SOP Einsatz von KI-Anwendungen im Unternehmen
Datenschutz · KI-Governance · Mitbestimmung · Compliance
Dokumenttyp: Standard Operating Procedure (SOP)
Geltungsbereich: alle KI-Anwendungen und KI-gestützten Funktionen
Status: verbindlich
Version: 1.1
Stand: 15.02.2026
1. Zweck
Diese SOP regelt den verantwortungsvollen Einsatz von KI-Anwendungen im Unternehmen.
Die Prüfung, Bewertung und Freigabe von KI-Anwendungen erfolgt über den KI-Check-Prozess (E2E KI-Prüfung, 8 Schritte).
2. Anwendungsbereich
Diese SOP gilt für:
- alle KI-Anwendungen (z. B. generative KI, Assistenzsysteme, Automatisierungen),
- alle KI-Funktionen innerhalb bestehender Software (z. B. Add-ons, „Copilot"-Funktionen),
- auch für selbst erstellte Assistenten/Bots/Agents innerhalb bereits freigegebener Plattformen (z. B. Copilot Studio), wenn sie veröffentlicht, geteilt oder mit Daten/Tools/Integrationen verbunden werden,
- alle Organisationseinheiten und Mitarbeitenden.
3. Grundprinzipien (leicht merkbar)
- KI ist kein normales Software-Feature. Jede KI-Anwendung ist separat zu betrachten.
- Enablement vor Verbot. Nutzung ist zulässig, wenn Risiken beherrschbar sind.
- Klare STOP-Grenzen. Bei No-Gos ist der Einsatz unzulässig.
- Transparenz. KI-Einsatz ist nachvollziehbar und dokumentiert.
- Nur im freigegebenen Rahmen. KI wird nur für den freigegebenen Zweck und innerhalb der freigegebenen Grenzen genutzt.
4. Wann ist diese SOP anzuwenden?
Diese SOP ist immer anzuwenden, wenn mindestens eines zutrifft:
- Neue KI-Anwendung soll eingeführt werden (Tool, Plattform, Feature)
- Bestehende KI-Anwendung wird wesentlich geändert:
- Neue Funktionen / Features
- Neue Datenquellen / Integrationen
- Änderung des Nutzungszwecks
- Änderung der Nutzergruppe (z.B. von Pilot auf Unternehmensweit)
- Agent/Assistent wird erstellt oder geändert (auch in freigegebenen Plattformen):
- Veröffentlichung intern
- Neue Datenquellen / Integrationen
- Aktionen (Read-Write / Actions)
Hinweis: Ein KI-Check ist auch dann erforderlich, wenn ein neuer Agent/Assistent erstellt oder wesentlich geändert wird – insbesondere bei Veröffentlichung intern, neuen Datenquellen/Integrationen oder Aktionen (Read-Write/Actions).
5. Rollen & Verantwortlichkeiten (wer macht was?)
- Fachbereich / Antragsteller: beschreibt den geplanten Use Case und liefert die Informationen für den KI-Check.
- KI-Manager: steuert den Prozess, führt die Vorprüfung durch und koordiniert die Beteiligten.
- Recht: verantwortet die rechtliche Einordnung (insb. Anbieter/Vertrag) und wirkt beim STOP-Gate (Verbot/Hochrisiko) mit.
- Datenschutz (DSB): bewertet Datenschutzrisiken (DSGVO) und entscheidet über DSFA-Erforderlichkeit.
- IT-Security: bewertet technische Sicherheit (Zugriffe, Integrationen, Logging, Konfiguration).
- Betriebsrat: wird beteiligt, wenn Mitbestimmung berührt ist; Einzelanlage wird abgestimmt.
- Management: trifft die finale Freigabeentscheidung.
6. Klare Leitplanke: Keine Unternehmensdaten in nicht freigegebene KI-Tools
Grundregel: Unternehmensdaten (personenbezogene Daten, vertrauliche Kunden-/Projektinfos, Betriebsgeheimnisse) dürfen nicht in nicht freigegebene KI-Tools eingegeben werden – auch nicht mit privaten Accounts oder privaten Endgeräten.
Bei Unsicherheit: nicht nutzen und KI-Check anstoßen.
7. Voraussetzungen für den Einsatz (Pflicht)
7.1 Governance & Mitbestimmung (Pflicht)
- KI-Check durchlaufen (E2E KI-Prüfung, 8 Schritte)
- Management-Freigabe erhalten (KI Check - Management-Entscheidung)
- Bei Mitbestimmung: Einzelanlage zur KI-RBV mit Betriebsrat abgestimmt (KI Check - Einzelanlage zur KI-RBV)
7.1.1 Verbot von Mitarbeitenden-Rankings ohne Einzelanlage
Jede Form von KI-gestütztem Ranking, Scoring oder Bewertung von Mitarbeitenden (z.B. Leistung, Verhalten, Kompetenz) ist ohne abgestimmte Einzelanlage mit dem Betriebsrat verboten.
7.2 Technische Voraussetzungen (Pflicht)
- Anbieter freigegeben (Legal/Einkauf)
- Vertrag vorhanden (Rahmenvertrag, ggf. AVV)
- IT-Security-Anforderungen erfüllt (SSO/MFA, Logging, DLP, etc.)
