Anwendungsfall triage

KI-Anwendungsfall-Triage

Direktstart: lesen, entscheiden, liefern

Beginne nicht mit einem Fragenkatalog. Wenn Material vorliegt, lies es zuerst und starte mit einer verwertbaren Arbeitshypothese:

• Frist oder Sofortrisiko.
• erkannte Rolle, Zielrichtung und Verfahrensstand.
• tragende Tatsachen aus dem Material.
• bester nächster Arbeitsschritt mit direkt nutzbarem Output.

Frage höchstens zwei Punkte nach, und nur wenn ohne diese Antwort der nächste Schritt falsch oder riskant würde. Fehlt Material vollständig, verlange nicht allgemein alle Unterlagen, sondern nenne die drei wichtigsten Dokumente und arbeite mit sichtbaren Annahmen weiter.

Starte mit einem Arbeitsprodukt, nicht mit einer Inventarliste: Kurzvermerk, Fristenblatt, Prüfmatrix, Entwurf, Fragenliste oder Entscheidungsvorschlag. Routing ist nur Mittel zum Zweck. Wenn ein Fachskill eindeutig passt, arbeite unmittelbar in dessen Richtung weiter.

Arbeitsmodus: Liefere zuerst einen nutzbaren Zwischenstand in höchstens sieben Sätzen und dann den nächsten konkreten Schritt. Frage nur nach, wenn Frist, Zuständigkeit, Beweis, Betrag oder Rechtsfolge sonst nicht belastbar bestimmbar sind. Tabellen nur für Fristen, Belege, Beträge, Varianten oder Streitstoff.

Arbeitsweg

• Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
• Fristen und Eilrisiken zuerst markieren: KI-VO Geltungsbeginn gestaffelt (02.02.2025 Verbote, 02.08.2025 GPAI, 02.08.2026 Hochrisiko Anhang III), schwerwiegender Vorfall 15 Tage, DSGVO DPIA vorab.
• Tragende Normen verifizieren: EU KI-VO 2024/1689 Art. 9, 10, 14, 22, 27, 50, ISO/IEC 42001, NIST AI RMF 1.0, OECD AI Principles, DSGVO Art. 22, 35, Produkthaftungs-RL 2024/2853 — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
• Zuständige Stelle bestimmen und Adressaten richtig wählen: Geschäftsleitung, KI-Officer, Datenschutzbeauftragter, Compliance, Aufsichtsrat, Marktüberwachung, externer Auditor, betroffene Personen.
• Dokumente und Beweismittel sammeln und auf Lücken prüfen: KI-Inventar, Risikoanalyse, FRIA (Fundamental Rights Impact Assessment), AI Governance Policy, Modellkarten, Audit-Bericht, DSGVO-DPIA, Schulungsnachweis — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.

Eingaben

• Beschreibung des KI-Anwendungsfalls: was tut die KI, wer ist betroffen, gibt es menschliche Überprüfung, welcher Anbieter?
• Praxisprofil aus CLAUDE.md (Anwendungsfall-Register, Rote Linien, Governance-Stufen, regulatorischer Fußabdruck)

Rechtlicher Rahmen

Kernvorschriften

• AI Act Art. 5 KI-VO (verbotene Praktiken): Social Scoring durch öffentliche oder private Stellen (Art. 5 Abs. 1 lit. c); subliminale Manipulation (Art. 5 Abs. 1 lit. a/b); Ausnutzung von Vulnerabilität (Art. 5 Abs. 1 lit. b); biometrische Kategorisierung nach geschützten Merkmalen (Art. 5 Abs. 1 lit. g); Echtzeitfernidentifizierung in öffentlichen Räumen (Art. 5 Abs. 1 lit. h); Emotionserkennung am Arbeitsplatz/Bildung (Art. 5 Abs. 1 lit. f). Ab 02.02.2025 anwendbar.
• AI Act Art. 6 i.V.m. Anhang III KI-VO: Hochrisiko-Kategorien — Nr. 1 Biometrie; Nr. 2 Beschäftigung (Bewerbungs-Screening, Leistungs- bewertung); Nr. 3 Wesentliche Dienstleistungen (Kredit, Versicherung); Nr. 4 Bildung; Nr. 5 Kritische Infrastruktur; Nr. 6 Strafverfolgung; Nr. 7 Migration; Nr. 8 Rechtspflege. Hochrisiko: Art. 9–15 (Anbieter), Art. 26/29 (Betreiber).
• DSGVO Art. 22: Vollautomatisierte Einzelentscheidungen mit Rechtswirkung oder erheblicher Beeinträchtigung nur nach Art. 22 Abs. 2 lit. a–c (Vertrag, gesetzliche Pflicht, ausdrückliche Einwilligung). Widerspruchs- und Transparenzpflichten.
• § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmungsrecht des Betriebsrats bei KI-Tools zur Mitarbeiterüberwachung/-bewertung.

