Begriffe, die Entscheidungen tragen, brauchen Definitionen, die halten.

Semantische Unschärfe

Die Verwechslung oder Vermischung von Begriffen, die unterschiedliche Konzepte bezeichnen. Sprachmodelle richten ihre Antwort an den gewählten Begriffen aus. Wer „effizient" schreibt, aber „effektiv" meint, erzeugt einen Suchraum, der das eigentliche Ziel verfehlt. Semantische Unschärfe ist ein Architekturbruch in der KI-gestützten Entscheidungsfindung, der sich mit präzisen Begriffen vor der Anfrage beheben lässt.

Verwendet in: Semantik, Startseite

Kognitionsarchitektur

Die strukturelle Organisation von Denkprozessen in einem System. In KI-Anwendungen beschreibt Kognitionsarchitektur, wie Wahrnehmung, Analyse, Integration und Validierung zusammenwirken. Eine bewusst gestaltete Kognitionsarchitektur unterscheidet kontrollierte Verarbeitungsschritte von einer einzelnen, ungeprüften Textgenerierung. Sie definiert die Reihenfolge, Tiefe und Prüflogik jedes Verarbeitungsschritts.

Verwendet in: HiCC Terminal

Entscheidungsarchitektur

Die Gesamtheit der Strukturen, Prozesse und Prüfmechanismen, die bestimmen, wie Entscheidungen zustande kommen. Entscheidungsarchitektur definiert nicht, was entschieden wird, sondern wie: Welche Informationen fließen ein, welche Prüfungen werden durchlaufen, wer trägt die Verantwortung. Qualität entsteht nicht allein durch bessere Antworten, sondern durch bessere Entscheidungsprozesse.

Verwendet in: Über mich, Startseite

Hierarchical Reasoning Model (HRM)

Eine mehrstufige Architektur, die Sprachmodelle von einer einzelnen Vorhersage zu einer mehrstufigen, prüfbaren Verarbeitung führt. Vier Verarbeitungsebenen — Wahrnehmung, Analyse, Integration und Validierung — bilden eine kontrollierte Denkkette. Jede Ebene hat einen definierten Auftrag und prüfbare Zwischenergebnisse. HRM ist das Architekturprinzip hinter dem HiCC Terminal; seine dokumentierten Zwischenergebnisse machen den Verarbeitungsweg auditierbar.

Verwendet in: HiCC Terminal, HiCC Architektur

Managed Deep Reasoning (mDR)

Ein Architekturkonzept, das kontrollierte Tiefenanalyse in KI-Systeme einbaut. Im Unterschied zu unkontrolliertem Chain-of-Thought-Reasoning definiert mDR explizite Zwischenschichten mit definierten Prüfpunkten. Das ausgegebene Zwischenergebnis jeder Schicht wird gespeichert, ist auditierbar und kann bei Qualitätsmängeln neu erzeugt werden. mDR macht den Unterschied zwischen „das Modell hat nachgedacht" und „das Modell hat kontrolliert analysiert".

Verwendet in: HiCC Terminal

Reversal Trigger

Eine vorab definierte Bedingung, unter der eine bereits getroffene Entscheidung revidiert wird. Ohne Reversal Trigger fehlt die systematische Lernschleife: Fehler fallen nur zufällig auf, und niemand ist gehalten, eine Korrektur auszulösen. Der Trigger macht explizit, was passieren muss, damit ein Beschluss hinterfragt wird. Tritt die Bedingung ein, wird die Entscheidung erneut geprüft, unabhängig davon, ob jemand sie von sich aus in Frage stellt.

Verwendet in: Prüfpfade, Startseite

Goodhart-Effekt

Wenn eine Kennzahl zum Ziel wird, hört sie auf, eine gute Kennzahl zu sein. In KI-Systemen bedeutet das: Wird ein Modell auf eine bestimmte Metrik optimiert, maximiert es diese Metrik — unabhängig davon, ob das eigentliche Ziel damit erreicht wird. Der Goodhart-Effekt erklärt, warum perfekte Scores und schlechte Ergebnisse gleichzeitig auftreten können. Das Risiko steigt, je mehr Entscheidungen automatisiert auf KPI-Basis getroffen werden.

Verwendet in: Prüfpfade, Startseite

Scheinpräzision

Ergebnisse, die durch exakte Zahlen, Prozentsätze oder Rankings Genauigkeit vortäuschen, obwohl die zugrundeliegende Datenlage diese Granularität nicht hergibt. Sprachmodelle liefern detaillierte Aufschlüsselungen mit hoher Überzeugungskraft. Die Präzision liegt in der Darstellung, nicht in den Daten. Scheinpräzision ist besonders gefährlich, weil sie das Vertrauen in ein Ergebnis erhöht, ohne dessen Qualität zu verbessern.

Verwendet in: Prüfpfade, Semantik, Startseite

Kontextverfall

Der schleichende Verlust an Aktualität und Relevanz der Daten, auf denen eine KI-Analyse basiert. Trainingsdaten, Marktbedingungen und regulatorische Rahmenbedingungen veralten. Kontextverfall bedeutet, dass ein Ergebnis zum Zeitpunkt seiner Erstellung korrekt gewesen sein mag, zum Zeitpunkt der Entscheidung aber nicht mehr gilt. Die Gefahr: Das Ergebnis liest sich weiterhin überzeugend, obwohl seine Grundlage längst überholt ist.

Verwendet in: Prüfpfade, Startseite

Tool Drift / Model Drift

Die schleichende Veränderung des Verhaltens eines KI-Systems über die Zeit. API-Versionen ändern sich, Modelle werden aktualisiert, Datenquellen verschieben sich. Ohne aktives Monitoring bleibt die Qualitätserosion unsichtbar, bis ein Fehler auftritt. Tool Drift ist das Systemrisiko, das entsteht, wenn ein einmal validiertes Werkzeug ohne Rückprüfung weiterbetrieben wird.

