KI-Systeme rechtssicher dokumentieren im Unternehmen

Rechtsstand: September 2026

Wer KI-Systeme rechtssicher dokumentieren will, sollte nicht erst bei einer Anfrage der Aufsichtsbehörde, einer Kundenprüfung oder einem arbeitsrechtlichen Konflikt beginnen. Entscheidend ist, bereits vor dem produktiven Einsatz nachvollziehbar festzuhalten, welches System wofür eingesetzt wird, welche Daten es verarbeitet und wer die Verantwortung trägt. Eine gute Dokumentation schafft nicht nur rechtliche Absicherung. Sie verhindert auch, dass sich KI-Anwendungen unkontrolliert im Unternehmen verbreiten.

Das betrifft nicht allein große Konzerne. Auch Startups und mittelständische Unternehmen in Stuttgart, Fellbach und der Region setzen heute KI etwa für Kundenkommunikation, Personalprozesse, Vertrieb, Softwareentwicklung oder die Auswertung von Dokumenten ein. Je stärker eine Anwendung Entscheidungen vorbereitet oder beeinflusst, desto genauer muss ihre Nutzung eingeordnet und dokumentiert werden.

Warum die Dokumentation von KI-Systemen entscheidend ist

Die rechtlichen Anforderungen ergeben sich nicht aus einem einzigen Regelwerk. Je nach Anwendungsfall greifen insbesondere der EU AI Act, die Datenschutz-Grundverordnung, arbeitsrechtliche Vorgaben, Geschäftsgeheimnisschutz sowie vertragliche Pflichten gegenüber Kunden oder Dienstleistern.

Der EU AI Act knüpft viele Pflichten an die Rolle des Unternehmens und an das Risiko der konkreten KI-Anwendung. Wer ein System selbst entwickelt, wesentlich verändert oder unter eigenem Namen auf den Markt bringt, kann andere Pflichten haben als ein Unternehmen, das ein externes Tool lediglich einsetzt. Für bestimmte Hochrisiko-KI-Systeme gelten besonders umfassende Vorgaben, etwa zur technischen Dokumentation, zum Risikomanagement, zur Protokollierung und zur menschlichen Aufsicht.

Auch Systeme, die nicht als hochriskant eingestuft werden, sind nicht dokumentationsfrei. Ein allgemeiner KI-Assistent kann datenschutzrechtlich relevant sein, wenn Beschäftigte oder Kunden personenbezogene Daten eingeben. Wird er im Personalbereich zur Vorauswahl von Bewerbungen eingesetzt, kommen arbeitsrechtliche und gegebenenfalls mitbestimmungsrechtliche Fragen hinzu. Die Dokumentation muss deshalb zum tatsächlichen Einsatz passen - nicht zum Werbeversprechen des Anbieters.

Zuerst den Einsatzfall sauber erfassen

Der häufigste Fehler liegt am Anfang: Unternehmen dokumentieren den Namen eines KI-Tools, aber nicht seinen konkreten Zweck. „Nutzung eines Chatbots“ ist keine ausreichende Beschreibung. Relevant ist, welche Aufgabe das System übernimmt, welche Ergebnisse daraus entstehen und ob Menschen diese Ergebnisse prüfen.

Eine belastbare Bestandsaufnahme beantwortet unter anderem: Welche Fachabteilung nutzt das System? Werden Inhalte nur erstellt, oder werden Personen bewertet, priorisiert oder klassifiziert? Ist die Nutzung intern, gegenüber Kunden oder öffentlich? Werden Entscheidungen automatisiert getroffen oder lediglich vorbereitet?

Dabei sollte zwischen Testbetrieb, freiwilliger Nutzung einzelner Mitarbeitender und verbindlichem Produktiveinsatz unterschieden werden. Gerade bei frei verfügbaren generativen KI-Diensten entstehen Risiken oft dadurch, dass Mitarbeitende sensible Informationen eingeben, ohne dass ein Freigabeprozess besteht. Eine KI-Richtlinie kann hier helfen, ersetzt aber nicht die Dokumentation des einzelnen relevanten Einsatzfalls.

