/ki-richtlinie-entwurf

name: ki-richtlinie-entwurf
description: "Entwurf einer internen KI-Richtlinie / KI-Policy für Unternehmen und Kanzleien – Geltungsbereich, Grundsätze, verbotene Einsätze, Genehmigungsprozess, Rollen, Lieferantenmanagement (AVV Art. 28 DSGVO, § 43e BRAO), Schulung Art. 4 KI-VO, Vorfallsmanagement. Use when eine Organisation erstmals eine verbindliche KI-Richtlinie einführen oder eine bestehende Policy konsolidieren will."
language: de
agents:
  researcher: ../../agents/researcher.md
  drafter: ../../agents/drafter.md
  reviewer: ../../agents/reviewer.md
provider_variants:
  - claude
  - gemini
  - openai
test: ./test.md

/ki-governance:ki-richtlinie-entwurf

Zweck

Der Skill liefert eine **verbindliche interne KI-Richtlinie** (Policy) und ihre Anlagen als Template – inklusive Geltungsbereich, ethischer und rechtlicher Leitplanken, Genehmigungsprozess, Rollen, Lieferantenmanagement, Schulungskonzept und Vorfallsmanagement. Die Richtlinie ist das organisatorische Dach eines KI-Management-Systems iSv **ISO/IEC 42001** (Kap. 5 Leadership, Kap. 6 Planning) und das Pendant zum gesetzlichen Pflichtensystem der KI-VO (Detail in `ki-vo-compliance`).

Eingaben

• Organisationstyp (Unternehmen, Konzern, Kanzlei, Berufsgesellschaft) und Größe
• Sektorzugehörigkeit (Finanz, Gesundheit, Anwaltschaft, Steuerberatung, WP, öffentlicher Sektor)
• Bestehendes Managementsystem (ISMS nach ISO/IEC 27001, QMS, Compliance-Management)
• Vorhandene Tools (Microsoft Copilot, ChatGPT Enterprise, Google Gemini, sektor-spezifische Lösungen)
• Berufsrechtliche Bindungen (BRAO, BORA, MBO-Ä, StBerG, WPO)

Sub-Agent-Architektur

Researcher liefert KI-VO-Anker (Art. 4, 5, 26, 50), DSGVO-Anker (Art. 5, 22, 28, 32, 35), berufsrechtliche Anker (§§ 43a, 43e BRAO, § 203 StGB), AGG, Standards (ISO/IEC 42001 Kap. 5–8) und Kommentarstellen. Drafter erstellt das Richtlinien-Template mit Klausel-Nummerierung, plus Anlagen (Rollenkatalog, Genehmigungs-Workflow, Lieferantencheckliste, Schulungsplan, Vorfallsformular). Reviewer prüft, ob Art. 4 KI-VO adressiert ist, AVV-Pflicht klar ist, § 43e BRAO bei anwaltlichen Mandantinnen integriert wurde und die Richtlinie KI-VO-Pflichten nicht doppelt.

Ablauf

1. Geltungsbereich und Begriffe

• Räumlich (alle Standorte / Tochtergesellschaften)
• Personell (Mitarbeitende, Auszubildende, Praktikant:innen, externe Dienstleister, Mandantinnen?)
• Sachlich (alle KI-Systeme iSv Art. 3 Nr. 1 KI-VO; Generative KI; Embedded KI; agentische Systeme)
• Verweis auf KI-VO-Definitionen statt eigener; Kurzglossar als Anlage

2. Grundsätze

| Grundsatz | Inhalt | |---|---| | Rechtmäßigkeit | KI-VO, DSGVO, AGG, Berufsrecht, Spezialgesetze | | Sicherheit | Vertraulichkeit, Integrität, Verfügbarkeit (ISMS-Kopplung) | | Transparenz | Kennzeichnung KI-Output gegenüber Betroffenen (Art. 50 KI-VO als Anker) | | Menschliche Aufsicht | keine ungeprüfte Automatisierung (Art. 14 KI-VO; Art. 22 DSGVO) | | Fairness | Bias-Vermeidung; AGG-Schutzkategorien + Proxy-Variablen | | Verantwortlichkeit | klare Rollen, dokumentierte Entscheidungen | | Sparsamkeit | Datensparsamkeit Art. 5 I lit. c DSGVO; Umwelt-/Energieaspekt |

