungen gelten? Was ist im Schadensfall zu tun?

KI-Compliance-Dashboard: Ein regelmäßig aktualisiertes Übersichtsdokument, das den Compliance-Status aller Hochrisiko-KI-Systeme zeigt: Ist die DPIA abgeschlossen? Ist der AVV vorhanden? Sind die Schulungen dokumentiert? Ist die Betriebsvereinbarung in Kraft?

Incident-Response-Prozess: Klarer Eskalationspfad für den Fall, dass ein KI-System fehlerhaft arbeitet oder eine Datenpanne verursacht: Wer wird informiert? In welcher Reihenfolge? Welche Maßnahmen werden ergriffen? Wann wird die Aufsichtsbehörde informiert?

Transfer auf die eigene Praxis — Selbstassessment

Als Abschluss von Modul 2 bietet sich ein strukturiertes Selbstassessment an. Beantworten Sie für Ihre Organisation oder Ihren Arbeitsbereich:

DSGVO-Readiness: - Gibt es einen aktuellen Verarbeitungsverzeichnis-Eintrag für KI-Systeme? - Sind AVVs mit allen KI-Anbietern abgeschlossen? - Wurden DPIAs für Hochrisiko-Verarbeitungen durchgeführt?

AI Act Readiness: - Existiert ein KI-Register mit Risikoklassifizierung? - Sind die Art.-26-Pflichten für Hochrisiko-Systeme erfüllt? - Sind Schulungsnachweise nach Art. 4 vorhanden?

Urheberrecht & Vertraulichkeit: - Gibt es eine Informationsklassifizierungsrichtlinie? - Ist das Drei-Stufen-Freigabemodell implementiert? - Kennen alle Mitarbeitenden die Regeln für Geschäftsgeheimnisse in KI-Prompts?

Ethik & AGG: - Wurden Bias-Audits für HR-relevante KI-Systeme durchgeführt? - Gibt es einen klaren Prozess für AGG-Beschwerden in Bezug auf KI-Entscheidungen?

Mitbestimmung: - Ist der Betriebsrat über alle KI-Systeme mit Mitbestimmungsrelevanz informiert? - Existiert eine KI-Betriebsvereinbarung (oder ist eine in Vorbereitung)?

Für jede „Nein”-Antwort entsteht ein konkreter Handlungsbedarf. Die Transfer-Commitment-Karte hilft, die wichtigste Priorität zu identifizieren und einen ersten Schritt zu planen.

Ausblick: KI-Compliance als kontinuierlicher Prozess

Modul 2 gibt Ihnen die Werkzeuge für den aktuellen Stand der KI-Regulierung. Aber KI-Regulierung ist keine statische Rechtsmaterie — sie entwickelt sich dynamisch:

Kurzfristig (2025–2027): Fertigstellung der technischen Standards durch CEN/CENELEC und ETSI, Veröffentlichung von Leitlinien des AI Office, erste Bußgeldverfahren und wegweisende Urteile zu urheberrechtlichen Fragen.

Mittelfristig (2027–2030): Vollständige Wirksamkeit aller AI-Act-Bestimmungen für alle Hochrisiko-Systeme (August 2027), mögliche Evaluierung und Revision des AI Acts durch die EU-Kommission, erste Urteile des EuGH zu zentralen AI-Act-Fragen.

Langfristig: KI-spezifische Produkthaftungsregeln nehmen Gestalt an, internationale Harmonisierung mit anderen Jurisdiktionen (USA, UK, Japan) schreitet voran, neue Technologien (Agentic AI, AGI) erfordern möglicherweise neue Regulierungsansätze.

Empfehlung: Verfolgen Sie regelmäßig die Veröffentlichungen des AI Office (https://digital-strategy.ec.europa.eu/en/policies/ai-office), der deutschen KI-Aufsichtsbehörden und des EDSA. Abonnieren Sie Newsletter von Fachverbänden wie Bitkom oder dem GDD (Gesellschaft für Datenschutz und Datensicherheit).

