Praxisleitfaden zum KI-Einsatz mit begrenztem oder minimalem Risiko
Worum geht es?
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV) hat im Juli 2026 einen praxisorientierten Leitfaden zum datenschutzkonformen und digital-souveränen Einsatz von Künstlicher Intelligenz veröffentlicht.
Anders als die meisten bestehenden Leitfäden, die sich schwerpunktmäßig mit Hochrisiko-KI-Systemen befassen, konzentriert sich dieser Leitfaden bewusst auf KI-Systeme mit begrenztem oder minimalem Risiko, also die in der Praxis besonders häufigen Anwendungsfälle wie interne Chatbots, Textzusammenfassungen oder Recherche-Tools. Er richtet sich sowohl an kleinere Verwaltungen als auch an kleine und mittelständische Unternehmen (KMU).
Für wen ist der Leitfaden relevant?
Der Leitfaden richtet sich an alle Organisationen, die KI-Systeme mit begrenztem oder minimalem Risiko im Sinne der KI-Verordnung einsetzen oder anbieten, unabhängig davon, ob personenbezogene Daten verarbeitet werden. Praktisch betrifft dies vor allem:
Betreiber, die KI-Systeme im eigenen Geschäftsbetrieb einsetzen, z. B. interne Chatbots, Textzusammenfassungen, Recherche- oder Formulierungshilfen;
Werden bei dem KI-Einsatz personenbezogene Daten verarbeitet, gelten zusätzlich die Anforderungen der DSGVO entlang des gesamten KI-Lebenszyklus.
Risikostufen im Überblick
Die KI-Verordnung unterscheidet vier Risikostufen. Der Leitfaden konzentriert sich auf die beiden unteren Stufen:
Risikostufe | Bedeutung |
Unannehmbares Risiko | Verbotene Praktiken nach Art. 5 KI-VO (z. B. Social Scoring, manipulative KI-Systeme). |
Hohes Risiko | Besondere Pflichten nach Art. 6 ff. KI-VO (z. B. KI-Systeme zur Bewertung von Lernergebnissen oder zur Personalauswahl). Nicht Gegenstand dieses Leitfadens. |
Begrenztes Risiko | Transparenzpflichten nach Art. 50 KI-VO, z. B. für Chatbots oder Systeme, die synthetische Inhalte erzeugen. |
Minimales Risiko | Keine speziellen Verpflichtungen außer den KI-Kompetenz-Pflichten nach Art. 4 KI-VO (z. B. Spam-Filter, KI-Systeme zur Recherche). |
Der empfohlene Managementprozess
Der LfDI MV empfiehlt ausdrücklich die Etablierung eines strukturierten KI-Managementprozesses, um eine hinreichende „KI-Qualität“, also einen zuverlässigen, sicheren, fairen und rechtskonformen Einsatz sicherzustellen und die kontinuierliche Gesetzeskonformität zu gewährleisten. Beauftragte für Datenschutz, Informationssicherheit sowie ggf. der Betriebs- oder Personalrat sollten dabei eingebunden werden.
Konkret schlägt der Leitfaden folgende Maßnahmen vor:
KI-Managementprozess
| |||
Prozess etablieren M 0.1 | Bestand erfassen M 1.1 | Rolle bestimmen M 1.2 | Risiko einstufen M 1.3 |
↓ | |||
Datenschutz prüfen M 1.4 | KI-VO-Pflichten umsetzen M 1.5 | Technik dokumentieren M 1.6 | Kontinuierlich überprüfen Plan, Do, Check, Act |
Maßnahme | Inhalt |
M 0.1 Prozess für KI-Management | Etablierung eines kontinuierlichen KI-Managementprozesses (angelehnt an den Plan-Do-Check-Act-Zyklus des Standard-Datenschutzmodells). |
M 1.1 Bestandsaufnahme und Dokumentation | Vollständige Dokumentation aller KI-Systeme: funktionale Anforderungen, verarbeitete Daten, Anwendungsfall und ggf. Rechtsgrundlage. Auch für Bestandssysteme nachzuholen. |
M 1.2 Rollenbestimmung | Feststellung, ob die Organisation Anbieter, Betreiber oder eine andere Rolle nach Art. 3 Nr. 8 KI-VO einnimmt. |
M 1.3 Risikoeinstufung | Einordnung des konkreten Anwendungsfalls in eine der vier Risikostufen der KI-Verordnung. |
M 1.4 Anforderungen bei personenbezogenen Daten | Sicherstellung von Rechtsgrundlage und Zweckbindung, Umsetzung der Betroffenenrechte entlang des KI-Lebenszyklus, ggf. Datenschutz-Folgenabschätzung. |
M 1.5 Anforderungen nach der KI-Verordnung | Sicherstellung ausreichender KI-Kompetenz (Art. 4 KI-VO) sowie Erfüllung der Transparenzpflichten für Systeme mit begrenztem Risiko (Art. 50 KI-VO). |
M 1.6 Geeignete technische Umsetzung | Architektur- und Betriebsentscheidungen (z. B. intern vs. Cloud), Datenqualität, digitale Souveränität und Sicherheit entlang des gesamten KI-Lebenszyklus dokumentieren. |
KI-Kompetenz und Transparenzpflichten
Unabhängig von der Risikoeinstufung müssen Anbieter und Betreiber nach Art. 4 KI-VO ein „ausreichendes Maß“ an KI-Kompetenz sicherstellen. Was ausreichend ist, hängt vom konkreten KI-System, der Risikoeinstufung und der Aufgabe des eingesetzten Personals ab – neben technischem und rechtlichem Wissen kann dies auch Risikobewusstsein und praktische Anwendungsfertigkeiten umfassen.