Leitentscheidungen

Kommentare

• Wendehorst/Grinzinger, in: Wendehorst/Grinzinger, AI Act, 1. Aufl. 2024, Art. 5 Rn. 8 (verbotene Praktiken) und Art. 6 i.V.m. Anhang III Rn. 15 (Hochrisiko-Klassifikation).
• Ehmann/Selmayr, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 22 Rn. 10.
• Müller-Glöge, in: Erfurter Kommentar, 25. Aufl. 2025, § 87 BetrVG Rn. 32.
• Spindler/Schuster, Recht der elektronischen Medien, 4. Aufl. 2024, Teil IV Rn. 88.

Hinweis: Dieser Skill ersetzt keine anwaltliche Beratung im Einzelfall.

Ablauf

Schritt 1 — Anwendungsfall verstehen

Bei vager Beschreibung fragen: Was tut die KI genau? Auf wen/was wirkt sie? Prüft ein Mensch vor Wirkung? Welcher Anbieter? Nur intern oder Kunden/Dritte?

Schritt 2 — Art. 5-Prüfung (ERSTE PRIORITÄT)

Vor dem Register prüfen: Liegt ein absolutes Verbot vor?

• Social Scoring, subliminale Manipulation, Vulnerabilitäts-Ausnutzung
• Biometrische Kategorisierung nach geschützten Merkmalen
• Echtzeitbiometrie in öffentlichen Räumen
• Emotionserkennung am Arbeitsplatz/Bildung

Bei Treffer: sofort melden, ohne Abmilderung:

"Dieser Anwendungsfall berührt [Art. 5 KI-VO]. Verbotene Praktiken sind absolute Verbote. Wenn etwas anders ist: anwaltliche Entscheidung nötig, keine Triage-Freigabe."

Schritt 3 — Register-Abgleich

Direkttreffer → anwenden. Nahes Match → kennzeichnen. Kein Treffer → BEDINGT (Folgenabschätzung ausstehend); vorläufige Risikoeinschätzung einschließlich Anhang-III-Prüfung ausgeben.

Schritt 4 — Jurisdiktionaler Anwendungsbereich und Anhang-III-Prüfung

Alle Regime aus ## Regulatorischer Fußabdruck prüfen. Striktest anwendbare Behandlung bei Mehrfach-Jurisdiktion. Anhang-III-Kategorien (Nr. 1–8) explizit gegen den Anwendungsfall prüfen; bei Hochrisiko: Betreiberpflichten Art. 26/29 KI-VO vermerken.

Schritt 5 — DSGVO Art. 22-Prüfung

Vollautomatisiert + Rechtswirkung/erhebliche Beeinträchtigung? → Art. 22 Abs. 1 greift; Rechtsgrundlage nach Abs. 2 dokumentieren und Human-in-the- Loop oder Einwilligung sicherstellen.

Schritt 6 — Klassifikation und Ausgabe

Bei Nicht-Jurist-Rolle: vor FREIGEGEBEN-Klassifikation anwaltliche Prüfung abfragen; 1-seitigen Kurzüberblick für das Anwaltsgespräch generieren.

---

ANWENDUNGSFALL: [Anwendungsfall wie verstanden] KLASSIFIKATION: [FREIGEGEBEN / BEDINGT / NICHT FREIGEGEBEN] Art. 5 KI-VO: [Kein Verbot / [Verbotene Praxis] — ABSOLUTES VERBOT] Anhang III KI-VO: [Nicht einschlägig / Hochrisiko Kategorie [Nr.]] DSGVO Art. 22: [Nicht einschlägig / Einschlägig — Rechtsgrundlage: [Abs. 2]] Begründung: [1–3 Sätze] Ausgelöste Rote Linien: [Keine / Liste]

Bei BEDINGT:

Anforderung	Verantwortlich	Erledigt?
KI-Folgenabschätzung (ggf. DSFA Art. 35 DSGVO)	[KI-Beauftragter]	☐
DSGVO Art. 22 Rechtsgrundlage dokumentieren	[DSB]	☐
Human-in-the-Loop — keine vollautomatisierten Entscheidungen	[Produkt]	☐
Offenlegung ggü. Betroffenen (Art. 13/14 DSGVO)	[Produkt/Recht]	☐
Betriebsrats-Beteiligung (§ 87 Abs. 1 Nr. 6 BetrVG)	[HR/Recht]	☐

Governance-Stufe: [Standard / Erhöht / Hoch]

Beispiel

Anfrage: "HR will KI zur automatischen Bewerbungs-Vorselektion einsetzen." Triage: Art. 5: kein Verbot. Art. 6 Abs. 2 i. V. m. Anhang III Nr. 4 lit. a KI-VO: Hochrisiko, wenn das System zweckbestimmt für Auswahl, Filterung oder Bewertung von Bewerbungen eingesetzt wird. DSGVO Art. 22 Abs. 1 bei Vollautomatisierung. § 87 Abs. 1 Nr. 6 BetrVG: Betriebsrats-Beteiligung prüfen. Klassifikation: BEDINGT. Folgenabschätzung + DSFA; Human-in-the-Loop; Betriebsrat einbeziehen; Offenlegung ggü. Bewerber (Art. 13 DSGVO).

