KITech360 AI Trust Framework

Eine von der Leitung freigegebene KI-Leitlinie legt fest, wofür KI eingesetzt werden darf, welche Grenzen gelten und wer entscheidet.

Kurz und verbindlich schlägt lang und unverbindlich. Entscheidend sind Freigabedatum, Geltungsbereich und eine benannte Stelle für Ausnahmen.

Ein Mitglied der Geschäftsleitung ist für den KI-Einsatz insgesamt verantwortlich und erhält regelmäßig Bericht.

Die Gesamtverantwortung lässt sich nicht an die IT delegieren. Gefragt ist eine Person mit Entscheidungsbefugnis und Budget.

Rollen für den KI-Einsatz (z. B. KI-Ansprechperson, Datenschutz, Informationssicherheit) sind zugewiesen und intern bekannt.

Beschäftigte müssen wissen, wen sie fragen und wem sie Bedenken melden. Eine erreichbare Ansprechstelle ist wichtiger als ein Organigramm.

Neue KI-Systeme und neue Einsatzzwecke werden vor dem Einsatz nach einem festgelegten Verfahren geprüft und freigegeben.

Die Freigabe muss Datenarten, Anbieter und Entscheidungsbefugnis der KI berücksichtigen. Auf der Plattform bildet die Freigabe je Anwendungsfall diesen Prozess ab.

Die Leitung bewertet mindestens jährlich Wirksamkeit, Risiken und Vorfälle des KI-Einsatzes und hält Entscheidungen fest.

Ein kurzes Protokoll mit Ergebnissen und Maßnahmen genügt. Wichtig ist, dass Entscheidungen nachverfolgt werden.

Die gesetzliche Vertretung erklärt, dass die Angaben auf der Plattform nach bestem Wissen vollständig und zutreffend sind, und meldet wesentliche Änderungen.

Bewusst falsche oder verschwiegene Angaben machen jeden Nachweis wertlos. Deshalb ist diese Kontrolle nicht kompensierbar.

Alle KI-Systeme im erklärten Geltungsbereich sind im Register erfasst, einschließlich KI-Funktionen in bestehender Standardsoftware.

Ein Register mit drei Einträgen bei hundert Beschäftigten ist selten vollständig. Abgleich mit Beschaffung, Kreditkartenabrechnungen, App-Freigaben und einer Befragung schließt Lücken.

Jedes registrierte KI-System hat eine fachlich und eine technisch verantwortliche Person.

Ein System ohne Verantwortliche hat niemanden, der Änderungen bemerkt oder Vorfälle meldet. Funktionsbezeichnungen reichen, wenn sie eindeutig sind.

Jeder Registereintrag wurde in den letzten zwölf Monaten überprüft; Änderungen werden zeitnah nachgetragen.

Das Register ist kein Projektergebnis, sondern ein Betriebsprozess. Die Plattform zeigt das Datum der letzten Überprüfung je System.

Für jeden Anwendungsfall sind Zweck, Nutzergruppe, betroffene Personen und genutzte Daten beschrieben.

Derselbe Anbieter kann in drei Anwendungsfällen drei völlig verschiedene Risiken haben. Bewertet wird deshalb der Einsatz, nicht das Produkt.

Für jeden Anwendungsfall liegt eine Bewertung der Risiken für das Unternehmen und für betroffene Personen vor, mit festgelegten Maßnahmen.

Die Tiefe richtet sich nach dem Risiko. Für einen Textassistenten genügt eine halbe Seite, für eine Bewerbervorauswahl nicht.

Wechsel von Modell, Anbieter, Datenquelle, Werkzeugen, Nutzergruppe oder Entscheidungsbefugnis lösen eine Neubewertung aus, bevor die Änderung wirksam wird.

Eine Prüfung vom Januar sagt wenig, wenn im September ein Agent an das ERP angeschlossen wurde. Die Plattform markiert Anwendungsfälle nach solchen Änderungen automatisch.

Für jeden Anwendungsfall ist bestimmt, ob die Organisation Betreiber, Anbieter, Einführer, Händler oder Produkthersteller ist.

Wer ein Modell über eine API in ein eigenes Produkt einbaut und unter eigenem Namen anbietet, kann selbst Anbieter werden. Das ändert die Pflichten grundlegend.

Für jeden Anwendungsfall ist geprüft und festgehalten, dass keine nach Art. 5 KI-VO verbotene Praktik vorliegt.

Dazu zählen u. a. Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen), Social Scoring und die Ausnutzung von Schutzbedürftigkeit.