Für KI-Systeme mit begrenztem Risiko (z. B. Chatbots oder Systeme zur Erzeugung synthetischer Inhalte) gelten zusätzlich die Transparenzpflichten nach Art. 50 KI-VO. Die notwendigen Informationen müssen spätestens bei der ersten Interaktion klar, eindeutig und barrierefrei bereitgestellt werden. Für KI-Systeme mit minimalem Risiko regt Art. 95 KI-VO die freiwillige Einhaltung eines Verhaltenskodex an.
Technische Umsetzung: digitale Souveränität im Fokus
Der Leitfaden legt besonderen Wert auf die technische Ausgestaltung des KI-Betriebs:
Ein interner (on-premise) Betrieb ist im Hinblick auf die volle Kontrolle über Daten und System einem externen Cloud-Betrieb grundsätzlich vorzuziehen;
wird dennoch eine Cloud-Lösung genutzt, sollten die DSK-Kriterien für souveräne Clouds und ein Ausschluss der Einflussnahme von Drittstaaten beachtet werden;
Open-Source-Lösungen, offene Schnittstellen und Formate tragen zur digitalen Souveränität bei und reduzieren Abhängigkeiten von einzelnen Anbietern;
allgemeine generative KI-Systeme liefern bei fachlichen Nischen oder proprietären Daten oft ungenügende Ergebnisse; Retrieval Augmented Generation (RAG) kann hier Abhilfe schaffen;
auch bei gut funktionierenden Systemen sollte stets sichergestellt sein, dass der Mensch letztverantwortlich entscheidet, dies gilt besonders für KI-Agenten mit hoher operativer Autonomie.
Ausblick: KI-Agenten
Im Anhang des Leitfadens geht der LfDI MV zusätzlich auf KI-Agenten ein, die sich durch eine deutlich höhere operative Autonomie von klassischen KI-Systemen unterscheiden. Ungemanagte KI-Agenten stellen nach Einschätzung des LfDI MV ein nicht kalkulierbares Sicherheitsrisiko dar. Organisationen sollten daher geeignete Steuerungs- und Organisationsprozesse etablieren und Themen wie Datenminimierung, Zugriffsrechte, Löschkonzepte und die Absicherung gegen Manipulation (z. B. Prompt Injection) aktiv managen.
Handlungsempfehlungen
Wir empfehlen, zeitnah folgende Punkte zu prüfen:
Bestandsaufnahme: Welche KI-Systeme setzt Ihr Unternehmen ein oder bietet es an, und welcher Risikostufe sind diese zuzuordnen?
Rollen- und Pflichtenbestimmung: Sind Sie Anbieter, Betreiber oder beides und welche konkreten Pflichten ergeben sich daraus?
Datenschutz-Check: Werden personenbezogene Daten verarbeitet? Liegt eine Rechtsgrundlage vor, sind die Verträge ausreichend, liegt eine Drittstaatenübermittlung vor und ist eine Datenschutz-Folgenabschätzung erforderlich?
KI-Kompetenz: Ist ein ausreichendes Maß an KI-Kompetenz bei den beteiligten Mitarbeitenden sichergestellt (Art. 4 KI-VO)?
Technische Umsetzung: Ist die Architektur (intern vs. Cloud) im Hinblick auf Sicherheit, digitale Souveränität und Datenqualität geprüft?
KI-Management-Prozess: Existiert ein strukturierter, kontinuierlicher Prozess zur Sicherstellung der Rechtskonformität, inklusive Einbindung von Datenschutz- und IT-Sicherheitsbeauftragten sowie eine entsprechende Arbeitsanweisung für Mitarbeitende?
KI-Agenten: Werden bereits autonom agierende KI-Agenten eingesetzt oder geplant? Falls ja, sind geeignete Steuerungs- und Sicherheitsmaßnahmen geprüft.
Für Rückfragen stehen wir Ihnen gerne zur Verfügung.
Quellen: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV), Datenschutzkonformer und digital-souveräner Einsatz von Künstlicher Intelligenz mit beschränktem oder minimalem Risiko – Ein praxisorientierter Leitfaden, Stand Juli 2026; Verordnung (EU) 2024/1689 (KI-Verordnung).
Bildnachweis:HudHudPro/Stock-Fotografie-ID:2202248282
