Ist dein KI-Einsatz DSGVO- & AI-Act-sicher?

Weißt du, welche KI-Tools in deinem Unternehmen tatsächlich genutzt werden — inkl. „Schatten-KI“, die Mitarbeiter privat einsetzen?

Weißt du bei jedem Tool, welcher Anbieter und welches Modell dahintersteckt (z. B. OpenAI, Anthropic, Google)?

Weißt du genau, welche Daten in jedes Tool hineingehen?

Verarbeitest du mit der KI personenbezogene Daten — und kennst du dafür deine Rechtsgrundlage (Art. 6)?

Sind besondere Datenkategorien (Gesundheit, Herkunft etc. — Art. 9) ausgeschlossen oder gesondert abgesichert?

Hältst du Zweckbindung und Datenminimierung ein (Art. 5) — nur das hinein, was wirklich nötig ist?

Hast du Betroffene transparent informiert, dass und wie KI eingesetzt wird (Art. 13/14)?

Falls die KI automatisierte Einzelentscheidungen mit rechtlicher Wirkung trifft: Hast du Art. 22 berücksichtigt?

Hast du mit jedem KI-Anbieter einen Auftragsverarbeitungsvertrag (AVV, Art. 28)?

Kennst du die Liste der Sub-Auftragsverarbeiter des Anbieters?

Ist dein Verzeichnis von Verarbeitungstätigkeiten (Art. 30) für die KI-Prozesse aktuell?

Sitzt der Anbieter in den USA oder einem anderen Drittland — und hast du den Transfer als solchen erkannt (Kapitel V)?

Liegt ein gültiger Transfer-Mechanismus vor (EU-US Data Privacy Framework oder Standardvertragsklauseln)?

Hast du eine Transfer-Risikobewertung (TIA) — und aktuell gehalten?

Weißt du, wie lange der Anbieter deine Daten speichert und ob „Zero Data Retention“ verfügbar ist?

Hast du technische und organisatorische Maßnahmen (TOMs) für die KI-Verarbeitung dokumentiert?

Hast du einen Fallback / eine Exit-Strategie, falls ein Modell oder Anbieter über Nacht ausfällt?

Kommst du noch an deine Daten heran, um Löschung oder Auskunft zu erfüllen, wenn der Anbieter dich abklemmt?

Hast du geprüft, ob dein KI-Einsatz DSFA-pflichtig ist — und sie ggf. durchgeführt?

Wurde die DSFA zuletzt bei geänderter Risikolage überprüft (Art. 35 Abs. 11)?

Weißt du, in welcher Rolle du stehst (meist Betreiber/Deployer) und ob dein System unter den AI Act fällt?

Hast du die Risikoklasse bestimmt (verboten / hoch / begrenzt / minimal)?

Stellst du sicher, dass du keine verbotenen Praktiken (Art. 5) einsetzt — gilt bereits seit Februar 2025?

Erfüllst du die KI-Kompetenz-Pflicht (Art. 4) — sind deine Mitarbeiter im KI-Einsatz geschult (seit Februar 2025)?

Erfüllst du die Transparenzpflichten (Art. 50) — wissen Kunden, dass sie mit einem Bot sprechen, sind KI-Inhalte gekennzeichnet?

Falls Hochrisiko (z. B. KI in HR/Bewerbung): Hast du die Betreiberpflichten (Art. 26) im Blick?

Sind interne Verantwortlichkeiten für KI klar geregelt?

Gibt es eine KI-Nutzungsrichtlinie für Mitarbeiter?

Ist dein Datenschutzbeauftragter eingebunden?