Zum Hauptinhalt springen

Wo der Prüfprozess fehlt, fehlt der Nachweis, dass die Leitung ihre Pflicht erfüllt hat.

NIS2, AI Act und DSGVO — drei Regelwerke, eine gemeinsame Anforderung.

Drei europäische Regelwerke wirken zusammen auf Organisationen, die KI in Entscheidungsprozesse einbinden, jedes in seinem eigenen Anwendungsbereich. Sie verbieten den Einsatz von KI nicht. Sie verschieben den Maßstab: Entscheidend ist nicht nur, was ein System ausgibt, sondern wie ein Mensch diesen Output geprüft, eingeordnet und verantwortet hat.

Gerade bei risikoreichen Entscheidungen reicht ein plausibles Ergebnis nicht aus. Es braucht einen nachvollziehbaren Prüfpfad: Welche Annahmen wurden getroffen? Welche Risiken wurden bewertet? Welche Grenzen wurden erkannt? Und wann muss eine Entscheidung erneut überprüft werden?

Diese Seite zeigt, welche Anforderungen wo entstehen und welche Werkzeuge sie strukturell beantworten.

„Compliance ohne Architektur ist ein Versprechen, das im Audit zerbricht."— Nils Brodersen

Architektur & Prüfprozess | Drei Regelwerke

Wo die Anforderung entsteht

Jedes der drei Regelwerke adressiert einen anderen Schutzzweck und greift an einer anderen Stelle des KI-Einsatzes. Die Schnittmenge ist eindeutig: Wo sie greifen, ist der dokumentierte Prüfweg der Nachweis, den alle drei an ihrer jeweiligen Stelle verlangen.

NIS2 / BSI-Gesetz[R-1]

Geschäftsführerhaftung seit 6. Dezember 2025

Das novellierte BSI-Gesetz verpflichtet die Geschäftsleitung regulierter Unternehmen zu einem dokumentierten Risikomanagement für KI-gestützte Systeme. Diese Verantwortung ist persönlich und nicht delegierbar. Wer KI-Output in eine Entscheidung einfließen lässt, ohne den Prüfweg dokumentieren zu können, kann die Umsetzung dieser Pflicht nicht belegen, unabhängig davon, ob der Output richtig oder falsch war. Verletzt die Geschäftsleitung die Pflicht schuldhaft, haftet sie für den daraus entstandenen Schaden (§ 38 BSIG).

Was im Audit zählt: Belegte Risikomanagementmaßnahmen, bei KI-gestützten Entscheidungen ein nachvollziehbarer Pfad, der zeigt, welche Frage gestellt wurde, wie der Output geprüft wurde und wer die Entscheidung verantwortet.

Werkzeug-Anker: KI-Request-Standard und Entscheidungsnachweis tragen den Audit-Trail. Werkzeuge im Detail ↗

EU AI Act[R-3]

Gestaffelt geltende Pflichten für Hochrisiko-Systeme

Der AI Act verpflichtet Betreiber von Hochrisiko-Systemen, die menschliche Aufsicht Personen mit der nötigen Kompetenz, Ausbildung und Befugnis zu übertragen (Art. 26 Abs. 2). Bewerbungsauswahl, Kreditwürdigkeitsprüfung und Personalbewertung gehören zu den Hochrisiko-Einsätzen. Wer keine prüfende Instanz zwischen KI-Output und Entscheidung dokumentieren kann, kann den Nachweis menschlicher Aufsicht nicht führen. Hinzu kommt Art. 4, der unabhängig von der Risikoklasse gilt: Betreiber müssen Maßnahmen ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt.

Was im Audit zählt: Eine systematische Prüfung des KI-Outputs durch eine fachkundige Person mit nachvollziehbarem Ergebnis und der Möglichkeit zu übersteuern.

Werkzeug-Anker: Der Guardrail-Check schafft den Prüfschritt der menschlichen Aufsicht zwischen Output und Entscheidung. Werkzeuge im Detail ↗

DSGVO[R-4]

Personenbezogene Daten und automatisierte Entscheidungen

Sobald ein Mitarbeitername, eine Beurteilung oder ein Krankheitsverlauf in einen Prompt fließt, greifen Zweckbindung, Datenminimierung und gegebenenfalls die Pflicht zur Datenschutz-Folgenabschätzung. Beruht eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung über eine Person ausschließlich auf automatisierter Verarbeitung, ist sie nach Art. 22 DSGVO grundsätzlich unzulässig; eine dokumentierte, echte menschliche Prüfung ist die Voraussetzung, unter der KI hier überhaupt unterstützen darf.

Was im Audit zählt: Zweckbindung vor der Anfrage, dokumentierte menschliche Prüfung vor jeder Entscheidung über eine Person mit rechtlicher oder ähnlich erheblicher Wirkung.