Verwendet in: Prüfpfade, Startseite

Verantwortungsdiffusion

Der Zustand, in dem keine klare Person für die Konsequenzen einer KI-gestützten Entscheidung zuständig ist. „Die KI hat empfohlen" ist keine Verantwortungszuordnung. Verantwortungsdiffusion führt dazu, dass niemand die Tragfähigkeit einer Empfehlung prüft, weil sich niemand für deren Scheitern verantwortlich fühlt. In Organisationen mit KI-Integration ist sie ein struktureller Grund für ungeprüft übernommene Fehlentscheidungen.

Verwendet in: Prüfpfade, Startseite

Failure Mode

Ein dokumentiertes Muster, in dem ein System vorhersagbar versagt. In der KI-Entscheidungsarchitektur beschreibt ein Failure Mode nicht den Einzelfehler, sondern die strukturelle Schwachstelle, die zu wiederkehrenden Fehlern führt. Failure Modes zu kennen bedeutet, sie vor ihrem Eintreten erkennen und gegensteuern zu können. Die fünf zentralen sind Scheinpräzision, Kontextverfall, Goodhart-Effekte, Tool Drift und Verantwortungsdiffusion.

Verwendet in: Prüfpfade, HiCC Terminal, Über mich

Decision Brief / Entscheidungsnachweis

Ein strukturiertes Entscheidungsdokument mit neun Feldern: Entscheidungsfrage, Kontext & Auslöser, Annahmen, Optionen, Bewertungskriterien, Risiken & Failure Modes, Empfehlung, Reversal Trigger und Exit-Szenario. Das Decision Brief verlangt, Annahmen, Optionen und Kriterien vor der Entscheidung schriftlich festzulegen, und macht den Begründungsweg auditierbar. Es gehört zu Entscheidungen, die Ressourcen binden, regulierte Bereiche betreffen oder die persönliche Haftung berühren. Eine Seite. Kein Freitext, sondern Struktur.

Verwendet in: Prüfpfade, Startseite

KI-Request Standard

Ein Briefing-Format aus drei Destruktionsfragen und sieben Feldern, das KI-Anfragen vor dem Absenden strukturiert. Rolle, Aufgabe, Kontext, Qualitätskriterien, Ausgabeformat, Prüffrage und Exit-Bedingung werden explizit definiert, bevor eine Anfrage gestellt wird. Der Standard richtet sich gegen „Garbage in, plausible garbage out": Er legt unklare Erwartungen und Begriffe offen, bevor sie in die Anfrage eingehen, und macht Anforderungen prüfbar. Er ist kein Prompt-Template, sondern eine Denkstruktur.

Verwendet in: Prüfpfade, Startseite

Guardrail Check

Sechs systematische Prüffragen, die ein KI-Ergebnis durchläuft, bevor es in eine Entscheidung einfließt: Scheinpräzision, Kontextverfall, Goodhart-Risiko, Tool Drift, Verantwortungslücke und Reversal Trigger. Der Guardrail Check fragt die zentralen Failure Modes einzeln ab und macht sichtbar, wo eine plausible KI-Antwort noch nicht belastbar ist. Er ist ohne Vorkenntnisse und ohne Einarbeitung bei der nächsten Entscheidung einsetzbar.

Verwendet in: Prüfpfade, Startseite

Prüfpfad

Eine nachvollziehbare Kette von Prüfschritten, die dokumentiert, wie ein Ergebnis zustande kam. Prüfpfade machen Entscheidungslogik auditierbar und reversibel. Sie beantworten nicht nur „Was wurde entschieden?", sondern „Warum wurde es entschieden und auf welcher Basis?". In KI-gestützten Prozessen machen Prüfpfade nachträglich unterscheidbar, ob ein Ergebnis auf geprüften Grundlagen beruht oder nur plausibel klingt.

Verwendet in: Prüfpfade, Startseite

Steelman-Verfahren

Das Gegenteil des Strohmann-Arguments. Statt eine Position zu schwächen, um sie leichter widerlegen zu können, wird sie in ihrer stärksten möglichen Form konstruiert. Im HiCC-System simuliert die Analyse-Ebene Gegenpositionen im Steelman-Verfahren, um Scheinwiderlegungen zu vermeiden und die tatsächliche Tragfähigkeit einer These zu testen. Das Verfahren macht die faire Prüfung der Gegenposition zu einem festen Schritt im Analyseprozess.

Verwendet in: HiCC Terminal

Evidenzgewichtung

Die systematische Bewertung von Belegen nach ihrer Qualität, Herkunft und Belastbarkeit. Nicht alle Evidenz ist gleichwertig: Eine kontrollierte Studie wiegt anders als eine Expertenmeinung, ein Datenpunkt anders als ein Erfahrungsbericht. Evidenzgewichtung ordnet plausible Argumente und empirisch gestützte Befunde ausdrücklich nach ihrer Belastbarkeit und macht so die Begründungsqualität einer Empfehlung transparent.

Verwendet in: Publikationen, Startseite

Epistemische Belastbarkeit

Das Maß dafür, wie gut eine Aussage oder Analyse einer kritischen Prüfung standhält. Eine epistemisch belastbare Empfehlung hat explizite Annahmen, nachvollziehbare Begründungen und definierte Bedingungen, unter denen sie revidiert werden muss. Das Gegenteil ist rhetorische Plausibilität ohne prüfbare Substanz. Epistemische Belastbarkeit ist das Qualitätskriterium, das KI-gestützte Analyse von KI-generierter Meinung trennt.

