KI-Nutzung im Team dokumentieren

Use Case

Wer KI im Team einsetzt, muss perspektivisch nachweisen können, was, wie und mit welchen Daten verarbeitet wurde. Eine schlanke Dokumentationsroutine — pro Anwendungsfall, nicht pro Vorgang — schafft Transparenz, erfüllt DSGVO-Anforderungen und bereitet auf die kommenden EU AI Act-Pflichten vor.

Für: Compliance / IT · Niveau: Mittel · Tools: Microsoft Copilot, NotebookLM, ChatGPT, Claude

Für wen ist dieser Use Case geeignet?

Dieser Use Case eignet sich für alle, die KI-Nutzung im Team strukturieren wollen — Teamleitungen, Abteilungsleitungen, KI-Verantwortliche, Datenschutzbeauftragte, Compliance-Verantwortliche. Auch für einzelne Mitarbeitende, die ihre Arbeit nachvollziehbar dokumentieren wollen, ist die Routine sinnvoll.

Besonders relevant ist die Dokumentation, sobald KI systematisch eingesetzt wird — also nicht für jeden Einzelvorgang, sondern wenn ein bestimmter Anwendungsfall im Team etabliert wird (z. B. „Wir nutzen ChatGPT für Bewerbungsschreiben-Entwürfe“). Auch bei Vorgängen mit Personenbezug, Entscheidungsrelevanz oder externer Wirkung ist Dokumentation Pflicht.

Sie brauchen kein juristisches Spezialwissen. Wichtig ist, dass Sie wissen, welche Anwendungsfälle in Ihrem Team mit KI bearbeitet werden — und bereit sind, einmalig pro Anwendungsfall zehn Minuten in eine saubere Dokumentation zu investieren.

Ausgangsproblem

KI-Nutzung im Unternehmen läuft in der Regel undokumentiert. Niemand notiert, welche Aufgaben mit welcher KI bearbeitet werden, welche Daten dort eingehen und wie die Ergebnisse weiterverwendet werden. Bei einer Datenschutzprüfung, einem Vorfall oder einer Mitarbeiteranfrage ist das ein Problem: Es lässt sich weder nachweisen, dass datenschutzkonform gearbeitet wurde, noch wo Risiken liegen.

Die Lösung ist nicht „jeden Vorgang einzeln dokumentieren“, sondern „jeden Anwendungsfall einmal sauber beschreiben“. Damit entsteht eine Übersicht: welche KI-Nutzung gibt es, welche Datenklassen sind betroffen, welche Tools werden eingesetzt, welche Risiken sind identifiziert, wer ist verantwortlich. Die Dokumentation wird zur Grundlage für interne Steuerung, für Datenschutzgespräche, für Betriebsratsabstimmungen und perspektivisch für die Pflichten aus dem EU AI Act.

Schritt-für-Schritt-Anleitung

Schritt 1: Anwendungsfälle im Team sichtbar machen

Fragen Sie im Team konkret: Wofür nutzt jeder von euch aktuell KI? Sammeln Sie die Antworten — ohne Bewertung, einfach als Bestandsaufnahme. Typische Anwendungsfälle:

Texte entwerfen (E-Mails, Berichte, Stellenanzeigen, Angebote)
Dokumente zusammenfassen (Verträge, Studien, Meetings)
Recherche und Faktencheck
Übersetzungen und Tonalitätsanpassungen
Datenanalyse und Tabellenarbeit
Bildgenerierung für Präsentationen oder Marketing
Code- und Formel-Generierung

Schritt 2: Dokumentationsraster pro Anwendungsfall ausfüllen

Pro Anwendungsfall halten Sie folgende Punkte fest:

Bezeichnung des Anwendungsfalls (z. B. „Entwurf von Antwortmails auf Kundenanfragen“)
Verantwortlich im Team (Person oder Rolle)
Eingesetztes Tool und Vertragslage (z. B. „ChatGPT Team mit AVV“)
Datenklasse der typischen Eingaben (öffentlich, intern, vertraulich, streng vertraulich)
Datenklasse der Ausgaben (welche Risiken können entstehen, wenn die Ausgabe falsch ist)
Prüfschritte vor Weiterverwendung (z. B. „Manuelle Endredaktion durch Bearbeiter“)
Wer wurde einbezogen (Datenschutz, IT, Betriebsrat)
Stand der Dokumentation (Datum, letzte Aktualisierung)

Schritt 3: Risikobewertung pro Anwendungsfall

Schätzen Sie pro Anwendungsfall das Risiko in drei Dimensionen ein:

Datenschutzrisiko — werden personenbezogene Daten verarbeitet, und wenn ja, ist das Tool dafür freigegeben?
Qualitätsrisiko — was passiert, wenn die KI-Ausgabe falsch ist (interne Wirkung, externe Wirkung, finanzielle Folgen)?
Compliance-Risiko — gibt es branchenspezifische Vorgaben (Berufsrecht, Aufsichtsrecht, EU AI Act), die berücksichtigt werden müssen?

