Mit dem KI-Compliance-Check von eDSB Deutschland erfassen Unternehmen und Vereine ihren geplanten oder bestehenden KI-Einsatz. Dabei werden Datenschutz, Informationssicherheit und mögliche Anforderungen des EU AI Act berücksichtigt. Das gilt für ChatGPT und Microsoft Copilot ebenso wie für andere KI-Dienste und intern betriebene Systeme.

Denn welche Anforderungen zu prüfen sind, hängt vom konkreten Anwendungsfall, den verarbeiteten Daten und den betrieblichen Abläufen ab. Deshalb verbindet der Check eine strukturierte Bestandsaufnahme mit einer automatischen Vorprüfung. Anschließend unterstützt eDSB Deutschland Sie nach Vereinbarung dabei, offene Punkte fachlich zu klären, erforderliche Maßnahmen festzulegen und deren Umsetzung zu dokumentieren.

Was berücksichtigt der KI-Compliance-Check?

Zunächst erfasst der Fragebogen, wofür das KI-System verwendet werden soll und welche Personen es nutzen. Außerdem werden die betroffenen Datenarten, die Einbindung externer Anbieter und bereits vorhandene organisatorische Regelungen abgefragt.

Die Vorprüfung berücksichtigt insbesondere:

• Datenschutz und DSGVO: personenbezogene Daten, Verantwortlichkeiten, Anbieterprüfung, Auftragsverarbeitung und mögliche Drittlandtransfers.

• Informationssicherheit: technische und organisatorische Maßnahmen, Zugriffsrechte sowie den Umgang mit vertraulichen Informationen.

• KI-Governance: interne KI-Richtlinien, erlaubte Anwendungen, Freigabeprozesse und Dokumentation.

• Menschliche Kontrolle: Überprüfung von KI-Ausgaben sowie den Umgang mit fehlerhaften oder problematischen Ergebnissen.

• EU AI Act und KI-Kompetenz: Hinweise auf weiteren Einordnungsbedarf sowie bestehende Schulungs- und Kontrollmaßnahmen.

Allerdings reicht der Produktname allein für eine datenschutzrechtliche oder regulatorische Bewertung nicht aus. Entscheidend ist vielmehr, wie das jeweilige KI-System tatsächlich eingesetzt wird. Eine Anwendung zur allgemeinen Texterstellung muss deshalb anhand anderer betrieblicher Umstände betrachtet werden als eine Anwendung, die Entscheidungen über Personen unterstützt.

Welche Angaben sollten Sie vorbereiten?

Für die Bearbeitung sollten Sie den vorgesehenen Anwendungsfall möglichst konkret beschreiben können. Dazu gehören insbesondere der betroffene Arbeitsprozess, die vorgesehenen Nutzergruppen und die Arten der eingegebenen oder ausgewerteten Daten.

Hilfreich sind außerdem Angaben zum Anbieter, zum gewählten Produkt beziehungsweise Tarif und zu den bekannten Datenverarbeitungsorten. Falls bereits Verträge, Datenschutzinformationen oder interne Regelungen vorliegen, können diese anschließend für die fachliche Prüfung herangezogen werden.

Wenn einzelne Informationen noch fehlen, sollten Sie diese als offen kennzeichnen. Denn eine nicht geprüfte Frage ist keine Bestätigung dafür, dass entsprechende Risiken ausgeschlossen sind. Dadurch lassen sich Informationslücken nachvollziehbar erfassen und gezielt mit den zuständigen Stellen klären.

Bitte beschreiben Sie im öffentlichen Fragebogen ausschließlich Prozesse und Datenarten. Geben Sie keine Zugangsdaten, konkreten Gesundheitsdaten, vertraulichen Vertragsinhalte oder Geschäftsgeheimnisse ein.

KI-Compliance-Check: Vorläufiger Prüfbericht direkt auf der Webseite

Nach dem Ausfüllen wählen Sie „Jetzt auswerten“. Daraufhin erhalten Sie unmittelbar einen automatisch erstellten, regelbasierten Bericht. Dieser beschreibt erkennbare Risikofelder, offene Fragen und mögliche Maßnahmen auf Grundlage Ihrer Angaben.

Außerdem können Sie den Bericht bearbeiten, als Worddatei speichern oder drucken. Zugleich werden Ihre Antworten und die Auswertung im geschützten Backend für die weitere Bearbeitung durch eDSB Deutschland gespeichert.

Der Bericht dient damit als Ausgangspunkt für die weitere Prüfung. Er kann beispielsweise auf ungeklärte Datenflüsse, fehlende Nutzungsregeln oder eine noch nicht festgelegte menschliche Kontrolle hinweisen. Ob eine vorgeschlagene Maßnahme erforderlich und geeignet ist, muss jedoch anhand der tatsächlichen betrieblichen Verhältnisse beurteilt werden.

Die automatische Auswertung ist eine vorläufige Einschätzung. Sie ersetzt weder die Prüfung erforderlicher Nachweise noch eine vollständige rechtliche Klassifizierung, Konformitätsprüfung oder betriebliche Freigabe.

Offene Punkte fachlich prüfen und einordnen

Eine automatisierte Vorprüfung kann nur die Angaben berücksichtigen, die im Fragebogen erfasst wurden. Deshalb müssen unvollständige Informationen, erkennbare Widersprüche und fehlende Nachweise vor einer abschließenden Bewertung geklärt werden.