Verwendet in: Prüfpfade

System-1-Denken / System-2-Denken

Zwei Modi menschlichen Denkens nach Daniel Kahneman. System 1 arbeitet schnell, intuitiv und automatisch — es liefert die erste plausible Antwort. System 2 ist langsam, analytisch und kontrolliert — es prüft Annahmen und Argumentationsketten. HiCC nutzt die Unterscheidung als Analogie: Ein Sprachmodell liefert ohne zusätzliche Prüfschritte die naheliegende Antwort. Strukturierte Architekturen wie HRM bauen diese Prüfschritte ein und übernehmen damit die Funktion, die beim Menschen System 2 erfüllt.

Verwendet in: HiCC Terminal

NIS2

Die NIS2-Richtlinie ist der europäische Rahmen für Cybersicherheit, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz. Sie weitet den Kreis der verpflichteten Organisationen erheblich aus und unterscheidet besonders wichtige von wichtigen Einrichtungen. Im Kern verlangt sie ein nachweisbares Risikomanagement, definierte Meldewege für Sicherheitsvorfälle und eine Geschäftsleitung, die für die Umsetzung persönlich verantwortlich bleibt. Für die KI-Steuerung folgt daraus: Sicherheit ist keine Aufgabe der IT allein, sondern eine Leitungspflicht.

Verwendet in: Architektur & Prüfprozess

AI Act / EU KI-Verordnung

Der AI Act ist das erste umfassende Regelwerk für Künstliche Intelligenz und gilt unmittelbar in allen Mitgliedstaaten. Er ordnet KI-Systeme nach ihrem Risiko: verbotene Praktiken, Hochrisiko-Systeme mit strengen Auflagen, Systeme mit Transparenzpflichten und weitgehend freie Anwendungen. Über die Risikoklassen hinaus verpflichtet er Anbieter und Betreiber branchenunabhängig zur KI-Kompetenz ihres Personals (Art. 4). Schwerwiegende Vorfälle bei Hochrisiko-KI-Systemen melden die Anbieter (Art. 73); Betreiber, die einen solchen Vorfall feststellen, informieren unverzüglich den Anbieter (Art. 26 Abs. 5). Entscheidend ist weniger die einzelne Vorschrift als die Logik dahinter: Wer KI einsetzt, muss verstehen, was sie tut.

Verwendet in: Integration

DSGVO

Die Datenschutz-Grundverordnung regelt europaweit den Umgang mit personenbezogenen Daten und gilt unabhängig davon, ob klassisch oder durch ein KI-System verarbeitet wird. Für die KI-Steuerung sind zwei Pflichten besonders greifbar: die Meldung einer Datenpanne an die Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, außer sie führt voraussichtlich zu keinem Risiko für Betroffene (Art. 33), und die Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35). Sobald ein KI-Einsatz personenbezogene Daten berührt, ist die DSGVO der erste Prüfstein, nicht der letzte.

Verwendet in: Integration

RACI

RACI ist eine Methode, um Verantwortlichkeiten eindeutig zu verteilen. Für jede Aufgabe werden vier Rollen unterschieden: Responsible führt aus, Accountable trägt die Rechenschaft und entscheidet, Consulted wird vorab einbezogen, Informed wird nachträglich unterrichtet. Der Wert liegt in der Trennung von Ausführung und Rechenschaft, denn genau eine Person ist accountable, damit Verantwortung nicht zwischen Beteiligten zerfällt. In der KI-Einführung verhindert eine RACI-Matrix, dass Zuständigkeit an Personen klebt statt an Rollen.

Verwendet in: Integration

Incident

Ein Incident ist ein Ereignis im KI-Einsatz, das von der zugesicherten Funktion abweicht. Der Begriff umfasst zwei Schichten: die rechtlich definierten schwerwiegenden Vorfälle mit Meldepflicht (etwa nach Art. 73 AI Act) und die weit häufigeren kleinen Auffälligkeiten, die niemand melden muss. Der eigentliche Wert liegt in der unteren Schicht, denn schwere Vorfälle entstehen selten aus dem Nichts, sondern aus einer Kette übersehener Kleinigkeiten. Eine Organisation, die Incidents als Lernquelle behandelt statt als Schuldfrage, senkt die Wahrscheinlichkeit des meldepflichtigen Falls.

Verwendet in: Integration

Governance

Governance bezeichnet die Strukturen, Regeln und Entscheidungswege, mit denen eine Organisation gesteuert und kontrolliert wird. Sie beantwortet, wer wofür entscheidet, wer prüft und wie Verantwortung nachvollziehbar bleibt. Im KI-Kontext entscheidet Governance darüber, ob der Einsatz von Werkzeugen bewusst gestaltet oder dem Zufall überlassen wird. Wirksame Governance hält Schritt mit dem Tempo der Werkzeuge, statt einer Realität hinterherzulaufen, die sich monatlich ändert.

Verwendet in: Integration

Audit

Ein Audit ist eine systematische und möglichst unabhängige Prüfung, ob eine Organisation ihre eigenen und gesetzlichen Vorgaben einhält. Es stützt sich auf Nachweise: Dokumente, Protokolle, nachvollziehbare Entscheidungen. Der verbreitete Fehler ist, das Audit zur Quelle der Ordnung zu machen und Dokumentation erst für den Prüftermin zu erzeugen. Tragfähiger ist die umgekehrte Logik: Das Audit bestätigt eine Steuerung, die ohnehin gelebt wird.

Verwendet in: Integration

Hochrisiko-KI-System

Als Hochrisiko-KI-System gilt nach Art. 6 AI Act ein KI-System in zwei Fällen: Es ist Sicherheitsbauteil eines Produkts oder selbst ein Produkt, das nach den in Anhang I genannten EU-Vorschriften einer Konformitätsbewertung durch Dritte unterliegt, oder es wird in einem der in Anhang III aufgeführten Bereiche eingesetzt. Zu diesen Bereichen zählen unter anderem Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur und Strafverfolgung; Art. 6 Abs. 3 sieht dort Ausnahmen vor. An diese Einstufung knüpft die Verordnung die strengsten Pflichten: Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht und Transparenz. Die entscheidende Vorarbeit ist die ehrliche Einordnung, ob ein eigener Einsatz in diese Kategorie fällt.