Schritt 4: Maßnahmen pro Risiko ableiten

Für jedes als relevant eingeschätzte Risiko legen Sie eine konkrete Maßnahme fest:

Datenschutzrisiko hoch → Tool wechseln, anonymisieren oder Aufgabe abstrahieren
Qualitätsrisiko hoch → Vier-Augen-Prinzip, manuelle Endprüfung, Faktencheck-Routine
Compliance-Risiko hoch → Rücksprache mit Datenschutz, Recht, Betriebsrat oder Aufsicht vor Rollout

Schritt 5: Dokumentation an einer Stelle bündeln

Legen Sie eine einheitliche Stelle fest, an der die Dokumentation gepflegt wird — ein Wiki, eine Tabelle, ein internes SharePoint. Wichtig: zentral zugänglich, versioniert, mit klarer Zuständigkeit für die Pflege.

Schritt 6: Aktualisierung als Routine etablieren

Mindestens halbjährlich (besser quartalsweise) prüfen Sie die Dokumentation: Sind neue Anwendungsfälle hinzugekommen? Haben sich Tools oder Vertragslagen geändert? Sind die Risikobewertungen noch aktuell? Eine veraltete Dokumentation ist gefährlicher als gar keine, weil sie falsche Sicherheit suggeriert.

Schritt 7: Transparenz gegenüber Betroffenen herstellen

Wo KI-Nutzung Mitarbeitende oder Kunden betrifft (z. B. KI-gestützte Auswahl, KI-generierte Antworten), gehört Transparenz dazu. Halten Sie fest, wie Betroffene über den KI-Einsatz informiert werden — proaktiv, in der Datenschutzerklärung oder auf Anfrage.

Beispielprompt

Hinweis: Dieser Use Case ist primär eine organisatorische Routine, kein KI-Prompt-Use-Case. Wenn Sie KI bei der Dokumentation unterstützen möchten, hier ein nutzbarer Prompt für ein Tool mit Datenschutz-Vertrag:

Ich beschreibe einen Anwendungsfall, in dem KI im Team genutzt wird. Du hilfst mir, eine vollständige Dokumentation und Risikobewertung zu erstellen.

Anwendungsfall:
[z. B. „In unserem Vertriebsteam nutzen wir ChatGPT, um Erstentwürfe für Antwortmails auf Kundenanfragen zu schreiben. Die Eingaben enthalten in der Regel den Anlass der Kundenanfrage in eigenen Worten ohne Kundennamen."]

Tool und Vertragslage:
[z. B. „ChatGPT in der Team-Variante, AVV mit OpenAI abgeschlossen."]

Aufgabe:
1. Erstelle eine strukturierte Dokumentation mit den Punkten Verantwortliche Rolle, Tool, Datenklasse Eingabe, Datenklasse Ausgabe, Prüfschritte, einbezogene Stellen, Aktualisierungsdatum.
2. Bewerte das Datenschutzrisiko, das Qualitätsrisiko und das Compliance-Risiko jeweils in drei Stufen (niedrig, mittel, hoch) und begründe kurz.
3. Schlage für jedes Risiko mit Stufe „mittel" oder „hoch" mindestens eine konkrete Maßnahme vor.
4. Markiere offene Fragen, die ich vor einer endgültigen Freigabe noch klären sollte.

Wichtig:
- Erfinde keine vertraglichen oder regulatorischen Details, die du nicht sicher kennst.
- Bei Unsicherheit zur strengeren Bewertung tendieren.
- Verweise im Zweifel auf den Datenschutzbeauftragten, die IT, den Betriebsrat oder die Geschäftsführung.

Qualitätscheck

Bevor Sie die Dokumentation als verbindlich erklären, prüfen Sie:

Sind alle aktuell genutzten KI-Anwendungsfälle im Team erfasst?
Ist für jeden Anwendungsfall die Datenklasse der Eingaben sauber bestimmt?
Ist für jeden Anwendungsfall die Tool-Vertragslage geklärt (AVV, ja/nein)?
Sind Risiken in den drei Dimensionen (Datenschutz, Qualität, Compliance) bewertet?
Sind für mittlere und hohe Risiken konkrete Maßnahmen festgelegt?
Ist die Dokumentation an einer zentralen, versionierten Stelle abgelegt?
Ist ein Aktualisierungsturnus festgelegt und einer Person zugeordnet?
Ist geregelt, wie Betroffene (Mitarbeitende, Kunden) über die KI-Nutzung informiert werden?

