--- name: kaltstart-interview-2 title: 'KI-Governance erfassen und konkretisieren' description: 'Für Erstgespräch digitale Werkzeuge-Governance: routet Rolle, Frist, Unterlagen und Fachschritt; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.' author: Klotzkette author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-governance/skills/kaltstart-interview license: Apache-2.0 version: 0.1.0 execution_mode: open jurisdiction: de practice: regulatory language: de sources: - title: Zitierweise path: references/zitierweise.md --- # 1. KI-Governance erfassen und konkretisieren Erarbeite das beauftragte Governance-Profil oder die konkrete Systementscheidung aus vorhandenen Richtlinien, Verträgen und bisherigen Angaben. Die Rolle wird je System bestimmt, nicht pauschal für das gesamte Unternehmen. ## 1.1. Vorhandenes Profil Lies eine vorhandene, freigegebene `CLAUDE.md` und `unternehmens-profil.md` nur im auftragsrelevanten Umfang. Bestätigte Unternehmensangaben weiterverwenden; fehlende Platzhalter gezielt klären, nicht automatisch neu beginnen. Ein Profil nur bei entsprechendem Auftrag schreiben oder ändern, einen Neustart nicht aus einem einzelnen lückenhaften Feld ableiten. Entnimm Branche, Sitz, Rechtsordnungen, tatsächliche Systeme, geplante Einsätze und Verantwortliche den Unterlagen. KI-Nutzungsrichtlinie, Folgenabschätzungen, Anbieterverträge, Inventar und Freigabeliste zuerst lesen. Bei einem Vorfall Kenntniszeitpunkt und betroffene Funktion vor einer umfassenden Profilerfassung bearbeiten. ## 1.2. Systembezogene Rolle Nach Artikeln 2 und 3 der Verordnung (EU) 2024/1689 Anbieter, Betreiber, Importeur, Händler und Bevollmächtigten unterscheiden. Eigene Produkte und intern genutzte Fremdsoftware können unterschiedliche Rollen auslösen. Zweckänderung, Eigenmarke und tatsächliche Konfiguration prüfen; die bloße Bezeichnung im Vertrag reicht nicht. Fehlen Angaben zu Veränderungsrechten oder tatsächlicher Nutzung, genau diese nachfordern. Nach Antwort Rolle, betroffene Pflichten und bestellte Anbieterregel oder Betriebsentscheidung aktualisieren. Artikel 9 bis 15, 25, 26, 27 bis 29 nach ihrer konkreten Funktion prüfen; die alte pauschale Zuordnung sämtlicher Artikel 25 bis 29 zu Betreiberpflichten nicht ungeprüft fortschreiben. Eingebettete oder informell genutzte Funktionen nur aus konkreten Angaben ins Inventar aufnehmen. Nicht dokumentierte Nutzung als solche kennzeichnen; keine generischen Beispielszenarien als reale Systeme eintragen. Interviews liefern Angaben, nicht automatisch Belege für den tatsächlichen Betrieb. ## 1.3. Rechtsregime und Verantwortliche Verbote nach Artikel 5, Hochrisikopfade nach Artikel 6 einschließlich Anhängen, Transparenz und gestaffelte Geltung systembezogen prüfen. Die aktuelle Änderungsfassung einschließlich 2026/1744 berücksichtigen; alte pauschale Stichtagslisten nicht übernehmen. Bewerbungsfilter, HR-Zusammenfassung, Kundendienstentwurf und Spesenprüfung nach ihrer tatsächlichen Entscheidungswirkung unterscheiden. DSGVO Artikel 22 nach automatisierter Einzelentscheidung und deren Wirkung prüfen, nicht jede Dokumentenklassifizierung automatisch darunter fassen. Artikel 35 für Datenschutz-Folgenabschätzung gesondert untersuchen. Datenschutzbeauftragte nach Artikeln 37 ff. DSGVO und die Zuständigkeit des Governance-Teams konkret bestimmen. GeschGehG Paragrafen 2 und 4, UrhG Paragraf 44b, BSIG, DSA Artikel 27 und 38 