E-Mails nur als Entwurf
Das System erstellt Antwortentwürfe, versendet aber nie selbst. Der Versand bleibt technisch beim Menschen — es gibt keinen Auto-Send, der versehentlich aktiviert werden könnte.
Sicherheit & Compliance
Kontrolle, die Sie nachweisen können
Diese Seite beschreibt die technischen Architekturprinzipien, mit denen KIKS-Systeme Anforderungen aus DSGVO und EU AI Act berücksichtigen. Die rechtliche Einordnung erfolgt für den konkreten Anwendungsfall; Zusicherungen zu Datenstandort, Datenflüssen und Leistungsumfang werden projektbezogen vertraglich festgehalten.
Berechtigungsprinzip
Die KI darf nur, was ausdrücklich freigeschaltet ist
KIKS-Systeme arbeiten nach einem Whitelist-Prinzip: Jede Aktion, die die KI ausführen darf, wird vor der Umsetzung einzeln definiert und freigeschaltet. Was nicht freigeschaltet ist, kann das System nicht tun — das ist eine technische Grenze, keine organisatorische Absprache.
Dokumente erst nach Prüfung
Erkannte und strukturierte Dokumente werden zur Prüfung vorgelegt. Gespeichert oder weiterverarbeitet wird erst, wenn eine zuständige Person bestätigt hat.
Definierte Datenzugriffe
Das System erhält nur Zugriff auf die Datenquellen, die der konkrete Prozess braucht. Zugriffe werden im Berechtigungskonzept schriftlich festgehalten.
Nachvollziehbarkeit
Jeder Schritt wird protokolliert — und ist rückverfolgbar
Bei jedem Durchlauf zeichnet das System auf, was passiert ist: welche Eingabe verarbeitet wurde, welche Daten gelesen wurden, welche Aktion ausgeführt wurde und auf welcher Grundlage. Sie wissen immer, was die KI getan hat und warum.
Was das Protokoll festhält
- verarbeitete Eingaben und genutzte Datenquellen
- ausgeführte Aktionen mit Zeitpunkt
- Begründung bzw. Entscheidungsgrundlage des Systems
- erteilte oder verweigerte menschliche Freigaben
Wofür Sie es verwenden können
- interne Prüfungen durch IT oder Datenschutzbeauftragte
- Grundlage für das Verzeichnis von Verarbeitungstätigkeiten
- Beantwortung von Rückfragen der Geschäftsführung oder von Auditoren
- Fehleranalyse: jeder Einzelfall lässt sich rekonstruieren
Datensouveränität
EU-Datenstandort als Architekturprinzip
Sie entscheiden, wo verarbeitet wird. Beide Varianten werden by design so aufgebaut, dass Daten die EU nicht verlassen. Die konkrete Verarbeitungskette, beteiligte Anbieter und der zugesicherte Datenstandort werden vor Projektstart geprüft, dokumentiert und vertraglich festgehalten.
On-Premise
Betrieb vollständig auf Ihrer eigenen Infrastruktur. Sinnvoll bei besonders sensiblen Daten oder strengen internen IT-Vorgaben.
- Daten und Modelle verbleiben entsprechend der vereinbarten Architektur im Haus
- Einbindung in Ihre bestehende IT-Sicherheitsumgebung
- externe Dienste werden nicht in die vereinbarte Verarbeitungskette eingeplant
EU-Cloud
Architektur mit deutschen und europäischen Anbietern sowie europäischen Sprachmodellen. Die tatsächlich eingesetzten Dienste und Datenstandorte werden projektbezogen freigegeben und vertraglich festgehalten.
- europäische Sprachmodelle (z. B. Mistral) statt US-Modelle
- Hosting und Verarbeitung bei EU-Anbietern
- dokumentierte Datenflüsse und Speicherorte
DSGVO
Umsetzung nach den Grundsätzen der DSGVO
Datenschutz bestimmt die Architektur von Anfang an. Ob die konkrete Lösung die anwendbaren DSGVO-Anforderungen erfüllt, wird für den jeweiligen Anwendungsfall geprüft. Daraus abgeleitete technische Maßnahmen sowie vertragliche Zusicherungen werden vor Projektstart festgelegt und dokumentiert:
Datenminimierung
Es werden nur die personenbezogenen Daten verarbeitet, die der konkrete Prozess erfordert. Zugriffe darüber hinaus werden gar nicht erst eingerichtet.
Auftragsverarbeitung
Beteiligte Anbieter, Datenflüsse und Speicherorte werden schriftlich festgehalten — die Grundlage für Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
Rechenschaftsfähigkeit
Die lückenlose Protokollierung macht Verarbeitungen belegbar und unterstützt Ihr Verzeichnis von Verarbeitungstätigkeiten sowie interne Kontrollen.
Löschung und Rückgabe
Testdaten, Beispielmails und nicht mehr benötigte Zugänge werden nach Projektende gelöscht oder zurückgegeben, soweit keine Aufbewahrungspflichten entgegenstehen.
EU AI Act
Artikel 50 EU AI Act: Transparenz als Architekturprinzip
Transparenz und Kennzeichnung nach Artikel 50 EU AI Act (anwendbar ab 2. August 2026) sind Teil der Systemarchitektur: KI-Interaktionen und KI-generierte Inhalte werden als solche ausgewiesen. Welche weiteren Pflichten gelten, wird anhand der Risikoklasse und des konkreten Anwendungsfalls geprüft und vertraglich festgehalten.
Risikoeinordnung vor Projektstart
Jeder Anwendungsfall wird vor der Umsetzung eingeordnet: Welche Risikoklasse, welche Pflichten. Hochrisiko-Anwendungen werden nur nach gesonderter Prüfung und ausdrücklicher Vereinbarung umgesetzt.
Menschliche Aufsicht eingebaut
Freigabestufen und Entwurfsprinzip sorgen dafür, dass relevante Entscheidungen bei Menschen bleiben — die Aufsicht ist Teil der Systemarchitektur, nicht eine nachgelagerte Richtlinie.
Transparenz und Kennzeichnung
KI-Interaktionen und KI-generierte Inhalte werden erkennbar ausgewiesen. Protokollierung, dokumentierte Änderungen und regelmäßige Berichte unterstützen die projektbezogen ermittelten Transparenz- und Dokumentationsanforderungen.
Was KIKS bewusst nicht baut
- unkontrollierte KI-Agenten ohne klare Grenzen
- automatische E-Mail-Versendung ohne Freigabe
- Blackbox-Prozesse ohne Protokollierung
- Systeme mit Datenverarbeitung außerhalb der EU
- KI für rechtliche, medizinische oder Zahlungsentscheidungen ohne menschliche Prüfung
- Systeme ohne klare Verantwortlichkeit
Sicher starten
Welche Grenzen braucht Ihr Prozess?
Beschreiben Sie den Ablauf und die Daten, die dabei verarbeitet werden. Ich prüfe, wie er kontrolliert, protokolliert und nach den Grundsätzen der DSGVO aufgebaut werden kann; die konkrete rechtliche Einordnung erfolgt projektbezogen — auf Wunsch als bepreiste Erstanalyse.