Richtlinien
Wer entscheidet über KI-Tools, beurteilt die Risiken und führt die Aufsicht? Die Rollen im Überblick, mit einfacher Besprechungsstruktur und KI-Verzeichnis.
KI-Governance umfasst Vereinbarungen darüber, wer in Ihrer Organisation über KI-Tools entscheidet, Risiken beurteilt, Tools verwaltet und die Aufsicht führt. Die Geschäftsführung trägt die Gesamtverantwortung, die Fachbereiche nutzen und kontrollieren, IT und Sicherheit verwalten, und Datenschutzbeauftragter oder Privacy Officer beraten und prüfen mit. Niemand tut es allein.
Für ein Büro mit dreißig Personen ist KI-Governance keine Abteilung und kein Handbuch. Es ist eine Seite mit Namen, eine stattfindende Besprechung und eine richtige Liste. Kein Gesetz verwendet den Begriff oder schreibt eine Form vor. Die betreffenden Pflichten stehen aber im Gesetz: Rechenschaftspflicht der DSGVO, Regeln zum Datenschutzbeauftragten sowie Bestimmungen des AI Act zu KI-Kompetenz und menschlicher Aufsicht.
Die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, schreibt in ihrer im Juli 2026 veröffentlichten Empfehlung zu Microsoft 365 Copilot bei einer Gemeinde, dass Richtlinien auch praktisch umgesetzt werden und Mitarbeitende sie kennen müssen. Die Verantwortung soll laut AP nicht bei einzelnen Mitarbeitenden oder Abteilungen liegen, sondern von der gesamten Organisation getragen werden. Ist niemand benannt, wählt jeder sein eigenes Tool. Was dann geschieht, lesen Sie im Artikel über Schatten-KI.
Die folgende Tabelle ist ein Ausgangspunkt. In kleinen Organisationen fallen Rollen zusammen. Das ist zulässig, außer beim Datenschutzbeauftragten: Er darf nicht selbst über das entscheiden, was er kontrollieren muss.
| Rolle | Verantwortlich für | Entscheidet über |
|---|---|---|
| Geschäftsführung oder Vorstand | Einhaltung von DSGVO und AI Act, Budget, Risikobereitschaft | KI-Einsatz, KI-Richtlinie, Akzeptanz eines Restrisikos |
| Datenschutzbeauftragter (DSB) | Beratung und interne Aufsicht zum Umgang mit personenbezogenen Daten | Nicht über Zweck und Mittel; über eigene Untersuchungen und Empfehlungen |
| Privacy Officer | Umsetzung: Verzeichnis, DSFAs, Verträge, Fragen von Kollegen | Das von der Geschäftsführung an diese Rolle Delegierte |
| IT oder Anwendungsverwaltung | Einrichtung, Konten, Zugriffsrechte, Verbindungen | Technische Einstellungen innerhalb der Richtlinie |
| Informationssicherheit | Sicherheitsanforderungen, Vorfälle, Anbieterprüfungen | Ob ein Tool die Sicherheitsanforderungen erfüllt |
| Führungskräfte der Fachbereiche | Nutzung im Team, Ergebniskontrolle, Schulung | Aufgaben, für die das Team das Tool innerhalb der Richtlinie nutzt |
| Mitarbeitende | Sorgfältige Nutzung, Meldung von Fehlern und Vorfällen | Ob ein Ergebnis gut genug zur Nutzung ist |
| Einkauf oder Vertragsverwaltung | Auftragsverarbeitungsverträge und Bedingungen | Keine inhaltlichen Entscheidungen; überwacht die Prüfung vor Vertragsabschluss |
Die DSGVO legt die Pflichten dem Verantwortlichen auf. Das ist die Organisation und damit ihr Vorstand. Die AP bezeichnet die oberste Leitung auf ihrer Seite zum DSB als „Verantwortlichen im Sinne des Gesetzes“. Die Geschäftsführung kann Aufgaben auslagern, aber nicht Verantwortung. Führungskräfte der Fachbereiche sind für die Nutzung ihres Teams zuständig: Sie sehen als Erste, wenn etwas schiefgeht.