Ein guter Test: Können Sie einer externen Prüferin in 15 Minuten zeigen, welche KI-Nutzung in Ihrem Team läuft, welche Daten betroffen sind und welche Schutzmaßnahmen greifen? Wenn ja, ist die Dokumentation tragfähig. Wenn nicht, fehlt entweder Struktur oder Aktualität.

Risiken und Grenzen

Eine Dokumentation, die nur „auf dem Papier“ existiert, aber nicht gelebt wird, erzeugt falsche Sicherheit. Bei einer Prüfung wird schnell sichtbar, dass die tatsächliche KI-Nutzung von der Dokumentation abweicht — und das ist schwerwiegender, als gar keine Dokumentation zu haben.

Pro-Vorgang-Dokumentation funktioniert in der Praxis nicht. Wer versucht, jeden einzelnen KI-Vorgang zu erfassen, scheitert am Aufwand. Die Routine muss pro Anwendungsfall ansetzen — einmal sauber beschrieben, dauerhaft gültig, bei Bedarf aktualisiert.

Ohne klare Verantwortlichkeit für die Pflege veraltet die Dokumentation schnell. Tool-Verträge ändern sich, Anwendungsfälle entwickeln sich, neue Mitarbeitende kommen hinzu. Eine namentlich verantwortliche Person mit festem Pflegeturnus ist unverzichtbar.

Bei systematischer KI-Nutzung kann der EU AI Act zusätzliche Pflichten auslösen — etwa Risikoklassifizierung, Transparenzpflichten, Konformitätsbewertung. Die Dokumentation sollte mit dem Inkrafttreten des AI Act schrittweise um diese Aspekte erweitert werden.

Wo die Mitbestimmung des Betriebsrats greift (systematische KI-Nutzung im Personalwesen, Leistungs- oder Verhaltenskontrolle), kann eine fehlende oder unzureichende Dokumentation zu Mitbestimmungsverfahren führen — bis hin zur Untersagung der Nutzung.

Datenschutzhinweis

Die DSGVO verlangt nach Art. 30 ein Verzeichnis von Verarbeitungstätigkeiten. KI-Nutzung im Team ist regelmäßig eine Verarbeitungstätigkeit im Sinne der DSGVO — und gehört ins Verzeichnis. Eine Anwendungsfall-Dokumentation ist faktisch der Baustein, mit dem Sie das Verzeichnis um KI-Vorgänge ergänzen.

Bei wahrscheinlich hohem Risiko für Rechte und Freiheiten der Betroffenen (etwa bei automatisierter Entscheidungsfindung, systematischer Überwachung, Verarbeitung besonderer Kategorien personenbezogener Daten) ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO Pflicht. Die Dokumentation des Anwendungsfalls ist die Grundlage, auf der Sie entscheiden, ob eine DSFA erforderlich ist.

Der EU AI Act bringt ab 2026 zusätzliche Dokumentations- und Transparenzpflichten — abgestuft nach Risikoklasse des KI-Systems und nach der Rolle als Anbieter oder Betreiber. Eine etablierte Anwendungsfall-Dokumentation ist die Brücke, um diese Pflichten ohne grundlegende Umstrukturierung erfüllen zu können.

Transparenzpflichten gegenüber Mitarbeitenden und Kunden: Wo KI Entscheidungen vorbereitet oder Texte für die Außenkommunikation erzeugt, sollten Betroffene das wissen können — entweder durch eine allgemeine Datenschutzerklärung, eine Kennzeichnung der jeweiligen Inhalte oder eine Auskunft auf Anfrage. Die Dokumentation hält fest, welche Form gewählt wurde.

Mitbestimmungspflichten des Betriebsrats: Wenn KI systematisch eingesetzt wird, um Leistung oder Verhalten von Mitarbeitenden zu beobachten oder zu bewerten, greift in der Regel die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Auch hier liefert die Dokumentation die Faktenbasis für die Abstimmung mit dem Betriebsrat.

Die Verantwortung für die Dokumentation liegt bei der Geschäftsleitung — kann aber an Teamleitungen, Datenschutz, IT oder eine zentrale KI-Verantwortliche delegiert werden. Wichtig: Die Delegation ist schriftlich festzuhalten, ebenso die Zuständigkeit für Pflege und Aktualisierung.

Passende Tools

Microsoft Copilot: Enterprise mit M365-Lizenz: Dokumentation in SharePoint oder OneNote sinnvoll, Tool selbst hilft bei Strukturierung der Anwendungsfälle
NotebookLM: gut geeignet, um aus mehreren internen Dokumenten (Datenschutzrichtlinie, KI-Policy, Anwendungsfall-Beschreibungen) eine konsistente Übersicht zu erstellen
ChatGPT: Enterprise/Team mit AVV: gut für die Erstellung von Dokumentationsrastern und Risikobewertungen anhand anonymisierter Anwendungsfälle
Claude: Enterprise mit AVV: stark bei strukturierter Analyse längerer Dokumentationen und Compliance-Texte