Beratung
Beratung heißt hier: Es gibt etwas noch nicht, und ich baue es mit Ihnen auf. Ein KI-Register, das nach dem dritten Monat noch gepflegt wird. Ein Managementsystem, das die Zertifizierung besteht. Beschäftigte, deren Kompetenz sich nachweisen lässt.
Ich arbeite in abgegrenzten Paketen mit Festpreis und Lieferdatum, nicht in offenen Tagessätzen. Das hat einen praktischen Grund: Ich führe diese Beratung neben einer Anstellung und verkaufe deshalb nie Verfügbarkeit, sondern immer ein Ergebnis mit Termin. Für Sie hat das den Vorteil, dass Sie vorher wissen, was es kostet.
KI-Verordnung umsetzen
Zuerst die Entwarnung, die Ihnen sonst niemand gibt: Die Hochrisiko-Pflichten der KI-Verordnung wurden per Digital Omnibus auf frühestens Dezember 2027 beziehungsweise August 2028 verschoben. Was aber bereits gilt:
- Art. 4 – KI-Kompetenz. Gilt seit Februar 2025. Ihre Beschäftigten müssen im Umgang mit KI kompetent sein, und Sie müssen das nachweisen können.
- Art. 5 – verbotene Praktiken. Ebenfalls seit Februar 2025. Hier gibt es keine Übergangsfrist und keine Toleranz.
- Pflichten für Allzweck-KI-Modelle (Art. 53 ff.). Seit August 2025.
- Art. 50 – Transparenz. Chatbots, generierte und synthetische Inhalte müssen gekennzeichnet sein.
Der erste Schritt ist immer derselbe: herausfinden, was im Haus überhaupt läuft. Danach folgt die Einstufung, und erst daraus ergeben sich Pflichten.
- KI-System-Steckbrief: Zweck, Daten, Modell, Anbieter, Nutzerkreis, Einsatzkontext
- Rollenbestimmung nach Art. 3/25 – Anbieter, Betreiber, Importeur, Händler – inklusive Begründung
- Risikoklassifizierung nach Art. 5, Anhang I und III, Art. 50 oder minimal
- Abgrenzungsvermerk „kein KI-System im Sinne von Art. 3 Nr. 1“
- KI-Register aufsetzen: Struktur, Pflegeprozess, Verantwortlichkeiten
- KI-Richtlinie mit Freigabe- und Meldeprozess
- Pflichtenübersicht Betreiber nach Art. 26, Transparenzumsetzung nach Art. 50
- KI-Klauselset bzw. KI-Vertragsanhang
- Grundrechte-Folgenabschätzung nach Art. 27 (FRIA)
- Rollen- und Umsetzungsprüfung KI-Verordnung
Managementsystem aufbauen
Wenn Ihre Kunden anfangen, nach einem Zertifikat zu fragen, ist das selten eine regulatorische Anforderung – es ist Lieferkettendruck. Ich baue beide Systeme auf, das Informationssicherheits-Managementsystem nach ISO/IEC 27001 und das KI-Managementsystem nach ISO/IEC 42001, einzeln oder als ein integriertes System mit gemeinsamer Dokumentenlenkung, gemeinsamem Risikoprozess und einer Managementbewertung statt zweier.
- Gap-Analyse. Wo stehen Sie gegenüber Normteil und Annex A, was ist bereits abgedeckt, was fehlt wirklich? Ergebnis: priorisierter Maßnahmenplan mit Aufwandsschätzung.
- Aufbau ISO 27001. Scope und Kontext, Risikomethodik und Risikobehandlung, Statement of Applicability, Richtlinien und Betriebsprozesse, Nachweisführung. Typisch 6–9 Monate.
- Aufbau ISO 42001. KI-Politik, Rollen, Auswirkungsanalyse, Lebenszyklusprozesse, Datenanforderungen, Drittparteienmanagement, Dokumentation. Typisch 6–8 Monate, deutlich kürzer auf einer bestehenden ISO 27001.
- Zertifizierungsreife. Begleitung bis Stage 2, Zuarbeit zur Managementbewertung, Vorbereitung der Nachweisführung.
Jede Stufe wird einzeln beauftragt, mit Festpreis und Lieferdatum. Eine Zertifizierungsgarantie gibt es nicht – über die Zertifizierung entscheidet die Zertifizierungsstelle, nicht Ihr Berater.
Schulungen
Art. 4 der KI-Verordnung verlangt nicht, dass Sie schulen. Er verlangt, dass Ihre Beschäftigten kompetent sind – und dass Sie das nachweisen können. Das ist ein Unterschied, den die meisten Anbieter überspringen: Eine Schulungseinladung im Posteingang ist kein Nachweis. Eine Kompetenzmatrix mit Rollenzuordnung, Inhalten und Teilnahmedokumentation ist einer.
- KI-Kompetenz nach Art. 4 KI-VO – für alle Beschäftigten oder rollenspezifisch für Entwicklung, Einkauf, Fachbereich und Geschäftsleitung
- Datenschutz-Grundlagen und rollenspezifische Vertiefung
- Informationssicherheit im Arbeitsalltag
- Fallbasierte Führungskräftemodule – was tun, wenn die Datenpanne am Freitagnachmittag auffällt
- Live-Einheit remote, 90 Minuten, bis 30 Teilnehmende, inklusive Teilnahmenachweis
- Rollenmodul über 3 Stunden, Reihe aus drei Einheiten KI-Kompetenz, Wiederholungen für weitere Gruppen
- Kompetenzmatrix und Nachweisführung
Der Unterschied, den die meisten unterschätzen
Datenschutz, Informationssicherheit, KI-Regulierung und internes Kontrollsystem verlangen in weiten Teilen dasselbe – in vier verschiedenen Sprachen. Wer das nicht zusammenführt, dokumentiert dieselbe Kontrolle viermal und pflegt sie anschließend nirgends.
Ich bilde die Anforderungen aufeinander ab: eine Kontrolle, ein Nachweis, vier erfüllte Rahmenwerke. Das setzt voraus, dass ISO 27001, DSGVO, ISO 42001 und IKS in einer Person zusammenkommen – und genau das ist der Grund, mich statt vier Spezialisten zu beauftragen.