Eine KI-Compliance-Checkliste ist eine Liste konkreter Prüfpunkte, mit der ein Unternehmen feststellt, ob seine Nutzung von KI-Tools die Anforderungen der DSGVO und des EU AI Act erfüllt. Sie ersetzt keine Beratung, zeigt aber in kurzer Zeit, wo die Lücken liegen.
Ich habe in den letzten Monaten zu fast jedem Einzelthema einen eigenen Beitrag geschrieben: Nutzungsrichtlinie, DSFA, Verarbeitungsverzeichnis, Schulung. Was gefehlt hat, ist die Übersicht. Welche Punkte muss ein kleines Unternehmen tatsächlich abhaken, und in welcher Reihenfolge?
Diese Checkliste ist für Unternehmen mit 5 bis 50 Mitarbeitern gedacht, die KI-Tools wie ChatGPT, Copilot oder Claude im Büroalltag nutzen. Sie ist nicht für Unternehmen gedacht, die selbst KI-Systeme entwickeln oder KI für Personalentscheidungen oder Kreditprüfungen einsetzen. Dort gelten zusätzliche Pflichten.
Nehmen Sie sich eine Stunde, gehen Sie die 20 Punkte durch und markieren Sie jeden mit Ja, Nein oder “weiß ich nicht”. Das dritte ist die ehrlichste und häufigste Antwort.
Teil 1: Bestandsaufnahme
1. Sie wissen, welche KI-Tools im Unternehmen genutzt werden. Nicht nur die offiziell eingeführten, sondern alle. Fragen Sie Ihr Team direkt und ohne Vorwurf. Die Erfahrung zeigt, dass die Liste danach länger ist als vorher. Wie Sie dabei vorgehen, steht im Beitrag über Schatten-KI bei Mitarbeitern.
2. Für jedes Tool ist die Lizenzstufe bekannt. Die kostenlose Web-Version von ChatGPT und ein Business-Tarif desselben Anbieters sind datenschutzrechtlich zwei verschiedene Produkte. Dasselbe gilt für Copilot. Notieren Sie, welche Variante genau im Einsatz ist.
3. Sie wissen, welche Daten in welches Tool fließen. Allgemeine Texte, interne Dokumente, Kundendaten, Gesundheitsdaten, Mandantengeheimnisse? Diese Frage bestimmt fast alle weiteren Punkte. Eine Hilfe dazu bieten die 5 Fragen vor dem Start.
4. Für jedes Tool ist eine verantwortliche Person benannt. Jemand, der weiß, wer Zugang hat, und der bei Änderungen des Anbieters reagiert. In kleinen Unternehmen ist das oft die Geschäftsführung selbst. Das ist in Ordnung, solange es festgelegt ist.
Teil 2: Verträge und Rechtsgrundlage
5. Mit jedem Anbieter, der personenbezogene Daten verarbeitet, besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei Business-Tarifen der großen Anbieter ist der AVV meist Teil der Vertragsbedingungen. Bei kostenlosen Versionen gibt es in der Regel keinen. Daraus folgt: Kostenlose Versionen sind für personenbezogene Daten im Normalfall nicht geeignet.
6. Der Datenstandort ist geklärt. Wo verarbeitet der Anbieter die Daten, und gibt es Übermittlungen in Drittländer? Für die USA ist die Frage, ob der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln verwendet. Mehr dazu im Beitrag zu Datenstandort und Cloud-KI.
7. Für jede KI-Verarbeitung personenbezogener Daten gibt es eine Rechtsgrundlage nach Art. 6 DSGVO. Meist ist das die Vertragserfüllung oder das berechtigte Interesse. Wichtig ist, dass Sie die Grundlage benennen können, bevor jemand danach fragt.
8. Berufsgeheimnisse sind gesondert abgesichert. Für Kanzleien, Steuerberater und andere Berufsgeheimnisträger reicht ein AVV allein nicht. § 203 StGB verlangt, dass mitwirkende Dienstleister zur Verschwiegenheit verpflichtet werden. Die Details stehen im Beitrag zu Mandantendaten und § 203 StGB.
Teil 3: Dokumentation
9. Es gibt eine schriftliche KI-Nutzungsrichtlinie. Welche Tools erlaubt sind, welche Daten hinein dürfen, wer Ergebnisse prüft. Zwei bis vier Seiten reichen. Eine Gliederung finden Sie im Beitrag zur KI-Nutzungsrichtlinie.
10. Die KI-Verarbeitungen stehen im Verarbeitungsverzeichnis. Art. 30 DSGVO verlangt ein Verzeichnis aller Verarbeitungstätigkeiten. KI-Nutzung mit personenbezogenen Daten gehört hinein, entweder als eigene Tätigkeit oder als Ergänzung bestehender Einträge. Wie das aussieht, zeigt der Beitrag zu KI-Nutzung dokumentieren.
11. Für risikoreiche Verarbeitungen liegt eine DSFA vor oder es ist dokumentiert, warum keine nötig ist. Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen birgt. Bei KI-Tools mit Zugriff auf Kundendaten ist das oft der Fall. Auch eine begründete Entscheidung gegen eine DSFA sollte schriftlich festgehalten werden. Die Schritte dazu stehen im Beitrag DSFA für KI-Tools Schritt für Schritt.
12. Die Dokumente verweisen aufeinander. Richtlinie, Verarbeitungsverzeichnis, DSFA und Schulungsnachweis sollten auf dieselben Tools und denselben Stand Bezug nehmen. Ein Prüfer erkennt Widersprüche schnell.