Rolle, Anbieter und Systemgrenzen festhalten

Für jedes relevante System sollte klar sein, wer Anbieter, Betreiber, Entwickler und verantwortliche interne Stelle ist. Bei extern bezogenen Diensten gehören dazu die Vertragsunterlagen, Leistungsbeschreibung, Hinweise zur Datenverarbeitung, technische und organisatorische Maßnahmen sowie Informationen zu Unterauftragnehmern, soweit verfügbar und erforderlich.

Ebenso wichtig sind die Grenzen des Systems. Kann es auf interne Datenbanken zugreifen? Werden Eingaben zum Training des Anbieters verwendet? Welche Schnittstellen bestehen zu HR-, CRM- oder Dokumentenmanagementsystemen? Ein bloßer Hinweis wie „Daten werden in der Cloud verarbeitet“ reicht für eine belastbare Bewertung regelmäßig nicht aus.

KI-Systeme rechtssicher dokumentieren: Diese Inhalte gehören hinein

Eine praxistaugliche Dokumentation muss nicht für jedes unkritische Hilfstool ein umfangreiches Handbuch sein. Sie sollte aber so aufgebaut sein, dass ein Dritter den Einsatz verstehen, bewerten und kontrollieren kann. Bei erhöhtem Risiko steigt die erforderliche Tiefe.

Im Kern gehören folgende Punkte zusammen:

• Zweck, Einsatzbereich und betroffene Personengruppen, etwa Bewerber, Beschäftigte, Kunden oder Lieferanten.

• Beschreibung der Eingaben, Datenquellen und Ausgaben einschließlich der Frage, ob personenbezogene oder besondere Kategorien personenbezogener Daten verarbeitet werden.

• Rollen und Verantwortlichkeiten im Unternehmen sowie Ansprechpartner beim Anbieter.

• Risikoeinordnung nach dem EU AI Act und dokumentierte Gründe, warum bestimmte Pflichten gelten oder nicht gelten.

• Datenschutzrechtliche Prüfung, einschließlich Rechtsgrundlage, Löschkonzept, Auftragsverarbeitung und gegebenenfalls Datenschutz-Folgenabschätzung.

• Maßnahmen zur menschlichen Kontrolle, Qualitätssicherung, Fehlerbehandlung und zum Umgang mit auffälligen Ergebnissen.

• Prüf- und Freigabeprozess vor dem Produktiveinsatz sowie Regeln für Änderungen, Updates und die Beendigung der Nutzung.

Diese Unterlagen müssen nicht in einem einzigen Dokument stehen. Ein KI-Register kann den Überblick schaffen, während Datenschutzdokumentation, Verträge, Testprotokolle und interne Richtlinien getrennt geführt werden. Entscheidend ist, dass die Unterlagen aufeinander verweisen und im Prüfungsfall auffindbar sind.

Datenschutz nicht als Anlage behandeln

Viele KI-Projekte scheitern nicht an der Technik, sondern an ungeklärten Datenflüssen. Werden personenbezogene Daten in ein externes KI-System eingegeben, muss das Unternehmen prüfen, ob dies zulässig ist und welche vertraglichen sowie technischen Voraussetzungen gelten. Bei Diensten außerhalb des Europäischen Wirtschaftsraums können zusätzlich Anforderungen an internationale Datenübermittlungen entstehen.

Besondere Vorsicht ist bei Bewerbungsunterlagen, Leistungsdaten von Beschäftigten, Gesundheitsdaten, Kundendaten und vertraulichen Vertragsinformationen geboten. Eine interne Vorgabe, solche Daten nicht in frei verfügbare KI-Dienste einzugeben, ist oft sinnvoll. Ob sie genügt, hängt jedoch vom Tool, den Zugriffsrechten und dem vorgesehenen Prozess ab.

