Vier Phasen.
Governance als Klammer.
Systems Engineering trifft KI: Klarheit über den Unterschied zwischen Datenschutz, KI-Governance und Compliance — und wo jedes Thema wirklich reingehört. Basierend auf CRISP-ML(Q), NIST AI RMF, ISO 42001 und den etablierten Best Practices im deutschen Mittelstand.
Drei Begriffe, drei Ebenen.
Datenschutz, KI-Governance und Compliance — klare Definitionen zuerst, sonst reden wir aneinander vorbei.
Rechtsrahmen für den Umgang mit personenbezogenen Daten — reguliert durch DSGVO und BDSG.
- AVV (Auftragsverarbeitungsvertrag)
- VVT (Verzeichnis von Verarbeitungstätigkeiten)
- DSFA (Datenschutz-Folgeabschätzung)
- Rechtsgrundlage nach Art. 6 DSGVO
- Verantwortlich: DSB (weisungsfrei)
Interne Regeln + Verantwortlichkeiten für die KI-Nutzung — wer darf was, wer prüft, wer haftet.
- KI-Nutzungs-Richtlinien
- Human-in-the-loop-Regeln
- Bias- und Ethik-Prüfungen
- Erlaubte Modelle und Tools
- Verantwortlich: KI-Beauftragter (operativ)
Oberbegriff — alle regulatorischen Anforderungen zusammen, inklusive branchenspezifischer.
- Datenschutz (DSGVO)
- KI-Governance
- EU AI Act
- Berufsrecht (§203, MaRisk, StBerG)
- ISO 42001 (KI-Managementsystem)
Die 4 Phasen — mit Governance als Layer.
Governance läuft durch alle Phasen mit. Datenschutz beginnt schon in Phase 1 mit einer Minimal-Prüfung.
Läuft als durchgehende Klammer über alle 4 Phasen. Wer entscheidet? Wer prüft? Wer haftet? Diese Fragen werden in jeder Phase konkret beantwortet — nicht am Ende „nachgereicht".
Discovery-Interviews mit Prozessverantwortlichen. Ist-Analyse, Use-Case-Shortlist, Ziele klären. Rollen und Verantwortung sichtbar machen.
Minimalprüfung: Welche Datenkategorien sind im Spiel? Personenbezogen? Berufsrecht relevant?
- Datenschutz-Feasibility: möglich, kritisch, unmöglich?
- DSGVO-Rechtsgrundlage grob geklärt (Art. 6)
- §203-Sensitivität bei Kanzleien / Family Offices
Entscheider klären: Wer sagt in Ihrem Betrieb Ja/Nein zu KI?
- KI-Beauftragter benannt?
- Interne Nutzungs-Regeln vorhanden?
- Wer muss involviert werden (DSB, Betriebsrat, Fachbereich)?
Prozesse dokumentieren, Verantwortungs-Matrix, Datengrundlage strukturieren. Architektur entwerfen: welche Tools, APIs, KI-Modelle, Datenpfade.
Konkrete Umsetzung: Alle DSGVO-Dokumente auf den Weg bringen.
- AVV zwischen Kunde und Chhom Consulting
- VVT-Eintrag beim Kunden
- DSFA falls High-Risk
- Datenpfad dokumentiert: EU-Server, keine US-Cloud
Regeln festlegen: Was darf die KI, was nicht?
- Human-in-the-loop definieren (welche Outputs brauchen Freigabe?)
- Verbotene Anwendungen benannt (z. B. keine Kandidaten-Kategorisierung)
- Monitoring-Verantwortung geklärt
Workflow bauen (n8n + LLM-APIs), Pilot mit Live-Daten, Fehler-Handling, Testing, Übergabe-Doku.
Technisch verankern: Datenschutz im Code, nicht nur auf Papier.
- Self-hosted Infrastruktur (n8n, VPS in EU)
- Keine unnötige Datenweitergabe an externe APIs
- Logs sauber (kein Klartext von personenbezogenen Daten)
- Hard-Stop: kein Go-Live ohne AVV + DPA
Regeln im System: Governance-Regeln technisch abbilden.