Warnung — Lückenhafter Compliance-Check: Kumulative Haftungsrisiken

Die größte Gefahr bei KI-Compliance-Prüfungen ist nicht die Unkenntnis einzelner Normen — es ist die selektive Prüfung: Man prüft DSGVO, übersieht aber den AI Act. Man beachtet den AI Act, vergisst aber die BetrVG-Mitbestimmung. Man beachtet Datenschutz und Mitbestimmung, übersieht aber das AGG-Diskriminierungsrisiko. Das Ergebnis ist ein Compliance-Patchwork mit systematischen Lücken. Die kumulativen Haftungsrisiken bei simultanen Verstößen gegen DSGVO (bis 20 Mio. €), AI Act (bis 35 Mio. € oder 7 % Umsatz für Verbotsverletzungen) und AGG (Schadensersatz + Entschädigungszahlungen) können existenzbedrohend sein. Unternehmen, die KI-Compliance als Gesamtaufgabe verstehen und das Fünf-Blöcke-Schema konsequent anwenden, reduzieren dieses Risiko systematisch. Der Schlüssel ist Integration — nicht Isolation der Rechtsgebiete.

Cheatsheet — Fünf-Blöcke-Prüfschema

Modul-2-Abschlussreflexion

Modul 2 hat die rechtlichen und ethischen Rahmenbedingungen des KI-Einsatzes im Unternehmen umfassend behandelt. Die Teilnehmenden haben in zwölf Unterrichtseinheiten (UE 13–24) folgende Kompetenzfelder entwickelt:

Datenschutz und DSGVO (UE 13–14): Grundlagen der DSGVO im KI-Kontext, Umgang mit personenbezogenen Daten in Prompts, Rechtsgrundlagen für die Verarbeitung.

EU AI Act (UE 15–18): Aufbau, Zeitplan und Adressaten des AI Act, Risikoklassifizierung, Deployer-Pflichten nach Art. 26, AI Literacy-Pflicht nach Art. 4.

Urheberrecht und Vertraulichkeit (UE 19–20): Urheberrechtliche Einordnung von KI-Outputs, Schutz von Geschäftsgeheimnissen, Prompt-Hygiene.

Ethik und Diskriminierungsschutz (UE 21–22): Ethik-Frameworks (OECD, HLEG, Asilomar), Bias-Typen, Fairness-Metriken, AGG-Bezüge.

Mitbestimmung und integrierte Prüfung (UE 23–24): Betriebsvereinbarung KI, Fünf-Blöcke-Prüfschema als Synthese-Instrument.

Transfer-Commitment-Karte

Die Transfer-Commitment-Karte schließt Modul 2 ab und sichert den Transfer in die Praxis. Jede Teilnehmende Person füllt individuell aus:

1. Meine wichtigste Erkenntnis aus Modul 2: ______________________________
2. Die Compliance-Maßnahme, die ich in meiner Organisation als nächstes angehen werde: ______________________________
3. Wen werde ich dafür einbinden? ______________________________
4. Bis wann werde ich den ersten konkreten Schritt unternehmen? ______________________________
5. Wie werde ich den Erfolg messen? ______________________________

Die ausgefüllten Karten werden — wenn gewünscht — fotografiert und den Teilnehmenden per E-Mail zugeschickt, damit sie nach vier Wochen als Reminder dienen.

Blick in die Zukunft: Agentic AI und neue rechtliche Fragen

Eine der drängendsten aktuellen Fragen in der KI-Regulierung ist der Umgang mit sogenannter Agentic AI: KI-Systemen, die eigenständig Aufgaben ausführen, ohne für jeden Schritt menschliche Genehmigung zu benötigen.

Agentic AI-Systeme (auch als KI-Agenten bezeichnet) können: - Eigenständig im Internet recherchieren - E-Mails senden und empfangen - Code ausführen und damit externe Systeme steuern - Mehrere Aufgaben sequenziell oder parallel abarbeiten - Andere KI-Modelle steuern (Multi-Agent-Systeme)

Regulatorische Fragen:

Haftung bei Fehlern: Wenn ein KI-Agent eigenständig eine Entscheidung trifft, die zu einem Schaden führt — wer haftet? Der Deployer (der den Agenten eingesetzt hat)? Der Anbieter (der den Agenten entwickelt hat)? Der Nutzer (der den Agenten beauftragt hat)?

AI Act und Agenten: Der EU AI Act adressiert Agentic AI nur unzureichend — er wurde für statischere Systeme konzipiert. Die EU-Kommission prüft, ob und wie der AI Act für Agenten angepasst werden muss.