Für jeden Anwendungsfall ist dokumentiert, ob er unter Anhang III oder Art. 6 Abs. 1 KI-VO fällt, und eine Ausnahme nach Art. 6 Abs. 3 ist begründet.

Personalauswahl, Kreditwürdigkeit, Zugang zu Bildung und wesentlichen Leistungen sind typische Treffer. Die Ausnahme greift nie bei Profiling natürlicher Personen.

Hochrisiko-Systeme werden gemäß Betriebsanleitung genutzt, die Aufsicht ist kompetenten Personen zugewiesen, der Betrieb wird überwacht und Protokolle werden mindestens sechs Monate aufbewahrt.

Die Pflichten aus Art. 26 KI-VO greifen auch dann, wenn das System eingekauft ist. Betroffene Beschäftigte und ihre Vertretung sind vorab zu informieren.

Wo Art. 27 KI-VO greift (z. B. öffentliche Stellen, öffentliche Dienste, Kreditwürdigkeit, Lebens- und Krankenversicherung), liegt vor dem Einsatz eine Grundrechte-Folgenabschätzung vor.

Eine bestehende Datenschutz-Folgenabschätzung kann ergänzt werden, ersetzt die Grundrechte-Folgenabschätzung aber nicht vollständig.

Wer als Anbieter auftritt, hat die daraus folgenden Pflichten (z. B. technische Dokumentation, Qualitätsmanagement, Konformitätsbewertung, Registrierung, Transparenz) ermittelt und einen Umsetzungsplan.

Für Hochrisiko-Systeme sind die Pflichten umfangreich. Für andere Systeme bleiben vor allem Transparenzpflichten und die KI-Kompetenz.

Vertrauliche Informationen von Kunden werden ausschließlich in KI-Umgebungen verarbeitet, die für diese Datenklasse freigegeben sind und vertraglich, technisch und organisatorisch abgesichert sind.

Nicht „ChatGPT ja oder nein“ ist die Frage, sondern welche Umgebung für welche Daten freigegeben ist. Ein Unternehmenstarif mit Vertrag kann zulässig sein, ein privates Konto mit Kundendaten nicht.

Für jeden Anwendungsfall ist festgelegt, welche Datenklassen eingegeben werden dürfen und wohin die Daten fließen (Anbieter, Speicher, Protokolle, Werkzeuge).

Die Plattform erzeugt daraus eine Datenflusskarte je Anwendungsfall. Besonders wichtig sind Vektordatenbanken und Protokollsysteme, die oft vergessen werden.

Für die Verarbeitung personenbezogener Daten in KI-Anwendungen sind Rechtsgrundlage und Zweck festgelegt und im Verzeichnis der Verarbeitungstätigkeiten erfasst.

Auch Eingaben in einen Chat sind Verarbeitungen. Betroffene sind nach Art. 13/14 DSGVO zu informieren.

Gesundheits-, biometrische und andere besondere Kategorien personenbezogener Daten gelangen nur in KI-Anwendungen, für die eine Grundlage nach Art. 9 DSGVO und angemessene Schutzmaßnahmen festgelegt sind.

Unkontrollierter Zugriff auf hochsensible Daten ist nicht durch andere Stärken ausgleichbar. Deshalb kritisch.

Mit jedem KI-Anbieter, der personenbezogene Daten verarbeitet, besteht ein Auftragsverarbeitungsvertrag; Übermittlungen in Drittländer stützen sich auf eine Grundlage nach Kapitel V DSGVO.

Unterauftragsverarbeiter des Anbieters gehören dazu. Ein Angemessenheitsbeschluss oder Standardvertragsklauseln sind zu benennen.

Für KI-Anwendungen mit voraussichtlich hohem Risiko für Betroffene liegt eine Datenschutz-Folgenabschätzung vor oder eine begründete Feststellung, dass keine erforderlich ist.

Neue Technologien, Profiling und umfangreiche Verarbeitung sensibler Daten sind typische Auslöser.

Für jeden KI-Anbieter sind Vertragsgrundlage, Datenregion, Aufbewahrung, Unterauftragsverarbeiter und Sicherheitsunterlagen erfasst und geprüft.

Der Verbrauchertarif und der Unternehmenstarif desselben Anbieters sind für diese Kontrolle zwei verschiedene Dinge.

Für jeden Anbieter ist belegt, ob Eingaben und Ausgaben zum Training verwendet werden, und eine Nutzung ohne geklärte Grundlage ist ausgeschlossen.

Opt-out-Einstellungen gelten oft nur für bestimmte Tarife oder müssen je Konto gesetzt werden. Belegt wird mit Vertragsklausel oder Konfiguration.

Wechsel des Modells oder der Modellversion bei einem Anbieter werden erfasst und auf Auswirkungen für die Anwendungsfälle geprüft.

