Quellenprüfung: 2026-09-11 · Version 1.1
Diese Übersicht zeigt, worauf die Aussagen des Kompasses beruhen und wo Sie eine eigene Klärung benötigen. Gesetzliche, vertragliche und interne Bedingungen sind getrennt zu prüfen. Die Quellen erteilen keine Freigabe für einen bestimmten Betrieb, Dienst oder Datenweg.
Recht, Daten und Freigabe — H3, V02 bis V05
| Thema | Beleg und Aussage | Grenze für die Anwendung |
|---|---|---|
| Personenbezogene Daten | Die EU-Kommission erläutert Verarbeitungsgrundsätze und Rechtsgrundlagen. Der EDSA erklärt Verantwortliche und Auftragsverarbeiter, Drittlandübermittlungen und Datenschutz-Folgenabschätzungen. | Zweck, Rollen und tatsächliche Verarbeitung bestimmen die nötigen Schritte. Ein AVV, EU-Speicherort oder Trainingsausschluss allein genügt nicht. |
| Beschäftigte und Beteiligung | Deutschland: § 26 BDSG sowie § 87 BetrVG und § 90 BetrVG. Österreich: § 96 ArbVG, § 96a ArbVG und § 10 AVRAG. | Gesetzliche Voraussetzungen und Ausnahmen prüfen. Einwilligung ersetzt keine erforderliche Beteiligung. Eine Standortfreigabe gilt nicht automatisch an einem anderen Standort; Zuständigkeiten vor Einführung klären. |
| Berufsgeheimnisse | Deutschland, anwaltliche Dienstleister: § 43e BRAO. Österreich: anwaltliche Verschwiegenheit nach § 9 RAO, Berufsberechtigte nach § 80 WTBG 2017, gültig ab 19.02.2026. | Berufsgruppe und Rechtsordnung getrennt bestimmen. Vertrag, Empfänger, Supportzugriff und konkrete Dienstleistung gehören in die Fachprüfung. Keine pauschale Erlaubnis durch einen Datenschutzvertrag. |
| KI-Verordnung | Die Kommission erläutert Risikobereiche und Rollen, den AI-Omnibus und Transparenzpflichten. | Zweck, Funktion, Rolle und Geltungszeit sind entscheidend. Eine spätere Frist für bestimmte Hochrisikoregeln hebt bereits geltende Datenschutz-, Vertrags- oder Transparenzbedingungen nicht auf. Menschliche Kontrolle ist keine pauschale Ausnahme von allen Pflichten. |
| Nutzungsrechte | Deutschland: Schutzmaßstab § 2 Abs. 2 UrhG, Nutzungsrechte § 31 und Text-/Data-Mining § 44b. Österreich: Schutzmaßstab § 1 UrhG, Nutzungsrechte § 24, § 24c und § 26; Text-/Data-Mining § 42h Abs. 6. | Zugang oder Kauf bedeutet keine Erlaubnis für jede Eingabe und Verwertung. Rechte für Verarbeitung und Veröffentlichung getrennt klären. Sachliche Richtigkeit ersetzt keine Lizenz. |
Für mehrere Betriebe oder Länder kommen Zuständigkeitsfragen hinzu. Deutsche Anknüpfungspunkte sind §§ 50 und 58 BetrVG sowie §§ 1 und 2 EBRG. Diese Quellen entscheiden keinen konkreten Mehrländerfall; nationale und übergreifende Zuständigkeiten müssen anhand der betroffenen Betriebe geklärt werden.
Prüfumfang und Aktualitätsgrenze: Die verwendeten Aussagen wurden am 11.09.2026 einzeln mit amtlichen Normtexten, Erläuterungen und ausdrücklich begrenzten Suchauszügen abgeglichen. Der verlinkte § 80 WTBG ist die ab 19.02.2026 geltende Fassung. Vollständige aktuelle EUR-Lex-Texte waren nicht direkt zugänglich; bei §§ 96/96a ArbVG, § 10 AVRAG, § 31 UrhG Deutschland und § 24c UrhG Österreich blieb der Abruf auf amtliche Suchauszüge begrenzt. Die Prüfung bestätigt den hier verwendeten Orientierungsumfang, keine vollständige Norm-, Rechtsprechungs- oder Einzelfallprüfung. Der Kompass enthält deshalb keine abschließenden Fristen-, Ausnahmen- oder Sanktionsübersichten. Geänderte Vorschriften, Verträge und konkrete Einsätze brauchen eine erneute fachliche Prüfung.
Dokumente, Betrieb und Ausstieg — H2, H6, V01 und V08
| Thema | Beleg und Aussage | Grenze für die Anwendung |
|---|---|---|
| Eigene Dokumente einbeziehen | Microsoft: Retrieval-Augmented Generation beschreibt das Suchen passender Inhalte und deren Verwendung für eine Antwort. | Ein gefundenes Dokument kann veraltet oder unzuständig sein. Freigegebene Quellen, Rechte, Versionsregeln und Ergebnisprüfung bleiben nötig. Die Dokumentation ist ein technisches Beispiel, keine Anbieterempfehlung. |
| Wissen pflegen und Modelle anpassen | Microsoft: Fine-Tuning beschreibt Trainingsdaten, Validierung und einen eigenen Trainingsvorgang. | Eine korrigierte Datei oder einzelne Rückmeldung garantiert noch keine wirksame Änderung künftiger Antworten. Der tatsächlich verwendete Wissens- oder Systemweg muss angepasst und geprüft werden. |
| Lokaler Betrieb | Microsoft: Foundry Local trennt lokale Ausführung von weiteren Funktionen und Verbindungen. | „Lokal“ ist keine allgemeine Datenschutzgarantie. Downloads, Zusatzfunktionen, Protokolle und reale Datenwege für die konkrete Lösung prüfen. |
| Ausfall und Wiederanlauf | NIST SP 800-34 Rev. 1 behandelt Ausfallplanung, Übungen und Wiederherstellung. | Methodische Orientierung, keine pauschale gesetzliche Pflicht oder universell zulässige Ausfallzeit. Der betriebliche Fall bestimmt die nötige Vorsorge. |
| Nachhaltigkeitsnachweis | Software Carbon Intensity beschreibt Systemgrenzen und funktionale Bezugseinheiten. Der GHG Protocol Product Standard behandelt Emissionen im Produktlebenszyklus. | Unterschiedliche Grenzen und Einheiten sind nicht ohne Weiteres vergleichbar. Keine pauschale Emissionszahl je Anfrage oder Rangliste der Betriebsformen abgeleitet. |
Ergebnisprüfung, Lernen und Integration — H4, V06 und V07
NIST AI 600-1 behandelt plausible Falschaussagen, übermäßiges Vertrauen, Quellenprüfung und fortlaufende Risikobeobachtung. Abschnitt 2.9 beschreibt außerdem manipulierende Anweisungen in eingelesenen Daten. Die Vorgabe in H2/V01, solche Inhalte von Zugriffs-, Empfänger- und Freigaberegeln zu trennen und den Ablauf zu testen, ist eine betriebliche Schutzanforderung; sie garantiert keine vollständige Angriffssicherheit. Das begründet, warum eine flüssige Antwort oder hohe Selbsteinschätzung keine fachliche Freigabe ersetzt. Die Originalstudie von Ni et al. untersucht Grenzen von Konfidenzangaben; daraus folgt kein universeller zuverlässiger Prozent-Schwellenwert für den Betrieb.
Die Kommissions-FAQ zu KI-Kompetenz liefern Orientierung für aufgaben- und kontextbezogene Vorbereitung. Im Kompass sind ein konkreter Übungsfall, wirksame Eingriffsbefugnisse und eine erprobte Fehlerbehandlung betriebliche Startbedingungen. Eine bestimmte Kursdauer wird weder als allgemeine gesetzliche Pflicht noch als ausreichender Compliance-Nachweis dargestellt.
Beispiele, Zahlen und redaktionelle Herkunft
Die Fälle A, B und C sowie ihre Unterlagen, Ausgaben, Termine und Zeitansätze sind fiktive Lehrbeispiele. Sie sind keine Kundenreferenzen, Messdaten oder protokollierten KI-Läufe. Rechnungen verwenden offen genannte Annahmen; sie belegen keine erwartbare Einsparung in Ihrem Betrieb. Freie Arbeitszeit wird von vermiedenen Auszahlungen getrennt.
Die neue Fassung übernimmt keine ungeprüften Erfolgsquoten oder pauschalen Zeitversprechen als Begründung. Das bedeutet keine vollständige nachträgliche Bestätigung aller Statistiken im historischen Bestand. Dessen Inhalte bleiben für die redaktionelle Rückverfolgung erhalten. Historische Texte und redaktionelle Prüfberichte gehören nicht zur aktuellen Leseausgabe. Der oben genannte Prüfumfang begrenzt die Aussage dieser Quellenprüfung.
Unternehmerische Orientierung, keine individuelle Rechts-, Datenschutz- oder IT-Sicherheitsberatung. Die Verständlichkeit für die Zielgruppe und die endgültige Publikationsfassung sind noch zu prüfen.