Human-in-the-Loop bei autonomen Systemen: Der Art.-14-Grundsatz der menschlichen Aufsicht ist bei vollautonomen Agenten konzeptionell herausfordernd. Wie kann ein Mensch „in the loop” sein, wenn ein Agent hunderte von Entscheidungen pro Stunde trifft?

Empfehlung für Deployer: Beim Einsatz von Agentic AI besonders konservative Governance-Strukturen implementieren: Klare Scope-Begrenzungen für den Agenten, Rollback-Möglichkeiten, intensive Logging, regelmäßige menschliche Reviews der Agenten-Aktivitäten.

Abschluss des Handouts UE 11–24

Dieses Handout begleitet die Unterrichtseinheiten 11 bis 24 der 120-UE-Qualifizierungsmaßnahme „KI-Anwender:in im Unternehmen”. Es umfasst Modul 1 (Fortsetzung: UE 11–12) und Modul 2 vollständig (UE 13–24). Die Inhalte sind branchen- und unternehmensneutral gestaltet und können in jeder Organisation — IT-Dienstleistung, Industrie, Finanzdienstleistung, öffentliche Verwaltung und darüber hinaus — eingesetzt werden. Alle rechtlichen Informationen geben den Stand 2026 wieder; die relevanten Rechtsgebiete (insbesondere EU AI Act und DSGVO) entwickeln sich dynamisch weiter. Trainer und Teilnehmende sind eingeladen, die Inhalte mit aktuellen Entwicklungen aus Rechtsprechung, Regulierungspraxis und KI-Forschung zu ergänzen.

Querverweise — Modul-2-Synthese

UE 24 ist die Synthese aller zwölf UEs von Modul 2. Das Fünf-Blöcke-Schema integriert: Block A = DSGVO (UE 13–14), Block B = AI Act (UE 15–18), Block C = Urheberrecht & Geheimnisschutz (UE 19–20), Block D = Bias & Ethik (UE 21–22), Block E = Empfehlungen inkl. Mitbestimmung (UE 23). UE 24 ist nicht nur Abschluss — sie zeigt, dass die einzelnen Rechtsgebiete keine isolierten Silos sind, sondern ein vernetztes Compliance-System bilden, das nur integriert verstanden und umgesetzt werden kann.

Abschlussbetrachtung — Perspektive und nächste Schritte

Mit dem Abschluss dieser Qualifizierungsmaßnahme beginnt der eigentliche Transfer in die tägliche Arbeitspraxis. Die hier vermittelten Kompetenzen bilden eine solide Grundlage — doch entscheidend ist, was Sie daraus machen. Nutzen Sie die erlernten Methoden, Werkzeuge und Bewertungsrahmen aktiv, hinterfragen Sie KI-Ausgaben kritisch, und tragen Sie zu einer verantwortungsvollen KI-Kultur in Ihrer Organisation bei. Bleiben Sie neugierig, offen für Veränderungen und bereit, Gelerntes weiterzuentwickeln. Der Bereich der Künstlichen Intelligenz entwickelt sich schnell — wer heute gut vorbereitet ist, hat morgen einen klaren Vorsprung.

Prompt-Beispiel: Vollständige rechtliche Bewertung eines KI-Use-Cases (Fünf-Blöcke-Schema)

Rolle: Sie sind ein integrierter KI-Compliance-Berater mit Kenntnissen in DSGVO, EU AI Act, Urheberrecht, GeschGehG, KI-Ethik und Arbeitsrecht. Sie führen strukturierte rechtliche Erstbewertungen von KI-Use-Cases durch — keine Rechtsberatung im Sinne des RDG, sondern Orientierungshilfe für interne Compliance-Prüfungen.

Aufgabe: Bewerten Sie den folgenden KI-Use-Case vollständig anhand des Fünf-Blöcke-Prüfschemas: Block A = DSGVO, Block B = EU AI Act (Risikoklasse + Deployer-Pflichten), Block C = Urheberrecht & GeschGehG, Block D = Bias & Ethik, Block E = Empfehlungen inkl. Mitbestimmung. Geben Sie für jeden Block einen Ampel-Status (Grün/Gelb/Rot) und drei prioritäre Handlungsempfehlungen.

Kontext: KI-Use-Case: [Beschreiben Sie den Use-Case vollständig: Welches KI-System? Welcher Anbieter? Welche Daten werden verarbeitet? Welche Entscheidungen werden unterstützt oder getroffen? Welche Personengruppen sind betroffen? In welcher Branche und Unternehmensgröße?]

Format: Strukturierter Prüfbericht mit: (1) Use-Case-Kurzbeschreibung (2–3 Sätze), (2) Fünf-Blöcke-Tabelle (Block | Ampel-Status | Wesentliche Befunde | 3 Handlungsempfehlungen), (3) Gesamtrisikobewertung (Ampel), (4) Sofortmaßnahmen-Liste (max. 5 Punkte, priorisiert nach Dringlichkeit). Sachlich, keine Rechtsberatung.

Prompt-Beispiel: Compliance-Lückenanalyse für KI-Einsatz in einer Organisation

Rolle: Sie sind ein KI-Governance-Experte und führen Compliance-Gap-Analysen für Unternehmen durch, die KI-Systeme einsetzen oder planen einzusetzen. Sie kennen die aktuellen Anforderungen aus EU AI Act, DSGVO und AGG.

Aufgabe: Führen Sie für die beschriebene Organisation eine Compliance-Lückenanalyse durch. Vergleichen Sie den Ist-Zustand (vorhandene Maßnahmen) mit dem Soll-Zustand (rechtliche Anforderungen). Priorisieren Sie die identifizierten Lücken nach Dringlichkeit und Risikoexposition.

Kontext: Organisation: [Branche, Größe, eingesetzte KI-Systeme, vorhandene Governance-Maßnahmen (AVV, Schulungen, Richtlinien, Betriebsvereinbarungen, DPIA-Dokumentation usw.)]

Format: Gap-Analyse-Tabelle mit: Anforderung | Rechtsquelle | Ist-Zustand | Soll-Zustand | Lücke (Ja/Nein/Teilweise) | Priorität (Hoch/Mittel/Niedrig) | Empfohlene Maßnahme. Anschließend eine Priorisierungsmatrix (2x2: Dringlichkeit vs. Aufwand) mit den Top-5-Maßnahmen.

Branchen-Vignette — KI-Use-Case im Maschinenbau: Vollständige Rechtsprüfung

Ein mittelständisches Maschinenbauunternehmen (1.200 Mitarbeitende) plant den Einsatz eines KI-Systems zur vorausschauenden Wartung (Predictive Maintenance). Das System analysiert Sensordaten von Produktionsmaschinen und meldet, welche Maschinen in den nächsten 72 Stunden eine Wartung benötigen. Die Mitarbeiterdaten (Schichtprotokoll, wer welche Maschine betreut hat) werden zur Ursachenanalyse herangezogen.

Fünf-Blöcke-Schnellbewertung:

Block A — DSGVO: Sensordaten: keine personenbezogenen Daten, DSGVO nicht direkt anwendbar. Mitarbeiterschichtdaten: personenbezogene Daten (§ 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO). AVV mit KI-Anbieter erforderlich. DPIA: Prüfung empfohlen, da Leistungsüberwachung von Mitarbeitenden denkbar. Ampel: Gelb.

Block B — EU AI Act: Predictive Maintenance für Maschinen (nicht für Entscheidungen über Personen) fällt nicht unter Anhang III. Risikoklasse: Minimal bis begrenzt — sofern keine sicherheitskritischen Entscheidungen autonom getroffen werden. Ampel: Grün.

Block C — Urheberrecht & GeschGehG: Sensordaten und Wartungshistorien sind wertvolle Betriebsgeheimnisse. KI-Anbieter-AVV muss Trainingsverbot für diese Daten enthalten. Urheberrecht: Ausgabe des KI-Systems (Wartungsempfehlung) ist kein schutzfähiges Werk. Ampel: Gelb (GeschGehG-Schutz prüfen).

Block D — Bias & Ethik: Hauptrisiko: Wenn Mitarbeiterdaten in die Ursachenanalyse einfließen, könnte das System zu Unrecht bestimmten Mitarbeitenden Schuld an Maschinenfehlern zuschreiben. Ampel: Gelb.

Block E — Empfehlungen & Mitbestimmung: Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG einbinden (Überwachungsaspekt durch Mitarbeiterdaten). BV-KI empfohlen. Mitarbeitende über Funktionsweise des Systems informieren. Ampel: Gelb (kein Rot — System ist grundsätzlich rechtlich umsetzbar).