sowie sektorale Regeln wie MaRisk, MDR/IVDR oder SGB V nur bei passendem Anwendungsbereich vertiefen. Bei Mitarbeiterüberwachung oder -bewertung Paragraf 87 Absatz 1 Nummer 6 BetrVG gesondert prüfen. Kundenverträge können zusätzliche Pflichten enthalten, ersetzen aber keine gesetzliche Prüfung. ## 1.4. Gezielte Gesprächsrunden Frage nach der konkret offenen Funktion, betroffenen Personengruppe, menschlichen Kontrolle oder Datenweitergabe, nicht nach einem pauschalen gewünschten Risikoniveau. Bei ungeklärter Aufsicht Befugnis, praktische Eingriffsmöglichkeit und Vertretung erheben. Nach Antwort Aufsichtsregel und Arbeitsanweisung in das bestellte Profil oder Dokument einarbeiten. Zeigt eine Antwort eine neue entscheidende Lücke, kurz weiterfragen; bestätigte Unternehmensdaten nicht wiederholen. Belastbare Teile vorläufig liefern und fehlende Nachweise konkret benennen. Ein Anbietervertrag oder Einweisungsplan beweist nicht, dass eine Kontrolle tatsächlich umgesetzt wird. Zuständigkeiten nach Person oder Funktion für Rechtsprüfung, Datenschutz, Betrieb, Anbietervertrag und Geschäftsentscheidung festhalten. Fehlenden fachlichen Prüfbedarf offenlegen, aber zulässige Entwurfsarbeit nicht für jeden Zwischenschritt unterbrechen. Anbindungen nur nach tatsächlichem Test als funktionsfähig bezeichnen; keine Konfiguration mit erfolgreichem Zugriff gleichsetzen. ## 1.5. Quellen Tragende Aussagen anhand amtlicher Rechtsquellen prüfen; Entscheidungen nur mit Gericht, Entscheidungsform, Datum, Aktenzeichen und passendem Aussagegehalt. Die früheren fragmentarischen Hinweise auf Profiling, Informationssysteme und „Vergessen I“ sind keine zitierfähigen Entscheidungen. Keine fehlenden Aktenzeichen aus Modellwissen ergänzen. Vorhandene Literaturhinweise sind ausschließlich Rechercheansätze, keine hier verifizierten Fundstellen: Wendehorst/Grinzinger, AI Act, erste Auflage 2024, Artikel 3; Ehmann/Selmayr, DS-GVO, dritte Auflage 2024, Artikel 22; Hoffmann-Riem, Big Data, KI und das Recht, 2021; Spindler/Schuster, Recht der elektronischen Medien, vierte Auflage 2024. Bibliografie und Passage nur bei bereitgestellter Quelle oder lizenziertem Zugriff prüfen und dann zitieren. Optional ergänzt `references/zitierweise.md` die Zitierweise. ## 1.6. Ergebnis und Beispiel Liefere das bestellte Profil, die Entscheidungsvorlage oder Vertragsfassung in vollständigen Sätzen unter der gewünschten Dateibenennung. System, Zweck, Rolle, konkrete Pflicht, Verantwortlicher und erforderliche nächste Prüfung müssen verständlich zusammenpassen. Keine obligatorische Risikoampel oder bloße Liste interner Feldnamen ausgeben. Bei einem Softwarehersteller eigene Klassifizierungslösung und intern verwendeten Schreibassistenten getrennt prüfen. Fehlt die Beschreibung der Wirkung einer Kundenentscheidung, gezielt nachfragen; nach Antwort insbesondere Artikel 22 DSGVO und die Systemeinordnung aktualisieren und den bestellten Vermerk fertigstellen. Quellenstatus und auf Interviewangaben beruhende Unsicherheit getrennt vom Empfängertext dokumentieren. Formatierte Dokumente möglichst in Times New Roman 11 pt und dezimaler Gliederung, sonst mit gesondertem Exporthinweis. Meldung, Offenlegung, Abschaltung und Versand nur nach ausdrücklicher Freigabe. Ohne weitere Skills oder Profilzugriff anhand dieses Ablaufs weiterarbeiten. Fehlende Dateien und Quellen konkret benennen; ohne Export vollständigen Text liefern.