Im Rahmen einer vereinbarten fachlichen Bearbeitung unterstützt eDSB Deutschland Sie dabei, die Ergebnisse einzuordnen. Zunächst betrachten wir den beschriebenen Einsatz und die vorhandenen Unterlagen. Anschließend halten wir fest, welche Fragen beantwortet sind, welche Informationen fehlen und welche weiteren Prüfungen erforderlich erscheinen.

Dabei unterscheiden wir zwischen Angaben des Unternehmens, vorliegenden Nachweisen und fachlichen Schlussfolgerungen. Dadurch bleibt nachvollziehbar, auf welcher Grundlage eine Empfehlung oder Entscheidung getroffen wurde.

KI-Compliance-Check: Ergebnisse im Unternehmen umsetzen

Damit aus einer Auswertung belastbare betriebliche Regelungen entstehen, müssen Aufgaben, Verantwortlichkeiten und geeignete Maßnahmen festgelegt werden. Deshalb unterstützt Sie eDSB Deutschland bei der fachlichen Einordnung und anschließenden Umsetzung.

Je nach Anwendungsfall und vereinbartem Leistungsumfang helfen wir Ihnen beispielsweise dabei,

• Anbieterunterlagen, Datenflüsse und datenschutzrechtliche Rollen zu prüfen,

• die Erforderlichkeit einer Datenschutz-Folgenabschätzung zu beurteilen,

• KI-Nutzungsrichtlinien und Freigabeprozesse auszuarbeiten,

• geeignete Schutzmaßnahmen und menschliche Kontrollen festzulegen,

• Beschäftigte zu Datenschutz, Informationssicherheit und KI-Nutzung zu schulen,

• Prüfentscheidungen, Verantwortlichkeiten und Umsetzungsnachweise zu dokumentieren.

Außerdem unterstützen wir Sie dabei, die Bearbeitung der offenen Punkte zu strukturieren. Dazu lässt sich für jede Maßnahme festhalten, wer zuständig ist, welche konkrete Aufgabe besteht und welches Ergebnis beziehungsweise welcher Nachweis erwartet wird.

Anschließend kann geprüft werden, ob die vereinbarten Schritte tatsächlich umgesetzt wurden. Dabei unterscheiden wir ausdrücklich zwischen einer Empfehlung, einer begonnenen Bearbeitung und einer nachweislich abgeschlossenen Maßnahme. Ein automatisch erzeugter Maßnahmenvorschlag ist daher noch kein Umsetzungsnachweis.

Weitere Informationen finden Sie zu unserem KI-Management für Unternehmen und unserer KI-Datenschutz-Online-Schulung.

Keine Freigabe – keine betriebliche Nutzung.

Dokumentation und spätere Änderungen berücksichtigen

Die Prüfung sollte den tatsächlich vorgesehenen oder bestehenden Einsatz beschreiben. Ändern sich anschließend der Verwendungszweck, die verarbeiteten Daten oder wesentliche Produkteinstellungen, kann eine erneute Betrachtung erforderlich werden.

Deshalb ist es sinnvoll, die zugrunde gelegten Angaben und den Bearbeitungsstand nachvollziehbar festzuhalten. Auch Verantwortlichkeiten, offene Rückfragen und getroffene Entscheidungen sollten zugeordnet werden können. So lässt sich später beurteilen, ob die bisherige Bewertung noch zum aktuellen KI-Einsatz passt.

Wie werden Ihre Angaben verarbeitet?

Die automatische Vorprüfung erfolgt regelbasiert innerhalb unserer WordPress-Umgebung. Ergänzend kann lokal betriebenes Ollama zur internen Aufbereitung von Berichtsentwürfen eingesetzt werden. Auch diese Entwürfe müssen jedoch fachlich geprüft werden.

Für die Bearbeitung werden Ihre Angaben und der vorläufige Bericht im geschützten Backend gespeichert. Bitte beachten Sie deshalb unsere Datenschutzerklärung. Sie enthält weitere Informationen zur Verarbeitung personenbezogener Daten.

Rechtliche Grundlagen und weiterführende Quellen

Zur weiteren Einordnung stehen Ihnen außerdem diese offiziellen Quellen zur Verfügung:

• Datenschutz-Grundverordnung auf EUR-Lex

• Informationen der Europäischen Kommission zum EU AI Act

• Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz

Die Quellen ergänzen die Bestandsaufnahme. Allerdings ersetzen auch allgemeine Informationen und Orientierungshilfen nicht die Prüfung des konkreten betrieblichen Anwendungsfalls.

Datenschutz und KI-Compliance in Berlin und Brandenburg

eDSB Deutschland unterstützt Unternehmen und Vereine in Berlin und Brandenburg als externer Datenschutzbeauftragter und bei der datenschutzrechtlichen Bewertung ihrer KI-Anwendungen. Dabei begleiten wir nach Vereinbarung sowohl die Prüfung geplanter Anwendungen als auch die Bearbeitung offener Punkte bei bereits eingesetzten Systemen.

Wenn Sie Unterstützung bei der Prüfung oder Umsetzung benötigen, finden Sie weitere Informationen zu unserer Datenschutzberatung für Unternehmen.

Für nicht genehmigte KI-Nutzung finden Sie hier einen separaten Check: Schatten-KI erkennen und vermeiden.

Nutzen Sie den folgenden Fragebogen für eine strukturierte Vorprüfung Ihres KI-Einsatzes.