IT und Sicherheit beantworten Fragen, die ein Jurist nicht beantworten kann: Auf welche Dokumente hat der Assistent Zugriff, wer kann eine Verbindung aktivieren, was wird protokolliert? Die AP betont in derselben Empfehlung die Bedeutung von Berechtigungen: Kann ein KI-System auf alle dem Nutzer zugänglichen Dokumente zugreifen, werden spezifische Berechtigungen noch notwendiger.
Der Datenschutzbeauftragte ist in den Artikeln 37 bis 39 DSGVO geregelt. Artikel 37 DSGVO nennt drei Fälle verpflichtender Benennung:
Die AP erläutert auf ihrer Seite Der DSB in Ihrer Organisation ihre Auslegung. Bei der ersten Gruppe nennt sie neben Staat, Gemeinden und Provinzen auch Gesundheits- und Bildungseinrichtungen. Bei der zweiten geht es etwa um Profiling, Kameraüberwachung und Personalüberwachungssysteme. Mitgliedstaaten können weitere Fälle bestimmen. Laut AP ist das in den Niederlanden nicht geschehen.
Dann müssen Sie laut AP gut begründen können, warum Sie einen DSB benannt haben oder nicht. „Umfangreich“ und „Kerntätigkeit“ sind offene Begriffe. Verarbeiten Sie mit KI mehr sensible Daten als zuvor, stellen Sie die Frage erneut.
Der DSB wird aufgrund beruflicher Qualifikation und Fachwissen über Datenschutzgesetzgebung und -praxis benannt. Er darf eigener Mitarbeitender oder extern beauftragt sein. Die Organisation veröffentlicht die Kontaktdaten und teilt sie der Aufsichtsbehörde mit. Die AP schätzt die Zahl der DSB in den Niederlanden auf etwa 10.000.
Artikel 39 nennt fünf Aufgaben, die der DSB mindestens erfüllt:
Artikel 38 schützt die Position. Die Organisation bindet den DSB ordnungsgemäß und frühzeitig in alle Datenschutzfragen ein. Er erhält Zugang zu Daten und Verarbeitungen sowie die nötigen Ressourcen. Er bekommt keine Weisungen zur Ausführung seiner Aufgaben, wird dafür nicht abberufen oder benachteiligt und berichtet unmittelbar der höchsten Leitungsebene. Andere Aufgaben sind zulässig, sofern sie keinen Interessenkonflikt verursachen.
Die AP konkretisiert Letzteres. Der DSB darf keine weitere Funktion haben, in der er Zweck und Mittel einer Verarbeitung bestimmt, etwa als Leiter von Finanzen, Strategie, Marketing, IT oder Personalwesen oder als CISO. Artikel 39 des niederländischen DSGVO-Durchführungsgesetzes ergänzt eine Geheimhaltungspflicht für das, was der DSB durch Beschwerden oder Anfragen betroffener Personen erfährt.
Der DSB ist weder Eigentümer der Datenschutzrichtlinie noch die Person, die KI-Tools freigibt. Auf ihrer Seite zu Aufgaben und Verantwortlichkeiten des DSB schreibt die AP, dass die Einhaltung in der Verantwortung der Organisation liegt, der DSB bei Verstößen nicht persönlich haftet und die Pflege der Verarbeitungsübersicht keine DSB-Aufgabe ist. Bei einer DSFA müssen Sie ihn um Rat bitten und festhalten, was Sie damit getan haben. Mehr dazu im Artikel zur DSFA für KI-Tools.
Für KI-Governance heißt das: Der DSB sitzt frühzeitig und vollständig informiert mit am Tisch, unterzeichnet aber nicht die Entscheidung.
Die DSGVO kennt den Privacy Officer nicht. Es ist eine von Organisationen selbst ausgestaltete Stellenbezeichnung. Der DSB ist eine gesetzliche Rolle.