Teil 4: Technische Einstellungen
13. Die Nutzung von Eingaben für das Training des Anbieters ist geprüft. Viele Tools bieten eine Einstellung, mit der Ihre Eingaben nicht zum Training der Modelle verwendet werden. Bei Business-Tarifen ist das oft Standard, aber nicht immer. Prüfen Sie es für jedes Tool einzeln.
14. Zugänge laufen über Firmenkonten, nicht über private. Wenn Mitarbeiter mit privaten Konten arbeiten, haben Sie keine Kontrolle über Einstellungen, Verlauf und Löschung. Und beim Austritt eines Mitarbeiters bleiben die Daten in seinem privaten Konto.
15. Bei Copilot sind die Berechtigungen geprüft. Copilot sieht alles, worauf der jeweilige Benutzer in Microsoft 365 Zugriff hat. Zu weit gefasste SharePoint-Freigaben werden damit zum Datenschutzproblem. Welche Einstellungen zählen, steht im Beitrag zu Copilot DSGVO-konform einrichten.
Teil 5: Menschen
16. Die Mitarbeiter sind geschult, und die Schulung ist nachgewiesen. Art. 4 des EU AI Act verlangt Maßnahmen zur KI-Kompetenz des Personals, unabhängig von der Unternehmensgröße. Die DSGVO verlangt, dass Beschäftigte wissen, was sie mit personenbezogenen Daten dürfen. Was in den Nachweis gehört, steht im Beitrag zur Mitarbeiter-KI-Schulung.
17. Jeder weiß, wer KI-Ergebnisse prüft, bevor sie das Haus verlassen. KI-Texte können plausibel klingen und trotzdem falsch sein. Legen Sie fest, dass ein Mensch prüft, bevor ein Ergebnis an Kunden oder Mandanten geht.
18. Der Betriebsrat ist eingebunden, falls es einen gibt. KI-Tools, die geeignet sind, Verhalten oder Leistung von Mitarbeitern zu überwachen, sind nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Bei Copilot ist das regelmäßig ein Thema. Mehr dazu im Beitrag zur KI-Betriebsvereinbarung.
Teil 6: Laufender Betrieb
19. Es gibt einen Ablauf für Fehler. Was passiert, wenn jemand Kundendaten ins falsche Tool kopiert? Wer wird informiert, wer bewertet, ob eine Meldung an die Aufsichtsbehörde nötig ist? Art. 33 DSGVO sieht dafür in der Regel 72 Stunden vor. Diese Frist ist kurz, wenn erst dann geklärt wird, wer zuständig ist.
20. Die Checkliste wird regelmäßig wiederholt. KI-Tools ändern sich schneller als jede andere Bürosoftware. Neue Funktionen, neue Subunternehmer, neue Tarife. Ich empfehle eine Überprüfung bei jedem neuen Tool und mindestens einmal im Jahr.
Wie werte ich die Checkliste aus?
Zählen Sie nicht die Ja-Antworten, sondern schauen Sie auf die Nein- und “weiß ich nicht”-Antworten in Teil 1 und Teil 2. Wenn Sie nicht wissen, welche Tools genutzt werden oder ob ein AVV besteht, bauen alle anderen Punkte auf Annahmen auf.
Eine sinnvolle Reihenfolge für kleine Unternehmen:
- Bestandsaufnahme abschließen (Punkte 1 bis 4). Ohne sie ist alles andere Raterei.
- Kostenlose Tools für personenbezogene Daten stoppen oder ersetzen (Punkt 5). Das ist meist die größte und am schnellsten behebbare Lücke.
- Richtlinie schreiben und schulen (Punkte 9 und 16). Damit erreichen Sie das Verhalten im Alltag.
- Dokumentation nachziehen (Punkte 10 bis 12). Verarbeitungsverzeichnis, DSFA, Querverweise.
- Laufenden Betrieb festlegen (Punkte 19 und 20).
Für ein Unternehmen mit 15 Mitarbeitern und zwei oder drei KI-Tools ist das in wenigen Wochen machbar, nicht in Monaten. Die meiste Zeit kostet erfahrungsgemäß nicht das Schreiben, sondern das Herausfinden, was tatsächlich genutzt wird.
Was diese Checkliste nicht abdeckt
Drei Bereiche lasse ich bewusst weg, weil sie für die meisten kleinen Unternehmen nicht zutreffen und eine eigene Prüfung brauchen:
- Eigene KI-Entwicklung. Wer selbst KI-Systeme anbietet, hat als Anbieter im Sinne des EU AI Act deutlich mehr Pflichten.
- Hochrisiko-Anwendungen. KI für Bewerberauswahl, Kreditwürdigkeit oder ähnliche Entscheidungen über Menschen fällt unter gesonderte Regeln. Einen Überblick gibt der Beitrag zum EU AI Act für kleine Kanzleien.
- Branchenspezifisches Aufsichtsrecht. Finanzdienstleister unter BaFin-Aufsicht haben zusätzliche Anforderungen an Auslagerungen und IT.
Der nächste Schritt
Wenn Sie heute nur eine Sache tun: Beantworten Sie Punkt 1 ehrlich. Schreiben Sie eine kurze Nachricht an Ihr Team und fragen Sie, welche KI-Tools jeder im letzten Monat beruflich genutzt hat. Die Antworten sind die Grundlage für alle anderen 19 Punkte.
Wenn Sie wissen möchten, wo Ihr Unternehmen bei diesen Punkten steht, machen Sie den kostenlosen KI-Check. Er dauert zwei Minuten und zeigt Ihnen, wo Sie anfangen sollten.
Jose Lugo ist CISSP-zertifizierter KI-Compliance-Berater. Er berät Kanzleien, Steuerberater und Finanzdienstleister in Deutschland bei der DSGVO-konformen Einführung von KI-Tools.