KI Entscheidungen dokumentieren: Was in eine belastbare Entscheidungsvorlage gehört

Entscheidungsgegenstand und Geschäftszweck eindeutig benennen

Die Vorlage sollte nicht lediglich die Einführung eines Produktnamens beantragen. Sie muss beschreiben, welcher konkrete Einsatz mit welcher System- und Modellversion freigegeben werden soll, wer ihn nutzt und welchen Prozess er beeinflusst. Anbieter, Vertragsmodell, Schnittstellen und betroffene Gesellschaften sind ebenso zu nennen. Nur ein klarer Gegenstand erlaubt später die Feststellung, ob eine Nutzung noch vom Beschluss umfasst oder bereits eine nicht genehmigte Zweckänderung ist.

Der Geschäftszweck muss überprüfbar formuliert werden. Aussagen wie Effizienzsteigerung genügen nicht, wenn weder Ausgangslage noch erwarteter Nutzen feststehen. Zweck, messbare Annahmen, Umfang und ausgeschlossene Nutzungen gehören zusammen. Bei einem Pilot sind Nutzerzahl, Dauer, Datenarten und Außenwirkung zu begrenzen. Die Vorlage sollte außerdem erklären, warum die Entscheidung auf Organebene oder nach der internen Freigabematrix gerade bei der gewählten Stelle liegt.

• Konkreter Use Case statt bloßer Produktname
• System, Modellversion, Anbieter und betroffene Gesellschaft
• Messbarer Geschäftszweck und klare Ausschlüsse
• Zuständigkeit nach Kompetenzordnung und Risikostufe

Quellen: [1] [2]

Rechtsprüfung und zeitliche Einordnung verdichten

Die rechtliche Einordnung sollte die Rolle des Unternehmens, mögliche Verbote, Transparenzpflichten und eine etwaige Hochrisikoeinstufung nachvollziehbar darstellen. Daneben sind DSGVO, Geheimnisschutz, Arbeits- und Gleichbehandlungsrecht, Urheberrecht, Produktsicherheit sowie sektorspezifische Vorgaben zu prüfen. Eine pauschale Aussage, der Einsatz sei zulässig, ist weniger belastbar als eine strukturierte Darstellung der geprüften Tatbestände, Annahmen, Ausnahmen und verbleibenden offenen Punkte.

Auch das Anwendungsdatum gehört in die Vorlage. Rechtsstand 16. September 2026 gelten Teile des AI Act bereits, während die zentralen Hochrisikopflichten für Anhang III grundsätzlich am 2. Dezember 2027 und für Anhang I am 2. August 2028 beginnen. Die Dokumentation sollte vermeiden, aus diesen Fristen einen allgemeinen Aufschub abzuleiten. Sie sollte vielmehr festhalten, welche Regeln heute gelten und welche Vorbereitungen für spätere Pflichten vertraglich oder technisch nötig sind.

• Rolle und Rechtskategorie des konkreten Einsatzes
• Geprüfte Tatbestände, Ausnahmen und andere Rechtsgebiete
• Heute anwendbare und später beginnende Pflichten
• Erforderliche Vorbereitungsschritte mit Verantwortlichen

Quellen: [3] [4] [5]

Risiken, Tests und Kontrollen entscheidungsfähig aufbereiten

Die Vorlage sollte wesentliche Fehler- und Missbrauchsszenarien erklären, nicht nur eine Risikofarbe zeigen. Welche Personen können betroffen sein, welche Schäden sind denkbar, wie wahrscheinlich oder schwer erkennbar sind Fehler und lassen sich Folgen korrigieren? Technische Tests müssen zum Einsatzkontext passen und ihre Grenzen offenlegen. Durchschnittliche Genauigkeit allein beantwortet nicht, ob seltene, aber gravierende Fehlentscheidungen ausreichend kontrolliert werden.

Für jedes wesentliche Risiko sind bestehende und geplante Kontrollen mit Verantwortlichen zu nennen. Dazu gehören Berechtigungen, Datenregeln, menschliche Überprüfung, Stichproben, Protokollierung, Qualitätskennzahlen, Sicherheitsmaßnahmen und Abschaltmöglichkeiten. Entscheidend ist die Wirksamkeit im Betrieb. Eine Kontrolle, die nur als Policy-Satz existiert, aber weder technisch durchgesetzt noch überwacht wird, darf nicht wie eine vollständig wirksame Risikominderung behandelt werden.