| Datenschutzbeauftragter | Privacy Officer | |
|---|---|---|
| Gesetzliche Grundlage | Artikel 37 bis 39 DSGVO | Keine |
| Aufgabe | Beraten und interne Aufsicht führen | Umsetzen, organisieren, häufig auch beraten |
| Stellung | Unabhängig, weisungsfrei, unmittelbar an höchste Leitung | Gewöhnlicher Mitarbeitender oder Berater im Fachbereich |
| Schutz | Keine Abberufung oder Benachteiligung wegen Aufgabenerfüllung | Gewöhnliche arbeitsrechtliche Stellung |
| Meldung bei der AP | Ja | Nein |
| Darf über Zweck und Mittel mitentscheiden | Nein | Ja, wenn vereinbart |
Benennen Sie freiwillig jemanden als Datenschutzbeauftragten, gelten laut AP dieselben Regeln wie für einen verpflichtenden DSB, einschließlich der Meldung. Möchten Sie diese Anforderungen nicht stellen, empfiehlt die AP eine andere Bezeichnung, etwa Privacy Officer, und intern wie extern klarzustellen, dass die Person kein DSB im Sinne des Gesetzes ist.
Die AP gibt in ihrer Arbeitshilfe für generative KI einen Hinweis zur Besetzung: Lassen Sie Datenschutzfachleute, IT-Spezialisten und Vertreter der Bereiche, die KI einsetzen möchten, diese ausfüllen und binden Sie den DSB frühzeitig ein. Das ist im Kleinen bereits eine KI-Besprechung. Alltagsfragen gehören nicht dorthin; ein Vorfall folgt dem Verfahren für Datenpannen.
DSGVO und AI Act schreiben einer Organisation, die KI nur nutzt, kein internes „KI-Verzeichnis“ dieses Namens vor. Es ist ein praktisches Hilfsmittel. Ohne Liste weiß die Runde nicht, worüber sie spricht.
Das Verarbeitungsverzeichnis ist verpflichtend und beschreibt die Verarbeitung personenbezogener Daten. Das KI-Verzeichnis beschreibt Tools, auch ohne personenbezogene Eingaben. Beide verweisen aufeinander. Wie ein Eintrag für ein KI-Tool aussieht, steht im Artikel zum Verarbeitungsverzeichnis. Für Behörden gibt es zusätzlich ein öffentliches Algorithmenregister. Siehe den Artikel zum Algorithmenregister und IAMA.
Governance sagt, wer entscheidet. Die Richtlinie sagt, was entschieden wurde. Die Schulung sorgt dafür, dass Mitarbeitende es wissen.
Die KI-Richtlinie ist das von der Runde verwaltete Dokument: zulässige Tools, Daten, verbotene Nutzung, Rollen und Vorfälle. Wie Sie sie erstellen, lesen Sie in Eine KI-Richtlinie erstellen.
Artikel 4 des AI Act (KI-Verordnung) wurde am 27. Juli 2026 geändert. Nach dem verabschiedeten Text des digitalen Omnibus ergreifen Anbieter und Betreiber Maßnahmen zur Unterstützung der Entwicklung der KI-Kompetenz ihres Personals. Die Pflicht verlangt nicht, ein bestimmtes Niveau für jeden Mitarbeitenden sicherzustellen. Für Governance bedeutet das: Jemand ist für die Schulung verantwortlich und kann die Maßnahmen nachweisen. Näheres steht im Artikel zur KI-Kompetenz.
Nutzen Sie ein Hochrisikosystem nach dem AI Act, kommen weitere Pflichten hinzu. Artikel 26 verlangt unter anderem, die menschliche Aufsicht natürlichen Personen mit nötiger Kompetenz, Ausbildung und Befugnis zu übertragen. Die Anforderungen für Anwendungen aus Anhang III gelten laut Europäischer Kommission ab dem 2. Dezember 2027. Was hohes Risiko bedeutet und was bereits gilt, lesen Sie in Der AI Act erklärt. Ob Ihre Anwendung darunterfällt, erfordert eine rechtliche Beurteilung.
PrivaSearch ist ein Hilfsmittel innerhalb Ihrer Governance und kein Ersatz. Es pseudonymisiert personenbezogene Daten in Dokumenten, bevor ein KI-Assistent darin sucht. Wer die Nutzung beschließt, wer verantwortlich ist und wer die Aufsicht führt, bestimmen Sie selbst.
Einige Bestandteile entsprechen den Rollen dieses Artikels. Nichts wird durchsuchbar, bevor ein Mitarbeitender das Dokument angesehen und freigegeben hat: Die Prüfung ist verpflichtend. Mitarbeitende absolvieren eine integrierte Schulung, die regelmäßig wiederholt wird. Handlungen werden protokolliert. Die Erklärung steht auf der Seite zur Funktionsweise.