Werkzeug-Anker: KI-Request-Standard dokumentiert die Zweckbindung, Guardrail-Check schafft den Prüfschritt der menschlichen Aufsicht. Werkzeuge im Detail ↗

Architektur & Prüfprozess | Das Muster, das im Audit auffliegt

Eine Checkliste ist kein Audit-Trail

Viele Unternehmen reagieren auf regulatorischen Druck mit Dokumenten, die einen Prozess behaupten, ohne ihn zu erzwingen. Im Audit wird der Unterschied sofort sichtbar: Zeitstempel, Serienbearbeitung am Tagesende, gleichförmige Antworten ohne Bezug zur konkreten Entscheidung. Der Prüfer erkennt das Muster in Minuten.

Dokument

Behauptung eines Prüfvorgangs

  • ·entsteht nachträglich, oft am Tagesende
  • ·ist von der Entscheidung losgelöst
  • ·nutzt gleichförmige Pauschalformeln
  • ·im Audit als Rationalisierung erkennbar

Prozess

Spur eines tatsächlichen Vorgangs

  • ·entsteht zeitgleich mit dem Denken
  • ·ist eindeutig der Entscheidung zugeordnet
  • ·belegt Frageformulierung, Prüfweg, Verantwortung
  • ·im Audit als Spur des Vorgangs erkennbar

Eine Architektur, die den Prozess erzwingt, erzeugt die Dokumentation als Nebenprodukt — nicht als Aufgabe danach. Die drei Werkzeuge der Entscheidungsarchitektur geben die Prüfschritte vor und halten sie fest, während sie durchlaufen werden.

Architektur & Prüfprozess | Werkzeuge

Drei Werkzeuge, drei Schutzfunktionen

Die drei operativen Werkzeuge der Entscheidungsarchitektur greifen an unterschiedlichen Stellen des Prozesses. Sie erzeugen den Audit-Trail im Vorbeigehen — nicht als zusätzliche Bürde, sondern als Spur des Denkens.

KI-Request-Standard

vor der Anfrage · 3 Destruktionsfragen + 7 Felder

Schützt vor der Plausibilitätsfalle und vor kontaminierten Prompts. Drei Fragen zerstören die eigene Erwartung an die Antwort. Sieben Felder strukturieren die Anfrage so, dass Zweckbindung, Datenminimierung und Prüfbarkeit dokumentiert werden.

Compliance-Beitrag: Dokumentiert Zweck und Datenumfang vor der Anfrage: die Evidenz, die eine Prüfung nach Art. 5 DSGVO sehen will, und die Grundlage des Audit-Trails (§ 30 BSIG).

Guardrail-Check

zwischen Output und Entscheidung · 6 Prüffragen

Externalisiert die menschliche Aufsicht in eine objektivierbare Checkliste. Statt einer Selbstbefragung („Habe ich das geprüft?") sechs konkrete Fragen, die beantwortet sind oder nicht. Die Prüfung wird durch Dritte nachvollziehbar.

Compliance-Beitrag: Macht die menschliche Prüfung vor einer Entscheidung nachweisbar (Aufsicht durch kompetente Personen, AI Act Art. 26 Abs. 2) und schafft den Prüfschritt, der ungeprüfte Personalentscheidungen aufhält (DSGVO Art. 22).

Entscheidungsnachweis

als Teil der Entscheidung · 9 Felder

Eine geführte Denkübung, die die Entscheidung verbessert, während sie dokumentiert wird. Die Dokumentation entsteht als Nebenprodukt des Denkprozesses. Ein Auditor erkennt an Zeitstempeln und am Bezug zur konkreten Entscheidung, ob ein Nachweis während oder nach der Entscheidung entstanden ist.

Compliance-Beitrag: Dokumentiert die Entscheidung der Geschäftsleitung nachvollziehbar (§ 38 BSIG) und ergänzt die automatisch erzeugten Protokolle, die Betreiber von Hochrisiko-Systemen aufbewahren (AI Act Art. 26 Abs. 6), um den menschlichen Entscheidungsweg.

Nicht jeder KI-Output erfordert alle drei Werkzeuge. Eine reine Textoptimierung genügt sich selbst. Sobald der Output in eine Entscheidung einfließt, kommen KI-Request-Standard und Guardrail-Check ins Spiel. Bindet die Entscheidung Ressourcen, betrifft sie regulierte Bereiche oder die persönliche Haftung, sieht die Methode zusätzlich den Entscheidungsnachweis vor.

Alle drei Werkzeuge im Detail mit Feldlogik ↗

„Wer Verantwortung trägt, braucht ein System, das den Prüfprozess erzwingt — nicht einen Ordner mit Checklisten."— Nils Brodersen

Tiefergehende Herleitung

Im Standardisierungswerk

Diese Seite zeigt, was Compliance im KI-Einsatz strukturell verlangt und welche Werkzeuge den dafür nötigen Prüfweg dokumentieren. Die ausführliche Herleitung der Anforderungen mit Detail-Mapping zu Paragraphen, der wissenschaftlichen Begründung der Werkzeuge und ausgearbeiteten Praxisszenarien findet sich im Standardisierungswerk B251211 (Springer Gabler, in Vorbereitung).

Zur Mitwirkung am Werk ↗

Zurück zur Compliance-Übersicht