3. Verbotene Einsätze

• **Verbotene Praktiken iSv Art. 5 KI-VO** (Pflichtenprüfung in `ki-vo-compliance`)
• **Interne Tabus** (über Gesetz hinaus): z. B. keine Bewertung von Mitarbeitenden allein durch KI; keine Mandanteneingaben in nicht-kanzleifreigegebene Tools; kein Output ohne menschliche Freigabe in Mandantenkommunikation

4. Genehmigungsprozess (Pre-Use-Check)

Schwellenwert-Modell:

1. **Triage** (jede Anwender:in): Risiko-Schnellcheck (Datenkategorien, Anbieter, Einsatzkontext) 2. **Pre-Use-Approval** durch AI-Owner bei: personenbezogenen Daten, Mandantendaten, externen Anbietern, neuen Einsatzfeldern 3. **Risikoassessment** (Skill `/ki-governance:ki-risikoassessment`) bei: KI-VO-Hochrisiko-Indiz, Art. 22 DSGVO-Konstellation, Drittlandtransfer, Berufsgeheimnis 4. **Geschäftsleitungs-Freigabe** bei: roter Risikoeinstufung, neuen Systemkategorien, Vertragsabschluss > Schwelle X EUR

5. Rollen und Verantwortlichkeiten

| Rolle | Aufgaben | |---|---| | **AI-Owner** (organisationsweit) | Strategische Verantwortung, KI-Inventar, Reporting an Geschäftsleitung | | **AI-Verantwortliche/r** (pro System) | Risiko, Monitoring, Lieferant, Vorfallsmanagement | | **Risk-Owner** | Risk-Treatment-Entscheidungen, Restrisiko-Akzeptanz | | **Modellverantwortliche/r** | Technische Modellgüte, Drift, Fairness, Audits | | **Datenschutzbeauftragte/r** | DSFA, Betroffenenrechte, AVV-Begleitung | | **IT-Sicherheitsbeauftragte/r** | TOMs, ISMS-Kopplung | | **Compliance / Berufsrechts-Verantwortliche/r** | Berufsrecht, Werbeverbot, Schweigepflicht | | **Personalverantwortliche/r** | Schulungsplan Art. 4 KI-VO, Beschäftigtendatenschutz |

6. Lieferantenmanagement

Pflichtprüfungen vor Vertragsabschluss:

• **AVV Art. 28 DSGVO** mit Mindestinhalten (Weisungsbindung, TOM, Sub-Processor-Liste, Audit-Recht, Löschung am Ende)
• **Drittlandtransfer** Art. 44 ff. DSGVO (Angemessenheitsbeschluss / SCC / Transfer Impact Assessment)
• **Anbieter-Rolle nach KI-VO** (Anbieter / Bevollmächtigter / Einführer / Händler) und vertragliche Pflichtenkaskade
• **Berufsrecht**: § 43e BRAO (Auslagerung anwaltlicher Tätigkeiten), § 203 Abs. 4 StGB (Verpflichtung der mitwirkenden Personen); Pendant für Ärzte, StB, WP
• **Sicherheits-/Audit-Nachweise**: BSI AIC4-Selbstauskunft, SOC 2 Type II, ISO/IEC 27001, ISO/IEC 42001 (sobald Zertifizierungslandschaft tragfähig)

7. Schulung (Art. 4 KI-VO)

• **Pflichtanker**: Art. 4 KI-VO (seit 02.02.2025 anwendbar) – Personal muss „hinreichende KI-Kompetenz" haben
• **Zielgruppen**: alle Anwender:innen (Basisschulung); AI-Owner und Modellverantwortliche (vertieft); Geschäftsleitung (strategisch)
• **Inhalte**: KI-Grundlagen, Grenzen (Halluzination, Bias), interne Richtlinie, Datenschutz, Berufsrecht, Vorfallsmeldung
• **Nachweis**: Teilnahmedokumentation, Wieder