- Approval-Workflows für kritische Outputs
- Audit-Log für jede KI-Entscheidung
- Rollen-Rechte-System (wer darf was)
- Kill-Switch dokumentiert (wie stoppe ich alles?)
Soft-Launch mit täglichem Monitoring, dann Hard-Launch. Hypercare 2 Wochen. ROI nach 30–90 Tagen.
Kontrolle im Betrieb: Datenschutz-Wirkung prüfen.
- Log-Reviews: keine Datenlecks im Betrieb?
- Regelmäßige AVV-Aktualisierung
- Meldeprozesse für Datenschutz-Vorfälle
- Löschkonzept bei Vertragsende
Governance im Alltag: Regeln bleiben lebendig oder werden nachgeschärft.
- Regelmäßige Re-Evaluation (quartalsweise)
- Bias-Monitoring (schwankt die Qualität nach Gruppen?)
- Modell-Updates prüfen (Verhalten nach LLM-Update)
- Team-Feedback: läuft es wie geplant?
Zwei Rollen — nicht eine.
DSB und KI-Beauftragter sind zwei getrennte Rollen mit unterschiedlichen Aufgaben und Verantwortungen. Doppelrolle = Interessenskonflikt.
Datenschutzbeauftragter (DSB)
Kontrolliert die Einhaltung des Datenschutzes. Weisungsfrei nach Art. 38 DSGVO — meldet direkt an die Geschäftsführung.
- Prüft Verarbeitungsverzeichnis
- Berät bei DSFA
- Ist Ansprechpartner für Aufsichtsbehörde
- Schult Mitarbeiter
KI-Beauftragter
Gestaltet die KI-Nutzung im Unternehmen. Setzt Governance-Regeln um, entscheidet über Tools und Modelle, koordiniert Fachbereiche.
- Definiert KI-Nutzungs-Richtlinien
- Entscheidet über erlaubte Modelle
- Koordiniert Umsetzung mit IT + Fachbereich
- Prüft Bias und Qualität
Auf welchen Standards ich aufsetze.
Meine 4-Phasen-Methode ist kein Alleingang, sondern kombiniert etablierte internationale Standards mit deutschen Best Practices — und sieben Jahren sicherheitskritischem Automotive.
CRISP-ML(Q)
Machine-Learning-Erweiterung von CRISP-DM mit Quality Assurance in jeder Phase — inklusive Monitoring & Maintenance. Deutscher wissenschaftlicher Anker.
NIST AI RMF
AI Risk Management Framework. Das „Govern über Map / Measure / Manage"-Modell — Grundlage dafür, Governance als durchgehenden Layer zu denken.
ISO 42001
Erster ISO-Standard für KI-Managementsysteme. Definiert wie Organisationen KI-Governance systematisch aufbauen und zertifizieren können.
EU AI Act
Der regulatorische Rahmen für KI in der EU. Risikoklassifizierung, Transparenzpflichten, Verbote. Ab August 2026 greifen Kennzeichnungspflichten für KI-Chatbots und Deepfakes.
Bitkom-Leitfäden
„KI & Datenschutz 2.0" und branchenspezifische Leitfäden. Praxisorientiert, für den deutschen Mittelstand geschrieben.
Fraunhofer IIS Guide
„Schritt für Schritt zur eigenen KI-Lösung" — Fraunhofer-Leitfaden für KMU. Betont Datenschutz-Feasibility in der frühen Phase.
der GenAI-Piloten scheitern — an Prozessen, nicht an Technologie.
Quelle: MIT State of AI in Business Report 2025 · Die Top-Ursachen sitzen alle in Phase 1 (Prozess unklar) und Phase 4 (Monitoring fehlt).
Bereit für den nächsten Schritt in Ihrem KI-Weg?
Buchen Sie ein 30-minütiges Erstgespräch. Ich höre zu, spiegle zurück, und wir prüfen ob und wo Ihre nächste Phase liegen könnte.
Erstgespräch buchen · 30 Min →