Gesamteinschätzung: Grün-Gelb — das System ist umsetzbar mit überschaubarem Governance-Aufwand. Prioritäre Maßnahmen: (1) AVV abschließen, (2) Betriebsrat einbinden, (3) Mitarbeiterdaten-Nutzung in Richtlinie transparent regeln.

Vertiefung II — Qualitätssicherung der rechtlichen Bewertung: Typische Fehler vermeiden

Das Fünf-Blöcke-Prüfschema ist ein Analyse-Instrument — aber wie jedes Instrument kann es falsch angewendet werden. Häufige Fehler:

Fehler 1 — Nur an der Oberfläche bleiben: Die Risikoklassifizierung nach AI Act als „minimal” einzustufen, weil das System auf den ersten Blick harmlos wirkt, ohne die Vier-Fragen-Heuristik systematisch anzuwenden. Lösung: Die Vier Fragen immer vollständig durchlaufen, auch bei scheinbar eindeutigen Fällen.

Fehler 2 — DSGVO und AI Act als separate Silos behandeln: Beide Regelwerke interagieren. Eine Hochrisiko-Klassifizierung nach AI Act löst fast immer auch eine DPIA nach Art. 35 DSGVO aus. Lösung: Block A und Block B des Prüfschemas immer zusammen auswerten.

Fehler 3 — Rechtliche Bewertung einmalig durchführen: KI-Systeme entwickeln sich weiter, neue Features werden hinzugefügt, der Nutzungskontext ändert sich. Eine einmalige rechtliche Bewertung bei Einführung ist nicht ausreichend. Lösung: Jährliche Re-Evaluierung und anlassbezogene Neu-Prüfung bei wesentlichen Systemänderungen.

Fehler 4 — Empfehlungen nicht priorisieren: Eine lange Liste von Handlungsempfehlungen ohne Priorisierung ist schwer umsetzbar. Lösung: Immer mit einem Ampel-Status und einer Top-3-Sofortmaßnahmen-Liste arbeiten.

Fehler 5 — Betriebsrat vergessen: Art. 26 Abs. 8 EU AI Act und BetrVG §87 erfordern Betriebsratseinbindung — das wird in der Praxis häufig zu spät oder gar nicht berücksichtigt. Lösung: Block E immer als eigenen Prüfpunkt behandeln, nicht als Anhang.

Reflexionsfragen

1. Welche der fünf Blöcke des Prüfschemas
2. Modul 2 hat zwölf Unterrichtseinheiten zu unterschiedlichen Rechtsbereichen behandelt. Welches der Rechtsgebiete (DSGVO, AI Act, Urheberrecht, GeschGehG, Ethik, Betriebsverfassungsrecht) ist für Ihre konkrete Berufssituation am relevantesten — und welches haben Sie vorher am stärksten unterschätzt?
3. Die Rechtslage zu KI entwickelt sich dynamisch. Welche einzige Maßnahme würden Sie in Ihrer Organisation einführen, um sicherzustellen, dass relevante Rechtsänderungen zeitnah erkannt und umgesetzt werden?

ist in Ihrer aktuellen beruflichen Situation am relevantesten — und warum? 2. Die Fallstudie zeigt, dass ein einziges KI-System mehrere Rechtsgebiete gleichzeitig berühren kann. Welche organisatorischen Strukturen helfen, diese Komplexität zu beherrschen? 3. „Compliance by Design” vs. „Compliance by Audit”: Was sind die Vor- und Nachteile beider Ansätze? Welcher ist in Ihrer Organisation realistischer? 4. Wie hat sich Ihr Verständnis von KI-Risiken durch Modul 2 verändert? Was war die überraschendste Erkenntnis? 5. Wenn Sie in Ihrer Organisation nur eine einzige Compliance-Maßnahme für KI-Systeme einführen könnten — welche wäre es, und warum?

Merksatz zu UE 24: Das Fünf-Blöcke-Schema ist Ihre persönliche KI-Compliance-Checkliste. Tragen Sie sie in jede Projektbesprechung, in der KI eingesetzt wird. Wer alle fünf Blöcke durchdenkt, vor der Implementierung entscheidet — nicht danach —, schützt seine Organisation vor den größten Compliance-Risiken.

