Copilot- und Governance-Readiness:
Welche KI wirkt hier eigentlich?
Copilot ist ausgerollt, einzelne Agenten laufen, Fachbereiche haben sich eigene Werkzeuge besorgt. Sie arbeiten auf Unternehmensdaten, oft mit Berechtigungen, die niemand geprüft hat, und ohne festgelegten Weg für den Fall, dass etwas schiefgeht. In zehn Arbeitstagen entsteht ein Stand, den Sie vorzeigen können.
Die Frist ist verschoben. Der Betrieb nicht.
Mit dem Digital Omnibus verschiebt die EU die Pflichten für Anwendungen mit hohem Risiko auf Dezember 2027 beziehungsweise August 2028. Das ist kein Grund abzuwarten, denn die Systeme laufen bereits.
Niemand kennt den Bestand
Neben den offiziellen Werkzeugen laufen Anwendungen, die sich Fachbereiche selbst besorgt haben. Eine vollständige Übersicht existiert nirgends.
Berechtigungen sind ungeprüft
Ein Assistent sieht, was sein Nutzer sehen darf. Ob das über Jahre gewachsene Rechtemodell dem standhält, hat selten jemand nachgerechnet.
Verantwortung ist diffus
IT, Datenschutz und irgendwie auch Legal. Wer eine neue Anwendung freigibt und wer im Vorfall reagiert, ist meist nicht benannt.
Transparenzpflichten gelten jetzt
Die Kennzeichnung von Chatbots und KI-erzeugten Inhalten nach Artikel 50 wurde nicht verschoben. Sie greift ab dem 2. August 2026.
Was in den zehn Tagen untersucht wird
Der Umfang wird vorab verbindlich begrenzt: bis zu 15 KI-Anwendungen, acht Gespräche, vier Bereiche, ein Tenant und bis zu 30 Dokumente.
- Alle produktiven und pilotierten KI-Anwendungen, einschließlich der inoffiziellen
- Je Anwendung: Zweck, Verantwortliche, Nutzergruppen, Datenquellen, Anbieter und Betriebsstatus
- Berechtigungen, Aufbewahrung, Protokollierung und Freigabe von Agenten im Microsoft-365-Umfeld
- Regulatorische Einordnung je Anwendungsfall, mit Begründung statt Bauchgefühl
- Vorhandene Richtlinien, Verträge und Konzepte auf Lücken zwischen Anspruch und Praxis
Zehn Arbeitstage, sieben Beratungstage
Der Unterschied zwischen Kalenderdauer und Beratungsaufwand ist Absicht und wird im Angebot offen ausgewiesen. Sie kaufen ein Ergebnis in zwei Wochen, keine zehn Manntage.
Bestand erfassen
Gespräche mit IT, Fachbereichen, Datenschutz und Informationssicherheit, ergänzt um die technische Sicht auf den Tenant.
Technisch prüfen
Berechtigungen, Aufbewahrungsregeln, Datenabfluss-Schutz, Websuche-Konfiguration, Agenten-Freigaben und Protokollierung im Ampelbefund.
Einordnen
Je Anwendungsfall: verboten, Kandidat für hohes Risiko, transparenzpflichtig oder unkritisch. Nachvollziehbar begründet.
Maßnahmen priorisieren
Was müsste heute belegt werden können und ist es nicht? Sortiert nach Risiko und Aufwand, mit Verantwortlichen und Terminen.
Ein Stand, den Sie vorzeigen können
Sie erhalten ein Inventar aller KI-Anwendungen, eine regulatorische Vorprüfung je Fall, ein Rollenmodell mit Namen statt Abteilungen, einen Bericht über die Lücken zwischen dem, was belegt werden müsste, und dem, was belegbar ist, einen Sicherheitsbefund zu Berechtigungen und Protokollierung sowie einen 90-Tage-Plan, den Ihre IT-Leitung am Montag starten kann. Übergeben wird ein Ergebnisdokument, eine Präsentation für die Geschäftsführung und eine Maßnahmenliste als Tabelle.
Was der Sprint bewusst nicht leistet
Er schafft den organisatorischen und fachlichen Rahmen und bereitet Einstufungen begründet vor. Die juristische Bewertung bleibt bei Ihnen oder Ihrer Kanzlei, und ich weise klar aus, wo sie nötig ist.
- Keine Rechtsberatung und keine rechtsverbindliche Einstufung als Hochrisiko-System
- Keine Datenschutz-Folgenabschätzung, aber die Benennung, wo eine nötig wird
- Keine technische Umsetzung von Schutzmaßnahmen und keine Produktauswahl
- Keine Zertifizierung, kein Testat, keine Konformitätserklärung
Läuft bei Ihnen schon KI, die niemand vollständig überblickt?
Schreiben Sie mir kurz, welche Werkzeuge im Einsatz sind und was Sie daran beschäftigt. In einem ersten Gespräch von 30 Minuten klären wir, ob der Sprint der passende nächste Schritt ist.