Verwendet in: Integration

KI-Kompetenz

KI-Kompetenz bezeichnet die Fähigkeit, KI-Systeme informiert und verantwortlich einzusetzen. Sie umfasst mehr als die Bedienung eines Werkzeugs: das Verständnis für Wirkung, Grenzen, Risiken und den eigenen Entscheidungsweg. Der AI Act verlangt sie in Art. 4 ausdrücklich von Anbietern und Betreibern für alle, die mit KI arbeiten. Eine reine Tool-Schulung erfüllt diesen Anspruch nicht.

Verwendet in: Integration

Aufsichtsorgan

Ein Aufsichtsorgan überwacht Geschäftsführung, Risiken und Regelkonformität einer Organisation. Je nach Rechtsform und Kontext ist damit ein Aufsichtsrat, ein Beirat, das eigene Kontrollgremium oder eine zuständige Behörde gemeint. Im KI-Kontext erwartet es belastbare Nachweise statt bloßer Quoten. Wer ihm nur Dokumente vorlegt, ohne gelebte Praxis, überzeugt es selten.

Verwendet in: Integration

Datenpanne

Eine Datenpanne ist die Verletzung des Schutzes personenbezogener Daten: deren unbeabsichtigte oder unrechtmäßige Vernichtung, ihr Verlust, ihre Veränderung oder die unbefugte Offenlegung. Die DSGVO definiert sie in Art. 4 Nr. 12. Nach Art. 33 ist sie unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde zu melden, außer sie führt voraussichtlich zu keinem Risiko für die Rechte Betroffener. Bei KI-Einsätzen entsteht sie schnell, etwa wenn personenbezogene Daten unbefugt in ein externes Modell gelangen.

Verwendet in: Integration

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Dazu zählen Namen, Kontaktdaten und Kennnummern, aber auch Standort- oder Verhaltensdaten. Sobald ein KI-Einsatz solche Daten berührt, greift die DSGVO unabhängig von der eingesetzten Technik. Die erste Prüffrage jedes Dossiers lautet deshalb: Welche Datenarten fließen ein?

Verwendet in: Integration

Pflichtmeldewesen

Ein Pflichtmeldewesen umfasst die gesetzlich vorgeschriebenen Verfahren, mit denen bestimmte Vorfälle innerhalb fester Fristen an eine Behörde gemeldet werden müssen. Beispiele sind die 72-Stunden-Meldung nach Art. 33 DSGVO oder die Vorfallmeldung nach Art. 73 AI Act. Es regelt den schweren, meldepflichtigen Fall. Was darunter liegt, die kleinen Auffälligkeiten, deckt es nicht ab.

Verwendet in: Integration

Living Repository

Das Living Repository ist eine von der EU-Kommission gepflegte, fortlaufend ergänzte Sammlung freiwilliger Praxisbeispiele zur KI-Kompetenz. Es dient dem Lernen und dem Austausch zwischen Organisationen. Die Kommission stellt zugleich klar: Das Nachahmen dieser Beispiele begründet keine Vermutung der Regelkonformität. Es ist ein Orientierungsangebot, kein Compliance-Freibrief.

Verwendet in: Integration

Compliance-Vermutung

Eine Compliance-Vermutung würde bedeuten, dass eine bestimmte Praxis automatisch als regelkonform gilt, sobald sie übernommen wird. Genau diese Wirkung schließt die EU-Kommission für das Living Repository ausdrücklich aus. Verantwortung lässt sich nicht durch Nachahmen abgeben. Sie bleibt an die eigene, nachvollziehbare Einordnung gebunden.

Verwendet in: Integration

Meldepflichtiger Vorfall

Ein meldepflichtiger Vorfall ist ein Ereignis, das gesetzlich innerhalb einer festen Frist an eine Behörde gemeldet werden muss. Beispiele sind der schwerwiegende Vorfall bei Hochrisiko-KI-Systemen nach Art. 73 AI Act und die Datenpanne nach Art. 33 DSGVO. Er bildet die obere, gesetzlich geregelte Schicht der Vorfälle. Die weit häufigeren kleinen Auffälligkeiten darunter sind nicht meldepflichtig, aber für das organisationale Lernen oft wertvoller.

Verwendet in: Integration

KI-Einsatz-Dossier

Das KI-Einsatz-Dossier ist ein strukturiertes Einzeldokument, das einen konkreten KI-Einsatz entlang festgelegter Dimensionen beschreibt, statt ihn in einer Liste abzuhaken. Es erfasst pro Einsatz sieben Dimensionen: Zweck, Datenarten, Personenkreise, Risikobild, Vorkehrungen, Verantwortung und den nächsten Überprüfungszeitpunkt. Der Unterschied zur klassischen Tool-Liste liegt in der Frage: nicht „Steht dieses Werkzeug auf der Liste?", sondern „Verstehen wir, was dieser Einsatz in unserem Haus tut?". Das Dossier ändert sich, wenn sich der Einsatz oder sein Risikobild ändert; ein Anbieter-Update löst eine Überprüfung aus, sobald es Datenfluss oder Funktion des Einsatzes berührt.

Verwendet in: Integration

Leitplanken

Leitplanken sind definierte Korridore für den Umgang mit KI: Sie markieren den Rand des Erlaubten, lassen den Raum dazwischen aber bewusst frei. Anders als eine Verbotsliste, die jeden Einzelfall vorab entscheiden will, vertraut das Leitplanken-Prinzip auf Urteilsvermögen innerhalb klarer Grenzen. Eine Leitplanke lebt von ihrer Anpassungsfähigkeit: Wer sie verschiebt, dokumentiert den Grund, ohne die Logik des Korridors aufzugeben. So hält die Steuerung mit dem Tempo der Werkzeuge Schritt, statt einer Realität hinterherzuverbieten.

