GenAI-Einführung – Compliance & Governance
Faercher IT begleitet den gesamten Prozess der GenAI-Einführung: von der Risikoanalyse über die Richtlinienentwicklung bis zur Implementierung – unter Berücksichtigung geltender Regularien wie EU AI Act und DSGVO.
Im Detail
Was diese Leistung umfasst
Warum Compliance vor dem ersten Prompt kommt
Die meisten gescheiterten GenAI-Initiativen scheitern nicht an der Technik, sondern an fehlender Governance: Ein Pilot läuft, begeistert das Fachteam — und wird vom Datenschutz oder der Revision gestoppt, weil niemand die regulatorische Seite mitgedacht hat. Der EU AI Act und die DSGVO setzen klare Leitplanken, und seit August 2024 gelten die ersten Pflichten verbindlich, gestaffelt bis 2026. Wer GenAI produktiv einsetzen will, braucht deshalb von Anfang an eine belastbare Antwort auf drei Fragen: In welche Risikoklasse fällt mein Use-Case, welche Daten dürfen das Unternehmen verlassen, und wer trägt die Verantwortung für die Ergebnisse?
Genau hier setzt die Begleitung an. Statt eines theoretischen Compliance-Berichts entsteht ein praktisch nutzbares Governance-Framework, das Entwicklungsteams und Fachbereiche im Alltag anwenden können — und das einer internen Revision oder externen Prüfung standhält.
Typisches Projektvorgehen
Den Einstieg bildet eine Risikoanalyse über 2–3 Wochen: Bestandsaufnahme der geplanten und bereits laufenden KI-Anwendungen, Klassifizierung jedes Use-Cases nach den vier EU-AI-Act-Risikostufen und eine erste DSGVO-Bewertung der Datenflüsse. Daraus entsteht ein priorisierter Maßnahmenkatalog.
Im Anschluss wird über 6–12 Wochen — abhängig von der Unternehmensgröße — das vollständige Governance-Framework aufgebaut: Nutzungsrichtlinien, Freigabeprozesse, ein Verzeichnis der eingesetzten Modelle samt Auftragsverarbeitungsverträgen, Schulungsmaterial und Auditpfade. Eine erste produktive Pilotanwendung läuft dabei bewusst parallel, damit Compliance kein Papierprojekt bleibt, sondern an einem echten Anwendungsfall erprobt wird.
Häufige Fragen
Was Kund:innen vorab wissen wollen
01 Was ist der EU AI Act und betrifft er mein Unternehmen?
Der EU AI Act ist die erste umfassende KI-Regulierung der EU. Er klassifiziert Anwendungen in vier Risikoklassen: minimal (z.B. Spam-Filter, weitgehend unreguliert), begrenzt (z.B. Chatbots, mit Transparenzpflicht), hoch (z.B. KI in HR, Bonität, Bildung, mit umfangreichen Dokumentations-, Aufsichts- und Konformitätspflichten) und verboten (z.B. Social Scoring). Betroffen ist praktisch jedes Unternehmen, das KI einsetzt — die entscheidende Frage ist nur, in welche Klasse der konkrete Use-Case fällt. Die verbotenen Praktiken gelten bereits, die Pflichten für Hochrisiko-Systeme greifen gestaffelt bis August 2026. Wer KI-Systeme einsetzt, die Personenentscheidungen beeinflussen, sollte sich frühzeitig vorbereiten. Der erste Schritt jeder Compliance-Strategie ist deshalb die saubere Klassifizierung Ihrer Use-Cases — sie entscheidet über den gesamten weiteren Aufwand und ist die Grundlage, auf der alles andere aufbaut.
EU AI Act – vier Risikoklassen, steigende Pflichten 02 Wie lange dauert eine regelkonforme GenAI-Einführung typischerweise?
Eine erste Risikoanalyse mit Use-Case-Klassifikation und einer DSGVO-Bewertung der Datenflüsse lässt sich in 2–3 Wochen abschließen. Sie liefert einen priorisierten Maßnahmenkatalog und schafft die Entscheidungsgrundlage, bevor größer investiert wird. Das vollständige Governance-Framework — inklusive Nutzungsrichtlinien, Freigabeprozessen, einem Verzeichnis der eingesetzten Modelle samt Auftragsverarbeitungsverträgen, Schulungsmaterial und Auditpfaden — braucht je nach Unternehmensgröße und Anzahl der Use-Cases 6–12 Wochen. Wichtig ist, dass eine erste produktive Pilotanwendung dabei bewusst parallel aufgesetzt wird: So bleibt Compliance kein Papierprojekt, sondern wird an einem echten Anwendungsfall erprobt und die Mitarbeitenden erleben von Beginn an, dass die Regeln den produktiven Einsatz ermöglichen statt ihn zu blockieren. Diese Parallelität verkürzt die Zeit bis zum messbaren Nutzen erheblich.
03 Welche Daten dürfen mit Foundation Models verarbeitet werden?
Das hängt von der Sensibilität der Daten und der Anbieterkonstellation ab. Personenbezogene Daten erfordern eine Rechtsgrundlage nach DSGVO und einen Auftragsverarbeitungsvertrag (AVV) mit dem Modellanbieter — bei US-Anbietern zusätzlich eine Absicherung über das EU-US Data Privacy Framework. Entscheidend ist außerdem, dass der Anbieter Ihre Eingaben nachweislich nicht zum Training verwendet; das bieten etwa Anthropic, OpenAI Enterprise und Vertex AI vertraglich zu. Geschäftsgeheimnisse und besonders sensible Daten sollten bevorzugt in EU-gehosteten Modellen oder On-Premises-Lösungen verarbeitet werden, um das Risiko klein zu halten. In der Praxis bewährt sich eine abgestufte Strategie: unkritische Inhalte über Standard-APIs, sensible über EU-Regionen, hochsensible self-hosted. Welche Daten in welche Kategorie fallen, klären wir gemeinsam in der Risikoanalyse und halten es in den Nutzungsrichtlinien verbindlich fest.
Interesse geweckt?
Lassen Sie uns besprechen, wie ich Sie bei diesem Thema unterstützen kann.
Jetzt anfragen