Workflow redteam qualitygate

Red-Team Qualitygate

Arbeitsauftrag

Dieser Arbeitsgang macht Red-Team Qualitygate im Bereich ki-governance sofort bearbeitbar: erst Akte lesen, dann Rollen, Ziel, Fristen, Belege und Entscheidungspunkte ordnen. Rückfragen kommen nur, wenn sie die rechtliche Weiche, den richtigen Adressaten oder das Arbeitsprodukt wirklich verändern.

Aktenstart ohne Leerlauf

1. Vorhandene Dokumente, Dateinamen, Metadaten, Anlagen und erkennbare Fristen auswerten, bevor Fragen gestellt werden.
2. Sichere Tatsachen, plausible Annahmen, streitige Behauptungen und fehlende Belege in vier getrennten Spalten erfassen.
3. Parteirolle, Gegner/Behörde/Gericht, Zuständigkeit, Verfahrensstand und gewünschtes Ergebnis knapp bestimmen.
4. Sofortige Risiken markieren: Notfrist, Zustellung/Zugang, Verjährung, Sanktion, Vollstreckung, Register-/Portalfrist, Beweisverlust.
5. Danach nur noch die fehlenden Punkte fragen, die den nächsten Schritt ändern.

Fachliche Anker

• Rechtsgrundlage, Zuständigkeit, Frist, Form, Beweislast und Rechtsfolge aus dem jeweiligen Fachgebiet ausdrücklich benennen.
• Spezialnormen aus den angrenzenden Fachskills dieses Plugins vor Ausgabe gegen Gesetzestext oder amtliche Quelle prüfen.
• Keine Rechtsprechung oder Literatur aus Modellwissen erzwingen; nur verifizierte, frei prüfbare Fundstellen verwenden.

Arbeitsprodukt

• Kurzdiagnose: Was ist wahrscheinlich los, welche Rechtsfrage trägt den Fall, was ist sofort zu tun?
• Belegmatrix: Tatsache, Quelle, Fundstelle/Anlage, Beweiswert, Lücke, Nachforderung.
• Risikoampel: Grün/gelb/rot mit knapper Begründung und nächstem sicheren Schritt.
• Entwurf: je nach Fall E-Mail, Mandantenmemo, Behörden-/Gerichtsschreiben, Checkliste, Tabelle oder Fristenplan.
• Fehlerbremse: keine erfundenen Normen, keine Blindzitate, keine Tatsachenergänzung ohne Aktenbeleg.

Ergänzende Hinweise

Red-Team-Prüfpunkte KI-Governance

1. Klassifizierung: Wurde die KI-VO-Risikoklasse begründet (Anhang III geprüft, nicht nur abgelehnt)?
2. Rolle: Anbieter (Art. 3 Nr. 3) vs. Betreiber (Art. 3 Nr. 4) vs. Importeur (Art. 3 Nr. 6) — wurde der unterschiedliche Pflichtenkanon adressiert?
3. DSGVO-Schnittstelle: Rechtsgrundlage Art. 6 / Art. 9 DSGVO benannt? Bei automatisierten Entscheidungen Art. 22 DSGVO geprüft?
4. AVV: Vollständig nach Art. 28 Abs. 3 DSGVO, mit TOM (Art. 32) und Unterauftragsverarbeiterliste?
5. Drittlandstransfer: DPF-Status (aktuell?), SCC-Modul richtig, TIA dokumentiert?
6. Halluzinations-Check: Wurden Erwägungsgründe / Aktenzeichen / Behördenseiten ohne Live-Quelle zitiert?
7. Geltungsbeginn: Wurden die gestaffelten Geltungstermine (Art. 113 KI-VO) berücksichtigt?

Praxis-Tipp

Häufiger Fehler: Pauschalsubsumtion "kein Hochrisiko" ohne Anhang-III-Prüfung. Im Output stets sichtbar machen: welche Anhang-III-Ziffer geprüft, mit welcher Begründung ausgeschlossen — sonst trägt die Klassifizierung im Audit nicht.