Die Dokumentation sollte deshalb nicht nur beschreiben, welche Daten verarbeitet werden dürfen. Sie muss auch nachvollziehbar regeln, welche Daten ausgeschlossen sind, wie Eingaben kontrolliert werden und wann sie gelöscht werden. Bei hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Diese Prüfung sollte vor dem Einsatz erfolgen und bei wesentlichen Änderungen aktualisiert werden.

Menschliche Kontrolle muss praktisch funktionieren

„Ein Mensch prüft die Ergebnisse“ ist nur dann eine wirksame Schutzmaßnahme, wenn klar ist, wer prüft, nach welchen Kriterien und mit welcher Befugnis. Eine rein formale Freigabe am Ende eines automatisierten Prozesses genügt nicht, wenn die prüfende Person die Entscheidung faktisch nicht nachvollziehen oder korrigieren kann.

Das gilt besonders für KI-gestützte Entscheidungen im Personalbereich, bei Bonitäts- oder Risikobewertungen, im Kundenservice und bei der Priorisierung von Vorgängen. Unternehmen sollten dokumentieren, wann KI-Ergebnisse verworfen werden müssen, wie Fehler gemeldet werden und welche Alternative bei einem Systemausfall vorgesehen ist.

Für Beschäftigte muss außerdem verständlich sein, welche Nutzung erlaubt ist. Schulungen und klare Arbeitsanweisungen sind kein Selbstzweck. Sie belegen, dass die Organisation ihre Kontrollpflichten ernst nimmt. Der EU AI Act verlangt für bestimmte Rollen zudem ein angemessenes Maß an KI-Kompetenz. Was angemessen ist, richtet sich nach Aufgabe, Risiko und Vorkenntnissen der betroffenen Personen.

Änderungen, Updates und Schatten-KI erfassen

Dokumentation ist keine einmalige Projektaufgabe. KI-Systeme ändern sich durch neue Modellversionen, geänderte Vertragsbedingungen, neue Funktionen oder andere Datenquellen. Ein Update kann die Risikobewertung verändern, etwa wenn ein bislang isoliertes Tool künftig auf interne Unternehmensdaten zugreifen darf.

Sinnvoll ist ein einfacher Änderungsprozess: Die verantwortliche Fachabteilung meldet relevante Anpassungen, Datenschutz und IT prüfen die Auswirkungen, und der Freigabestatus wird aktualisiert. Bei besonders sensiblen Einsatzfällen sollte vor der Änderung erneut getestet werden.

Ein weiterer Praxispunkt ist Schatten-KI: Mitarbeitende nutzen nicht freigegebene Tools, weil sie schnell verfügbar sind. Verbote allein lösen das Problem selten. Besser ist eine Kombination aus klaren Regeln, geeigneten freigegebenen Werkzeugen und einem nachvollziehbaren Meldeweg für neue Anwendungsfälle. So bleibt Innovation möglich, ohne dass vertrauliche Daten oder rechtliche Risiken aus dem Blick geraten.

Wann eine rechtliche Prüfung sinnvoll ist

Eine individuelle Prüfung empfiehlt sich insbesondere vor dem Einsatz von KI in Personalentscheidungen, bei der Verarbeitung sensibler Daten, bei automatisierten Bewertungen von Personen oder wenn ein Unternehmen eigene KI-Lösungen entwickelt und vermarktet. Gleiches gilt, wenn Kunden vertragliche Nachweise zur KI-Governance verlangen oder sich die Rolle des Unternehmens nach dem EU AI Act nicht eindeutig bestimmen lässt.

Die Quteco Rechtsanwaltsgesellschaft unterstützt Unternehmen bei der rechtlichen Einordnung von KI-Einsatzfällen, beim Aufbau passender Dokumentationsstrukturen und bei der Abstimmung mit Datenschutz, IT und Personalbereich. Eine frühe Prüfung ist meist einfacher als die nachträgliche Rekonstruktion unklarer Prozesse. Gute KI-Dokumentation schafft damit vor allem eines: Entscheidungen bleiben nachvollziehbar, auch wenn die Technik sich weiterentwickelt.