Die KI-Anwendung ist ausgewählt, der Test überzeugt, die Fachabteilung möchte starten. Dann kommen die Fragen: Welche Daten dürfen hinein? Was regelt der Vertrag mit dem Anbieter? Wer prüft die Ergebnisse? Und wer entscheidet, wenn aus dem internen Assistenten plötzlich ein Werkzeug für die Kundenkommunikation wird?
Solche Fragen lassen sich weder ausschließlich technisch noch ausschließlich juristisch beantworten. KI-Compliance braucht rechtliche Einordnung und eine Organisation, die daraus funktionierende Abläufe macht.
Hier ergänzen sich die K11 Consulting GmbH und die K11 Rechtsanwaltsgesellschaft mbH. Die Kombination verbindet Unternehmensberatung mit anwaltlicher Rechtsberatung. Ihr gemeinsamer Ansatz: KI-Vorhaben rechtlich fundiert gestalten und im Unternehmen verankern.
KI-Compliance bezeichnet die Einhaltung der rechtlichen und relevanten internen Anforderungen beim Einsatz künstlicher Intelligenz. Dazu gehört, die konkrete Anwendung zu bewerten, erforderliche Maßnahmen umzusetzen und deren Einhaltung nachvollziehbar zu organisieren.
Der EU AI Act bildet dafür einen wichtigen Rahmen. Welche Anforderungen einschlägig sind, hängt insbesondere von der Anwendung und der Rolle des Unternehmens ab. Daneben können etwa Datenschutzrecht, Urheberrecht, Arbeitsrecht und vertragliche Verpflichtungen relevant sein. Eine allgemeine Freigabe nach dem Muster „Dieses Tool ist rechtskonform“ greift deshalb häufig zu kurz.
Für ein Unternehmen ist entscheidend, wie es ein System verwendet: mit welchen Daten, für welche Aufgaben, gegenüber welchen Personen und unter welchen Kontrollen.
Die Begriffe überschneiden sich, beantworten aber unterschiedliche Fragen:
Eine gute Strategie berücksichtigt rechtliche Grenzen frühzeitig. Eine rechtliche Bewertung wiederum benötigt Informationen über den tatsächlichen Einsatz. Governance verbindet beides mit dem Betriebsalltag.
Das ist besonders im Mittelstand wichtig. Dort kann nicht für jedes KI-Projekt eine neue Abteilung entstehen. Wohl aber braucht jedes relevante Thema einen nachvollziehbaren Platz in der bestehenden Organisation.
Die K11 Rechtsanwaltsgesellschaft übernimmt die anwaltliche Perspektive. Sie ordnet rechtliche Anforderungen ein, bewertet konkrete KI-Vorhaben und unterstützt bei deren rechtlicher Gestaltung. Dazu gehören beispielsweise die Prüfung von Anbieterbedingungen, die Ausgestaltung interner Nutzungsregeln und die Klärung rechtlicher Verantwortlichkeiten.
K11 Consulting begleitet die organisatorische Umsetzung. Aus Anforderungen werden ein KI-Inventar, definierte Rollen, Bewertungs- und Freigabeprozesse sowie eine geeignete Dokumentation. Schulungen, Kontrollen und die Weiterentwicklung von Managementsystemen helfen, diese Strukturen dauerhaft nutzbar zu halten.
Die Verbindung ist gerade an den Übergängen wertvoll: Eine rechtliche Vorgabe muss für die Fachabteilung verständlich und für die IT umsetzbar sein. Umgekehrt können technische Einschränkungen oder veränderte Abläufe eine erneute juristische Bewertung erforderlich machen.
Der One-Stop-Shop-Ansatz steht dabei für abgestimmte Zusammenarbeit zweier eigenständiger Gesellschaften. Beauftragung, Zuständigkeiten und Informationsflüsse sollten für das jeweilige Projekt klar festgelegt sein. Anwaltliche Rechtsberatung und Unternehmensberatung bleiben unterscheidbare Leistungen, die aufeinander aufbauen.
Eine Richtlinie kann festlegen, dass vertrauliche Informationen nur in freigegebenen Anwendungen verarbeitet werden dürfen. Damit ist allerdings noch nicht geklärt, welche Anwendungen freigegeben sind, wer darüber entscheidet und wie Beschäftigte eine neue Lösung prüfen lassen können.
Genau diese Übersetzung gehört zur KI-Governance. Benötigt werden beispielsweise eine aktuelle Übersicht der eingesetzten Systeme, verständliche Nutzungsvorgaben und ein erreichbarer Ansprechpartner. Ebenso sollte feststehen, wann eine Freigabe erneut geprüft wird.
Eine Regel, die niemand findet oder im Arbeitsalltag nicht anwenden kann, hat vor allem einen ordentlichen Dateinamen.
Die Zusammenarbeit von Rechtsberatung und Consulting setzt deshalb nicht beim Dokument als Endprodukt an. Entscheidend ist, was sich durch dieses Dokument im Unternehmen konkret verändert.
Ein mittelständisches Unternehmen möchte einen KI-Assistenten einsetzen. Er soll Produktinformationen zusammenfassen, Entwürfe für Angebote vorbereiten und Fragen aus internen Unterlagen beantworten. Das folgende Szenario ist ein beispielhafter Projektablauf, keine Darstellung eines konkreten K11-Mandats.
Zunächst wird das Ziel eingegrenzt. Soll die Anwendung lediglich Informationen auffinden oder bereits Preise und Leistungszusagen formulieren? Welche Tätigkeiten bleiben bei den Beschäftigten? Welche Verbesserung müsste der Pilot erreichen, damit sich die Einführung lohnt?