Risiken und typische Fehler

• Art. 5 KI-VO ist Pflichtprüfung — immer zuerst, vor dem Register.
• "Nur intern" reduziert das Risiko nicht: Mitarbeiter-KI oft höheres Risiko als kundenseitige KI.
• "Wir testen nur" ist keine Ausnahme bei echten Personen-Daten.
• "Der Anbieter sagt, es ist sicher" ersetzt nicht die eigene Folgenabschätzung.

Quellenpflicht

• AI Act Art. 5 und Art. 6 i.V.m. Anhang III (mit konkreter Nr.) bei jeder Klassifikation.
• DSGVO Art. 22 bei automatisierten Entscheidungen.
• § 87 Abs. 1 Nr. 6 BetrVG bei Mitarbeiter-Überwachungs-/Bewertungstools.
• Wendehorst/Grinzinger, in: Wendehorst/Grinzinger, AI Act, 1. Aufl. 2024, Art. 5 Rn. 8 und Anhang III Rn. 15.
• Ehmann/Selmayr, in: Ehmann/Selmayr, DS-GVO, 3. Aufl. 2024, Art. 22 Rn. 10.
• Müller-Glöge, in: Erfurter Kommentar, 25. Aufl. 2025, § 87 BetrVG Rn. 32.

Triage zu Beginn

1. Was tut die KI genau — assistierend, augmentierend oder vollautomatisiert?
2. Sind Betroffene schutzbeduertige Gruppen (Minderjaerige, Arbeitnehmer, Kreditnehmer)?
3. Liegt eine Hochrisiko-Kategorie nach Anhang III KI-VO vor (Nr. 1-8 prüfen)?
4. Ist eine vollautomatisierte Einzelentscheidung mit Rechtswirkung möglich (Art. 22 DSGVO)?
5. Besteht ein § 87 Abs. 1 Nr. 6 BetrVG-Mitbestimmungsrecht (Mitarbeiterbewertung)?

Output-Template — Triage-Ergebnis KI-Anwendungsfall

Adressat: Governance-Team / Fachabteilung — Tonfall: klar, strukturiert

TRIAGE-ERGEBNIS KI-ANWENDUNGSFALL
[DATUM] — [ANWENDUNGSFALL-ID]

ANWENDUNGSFALL: [BESCHREIBUNG]
KLASSIFIKATION: [FREIGEGEBEN / BEDINGT / NICHT FREIGEGEBEN]

Art. 5 KI-VO (verbotene Praktiken): [Kein Verbot / VERBOTEN: BEGRUENDUNG]
Anhang III KI-VO (Hochrisiko): [Nicht einschlaegig / Hochrisiko Kat. Nr. X]
DSGVO Art. 22: [Nicht einschlaegig / Einschlaegig — Rechtsgrundlage: Art. 22 Abs. 2 lit. X]
§ 87 Abs. 1 Nr. 6 BetrVG: [Nicht einschlaegig / Mitbestimmung erforderlich]

Begruendung: [1-3 Saetze]

Bei BEDINGT — Auflagen:
1. [AUFLAGE + VERANTWORTLICHER + FRIST]
2. [AUFLAGE + VERANTWORTLICHER + FRIST]

Governance-Stufe: [Standard / Erhoeht / Hoch]
Naechste Pruefung: [DATUM]

Erstellt: [NAME], [DATUM]

<!-- BEGIN ausformulierungspflicht (autogen) -->

Ausformulierungspflicht und Formatstandard. Das Endprodukt wird in vollständigen, ausformulierten Sätzen geliefert — keine Stichwortskelette, keine leeren Klauselrümpfe, keine reinen Aufzählungen. Klauseln stehen als ausformulierte Rechtsfolgen-Sätze; Platzhalter wie [Name der Mandantin] werden klar markiert, der umgebende Text bleibt vollständig.

Schriftbild: Wenn ein Schriftsatz, Vertrag, Memo, Beschluss, Vermerk oder sonstiges Enddokument als DOCX, PDF oder formatierter Text ausgegeben wird, ist Times New Roman 11 pt als Grundschrift zu verwenden. Überschriften bleiben in derselben Schrift und dürfen nur fett oder abgestuft sein. Bei reiner Markdown- oder Chat-Ausgabe wird dieser Formatwunsch als Exporthinweis aufgenommen.

Nummerierung: Gliederung ausschließlich dezimal (1, 1.1, 1.1.1 und so weiter). Keine römischen Ziffern, keine Buchstaben- oder Mischgliederung.

<!-- END ausformulierungspflicht (autogen) -->

Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.