Verwendet in: Integration

Schattennutzung

Schattennutzung bezeichnet den Einsatz von KI, der außerhalb der offiziell bekannten und freigegebenen Wege stattfindet und deshalb für die Steuerung unsichtbar bleibt. Sie ist selten böswillig, sondern meist die Folge von Hürden oder der Furcht vor Konsequenzen. Wo Mitarbeitende erleben, dass Meldungen zu Verbesserungen führen und nicht zu Personalakten, entfällt ein wesentlicher Grund für Schattennutzung. Sie ist damit weniger ein Disziplin- als ein Kulturproblem: Sichtbarkeit entsteht durch die Reaktion auf die erste Meldung, nicht durch Verbote.

Verwendet in: Integration

Methodenkompetenz

Methodenkompetenz beschreibt die Fähigkeit einer Organisation, KI-Compliance als wiederholbare Methode anzuwenden, statt sie als statisches Werk zu verwalten. Ein Werk altert in dem Maß, in dem sich die Welt verändert; eine Methode altert nur, wenn sie nicht mehr angewendet wird. Der Vorteil ist Anschlussfähigkeit: Dieselben Fragen tragen über Technologie- und Personalwechsel hinweg, weil sie nicht von einzelnen Werkzeugen abhängen. Methodenkompetenz ist damit das Gegenmodell zur Vollständigkeitslogik, die immer maximalen Aufwand verlangt und trotzdem veraltet.

Verwendet in: Integration

Fehlerkultur

Fehlerkultur bezeichnet den Umgang einer Organisation mit Vorfällen und Auffälligkeiten: Werden sie als Lernquelle behandelt oder als Schuldfrage? Eine tragfähige Fehlerkultur nimmt die kleinen, nicht meldepflichtigen Auffälligkeiten ernst, weil schwere Vorfälle selten aus dem Nichts entstehen, sondern aus einer Kette übersehener Kleinigkeiten. Sie entsteht nicht durch Appelle, sondern durch die sichtbare Reaktion auf die ersten Meldungen: Anerkennung erzeugt Meldungen, Sanktion erzeugt Schweigen. Damit schützt die Fehlerkultur den meldepflichtigen Ernstfall, indem sie ihn unwahrscheinlicher macht.

Verwendet in: Integration

KI-Compliance

KI-Compliance bezeichnet die nachvollziehbare Einhaltung rechtlicher, organisatorischer und ethischer Anforderungen beim Einsatz von KI. In der gängigen Lesart erschöpft sie sich in Richtlinie, Schulung, Quote und Audit. Dieser Leitfaden versteht sie anders: als Steuerungsfähigkeit, die KI-Einsätze versteht, Verantwortung klärt und aus Auffälligkeiten lernt. So wird die Pflichterfüllung zum Teil einer reifen Praxis.

Verwendet in: Integration

Freigabepfad

Der Freigabepfad ist der nachvollziehbare Weg von der Anfrage bis zur Entscheidung über einen KI-Einsatz. Er hält fest, wer wann was geprüft, freigegeben und dokumentiert hat. Anders als eine einzelne Unterschrift macht er den Entscheidungsprozess prüfbar. Im Schadensfall ist er der Beleg, dass nicht zufällig, sondern strukturiert entschieden wurde.

Verwendet in: Integration

Letztverantwortung

Die Letztverantwortung bezeichnet die Rolle, die am Ende für eine Entscheidung einsteht. In der RACI-Logik entspricht sie dem „Accountable“: Sie liegt bei genau einer Stelle, nicht bei mehreren. Diese Eindeutigkeit verhindert, dass Verantwortung zwischen Beteiligten zerfällt. Organisatorisch wird sie einer Rolle zugeordnet, damit sie einen Personalwechsel übersteht. Die gesetzliche Leitungsverantwortung, etwa nach § 38 BSIG in NIS2-pflichtigen Einrichtungen, bleibt davon unberührt und liegt persönlich bei der Geschäftsleitung.

Verwendet in: Integration

Personenbindung

Personenbindung beschreibt den Zustand, in dem Verantwortung an einzelnen Namen hängt statt an klar beschriebenen Rollen. Sie wirkt effizient, solange die betreffende Person da ist. Sobald sie das Haus verlässt, bricht die Steuerung an dieser Stelle weg. Rollen vor Personenbindung heißt deshalb: erst die Aufgabe beschreiben, dann sie besetzen.

Verwendet in: Integration

Tragbare Entscheidung

Eine tragbare Entscheidung ist fachlich begründet, dokumentiert und im Rückblick nachvollziehbar. Nicht das Ergebnis allein zählt, sondern der belegbare Weg dorthin: welche Annahmen ihn trugen und warum er vertretbar war. Sie unterscheidet den Anwender, der ein Ergebnis liefert, vom Verantwortlichen, der seinen Weg erklären kann. Das ist der eigentliche Maßstab einer KI-Schulung.

Verwendet in: Integration

Eingebettete KI

Eingebettete KI bezeichnet KI-Funktionen, die in bestehender Software mitlaufen, etwa in Office-, CRM- oder ERP-Systemen. Oft werden sie durch ein Update aktiviert, ohne dass jemand bewusst zugestimmt hat. Gerade deshalb entgeht sie der klassischen Tool-Liste. Eine wirksame Steuerung fragt nicht nur nach eigenständigen Werkzeugen, sondern nach jeder Funktion, die KI ins Haus bringt.

Verwendet in: Integration

Risikobild

Das Risikobild ist die knappe Beschreibung, welche Risiken ein konkreter KI-Einsatz erzeugt. Es benennt, für welche Art von Daten die Nutzung taugt und was schiefgehen kann. Als eine der sieben Dimensionen des KI-Einsatz-Dossiers macht es Risiko greifbar, statt es abstrakt zu behaupten. Es ersetzt die pauschale Ampelfarbe durch eine einsatzbezogene Einschätzung.