Dann folgt die rechtliche Bewertung. Zu prüfen ist beispielsweise, ob Kundendaten und vertrauliche Vertragsunterlagen verarbeitet werden dürfen. Welche Nutzungsrechte bestehen an den eingebundenen Inhalten? Welche Regelungen enthält der Anbietervertrag zu Datenverwendung, Vertraulichkeit, Haftung und Vertragsende? Sind zusätzliche datenschutzrechtliche Vereinbarungen oder Prüfungen erforderlich?
Anschließend werden die Ergebnisse in Abläufe übersetzt. K11 Consulting kann dabei unterstützen, zulässige Datenquellen, Zugriffsrollen und Freigabeschritte zu strukturieren. Eine mögliche Vorgabe wäre, dass der Assistent Entwürfe vorbereitet, verbindliche Angebote aber erst nach fachlicher Prüfung versendet werden.
Rechtsberatung und Umsetzung greifen dabei ineinander: Die rechtliche Bewertung beeinflusst die Konfiguration. Die tatsächlich verfügbaren technischen Funktionen beeinflussen wiederum, welche Nutzung vertretbar ist.
Ändert sich später der Einsatzzweck, sollte auch die Bewertung überprüft werden. Ein intern getesteter Assistent ist nicht automatisch für die unbeaufsichtigte Kommunikation mit Kunden freigegeben. Die ursprüngliche Freigabe gilt für einen beschriebenen Einsatz, nicht für jede spätere Idee.
KI-Projekte treffen meist auf bestehende Strukturen. Unternehmen verfügen häufig bereits über Datenschutzprozesse, Informationssicherheitsregeln, Einkaufsvorgaben oder ein Risikomanagement. Diese Strukturen sollten bei der KI-Einführung berücksichtigt werden.
Ein neuer KI-Dienst kann beispielsweise gleichzeitig eine Lieferantenprüfung, eine datenschutzrechtliche Bewertung und eine Prüfung der Zugriffsrechte erfordern. Werden diese Aufgaben getrennt organisiert, drohen doppelte Abfragen und widersprüchliche Ergebnisse.
K11 Consulting unterstützt dabei, Datenschutz, Informationssicherheit und KI-Governance aufeinander abzustimmen. Die anwaltliche Bewertung liefert dazu die rechtlichen Anforderungen für den konkreten Fall.
Für einen systematischen Aufbau kann außerdem ISO/IEC 42001 als Rahmen für ein KI-Managementsystem dienen. Die Norm behandelt den Aufbau, die Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines solchen Systems. Sie ersetzt jedoch nicht die rechtliche Prüfung einzelner Anwendungen.
Nach der Einführung bleiben Aufgaben bestehen: Neue Anwendungen kommen hinzu, Anbieter ändern Funktionen, Beschäftigte wechseln und rechtliche Anforderungen entwickeln sich weiter.
Ein AI Officer kann diese Themen koordinieren. Die Rolle hilft beispielsweise, das KI-Inventar aktuell zu halten, Prüfungen anzustoßen und Fachabteilungen, Datenschutz, IT und Rechtsberatung zusammenzubringen. Sie ersetzt weder die anwaltliche Einzelfallberatung noch die Entscheidungen der verantwortlichen Unternehmensleitung.
Eine pauschale gesetzliche Pflicht, jedes Unternehmen müsse einen AI Officer benennen, lässt sich daraus nicht ableiten. Auch die Europäische Kommission stellt klar, dass Artikel 4 des AI Act keine bestimmte Governance-Struktur vorschreibt.
Ergänzend sorgen anwendungsbezogene KI-Schulungen dafür, dass Beschäftigte die betrieblichen Regeln verstehen und Ergebnisse angemessen prüfen können.
Am Anfang steht eine gemeinsame Bestandsaufnahme: Welche KI-Systeme werden bereits genutzt? Welche Projekte sind geplant? Wo bestehen ungeklärte Rechtsfragen, fehlende Zuständigkeiten oder Lücken in der Dokumentation?
Daraus lässt sich eine priorisierte Vorgehensweise entwickeln. Nicht jede Anwendung benötigt dieselbe Prüftiefe. Maßgeblich sind der konkrete Einsatz, die betroffenen Daten und Personen sowie die möglichen Folgen von Fehlern.
Für Unternehmen kann der Einstieg deshalb ein einzelnes Vorhaben sein: ein geplanter KI-Assistent, eine Vertragsprüfung oder die Überarbeitung bestehender Nutzungsregeln. Daraus kann bei Bedarf eine längerfristige Begleitung entstehen. Umfang und Aufgaben sollten sich am tatsächlichen Bedarf orientieren.
Die Kombination aus K11 Consulting und K11 Rechtsanwaltsgesellschaft verbindet zwei Aufgaben, die beim KI-Einsatz zusammengehören: rechtliche Fragen belastbar bewerten und die Ergebnisse in funktionierende Strukturen übersetzen.
KI-Compliance wird dadurch zu einer Verbindung aus Strategie, klaren Entscheidungen, geeigneten Abläufen und laufender Überprüfung. Der Anspruch ist nicht, jedes Risiko verschwinden zu lassen. Er ist, Risiken zu erkennen, Verantwortlichkeiten zu klären und KI-Vorhaben nachvollziehbar zu gestalten.
Wer dafür Unterstützung sucht, kann mit K11 zunächst klären, an welcher Stelle Rechtsberatung, organisatorische Umsetzung oder die Kombination beider Perspektiven benötigt wird.