Anbieter tauschen Modelle teils ohne Ankündigung aus. Wer das bemerkt, kann Qualität und Verhalten nachprüfen.

Freigegebene KI-Systeme werden über Unternehmenskonten mit zentraler Anmeldung (SSO) oder Mehrfaktor-Authentisierung genutzt; private Konten sind für dienstliche Daten ausgeschlossen.

Nur über Unternehmenskonten lassen sich Zugänge entziehen, Einstellungen erzwingen und Nutzung nachvollziehen.

KI-Systeme, die auf Unternehmenswissen zugreifen (z. B. Suche, RAG), respektieren die Berechtigungen der Quelle; niemand erhält über die KI Einsicht in Inhalte, die ihm sonst verschlossen sind.

Ein Assistent mit Lesezugriff auf das gesamte Laufwerk umgeht jedes Ordnerrecht. Typischer Befund bei Copilot-Einführungen.

Nutzung und Administration freigegebener KI-Systeme werden in einem Umfang protokolliert, der Vorfälle nachvollziehbar macht, ohne mehr personenbezogene Daten als nötig zu speichern.

Aufbewahrungsdauer und Zugriff auf Protokolle sind festzulegen. Bei Hochrisiko-Systemen gelten mindestens sechs Monate.

Wo generative KI externe Inhalte verarbeitet oder Ausgaben weiterverwendet, sind Maßnahmen gegen eingeschleuste Anweisungen und gegen die ungeprüfte Ausführung von Ausgaben umgesetzt und getestet.

Besonders kritisch, wenn die KI E-Mails, Webseiten oder Dokumente Dritter liest und gleichzeitig Werkzeuge bedienen kann.

Bekannte relevante Sicherheitslücken in KI-Systemen und deren Anbindungen werden bewertet und innerhalb festgelegter Fristen behoben oder begründet abgesichert.

Eine bekannte, offene Lücke ohne Behandlung ist nicht durch andere Stärken ausgleichbar.

Für jeden handelnden KI-Agenten sind erlaubte Werkzeuge, Aktionen, Datenbereiche und Zielsysteme abschließend festgelegt und technisch durchgesetzt.

Was nicht ausdrücklich erlaubt ist, kann der Agent nicht. Eine Beschreibung im Prompt ist keine technische Durchsetzung.

Agenten haben feste Obergrenzen für Ausgaben, Laufzeit und Anzahl der Schritte; bei Überschreitung brechen sie ab.

Schleifen und Fehlinterpretationen kosten sonst Geld und erzeugen Folgeschäden in angebundenen Systemen.

Folgenreiche Aktionen (z. B. Zahlungen, Löschungen, externe Kommunikation, Vertragsänderungen) erfordern die Freigabe eines Menschen; der Agent eskaliert, wenn er unsicher ist.

Die Schwelle hängt vom Schaden ab, den eine Fehlhandlung anrichten kann, nicht von der Häufigkeit der Aktion.

Jeder Agent kann von benannten Personen sofort angehalten werden; der Not-Aus ist getestet.

Ein Not-Aus, den niemand findet oder der nie geübt wurde, existiert im Ernstfall nicht.

Agenten nutzen eigene, auf das Nötige beschränkte Zugangsdaten, die nicht mit persönlichen Konten geteilt werden und regelmäßig erneuert werden.

Ein Agent mit dem Konto der Geschäftsführung hat deren Rechte, und seine Handlungen sind nicht unterscheidbar.

Für jeden Anwendungsfall ist festgelegt, wie weit die KI gehen darf: informieren, empfehlen, entwerfen, mit Freigabe handeln oder eigenständig handeln (Stufen L0–L5).

Je höher die Stufe, desto härter die übrigen Kontrollen. Ab L3 greift das Paket für Agenten.

Wo KI-Ergebnisse in Entscheidungen über natürliche Personen einfließen, entscheidet ein Mensch mit tatsächlicher Befugnis und Zeit, das Ergebnis zu prüfen und abzuweichen.

Ein Mensch, der jede Empfehlung in Sekunden bestätigt, ist keine Aufsicht. Abweichungsquoten und Bearbeitungszeiten zeigen, ob die Kontrolle wirkt.

Personen mit Aufsichtsaufgabe kennen Fähigkeiten und Grenzen des Systems, typische Fehler und die Neigung, KI-Ergebnissen zu vertrauen.

Die Unterweisung muss auf das konkrete System zugeschnitten sein, nicht auf KI im Allgemeinen.

Menschen, die unmittelbar mit einem KI-System interagieren, werden spätestens zu Beginn darauf hingewiesen, sofern es nicht offensichtlich ist.