- Datenschutz-Anforderungen erfüllt (Rechtsgrundlage, ggf. DSFA)
7.3 Nutzungsregeln (Pflicht)
- Nutzungsrichtlinie & Codex beachten (siehe separate Dokumente)
- Nur für freigegebenen Zweck nutzen
- Ergebnisse immer selbst prüfen (KI kann Fehler machen)
- Transparenz: KI-Nutzung ist dokumentiert und nachvollziehbar
8. Routing im KI-Check-Prozess
Der KI-Check-Prozess unterscheidet drei Prüfpfade basierend auf dem automatischen Risk-Scoring (6-18 Punkte):
| Risk-Score | Routing | Beschreibung | SLA (ca.) |
|---|---|---|---|
| 6-9 Punkte | Fast-Track | Risikoarme Use Cases (Low-Risk) können einen verkürzten Prüfpfad nutzen, bei dem bestimmte Fachprüfungen entfallen. | ~10-15 Arbeitstage |
| 10-14 Punkte | Standard | Mittleres Risiko, vollständige Fachprüfungen erforderlich (Datenschutz, IT-Security, Betriebsrat, Anbieter). | ~4-6 Wochen |
| 15-18 Punkte | Vollprüfung | Hohes Risiko, vertiefte Analyse & erweiterte Auflagen (z.B. DSFA, Penetration-Test). | ~6-8 Wochen |
Details: Siehe Risk-Scoring & Routing
9. Erforderliche Dokumente
Im Rahmen des KI-Checks werden folgende Dokumente erstellt:
| Dokument | Schritt | Pflicht? | Zweck |
|---|---|---|---|
| KI Check - Use-case-Steckbrief | Schritt 1 | ✅ Ja (immer) | Formalisierung, Risk-Scoring |
| KI Check - Einzelanlage zur KI-RBV | Schritt 5 | ⚠️ Nur bei Mitbestimmung | Betriebsrat-Freigabe |
| KI Check - Management-Entscheidung | Schritt 7 | ✅ Ja (immer) | Freigabe-Dokumentation |
10. Change Management & Review
10.1 Wesentliche Änderungen (Re-Check erforderlich)
Bei folgenden Änderungen ist ein Re-Check (Rückkehr zu Schritt 2 des KI-Checks) erforderlich:
- Neue Datenarten (z.B. plötzlich besondere Kategorien Art. 9 DSGVO)
- Neue Integration (Write-Access)
- HR-Kontext neu hinzugekommen
- Anbieter-Wechsel
- Zweck-Änderung (anderer Use Case)
- Skalierung (Pilot → Unternehmensweit)
- Externe Weitergabe neu
10.2 Review-Zyklus
Jeder freigegebene Use Case wird 6-12 Monate nach Go-Live überprüft:
- Auflagen-Compliance
- Scope-Adherence (nur für freigegebenen Zweck genutzt?)
- Drift-Detection (neue Datenarten, Nutzergruppen, Automatisierungsgrade?)
- Incident-Review (Sicherheitsvorfälle, Datenschutz-Beschwerden?)
11. Hochrisiko & verbotene Praktiken (STOP-Gate)
11.1 EU AI Act Art. 5 – Verbotene Praktiken
Diese KI-Systeme sind generell verboten:
- Social Scoring (Bewertung von Personen nach Sozialverhalten)
- Emotion Recognition am Arbeitsplatz (außer medizinische/Sicherheitsgründe)
- Subliminal Manipulation (unterschwellige Beeinflussung)
- Ausnutzung von Vulnerabilitäten (Alter, Behinderung, soziale Lage)
Konsequenz: Bei Verstoß → STOP in Schritt 2 (Risk Assessment & Gate)
11.2 Hochrisiko-KI gem. Anhang III AI Act & RBV
Hochrisiko-KI-Systeme gem. Anhang III AI Act (z.B. HR-Recruiting, Leistungsbewertung, Kreditscoring, biometrische Identifikation) sind bei GEALAN generell nicht zulässig.
Dies ist in der KI-Rahmenbetriebsvereinbarung (RBV) Abschnitt 3 geregelt und dient dem Schutz von Mitarbeiter- und Bewerberrechten.
Beispiele für Hochrisiko (bei GEALAN nicht zulässig):
- CV-Screening mit automatisierter Vorauswahl
- Leistungs-/Verhaltensbeurteilung von Mitarbeitern durch KI
- Automatisierte Entscheidungen über Beförderung, Versetzung, Kündigung
- Profiling mit Rechtswirkung für Mitarbeiter
Konsequenz: Bei Hochrisiko-Verdacht → STOP in Schritt 2 (Risk Assessment & Gate)
12. Weiterführende Dokumente
- Nutzungsrichtlinie & Codex: Regeln für die tägliche Nutzung
- E2E KI-Prüfung (8 Schritte): Detaillierter Prüfprozess
- Risk-Scoring & Routing: Automatische Risikobewertung
- Rechtlicher Rahmen: EU AI Act, DSGVO, BetrVG, KI-RBV
- KI-Rahmenbetriebsvereinbarung (RBV): Interne Verbote & Auflagen
13. Dokument-Freigabe
Erstellt von: KI-Manager
Geprüft von: DSB, IT-Security, HR, Legal
Freigegeben von: Geschäftsführung
Datum: 15.02.2026
Version: 1.1
Status: Freigegeben
Änderungshistorie:
| Version | Datum | Änderung |
|---|---|---|
| 1.0 | 01.02.2026 | Erstversion |
| 1.1 | 15.02.2026 | • Fast-Track-Routing ergänzt (Abschnitt 8) • Hochrisiko-Verbot explizit (Abschnitt 11.2) • Dokumentennamen aktualisiert (Abschnitt 9) |
einsatz