• Konkrete Fehler-, Missbrauchs- und Schadensszenarien
• Tests, Datengrundlage und methodische Grenzen
• Kontrolleigner, Frequenz und prüfbare Evidenz
• Restrisiko nach tatsächlich wirksamen Maßnahmen

Quellen: [3] [1]

Alternativen, Expertise und Gegenpositionen festhalten

Eine Entscheidungsvorlage ist keine Vertriebsunterlage für das bevorzugte Projekt. Sie sollte realistische Alternativen vergleichen, etwa manuelle Bearbeitung, geringere Automatisierung, andere Daten, einen kontrollierten Pilot, einen alternativen Anbieter oder Verzicht. Nutzen, Kosten, Rechtmäßigkeit, Kontrollierbarkeit und Reversibilität gehören in denselben Vergleich. Nur so erkennt das Organ, ob ein weniger riskanter Weg den wesentlichen Geschäftszweck ebenfalls erreicht.

Eingeholte interne und externe Expertise ist mit Auftrag, Datum, Systemstand und wesentlichen Einschränkungen anzuführen. Abweichende Bewertungen dürfen nicht aus der Hauptvorlage verschwinden. Wenn Datenschutz, Informationssicherheit oder Legal Bedenken äußern, sollte klar werden, ob diese ausgeräumt, durch Bedingungen adressiert oder bewusst als Restrisiko akzeptiert werden. Das Organ benötigt gerade die strittigen Punkte, um eine eigenständige Entscheidung zu treffen.

• Mindestens eine realistische Handlungsalternative
• Vergleich von Nutzen, Kosten und Risikokontrolle
• Auftrag und Grenzen externer sowie interner Stellungnahmen
• Gegenstimmen und Umgang mit offenen Bedenken

Quellen: [1] [2]

Beschluss, Bedingungen und Eskalation präzise protokollieren

Der Beschluss sollte mehr enthalten als genehmigt oder abgelehnt. Bei einer Freigabe sind Zweck, Umfang, Laufzeit, Bedingungen, ausgeschlossene Nutzungen und verantwortliche Person eindeutig festzulegen. Berichtspflichten, Kontrollintervalle und messbare Schwellen helfen, den Beschluss in den Betrieb zu übersetzen. Werden Bedingungen vor dem Start verlangt, muss dokumentiert sein, wer ihre Erfüllung prüft und ob eine gesonderte Startfreigabe erforderlich ist.

Stoppschwellen und Eskalationswege gehören in denselben Beschluss. Beispiele sind erhebliche Beschwerden, Sicherheitsvorfälle, unzulässige Datenverarbeitung, auffällige Fehlerraten, Umgehung menschlicher Kontrolle oder Nutzung außerhalb des genehmigten Zwecks. Für eine Wiederfreigabe sollten Ursachenanalyse, Abhilfen und erneute Prüfung verlangt werden. So bleibt die Verantwortung nicht bei einer abstrakten Systemowner-Rolle hängen, sondern wird konkreten Funktionen und Fristen zugeordnet.

• Eindeutiger Beschlusstenor mit Grenzen und Laufzeit
• Vorbedingungen und verantwortliche Abnahme
• Berichte, Kennzahlen und Eskalationsschwellen
• Voraussetzungen für Aussetzung und Wiederfreigabe

Quellen: [1] [2] [3]

Versionierung, Zugriff und Beweiswert richtig organisieren

Nachweise sollten so gespeichert werden, dass der tatsächliche Informationsstand im Entscheidungszeitpunkt erkennbar bleibt. Dazu gehören die beschlossene Vorlage, Anlagen, technische Testberichte, rechtliche Stellungnahmen, Vertragsfassungen und Protokollauszüge mit Versionsangaben. Spätere Aktualisierungen dürfen die historische Fassung nicht überschreiben. Zugriffsrechte müssen Vertraulichkeit sichern, zugleich aber Revision, Rechtsabteilung und zuständigen Organen eine nachvollziehbare Prüfung ermöglichen.

Dokumentation ist Governance-Instrument und mögliches Beweismittel, aber keine Haftungsgarantie. Eine umfangreiche Akte kann eine unzureichende Informationsgrundlage, sachfremde Entscheidung oder fehlende Umsetzung nicht heilen. Ebenso kann ein zu perfektes, nachträglich bereinigtes Protokoll seine Glaubwürdigkeit verlieren. Entscheidend sind zeitnahe, wahrheitsgemäße und entscheidungsrelevante Aufzeichnungen sowie die tatsächliche Umsetzung der beschlossenen Kontrollen und Berichte.

• Unveränderbare historische Entscheidungsfassung
• Versionierte Anlagen und nachvollziehbare Verweise
• Rollenbasierter Zugriff und angemessene Aufbewahrung
• Keine nachträgliche Glättung von Unsicherheiten oder Gegenstimmen

Quellen: [1] [2] [5]

Häufige Fragen