Ihre Umgebung erstellt außerdem vier Ausgangsdokumente aus einem Formular: eine KI-Richtlinie unter anderem mit einem Kapitel zu Rollen und Vorfällen, eine DSFA-Vorlage, einen Verzeichniseintrag und eine ausformulierte Rechtsgrundlage. Sie sind auf der Seite zur DSGVO und zum AI Act beschrieben. Es sind Ausgangsdokumente und keine Rechtsberatung. Die Beratung durch Ihren Datenschutzbeauftragten und die formelle Verabschiedung durch die Geschäftsführung bleiben Ihre Aufgabe.
Was ein verbundener Assistent sieht und was Sie selbst regeln, steht auf der Seite zu KI-Chatbots und der DSGVO. Möchten Sie Prüfung, Schulung und Dokumente sehen, fragen Sie eine Demo an.
Eine Vereinbarung auf einer Seite: Wer entscheidet über neue KI-Tools, wer betrachtet vorab die Risiken, wer verwaltet die Tools und wer prüft die Einhaltung der Vereinbarungen? In einer kleinen Organisation sind das oft drei oder vier Personen, die sich einige Male jährlich treffen, mit einer Liste genutzter Tools. Eine eigene Abteilung ist nicht nötig.
Nicht allein durch die KI-Nutzung. Die Benennung ist verpflichtend für Behörden, Organisationen mit systematischer umfangreicher Beobachtung von Menschen als Kerntätigkeit und Organisationen mit umfangreicher Verarbeitung besonderer oder strafrechtlicher Daten als Kerntätigkeit. Verarbeiten Sie mit KI mehr sensible Daten, kann sich die Antwort ändern. Ist es unklar, müssen Sie Ihre Wahl begründen können.
Der Datenschutzbeauftragte ist eine gesetzliche Rolle: unabhängig, weisungsfrei, mit direktem Zugang zur höchsten Leitung und bei der Autoriteit Persoonsgegevens gemeldet. Privacy Officer ist eine Stellenbezeichnung ohne gesetzlichen Status, meist für jemanden, der Datenschutzarbeit ausführt und organisiert. Ein Privacy Officer darf über Verarbeitungen mitentscheiden, ein DSB nicht. Eine Organisation kann beide haben: Der Privacy Officer setzt um, der DSB kontrolliert.
Nein. Der DSB berät und überwacht. Laut Autoriteit Persoonsgegevens darf er keine Funktion haben, in der er Zweck und Mittel einer Verarbeitung bestimmt, weil er dann seine eigene Entscheidung kontrollieren würde. Die Geschäftsführung oder eine bevollmächtigte Führungskraft entscheidet. Die Organisation bindet den DSB frühzeitig ein und muss bei einer DSFA seinen Rat einholen.
Die Organisation bleibt als Verantwortlicher für den Umgang mit personenbezogenen Daten rechenschaftspflichtig. Der Datenschutzbeauftragte haftet laut Autoriteit Persoonsgegevens bei einem Verstoß nicht persönlich. Ob einem Mitarbeitenden ein Vorwurf zu machen ist, hängt von den bestehenden Vereinbarungen und seiner Kenntnis ab. Deshalb gehören Richtlinie, Schulung und Meldeverfahren zusammen.
Ein internes KI-Verzeichnis dieses Namens ist in DSGVO und AI Act keine Pflicht für Organisationen, die KI nur nutzen. Das Verarbeitungsverzeichnis ist für personenbezogene Verarbeitungen verpflichtend, und für Behörden gibt es ein öffentliches Algorithmenregister. Eine eigene Liste von KI-Anwendungen ist vor allem praktisch: Ohne Überblick können Sie weder Risiken beurteilen noch Schulungen abstimmen.
Mitarbeitende nutzen KI-Chatbots oft ohne Wissen der Organisation. Was dahintersteckt, was schiefgehen kann und wie Sie schrittweise Kontrolle gewinnen.
Wo eine hochgeladene Datei landet, wie lange sie bleibt, wer Zugriff hat und was Löschen bedeutet. Mit vier Vorgehensweisen für personenbezogene Akten.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →