Klotzkette Prüfung: Internationaler Bezug und Schnittstellen
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: KI-VO Geltungsbeginn gestaffelt (02.02.2025 Verbote, 02.08.2025 GPAI, 02.08.2026 Hochrisiko Anhang III), schwerwiegender Vorfall 15 Tage, DSGVO DPIA vorab.
- Tragende Normen verifizieren: EU KI-VO 2024/1689 Art. 9, 10, 14, 22, 27, 50, ISO/IEC 42001, NIST AI RMF 1.0, OECD AI Principles, DSGVO Art. 22, 35, Produkthaftungs-RL 2024/2853 — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Geschäftsleitung, KI-Officer, Datenschutzbeauftragter, Compliance, Aufsichtsrat, Marktüberwachung, externer Auditor, betroffene Personen.
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: KI-Inventar, Risikoanalyse, FRIA (Fundamental Rights Impact Assessment), AI Governance Policy, Modellkarten, Audit-Bericht, DSGVO-DPIA, Schulungsnachweis — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Spezialwissen: Prüfung: Internationaler Bezug und Schnittstellen
- Normen-/Quellenanker: EU, KI, VO, DSGVO, AIA, DPIA.
Fallweichen
Wenn Unterlagen vorhanden sind, arbeite zuerst aus den Unterlagen. Stelle nur Rückfragen, die die nächste Weiche verändern:
- Welche Rolle hat die fragende Person und wer ist Gegenüber?
- Welches konkrete Ziel soll erreicht oder verhindert werden?
- Welche Frist, Zustellung, Schwelle, Zahlung, Sanktion oder Verfahrensstufe ist kritisch?
- Welche Dokumente, Registerauszüge, Bescheide, Verträge, Tabellen, Screenshots oder Nachrichten belegen den Punkt?
- Welcher Output wird gebraucht: Memo, Checkliste, Tabelle, Entwurf, Schriftsatzbaustein, Mandantenbrief oder Entscheidungsvorlage?
Arbeitsworkflow
- Fallbild bilden: Sachverhalt, Rollen, Zeitachse und Dokumente in eine kurze Matrix bringen.
- Rechtsrahmen setzen: Normen, Zuständigkeiten, Fristen, Formfragen und Verfahrensstand zum Themenfeld KI-Governance internationaler Bezug prüfen.
- Prüfpunkte abarbeiten: Tatbestandsmerkmale, Beweisfragen, typische Fehler, Gegenargumente und Ermessens- oder Wertungsfragen trennen.
- Risiko bewerten: Grün/Gelb/Rot mit Begründung, Annahmen, fehlenden Belegen und möglichen Alternativwegen ausgeben.
- Anschluss bauen: Passende weitere Skills desselben Plugins vorschlagen, wenn eine Vertiefung, ein Schreiben, eine Tabelle, ein Fristenblatt oder eine Verhandlungsstrategie sinnvoll ist.
Internationaler Bezug KI-Governance
- KI-VO räumlicher Anwendungsbereich Art. 2:
- Anbieter mit Sitz in EU oder Drittstaat, der KI-System in EU in Verkehr bringt;
- Betreiber in EU;
- Anbieter/Betreiber in Drittstaat, deren Output in EU genutzt wird.
- US-EU-Schnittstelle:
- DPF (Data Privacy Framework) für DSGVO-Transfer; aktuelle Liste dataprivacyframework.gov.
- SCC (Standardvertragsklauseln) Beschluss 2021/914 — Modul je nach Konstellation.
- TIA (Transfer Impact Assessment) nach Schrems II; ggf. Zusatzmaßnahmen (Verschlüsselung, Pseudonymisierung).
- UK-Schnittstelle: Adäquanzbeschluss EU-UK; UK Data Protection Act 2018 sehr DSGVO-nah.
- Schweiz-Schnittstelle: Schweizer DSG; Adäquanzbeschluss EU-CH; FADP-Anpassungen für EU-Transfer.
- China: strikte Datenexport-Vorgaben PIPL; bei Datenexport aus China spezielle SCC erforderlich.
- USA Cloud Act 2018: US-Behörden können Datenzugriff bei US-Cloud-Anbietern verlangen, auch bei EU-Daten — relevanter Punkt im TIA.
Schnittstellen zu anderen EU-Rechtsakten
- DSGVO ↔ KI-VO: kumulativ; DSFA und KI-VO-Risikobewertung können koordiniert werden.
- DSA ↔ KI-VO: bei KI-gestützter Inhaltsmoderation Art. 16, 17 DSA + KI-VO Pflichten.
- NIS2 ↔ KI-VO: Cybersicherheit-Anforderungen Art. 15 KI-VO + NIS2-Risikomanagement.
- DORA ↔ KI-VO: für Finanzdienstleister; DORA als lex specialis für IKT-Risiko.
Praxis-Tipp
Bei multinationaler KI-Nutzung pro Tool/Anbieter eine Schnittstellenmatrix führen: Welche Datenarten gehen wohin? Welche Rechtsgrundlage je Jurisdiktion? Welche behördliche Aufsicht (BfDI vs. ICO vs. CNIL)? Pauschalkonzepte funktionieren bei US-Cloud nicht — Detailprüfung pro Land.