Verwendet in: Integration

Mitarbeiter-Befragung

Die Mitarbeiter-Befragung ist eine strukturierte Erhebung der tatsächlichen KI-Nutzung im Haus. Sie macht sichtbar, was Richtlinie und Schulungsquote verbergen: reale Praxis, Schatten-IT, Unsicherheit und echte Schulungsbedarfe. Wirksam ist sie nur, wenn sie als Diagnose und nicht als Kontrolle erlebt wird. Ihre Ergebnisse speisen Leitplanken, Schulung und Dossiers.

Verwendet in: Integration

Tool-Register

Ein Tool-Register ist eine Liste der erlaubten oder genutzten KI-Werkzeuge, häufig mit einem Ampelstatus. Es beantwortet, ob ein Werkzeug zulässig ist, selten aber, was sein konkreter Einsatz im Haus bewirkt. In einer Welt monatlicher Funktionsupdates altert es schnell. Das KI-Einsatz-Dossier ergänzt es um die Beschreibung des konkreten Einsatzes.

Verwendet in: Integration

Policy

Eine Policy ist eine verbindliche interne Richtlinie. Sie beschreibt, was erlaubt, eingeschränkt oder untersagt ist. Ihre Grenze ist, dass sie die Regel benennt, nicht die gelebte Praxis. Zwischen Policy und Praxis liegt der Abstand, den eine Methode schließen muss.

Verwendet in: Integration

Regelwerk

Ein Regelwerk fasst die internen Vorgaben zum KI-Einsatz zusammen: was erlaubt, eingeschränkt oder verboten ist und unter welchen Bedingungen. Es ist notwendig, aber statisch. In einer sich schnell ändernden Lage veraltet es, sobald es verabschiedet ist. Tragfähig wird es erst durch die Methode, die es regelmäßig prüft und anpasst.

Verwendet in: Integration

Lenkungskreis

Ein Lenkungskreis ist ein bereichsübergreifendes Gremium, das ein Thema steuert. Er entscheidet über Prioritäten, Risiken und nächste Schritte und bindet die relevanten Funktionen ein. Im KI-Kontext verhindert er, dass Steuerung in einer einzelnen Abteilung versandet. Entscheidend ist sein konkreter Auftrag, nicht sein Name.

Verwendet in: Integration

Entscheidungsweg

Der Entscheidungsweg ist der nachvollziehbare Pfad von der Eingabe über Annahmen und Prüfung bis zur fertigen Entscheidung. Er beantwortet die Frage, wie ein Ergebnis zustande kam und warum es vertretbar ist. Seine Qualität, nicht die Tool-Kenntnis, ist der eigentliche Gegenstand von Schulung und Befragung. Wer ihn belegen kann, trägt Verantwortung statt nur Bedienung.

Verwendet in: Integration

Wiederholbarkeit

Wiederholbarkeit ist die Eigenschaft einer Methode, regelmäßig angewendet zu werden. Ihr Wert liegt nicht in einmaliger Vollständigkeit, sondern in der wiederkehrenden Prüfung. Eine Methode altert nicht mit den Werkzeugen, sondern nur, wenn niemand mehr fragt. Sie skaliert mit der Aufmerksamkeit, die ihr gewidmet wird.

Verwendet in: Integration

Reife Organisationskultur

Eine reife Organisationskultur erkennt Risiken früh, spricht offen über Fehler und passt ihre Steuerung sichtbar an. Sie verlässt sich nicht auf einmalige Regelwerke, sondern auf wiederkehrende Verständigung. Im Umgang mit KI zeigt sich Reife daran, dass Meldungen zu Verbesserungen führen statt zu Schuldzuweisungen. Sie ist die Voraussetzung dafür, dass Compliance aus Selbstverständlichkeit entsteht.

Verwendet in: Integration

Schatten-IT

Schatten-IT bezeichnet Software oder Technik, die Mitarbeitende nutzen, ohne dass IT oder Leitung sie offiziell steuern. Bei KI tritt sie als unkontrollierter Einsatz auf, etwa über private Accounts für berufliche Aufgaben. Sie entsteht selten aus Absicht, sondern aus Hürden oder fehlenden Angeboten. Sichtbar wird sie nicht durch Verbote, sondern durch Befragung und eine Kultur, die Offenheit belohnt.

Verwendet in: Integration

Werk

Ein Werk ist in diesem Leitfaden ein abgeschlossenes Dokument: einmal erstellt, verabschiedet und mit Versionsnummer abgelegt. Es hat den Vorzug der Vorzeigbarkeit und den Nachteil, statisch zu sein in einer Welt, die es nicht ist. Eine KI-Richtlinie als Werk hat Lücken, sobald neue Werkzeuge und Anwendungsfälle entstehen. Der Gegenbegriff ist die Methode: ein Prozess, der wiederholt angewendet wird und gerade dadurch anschlussfähig bleibt.

Verwendet in: Integration

Vollständigkeit

Vollständigkeit bezeichnet den Anspruch, jeden denkbaren Fall bereits im Voraus zu regeln. Sie verlangt immer maximalen Aufwand und bleibt trotzdem hinter der Realität zurück, weil neue Anwendungsfälle schneller entstehen, als ein Werk sie erfassen kann. Dieser Leitfaden stellt ihr die Wiederholbarkeit gegenüber: Eine Methode muss nicht beim ersten Mal alles erfassen, sondern regelmäßig angewendet werden. So entsteht über die Zeit mehr Abdeckung als durch den einmaligen Vollständigkeitsversuch.

Verwendet in: Integration

Schulungsquote

Die Schulungsquote ist der Anteil der Mitarbeitenden, die eine vorgeschriebene Schulung absolviert haben. Sie ist leicht zu erheben und zu berichten und deshalb eine beliebte Compliance-Kennzahl. Ihre Grenze ist, dass sie Teilnahme misst, nicht Kompetenz: Eine hohe Quote sagt nichts darüber, ob Mitarbeitende ihren Entscheidungsweg belegen können. Sie verbirgt damit oft genau das, was die Aufsicht wissen müsste.

Verwendet in: Integration

Governance-Handbuch

Das Governance-Handbuch ist das zentrale Regelwerk für den KI-Einsatz in einer Organisation. Es beschreibt, welche Regeln gelten, wie Entscheidungen strukturiert werden und wer die Verantwortung trägt. Sein Wert liegt nicht im Umfang, sondern in der Verbindlichkeit: Ein Handbuch, das niemand kennt, steuert nichts. Als Rückgrat des Compliance-Körpers sagt es, was gilt; die Anlagen belegen, dass es gilt.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 26 AI Act (Betreiberpflichten); § 30 und § 38 BSIG (Risikomanagement und Leitungsverantwortung nach NIS2). Bündelt AI Act, DSGVO und NIS2.

Governance-Board

Ein Governance-Board ist ein bereichsübergreifendes Gremium, das die Steuerung des KI-Einsatzes in einer Organisation trägt. Es entscheidet über Freigaben, bewertet Risiken und passt Regeln an veränderte Bedingungen an. Im Gegensatz zu einem Einzelverantwortlichen bindet es Fachbereiche, Recht, IT und Leitung in einer Struktur, die trägt, wenn Personen wechseln. Seine Stärke liegt in der Institutionalisierung von Verantwortung statt in ihrer Personenbindung.

Verwendet in: Bauplan

Rechtlicher Bezug: § 38 BSIG (Pflichten der Geschäftsleitung nach NIS2); Art. 26 AI Act (Betreiberpflichten); Art. 14 AI Act (menschliche Aufsicht).

KI-Verantwortliche

KI-Verantwortliche sind benannte Personen oder Rollen, denen für konkrete KI-Einsätze Rechenschaft zugeordnet ist. Sie sorgen dafür, dass Leitplanken eingehalten, Vorfälle gemeldet und Freigaben dokumentiert werden. Ihre Wirkung hängt davon ab, dass die Rolle klar beschrieben und von einer Person getrennt denkbar ist: Verantwortung muss an der Rolle hängen, nicht am Namen.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 26 AI Act (Betreiberpflichten); Art. 4 AI Act (KI-Kompetenz).

KI-Kontrollkatalog

Der KI-Kontrollkatalog ist eine strukturierte Liste der Kontrollen, die für einen KI-Einsatz festgelegt wurden. Er beschreibt, was geprüft wird, wie oft und wer dafür zuständig ist. Als ausfüllbare Anlage macht er Absichten aus dem Handbuch zu belegten Handlungen. Im Unterschied zu einer allgemeinen Checkliste ist er auf den konkreten Einsatz zugeschnitten und damit die Grundlage, an der ein Audit die Durchführung der Kontrollen prüft.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 9, 10 und 13–15 AI Act (Anforderungen an Hochrisiko-KI); § 30 BSIG (Risikomanagementmaßnahmen nach NIS2); Art. 32 DSGVO (technische und organisatorische Maßnahmen).

Anwendbarkeitserklärung

Die Anwendbarkeitserklärung legt fest, welche Anforderungen eines Regelwerks für die eigene Organisation oder einen konkreten Einsatz zutreffen und welche begründet ausgeschlossen werden. Sie macht die Einordnungsentscheidung transparent: Nicht jede Anforderung gilt für jede Organisation, aber jede Ausnahme bedarf einer Begründung. Für eine Aufsichtsbehörde belegt sie, welche Einordnung die Organisation getroffen hat und wie sie diese begründet.

Verwendet in: Bauplan

Rechtlicher Bezug: Hält fest, welche Pflichten aus AI Act, DSGVO und § 30 BSIG (NIS2) auf die Organisation zutreffen. Governance-Instrument ohne eigenen Paragrafen.

Datenschutz-Folgenabschätzung (DSFA)

Die Datenschutz-Folgenabschätzung ist eine strukturierte Analyse der Risiken, die ein geplanter KI-Einsatz für die Rechte und Freiheiten betroffener Personen erzeugt. Sie ist nach der DSGVO verpflichtend, sobald eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte betroffener Personen bedeutet. Als Anlage dokumentiert sie nicht nur das Ergebnis, sondern den Weg dorthin: welche Risiken erkannt, welche Vorkehrungen getroffen und welche Restrisiken bewusst akzeptiert wurden. Sie ist die Schnittstelle zwischen Datenschutz und der operativen KI-Steuerung.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 35 DSGVO (Datenschutz-Folgenabschätzung).

KI-Risikoregister

Das KI-Risikoregister ist eine fortlaufend gepflegte Übersicht der identifizierten Risiken im KI-Einsatz einer Organisation. Es hält fest, welche Risiken erkannt, wie sie bewertet und welche Maßnahmen ergriffen wurden. Sein Wert liegt in der Kontinuität: Ein Register, das nur zum Audit-Termin befüllt wird, belegt Fleiß, aber keine gelebte Steuerung. Als lebende Anlage macht es das Risikobewusstsein einer Organisation sichtbar und überprüfbar.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 9 AI Act (Risikomanagement für Hochrisiko-KI); § 30 BSIG (Risikomanagementmaßnahmen nach NIS2).

Schulungsregister

Das Schulungsregister dokumentiert, welche Schulungen zum KI-Einsatz durchgeführt wurden, wer teilgenommen hat und wann. Damit hält es fest, dass Maßnahmen zur KI-Kompetenz nach Art. 4 AI Act stattgefunden haben, und bildet die Grundlage für die Schulungsquote. Sein Inhalt belegt Teilnahme, nicht Kompetenz. Als Anlage ist es notwendig, aber nur zusammen mit einem durchdachten Schulungsinhalt hinreichend.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 4 AI Act (KI-Kompetenz / AI Literacy).

Incident-Register

Das Incident-Register ist eine strukturierte Aufzeichnung von Vorfällen und Auffälligkeiten im KI-Einsatz. Es erfasst sowohl kleine, nicht meldepflichtige Beobachtungen als auch schwere Vorfälle, die eine Behördenmeldung auslösen. Als Anlage belegt es, wie eine Organisation Incidents bearbeitet und welche Maßnahmen sie daraus ableitet. Sein eigentlicher Wert liegt in den vielen kleinen Einträgen: Sie zeigen, dass die Steuerung funktioniert, bevor ein Ernstfall eintritt.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 73 und Art. 26 Abs. 5 AI Act (Meldung von Vorfällen); § 32 BSIG (Meldepflichten nach NIS2); Art. 33 DSGVO (Meldung von Datenschutzverletzungen).

Audit-Log

Das Audit-Log ist das Protokoll der Stichproben-Audits im KI-Einsatz. Es hält fest, welche Stichproben wann geprüft wurden und mit welchem Ergebnis. Damit belegt es, dass die Steuerung nicht nur beschrieben ist, sondern regelmäßig überprüft wird. Davon zu unterscheiden ist die technische Protokollierung von Systemereignissen und Zugriffen, die den laufenden Betrieb aufzeichnet.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 13–15 AI Act (Transparenz und Aufsicht); Art. 32 DSGVO (Sicherheit der Verarbeitung); Nachweis der Risikomanagementmaßnahmen nach § 30 BSIG.

Freigabe-Dokumentation

Die Freigabe-Dokumentation hält fest, dass ein KI-Einsatz vor seiner Nutzung geprüft, bewertet und durch eine benannte Stelle freigegeben wurde. Sie beschreibt, was geprüft wurde, welche Bedingungen gelten und wer die Freigabe erteilt hat. Als Anlage macht sie den Freigabepfad nachvollziehbar und unterscheidet eine bewusste Entscheidung von einer stillschweigend geduldeten Praxis.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 26 AI Act (Betreiberpflichten); Art. 9 AI Act (dokumentierte Risikoabwägung).

Auftragsverarbeitungsvertrag (AVV)

Der Auftragsverarbeitungsvertrag ist nach der DSGVO verpflichtend, sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet. Er legt fest, zu welchem Zweck, in welchem Rahmen und unter welchen Sicherheitsvorkehrungen die Verarbeitung stattfindet. Im KI-Kontext betrifft er jeden Einsatz, bei dem ein externer Modell-Anbieter personenbezogene Daten im Auftrag verarbeitet. Fehlt der AVV, ist die Auftragsverarbeitung nicht nach Art. 28 DSGVO geregelt; die Rechtsgrundlage der Verarbeitung selbst folgt aus Art. 6 DSGVO.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 28 DSGVO (Auftragsverarbeitung).

Betriebsvereinbarung KI

Die Betriebsvereinbarung KI ist eine Vereinbarung zwischen Arbeitgeber und Betriebsrat, die regelt, unter welchen Bedingungen KI im Betrieb eingesetzt werden darf. Besteht ein Betriebsrat und ist ein KI-System dazu geeignet, Verhalten oder Leistung der Beschäftigten zu überwachen, hat er nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen; die Betriebsvereinbarung hält das Ergebnis fest und klärt insbesondere Fragen zu Verhaltenskontrolle und Leistungsüberwachung. Als Anhang verbindet sie die Organisation mit der Außenwelt: dem Betriebsrat als gesetzlich vorgesehenem Interessenorgan.

Verwendet in: Bauplan

Rechtlicher Bezug: § 87 Abs. 1 Nr. 6 BetrVG (Mitbestimmung bei technischen Überwachungseinrichtungen); § 90 BetrVG (Unterrichtung bei Einführung neuer Technik).

Behördenmeldung

Die Behördenmeldung ist die gesetzlich vorgeschriebene Mitteilung bestimmter Vorfälle oder Sachverhalte an eine zuständige Aufsichtsbehörde. Im KI-Kontext sind zwei Situationen besonders relevant: schwerwiegende Vorfälle bei Hochrisiko-KI-Systemen nach dem AI Act sowie Datenpannen nach der DSGVO, jeweils mit den im Regelwerk festgelegten Meldefristen. Als Anhang eines Compliance-Körpers beschreibt sie den Meldeprozess: wer muss melden, an wen, innerhalb welcher Frist und auf welcher Grundlage.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 73 und Art. 26 Abs. 5 AI Act; § 32 BSIG (NIS2); Art. 33 DSGVO; national konkretisiert durch das KI-MIG (im Verfahren).

Nachweispflicht

Die Nachweispflicht bezeichnet die Anforderung, auf Verlangen einer Behörde oder im Schadensfall belegen zu können, dass die geltenden Regeln tatsächlich eingehalten wurden. Im KI-Kontext entsteht sie aus mehreren Regelwerken gleichzeitig: DSGVO, AI Act und NIS2 verlangen je auf ihre Weise dokumentierte Praxis. Die Nachweispflicht ist der zentrale Grund, warum Anlagen kein bürokratischer Mehraufwand sind, sondern der eigentliche Zweck des Handbuchs: Es benennt die Pflicht; die Anlage erbringt den Nachweis.

Verwendet in: Bauplan

Rechtlicher Bezug: Art. 26 AI Act (Betreiberpflichten und Dokumentation); § 30 BSIG (Nachweis der Risikomanagementmaßnahmen); Rechenschaftspflicht der DSGVO.