KI-Compliance — Checkliste

Fünf Fragen der Reihe nach. Bei jeder „Ja"-Antwort die Konsequenz prüfen, bevor ihr loslegt. Bei „Nein" weiter zur nächsten Frage.

• Frage 1 · Gehen personenbezogene Daten rein? Namen, Adressen, Telefonnummern, E-Mail, Vertragsdaten, Fotos, Gesundheits- oder Mitarbeiterdaten. → Ja: Anonymisieren oder Enterprise-Account mit AVV + EU-Server.
• Frage 2 · Trifft die KI eine Entscheidung über eine Person? Bewerber-, Mieter-, Kreditprüfung, Leistungsbeurteilung. → Ja: Hochrisiko. Mensch entscheidet, DSFA prüfen, Betriebsrat informieren.
• Frage 3 · Gehen Geschäftsgeheimnisse rein? Kalkulationen, Angebotspreise, interne Strategien, Vertragsentwürfe, Grundstücksbewertungen. → Ja: abstrahieren oder Enterprise/On-premise-KI.
• Frage 4 · Sieht jemand das Ergebnis, der wissen sollte, dass KI beteiligt war? Kunden, Käufer, Mieter, Behörden, Geschäftspartner. → Ja: KI-Beteiligung kennzeichnen, nicht als persönlich verfasst ausgeben.
• Frage 5 · Wird das Ergebnis ohne menschliche Prüfung verwendet? Direkt versendete E-Mails, automatische Dokumente, ungeprüfte Recherche-Ergebnisse. → Ja: Stopp. Mensch muss prüfen — bei Personen-Entscheidungen Art. 22 DSGVO.
• Use Case freigegeben & intern dokumentiert Wer nutzt es? Welches Tool? Welche Daten? Einmal aufschreiben, einmal pro Quartal nachprüfen.

Bevor ihr Text in die KI tippt — kurz die vier Haken durchgehen. Hängt diese Liste an die Bürowand neben dem Bildschirm.

• Keine echten Namen Kunden, Käufer, Mieter, Mitarbeitende, Geschäftspartner — vor Eingabe ersetzen oder weglassen.
• Keine Adressen oder Kontaktdaten Anschriften, Telefonnummern, E-Mail-Adressen — auch nicht „nur für die Recherche".
• Keine Vertragsinhalte mit Personenbezug Kaufverträge, Mietverträge, Bewerberunterlagen. Wenn nötig: anonymisieren.
• Keine internen Kalkulationen / Angebotspreise Schutz als Geschäftsgeheimnis kann sonst verloren gehen. Alternativ abstrahieren — keine konkreten Zahlen, keine Projektnamen.
• Im Zweifel: anonymisieren, dann eingeben Lieber zwei Minuten zusätzlich für Anonymisierung als zwei Wochen für Schadensbegrenzung.

Bevor der KI-Output das Haus verlässt — drei Haken. Bei Veröffentlichungen mit rechtlicher Relevanz: nicht abkürzen.

• Habe ich geprüft, ob es stimmt? — muss sein KI halluziniert. Bei rechtlichen, technischen oder finanziellen Inhalten: Normen und Fakten gegen Primärquellen prüfen.
• Ist klar, dass KI beteiligt war? — sollte es sein Externer Empfänger sieht das Ergebnis: Kennzeichnung empfohlen. KI-Texte nicht als persönlich verfasst ausgeben, wenn das nicht stimmt.
• Trifft es eine Entscheidung über eine Person? — dann muss ein Mensch entscheiden Bei automatisierten Personen-Entscheidungen Art. 22 DSGVO. Die KI darf zuarbeiten — nie allein entscheiden.