Capstone: Deine KI-Compliance-Strategie

🔄 Kurzer Rueckblick: In den letzten 7 Lektionen hast du alles gelernt — von den DSGVO-Grundlagen ueber DSFA, Tool-Bewertung und Dokumentation bis zur Mitarbeiterschulung und Betriebsratseinbindung. Jetzt bringen wir alles zusammen.

Du hast jetzt alle Bausteine. In dieser Lektion setzen wir sie zu einer vollstaendigen KI-Compliance-Strategie zusammen — mit klarem Zeitplan und Checklisten, die du direkt umsetzen kannst.

Kurs-Rueckblick: Dein Wissensstand

Lektion	Thema	Dein Werkzeug
1	Warum DSGVO und KI	Risikobewusstsein, Bussgeld-Kontext
2	DSGVO-Grundlagen	Rechtsgrundlagen, Art. 22, Datenminimierung
3	KI-Systeme bewerten	Consumer vs. Enterprise, AVV-Pflicht
4	DSFA + EU AI Act	Risikobewertung, Risikoklassen
5	Praxis-Szenarien	Do’s und Don’ts, Anonymisierung
6	Dokumentation	Verarbeitungsverzeichnis, KI-Inventar
7	Mitarbeiter + Betriebsrat	Schulungspflicht, Mitbestimmung

Dein 3-Phasen-Plan

Phase 1: Bestandsaufnahme und Sofortmassnahmen (Woche 1-2)

Ziel: Wissen, was ist — und die groessten Risiken sofort stoppen.

KI-Inventar erstellen — Alle eingesetzten KI-Tools erfassen (offiziell und inoffiziell)
Schatten-KI identifizieren — Anonyme Mitarbeiterbefragung: Welche Tools nutzt ihr?
Sofort-Nutzungsrichtlinie — Kurzes Dokument: Was ist erlaubt, was nicht (1-2 Seiten)
Kritische Risiken abstellen — Consumer-Tools mit personenbezogenen Daten sofort stoppen

Phase 2: Dokumentation und Vertraege (Woche 3-6)

Ziel: Rechtliche Basis schaffen.

Verarbeitungsverzeichnis aktualisieren — KI-Einsatz eintragen
AVVs abschliessen — Mit allen KI-Anbietern, KI-spezifische Klauseln pruefen
DSFA durchfuehren — Fuer alle KI-Anwendungen mit hohem Risiko
Rechtsgrundlagen dokumentieren — Interessenabwaegung oder Einwilligung festhalten
EU AI Act Risikoklassifizierung — Jedes KI-Tool einer Risikoklasse zuordnen

Phase 3: Rollout und Schulung (Woche 7-10)

Ziel: Genehmigte Tools kontrolliert ausrollen.

Enterprise-Versionen beschaffen — ChatGPT Team/Enterprise, Copilot for M365
Betriebsrat einbinden — Betriebsvereinbarung verhandeln (wenn BR vorhanden)
Mitarbeiter schulen — KI-Kompetenz nach Art. 4 EU AI Act
Nutzungsrichtlinie finalisieren — Mit konkreten Szenarien und Beispielen
Pilotphase starten — Begrenzte Nutzergruppe, Erfahrungen sammeln

Praxis-Uebung: Deine KI-Compliance-Strategie

Erstelle eine KI-Compliance-Strategie fuer mein
Unternehmen:

UNTERNEHMENSPROFIL:
Branche: [z.B. Mittelstand Maschinenbau, Beratung]
Mitarbeiterzahl: [Anzahl]
Betriebsrat vorhanden: [ja/nein]
Datenschutzbeauftragter: [intern/extern/keiner]
KI-Reifegrad: [Erste Versuche / Pilotphase / Im Einsatz]

AKTUELLE KI-NUTZUNG:
1. [Tool 1: Wer nutzt es, wofuer, welche Daten]
2. [Tool 2: Wer nutzt es, wofuer, welche Daten]
3. [Tool 3: Wer nutzt es, wofuer, welche Daten]

GEPLANTE KI-NUTZUNG:
1. [Geplantes Tool/Anwendung]
2. [Geplantes Tool/Anwendung]

ERSTELLE:
1. Risikobewertung aller aktuellen KI-Nutzungen
2. Priorisierte Massnahmenliste (nach Dringlichkeit)
3. 3-Phasen-Zeitplan mit konkreten Aufgaben und Fristen
4. Dokumentations-Checkliste
5. Schulungsplan fuer Mitarbeiter
6. Betriebsratseinbindung (wenn zutreffend)

Compliance-Kalender: Die naechsten Meilensteine

Datum	Pflicht	Deine Aufgabe
Laeuft bereits	E-Rechnungs-Empfangspflicht	System eingerichtet?
Seit Feb. 2025	KI-Kompetenz (Art. 4 AI Act)	Mitarbeiter geschult?
Seit Feb. 2025	Verbotene KI-Praktiken	Keine Social-Scoring-KI?
Aug. 2025	GPAI-Regeln, Sanktionen	Foundation-Model-Nutzung geprueft?
Aug. 2026	Hochrisiko-KI-Pflichten	DSFA, Dokumentation, Registrierung
Aug. 2027	Eingebettete KI in Produkten	Produktsicherheit geprueft?
Halbjaehrlich	Review der Compliance-Strategie	KI-Inventar aktualisiert?

KI-Compliance-Checkliste

Sofort:

KI-Inventar erstellt (alle eingesetzten Tools)
Schatten-KI identifiziert und kanalisiert
Nutzungsrichtlinie erstellt und kommuniziert
Consumer-Tools mit personenbezogenen Daten gestoppt

Innerhalb von 4 Wochen:

AVVs mit allen KI-Anbietern abgeschlossen
Verarbeitungsverzeichnis um KI-Eintraege ergaenzt
Rechtsgrundlagen dokumentiert
DSFA fuer Hochrisiko-Anwendungen durchgefuehrt oder begruendet verneint

Innerhalb von 8 Wochen:

Enterprise-Versionen beschafft und konfiguriert
Betriebsvereinbarung verhandelt (wenn BR vorhanden)
Alle KI-Nutzer geschult (Art. 4 EU AI Act)
Schulungen dokumentiert

Fortlaufend:

KI-Inventar quartalweise aktualisiert
AVVs jaehrlich geprueft
Schulungen jaehrlich aufgefrischt
Neue Guidance der Aufsichtsbehoerden beobachtet

Key Takeaways

Bestandsaufnahme zuerst: Welche KI-Tools sind im Einsatz (auch Schatten-KI)? Ohne dieses Bild kannst du nichts planen
3-Phasen-Ansatz: Sofortmassnahmen → Dokumentation → Rollout — diese Reihenfolge verhindert, dass du undokumentiert ausrollst
KI-Compliance ist ein fortlaufender Prozess, kein einmaliges Projekt — halbjaehrliche Reviews sind das Minimum
Die EU AI Act Meilensteine kommen gestaffelt: Aug. 2025, Aug. 2026, Aug. 2027 — plane rueckwaerts
KI kann dir bei der eigenen Compliance helfen: DSFA-Vorlagen, Nutzungsrichtlinien, Schulungsmaterial — alles per Prompt

Du hast jetzt alle Werkzeuge fuer eine solide KI-Compliance-Strategie. DSGVO-Grundlagen, Tool-Bewertung, DSFA, Dokumentation, Mitarbeiterschulung, Betriebsratseinbindung und EU AI Act — alles an einem Ort. Setz es um, bevor die naechste Pruefung kommt.