Quellen & Weiterlesen

Ergänzung: Fünf-Blöcke-Schema — Anwendungsübersicht

Das Fünf-Blöcke-Schema ist das zentrale Analyse-Framework von Modul 2. Hier ist die vollständige Referenz für die Praxis:

Häufige Fehler bei der Fünf-Blöcke-Anwendung: - Blöcke isoliert statt integriert betrachten - DSGVO und AI Act als separate Verfahren behandeln (sollen integriert werden) - Betriebsrat (Block E) erst am Ende einbinden statt parallel - Rechtliche Bewertung nur einmalig durchführen (jährliche Re-Evaluierung notwendig) - Empfehlungen ohne Priorisierung formulieren (immer Top-3-Sofortmaßnahmen angeben)

Transfer-Commitment-Karte — Modul 2 Abschluss

Als Abschluss von Modul 2 füllen alle Teilnehmenden die Transfer-Commitment-Karte aus:

Meine wichtigste Erkenntnis aus Modul 2: ________________________

Die Rechtsnorm, die ich in meiner Arbeit am häufigsten anwenden werde: ________________________

Meine konkrete Maßnahme in den nächsten 30 Tagen: ________________________

Wen ich über diese Maßnahme informieren werde: ________________________

Mein Unterstützungsbedarf: ________________________

Modul-2-Synthese: Der rote Faden durch alle UEs

Rückblickend auf die zwölf Unterrichtseinheiten von Modul 2 lässt sich ein klarer roter Faden erkennen: Die Rechtssysteme, die den KI-Einsatz in Unternehmen regulieren, verfolgen ein gemeinsames Ziel — den Schutz von Menschenwürde, Grundrechten und fairen gesellschaftlichen Verhältnissen in einer von KI geprägten Welt.

DSGVO (UE 13–14): Schützt das informationelle Selbstbestimmungsrecht des Einzelnen — die Kontrolle über die eigenen Daten.

EU AI Act (UE 15–18): Schützt vor den spezifischen Risiken von KI-Systemen — von der manipulativen Werbung bis zur diskriminierenden Personalentscheidung.

Urheberrecht und GeschGehG (UE 19–20): Schützt das geistige Eigentum — von Schöpfern menschlicher Werke und von Unternehmen mit legitimen Geschäftsgeheimnissen.

Ethik-Frameworks und Bias-Recht (UE 21–22): Schützen die Werte einer fairen, nicht-diskriminierenden Gesellschaft — die ethische Grundlage aller rechtlichen Regelungen.

BetrVG und Mitbestimmung (UE 23): Schützen die kollektiven Rechte der Arbeitnehmer gegenüber technologischen Veränderungen.

Das Fünf-Blöcke-Schema (UE 24): Ist das integrative Instrument, das alle diese Schutzebenen für konkrete Use-Cases zusammenführt.

Das übergeordnete Prinzip lautet: KI-Systeme sind Werkzeuge im Dienst des Menschen — nicht Ersatz für menschliche Urteilsfähigkeit, Ethik und Verantwortung. Diese Schulungsmaßnahme befähigt Sie, KI-Systeme mit dieser Haltung einzusetzen: kompetent, verantwortungsvoll und mit dem Bewusstsein für die rechtlichen und ethischen Grenzen.

Praxishinweis: Drucken Sie das Fuenf-Bloecke-Schema aus und haengen Sie es in jedem Meetingraum auf. Wenn KI-Projekte in Meetings besprochen werden, dient es als Checkliste fuer die schnelle Compliance-Ersteinschaetzung, ohne dass jemand den AI Act oder die DSGVO im Detail kennen muss.

Trainernotiz — UE 24

Timing: 45 Minuten. Empfohlene Aufteilung: 10 Min. Einführung Fünf-Blöcke-Schema (Struktur erklären, Verknüpfungen zu UE 13–23 zeigen), 20 Min. Fallstudie Maschinenbaukunde (Gruppen zu 3–4 Personen, jede Gruppe übernimmt 1–2 Blöcke, dann Plenum), 10 Min. Übung 2 (eigener Use-Case), 5 Min. Transfer-Commitment-Karte + Abschluss.

Methodik: Die Fallstudie funktioniert am besten als Jigsaw-Methode: Jede Gruppe wird zur Expertin für einen Block (A, B, C, D, E), analysiert diesen, präsentiert dann dem Plenum. Das spart Zeit und fördert verteilte Expertise. Alternativ: Vollständige Fallstudie in einer Gruppe, wenn Zeit reicht.

