Sind wir bereit für KI? Zehn Fragen vor der Einführung
Diese Liste ist für Organisationen ab 10 Personen geschrieben: Vereine, Kanzleien, Familienunternehmen, Verbände, Bildungsträger, öffentliche Stellen. Sie misst die Startfähigkeit der Organisation, nicht die Passung zu einem Produkt. Eine Punktzahl vergibt sie nicht, und am Ende steht kein Vorschlag, was ihr kaufen sollt. Unter etwa zehn Zugängen gibt es das Verwaltungsproblem noch nicht, das eine Plattform löst; nach oben werden die Antworten nur länger, weil mehr Fachbereiche und eine eigene IT-Leitung mitreden.
Druckt sie aus und füllt sie in einer Sitzung gemeinsam aus. Notiert zu jeder Frage einen Namen und ein Datum. Bleiben Fragen offen, ist auch das ein Ergebnis: die offene Frage ist dann der nächste Schritt.
Größe und Beschäftigungsformen
Wie viele Menschen betrifft die Einführung, und in welchem Verhältnis stehen sie zur Organisation?
Wie viele Personen sollen täglich damit arbeiten, wie viele nur gelegentlich?
Zählt Köpfe, nicht Stellen. Zugänge werden je Person vergeben, und die gelegentliche Nutzung erzeugt denselben Aufwand für Einweisung und Betreuung wie die tägliche.
12 täglich, 20 gelegentlich, 48 gar nicht.
Wer davon ist nicht fest angestellt?
Ehrenamt, Minijob, Werkstudierende, Vorstand, freie Mitarbeit, Leiharbeit. Die Beschäftigungsform entscheidet, wer weisungsgebunden ist, wer auf eine Hausregel verpflichtet werden kann und wer einen Zugang überhaupt bekommt.
5 Ehrenamtliche, 2 Werkstudierende, Vorstand nebenamtlich.
Wer entscheidet über die Einführung, und wessen Zustimmung fehlt noch?
In dieser Größenordnung entscheidet oft eine einzelne Person. Wenn nicht, notiert die zweite Instanz mit Namen: Vorstand, Gesellschafterversammlung, Aufsichtsrat, Zuwendungsgeber. Eine fehlende Zustimmung fällt sonst erst nach der Auswahl auf.
Geschäftsführung entscheidet, Vorstandsbeschluss steht aus.
Bleibt die Zahl der täglich Arbeitenden unter zehn, verschiebt die Einführung. Regeln schreiben, Personen einweisen, Zugänge pflegen: dieser Aufwand fällt bei drei Personen genauso an wie bei dreißig, und getragen wird er in beiden Fällen von der einen zuständigen Person. Bei dreißig Nutzenden rechnet sich das, bei drei steht es in keinem Verhältnis. Nach oben gibt es keine Grenze; ab etwa hundert Personen kommen mehr Fachbereiche und eine eigene IT-Leitung dazu, und die Fragen 1 bis 3 sind dann pro Bereich zu beantworten.
Schatten-KI im Haus
Was heute schon benutzt wird, ohne dass es jemand freigegeben hat. Das ist der Ausgangszustand, von dem jede Einführung ausgeht.
Welche KI-Werkzeuge laufen heute im Haus, ohne Freigabe?
Fragt in der Runde und ohne Konsequenz anzudrohen. Sonst lautet die Antwort "keine", und ihr plant an der Wirklichkeit vorbei. Private Konten auf Dienstgeräten, Erweiterungen im Browser und Übersetzungsdienste gehören dazu.
Zwei Chatkonten im Marketing, eine Transkription im Sekretariat.
Welche Daten sind dort schon hineingegangen?
Bewerbungen, Personalakten, Angebote, Verträge, Mitglieder- und Spendendaten, Gesundheitsdaten. Bei besonderen Kategorien nach Art. 9 DSGVO lässt sich der Vorgang nicht zurückholen. Haltet getrennt fest, was ihr wisst und was ihr vermutet.
Bewerbungsunterlagen, vermutlich auch ein Arztbericht.
Gibt es eine schriftliche Regel, was hineingegeben werden darf und was nicht?
Eine Seite genügt, wenn sie benennt, welche Daten nie hineingehören, wer im Zweifel gefragt wird und was nach einem Fehler zu tun ist. Eine mündliche Ansage ist keine Regel, weil niemand sie einem neuen Kollegen weitergeben kann.
Nein. Es gibt eine mündliche Ansage aus dem Frühjahr.
