Wie kommt ein AI-Use-Case sauber durch die Freigabe?
Zuletzt geprüft: 23. Juli 2026
Fünf Fragen entscheiden über die Freigabe eines AI-Use-Case: personenbezogene Daten, automatisierte Personenentscheidungen, EU-AI-Act-Risikoklasse, externes Basismodell und menschliche Prüfbarkeit. Wer den Baum sauber durchläuft, erreicht eine Freigabe in 5 Werktagen statt in 5 Monaten — Governance wird zum Beschleuniger, nicht zur Hürde.
Welche fünf Fragen entscheiden über die Freigabe?
Dieser Entscheidungsbaum führt durch den Freigabeprozess für jeden neuen AI-Use-Case. Er ersetzt keine Rechtsberatung, sondern gibt Orientierung für den internen Prozess — Schritt für Schritt, ohne Umwege.
Verarbeitet der Use Case personenbezogene Daten? Ja → weiter zu Frage 2. Nein → kein DSGVO-Review nötig, direkt weiter zu Frage 3.
Trifft das System automatisiert Entscheidungen über Personen? Ja → DSGVO Art. 22 Review, explizite Einwilligung oder Ausnahmetatbestand prüfen. Nein → Standard-Datenschutzfolgeabschätzung, weiter zu Frage 3.
Fällt der Use Case in eine EU-AI-Act-Hochrisiko-Kategorie? Ja → Hochrisiko-Prozess: Konformitätsbewertung, technische Dokumentation, menschliche Aufsicht. Nein → weiter zu Frage 4.
Nutzt der Use Case ein externes Basismodell (GPAI)? Ja → GPAI-Deployer-Pflichten prüfen: Nutzungspolitik, Output-Monitoring, Transparenzpflicht. Nein → weiter zu Frage 5.
Kann ein Mensch die Ergebnisse prüfen und überstimmen? Ja → Use Case kann genehmigt werden, Governance-Board-Freigabe einholen. Nein → menschliche Aufsicht einbauen oder Use Case nicht genehmigen.
Wie schwer wiegt das Risiko wirklich?
AI-Risiken unterscheiden sich fundamental von klassischen IT-Risiken: Sie sind emergent — sie entstehen durch Modellverhalten, nicht durch Konfigurationsfehler — und verändern sich durch Lernprozesse. Eine statische Bewertung reicht nicht, kontinuierliches Monitoring ist Pflicht.
Von geringer Qualität bis kritisches Datenleck
Kritische Ausprägung: eine Datenpanne im AI-System oder ein kritisches Datenleck.
Von sporadischen Halluzinationen bis autonomer Fehlentscheidung
Kritische Ausprägung: systematische Fehler oder eine autonome Fehlentscheidung ohne Aufsicht.
Von Dokumentationslücken bis AI-Act-Verletzung
Kritische Ausprägung: ein Hochrisiko-Use-Case ohne Review oder eine direkte EU-AI-Act-Verletzung.
Von Adoptionslücken bis kritischem Systemausfall
Kritische Ausprägung: Vendor-Lock-in ohne Exit-Strategie oder ein kritischer Systemausfall.
Der Baum ist bewusst als wiederholbarer Prozess gedacht, nicht als Einzelfallprüfung: Jeder neue Use Case durchläuft dieselben fünf Fragen, jede Antwort wird protokolliert, jede Freigabe ist im Nachhinein nachvollziehbar. Genau das unterscheidet einen Governance-Prozess, der Vertrauen aufbaut, von einer Ad-hoc-Entscheidung, die bei der nächsten Prüfung nicht mehr erklärbar ist.
Das unterschätzte Risiko: Prompt Injection ist 2026 der meistgenutzte Angriffsvektor auf AI-Agenten. Ein Angreifer bettet manipulative Anweisungen in Daten ein, die der Agent verarbeitet — und bringt ihn dazu, unbeabsichtigte Aktionen auszuführen. Bei Agenten mit Transaktionsberechtigung, etwa für Zahlungen oder Bestellungen, ist das kein theoretisches Risiko, sondern ein operatives. Mitigationen: Input Validation, Output Sandboxing, minimale Agent-Berechtigungen.
Glossar
Jeden Use Case in 5 Werktagen durch die Freigabe
Das Compliance Center führt jeden neuen Use Case automatisch durch den Entscheidungsbaum und dokumentiert das Ergebnis auditierbar.
AI Governance Check starten →FAQ
Ersetzt dieser Entscheidungsbaum eine Rechtsberatung?
Nein. Er gibt Orientierung für den internen Prozess. Die abschließende rechtliche Bewertung, insbesondere bei Hochrisiko-Fällen, gehört immer zu Legal oder externer Beratung.
Was, wenn ein Use Case mehrere Fragen gleichzeitig betrifft?
Der Baum wird trotzdem sequenziell durchlaufen — jede Ja-Antwort kann zusätzliche Pflichten auslösen, die sich addieren, statt sich gegenseitig zu ersetzen.
Warum ist Prompt Injection gerade bei Agenten so kritisch?
Weil Agenten mit Transaktionsberechtigung reale Aktionen ausführen — eine erfolgreiche Injection wird so von einem Text- zu einem operativen Risiko.
Wie realistisch sind 5 Werktage bis zur Freigabe?
Realistisch, wenn Rollen und Entscheidungsbaum vorher klar definiert sind. Ohne beides dauert derselbe Prozess oft Monate, weil jede Frage neu diskutiert wird.
Daniel Ostner
Aus Kapitel 4 des Enterprise-AI-Leitfaden-Buchs
Verwandte Leitfäden
AI-Governance aufbauen
Tragfähige AI-Governance läuft auf drei Ebenen: strategisch, taktisch, operativ. Ein Minimalmodell mit 5 Rollen und 6 Kernentscheidungen reicht für den Start.
EU AI Act für Unternehmen
Vier Risikoklassen, gestaffelte Fristen bis Dezember 2027, und warum KI-gestütztes Recruiting fast immer als Hochrisiko gilt — der Digital-Omnibus-Stand für Unternehmen.