Gilt für Chatbots, Telefonassistenten und automatisierte Antworten im Kundenservice.

Veröffentlichte KI-erzeugte oder -manipulierte Bild-, Audio- und Videoinhalte (Deepfakes) sowie Texte zu Angelegenheiten von öffentlichem Interesse ohne redaktionelle Verantwortung sind als solche gekennzeichnet.

Wer die Inhalte selbst erzeugt und anbietet, muss zusätzlich für eine maschinenlesbare Markierung sorgen.

Personen, die einem System zur Emotionserkennung oder biometrischen Kategorisierung ausgesetzt sind, werden über dessen Betrieb informiert.

Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist grundsätzlich verboten (Art. 5) und wird in AIT-REG-02 geprüft.

Die Organisation beantwortet Fragen von Kunden und Geschäftspartnern zum KI-Einsatz auf Basis aktueller, freigegebener Angaben.

Das öffentliche Trust-Profil der Plattform kann diese Funktion übernehmen. Wichtig ist, dass Antworten nicht von Abteilung zu Abteilung abweichen.

Beschäftigte können jederzeit nachsehen, welche KI-Werkzeuge freigegeben sind und welche Datenklassen sie darin verwenden dürfen.

Niemand liest 40 Seiten Richtlinie, bevor er einen Vertrag hochlädt. Eine Tabelle „Werkzeug – erlaubte Daten“ beantwortet die Frage in Sekunden.

Beschäftigte, die KI nutzen oder betreuen, haben eine ihrer Rolle angemessene Unterweisung erhalten (z. B. allgemeine Nutzung, Power User, Entwicklung, Führung, Personal, Recht).

Art. 4 KI-VO (Fassung seit 27.07.2026) verlangt von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz ihres Personals fördern — dokumentiert, aber ohne vorgeschriebenes Zertifikat. Ein Kurs für alle ist selten angemessen.

Die Nutzung nicht freigegebener KI-Werkzeuge wird erkannt (z. B. über Netzwerk-, Ausgaben- oder Kontenauswertung) und nach einem festgelegten Verfahren behandelt.

Verbieten allein verlagert die Nutzung auf private Geräte. Wirksam ist eine schnelle Freigabe guter Werkzeuge plus Erkennung des Rests.

Beschäftigte und ihre Vertretung werden vor dem Einsatz von KI, die Verhalten oder Leistung erfasst oder Personalentscheidungen unterstützt, informiert und – wo vorgesehen – beteiligt.

In Deutschland sind die Mitbestimmungsrechte des Betriebsrats (insbesondere § 87 Abs. 1 Nr. 6 und § 90 BetrVG) zu beachten.

KI-Anwendungen, die Menschen bewerten oder auswählen, werden vor dem Einsatz und regelmäßig auf ungerechtfertigte Benachteiligung geschützter Gruppen geprüft.

Im Personalbereich ist das AGG der Maßstab. Geprüft werden Ergebnisse, nicht nur Eingabemerkmale.

Personen, über die mit Unterstützung von KI entschieden wird, können eine Erklärung verlangen und die Entscheidung von einem Menschen überprüfen lassen.

Der Weg muss bekannt und erreichbar sein, etwa über die Absage, das Kundenportal oder die Datenschutzhinweise.

Für selbst trainierte oder feinjustierte Modelle sind Herkunft, Repräsentativität und bekannte Lücken der Trainingsdaten dokumentiert.

Gilt nicht für die reine Nutzung fremder Modelle per Schnittstelle.

Es gibt einen dokumentierten Prozess, über den Beschäftigte KI-Vorfälle und Bedenken melden und der Bewertung, Reaktion und Nachbereitung regelt.

Vorfälle sind auch Fehlausgaben mit Folgen, Datenabflüsse über Eingaben und Fehlhandlungen von Agenten.

Schwerwiegende KI-Vorfälle werden innerhalb der vorgesehenen Fristen an die zuständigen Stellen, betroffene Kunden und – bei Hochrisiko-Systemen – den Anbieter gemeldet und auf der Plattform als Befund erfasst.

Ein verschwiegener Vorfall entwertet jeden Nachweis. Ein ehrlich gemeldeter Vorfall mit sauberer Reaktion ist dagegen ein Zeichen funktionierender Kontrolle.

Qualität, Fehlerraten und unerwünschtes Verhalten produktiver KI-Anwendungen werden in festgelegten Abständen ausgewertet.

Rückmeldungen von Nutzern und Stichproben von Ausgaben genügen oft. Wichtig ist, dass jemand hinschaut und es festhält.