Ist Frage 6 offen, steht die Hausregel vor der Auswahl eines Werkzeugs. Sonst verschiebt das neue Werkzeug die Schatten-KI nur an eine andere Stelle. Die Regel könnt ihr selbst schreiben, dafür braucht es niemanden von außen.
Auftragsverarbeitung und Mitbestimmung
Zwei Pflichten, die vor der ersten Verarbeitung liegen. Welches Mitbestimmungsrecht gilt, entscheidet die Trägerschaft.
Wer prüft den Vertrag zur Auftragsverarbeitung, und bis wann?
Art. 28 Abs. 9 DSGVO verlangt ihn schriftlich, Abs. 3 sagt, was darinstehen muss, und beides gilt vor der ersten Verarbeitung. Prüfen heißt: Unterauftragsverarbeiter, Verarbeitungsorte, Löschfristen, Weisungsrechte. Lest, was zugesichert ist, und behandelt Werbeaussagen getrennt davon. Ein bestimmtes Rechenzentrum ist in solchen Verträgen selten zugesagt, und wo die Zusage fehlt, fehlt sie auch dann, wenn die Produktseite anderes nahelegt.
Datenschutzbeauftragte, bis Ende des Monats.
Welche Interessenvertretung habt ihr, und wann setzt ihr euch mit ihr zusammen?
Der Auslöser ist überall derselbe: eine technische Einrichtung, die geeignet ist, Verhalten oder Leistung zu erfassen. Geeignet genügt, eine Absicht muss niemand haben. Im Betrieb ist das der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG, Ergebnis ist eine Betriebsvereinbarung. In einer öffentlichen Stelle der Personalrat nach § 80 Abs. 1 Nr. 21 BPersVG oder dem Personalvertretungsgesetz des Landes, in katholischer Trägerschaft die Mitarbeitervertretung nach § 36 Abs. 1 Nr. 9 MAVO, in evangelischer die Mitarbeitendenvertretung nach § 40 MVG-EKD; das Ergebnis heißt dort Dienstvereinbarung. Gibt es kein Gremium, tritt an dessen Stelle eine schriftliche Hausregel, die die Leitung beschließt und bekannt macht. Eine nachgeholte Beteiligung wird aus der schwächeren Position verhandelt. Eine Einordnung, keine Rechtsberatung.
Mitarbeitervertretung vorhanden, Termin in der Sitzung am 14.
Steht bei 7 oder 8 kein Name und kein Datum, ist diese Achse nicht beantwortet. "Machen wir später" ist hier keine Antwort, weil beide Pflichten vor dem ersten Zugang greifen.
Betrieb und Zuständigkeit
Was nach dem Tag der Einführung passiert, jede Woche, ohne dass es jemand feiert.
Wer ist danach zuständig, und wie viel Zeit hat diese Person dafür in der Woche?
Zugänge anlegen und entziehen, Fragen beantworten, Fehlnutzung bemerken, Neue einweisen. Zur Einweisung verpflichtet Art. 4 der KI-Verordnung (EU) 2024/1689, anwendbar seit dem 2. Februar 2025: Betreiber müssen für ausreichende KI-Kompetenz der Nutzenden sorgen. Tragt einen Namen ein und eine Stundenzahl je Woche, sonst bleibt die Aufgabe liegen.
IT-Koordination, zwei Stunden je Woche, Vertretung offen.
Woran wollt ihr in drei Monaten erkennen, dass es sich gelohnt hat?
Benennt zwei Vorgänge, die schneller oder besser werden sollen, und schreibt auf, wie lange sie heute dauern. Ohne den heutigen Wert ist jede spätere Bewertung Geschmackssache.
Angebotsentwürfe und Protokolle. Heute: zwei Tage, drei Stunden.
Frage 9 entscheidet über den Betrieb. Findet sich niemand mit Zeit im Kalender, bleibt die Einführung nach ein paar Wochen liegen, so sorgfältig die Auswahl auch war. Ein zweiter Name als Vertretung gehört dazu.
Wie ihr die vier Befunde lest
Es gibt keine Gesamtwertung. Legt die vier Befunde nebeneinander und entscheidet danach, was als Nächstes ansteht.
- Sind alle vier Achsen beantwortet, ist die Auswahl eines Werkzeugs der kleinere Teil der Arbeit.
- Ist eine Achse offen, arbeitet sie ab, bevor ihr Angebote einholt. Sonst verhandelt ihr über etwas, das ihr noch nicht beschreiben könnt.
- Sind drei oder vier Achsen offen, seid ihr noch nicht so weit. Auch das ist ein Ergebnis. Es jetzt zu wissen ist erheblich weniger aufwendig, als es nach der Einführung zu merken.