Stolpersteine: Manche Teilnehmenden wollen sofort Antworten geben, ohne die Fragen des jeweiligen Blocks systematisch durchzuarbeiten. Darauf hinweisen: Das Schema ist ein Prozess — nicht eine Checkliste. Erst alle Leitfragen des Blocks prüfen, dann die Einschätzung formulieren.

Abschlussmoment: UE 24 ist der Abschluss von Modul 2 und ein zentraler Meilenstein der Schulungsmaßnahme. Nehmen Sie sich 5 Minuten für einen würdigen Abschluss: Rückblick auf die 12 UEs des Moduls, Anerkennung der Lernleistung, Ausblick auf Modul 3 (sofern vorhanden). Die Transfer-Commitment-Karte ist das greifbare Symbol dieses Abschlusses.

Differenzierung: Fortgeschrittene Gruppen können die Fallstudie um einen Block F erweitern: „Wie würde sich die rechtliche Bewertung ändern, wenn das System in einem anderen EU-Mitgliedstaat (z. B. Frankreich oder Polen) eingesetzt würde?” Dies vertieft das Verständnis nationaler Rechtsunterschiede bei einheitlicher EU-Regulierung.

Branchenauswahl-Tipp: Die Branchen-Vignetten dieser UE eignen sich besonders als Ausgangspunkt für Übung 2 (eigener Use-Case). Bitten Sie Teilnehmende, einen Use-Case aus ihrer eigenen Branche zu wählen und die Vignette als Inspiration zu nutzen.

Übergang: Da dies die letzte UE von Modul 2 ist, gibt es keinen Übergang zu einer nächsten UE innerhalb des Moduls. Stattdessen: Ausblick auf das Gesamtprogramm, Ankündigung des nächsten Moduls, Erinnerung an die Transfer-Commitment-Karte als 4-Wochen-Check-in.

Materialliste: Fünf-Blöcke-Schema als Arbeitsblatt (1 pro Teilnehmende/r), Transfer-Commitment-Karte (zum Ausdrucken oder digital), Fallstudien-Beschreibung auf einem separaten Blatt für die Gruppenarbeit.

Synthese: Was Sie nach Modul 2 können und wissen

Nach dem Abschluss von Modul 2 haben Sie ein umfassendes Werkzeugkasten für KI-Compliance in der Hand:

Wissen: Sie kennen die DSGVO-Grundlagen im KI-Kontext (UE 13–14), den EU AI Act in Aufbau, Zeitplan und Adressaten (UE 15), die vier Risikoklassen (UE 16), die Deployer-Pflichten nach Art. 26 (UE 17), die AI Literacy-Pflicht nach Art. 4 (UE 18), urheberrechtliche Grundlagen für KI-Outputs (UE 19), den Schutz von Geschäftsgeheimnissen (UE 20), die wichtigsten Ethik-Frameworks (UE 21), Bias-Risiken und Fairness-Anforderungen (UE 22) und die Grundzüge von Betriebsvereinbarungen für KI (UE 23).

Können: Sie können die Risikoklasse eines KI-Systems einschätzen, DSGVO-Anforderungen für KI-Projekte identifizieren, PII-freie Prompts formulieren, das Fünf-Blöcke-Schema anwenden und handlungsorientierte Empfehlungen formulieren.

Haltung: Sie verstehen KI-Compliance nicht als Hürde, sondern als Qualitätsmerkmal — als Nachweis, dass Sie KI verantwortungsvoll und nachhaltig einsetzen. Diese Haltung schützt Ihre Organisation, Ihre Mitarbeitenden und Ihre Kunden.

Diese Schulungsmaßnahme ist ein Fundament — keine Abschlussqualifikation. Die KI-Landschaft entwickelt sich schnell; bleiben Sie neugierig, kritisch und engagiert.

Handout UE 11–24 · Modul 1 (Fortsetzung) und Modul 2 · KI-Anwender:in im Unternehmen (120 UE) · Stand: 2026

Quelle: KI-Wissensbasis von MindsMachines, Edition Juni 2026. Vollständige Fassung mit Anhängen und Musterlösungen: als PDF anfordern.