KI im Unternehmen: Eine erste Orientierung

Wer ein KI-Tool für Marketing oder HR evaluiert, bekommt meistens dasselbe: glatte Demos, beeindruckende Dashboards, beruhigende Formulierungen. „DSGVO-konform“ steht irgendwo im Kleingedruckten. „KI-VO-ready“ klingt nach Zukunft.

Aber die entscheidenden Fragen werden selten gestellt. Dabei wären sie einfach.

1. Datenquellen und Zweckbindung

Welche Daten analysiert das Tool konkret — und welche nicht? Kann ich einzelne Quellen abschalten, etwa Posts, Kommentare oder Netzwerkdaten? Ist Profiling technisch blockiert, solange keine Einwilligung vorliegt?

Red Flag: „Das regelt das Modell automatisch.“

2. Profiling und Einwilligung

Was versteht das Tool unter einem „Profil“? Findet Profiling nur nach expliziter Zustimmung statt? Und kann diese Zustimmung widerrufen werden — inklusive vollständiger Datenlöschung?

Red Flag: „Eine Reaktion gilt als Zustimmung.“

3. Automatisierung und menschliche Entscheidung

Wo ist menschliche Freigabe verpflichtend — nicht optional? Gibt es Approval Gates vor dem Erstkontakt, vor Rankings, vor Ablehnungen? Existiert ein Kill Switch?

Red Flag: „Human-in-the-loop ist optional.“

4. Transparenz nach DSGVO und KI-VO

Ist erkennbar, dass KI beteiligt ist? Kann ich erklären, warum genau diese Person angesprochen wurde — nicht nur mit einem Score, sondern mit lesbaren Kriterien?

Red Flag: „Black Box — aber compliant.“

5. Logging und Nachvollziehbarkeit

Gibt es ein unveränderliches Log? Werden aktive Kriterien, Automatisierungsgrad und Modellversionen dokumentiert? Sind diese Logs exportierbar?

Red Flag: „Wir loggen nur Systemfehler.“

6. Rollen und Verantwortung

Gibt es ein klares Rollen- und Rechtemodell? Ist geregelt, wer entscheidet, wer stoppen kann, wer haftet? Ist die Nutzung von Freigabe und Kontrolle organisatorisch getrennt?

Red Flag: „Der Admin regelt das alles.“

7. EU AI Act: Risikoklasse und Human Oversight

In welche Risikoklasse fällt der konkrete Use Case — Marketing oder HR/Recruiting? Sind beide Bereiche technisch getrennt? Ist Human Oversight by Design umgesetzt, nicht nur versprochen?

Red Flag: „Die KI-VO betrifft uns nicht.“

Was auf dem Spiel steht

Wer diese Fragen überspringt, überspringt keine Bürokratie. Er überspringt Verantwortung.

Die möglichen Folgen sind real: Beschwerden einzelner Betroffener reichen als Auslöser. Datenschutzbehörden können prüfen, einzelne Funktionen abschalten lassen oder Bußgelder verhängen. Die KI-VO ermöglicht Einsatzverbote. Und Reputationsschäden skalieren schneller als jede KI.

Der Anbieter haftet für das Tool. Der Anwender haftet für den Einsatz. Das ist keine Drohung — das ist die Ausgangslage.