KI dokumentieren: Nachvollziehbarkeit ohne Bürokratiemonster

Warum KI-Dokumentation wichtig ist

Wenn KI in sozialen Organisationen genutzt wird, entstehen schnell praktische Fragen: Darf ein Team ein KI-Tool für Protokolle testen Wurde der Datenschutz geprüft Welche Daten dürfen nicht eingegeben werden Wer hat entschieden, dass ein Tool genutzt werden darf Und wie wird später nachvollzogen, ob die Regeln eingehalten wurden

Ohne Dokumentation bleiben diese Fragen im Kopf einzelner Personen oder in verstreuten E-Mails. Das ist riskant, weil Wissen verloren geht, Verantwortlichkeiten verschwimmen und Teams bei Unsicherheit improvisieren. Eine gute Dokumentation macht nicht jede Nutzung schwerer. Sie macht erlaubte Nutzung klarer.

Gerade in sozialen Organisationen ist Nachvollziehbarkeit mehr als Verwaltung. Sie schuetzt Klientinnen und Klienten, Fachkräfte, Leitung und Organisation. Sie hilft, Datenschutz, Fachlichkeit, menschliche Prüfung und Qualitätsentwicklung zusammenzudenken.

Nachvollziehbarkeit ist Führungsaufgabe

KI-Dokumentation darf nicht stillschweigend auf einzelne Fachkräfte abgeladen werden. Leitung, Geschäftsführung oder Trägerleitung müssen entscheiden, welcher Rahmen gilt: Welche Tools sind erlaubt Welche Anwendungsfälle sind ausgeschlossen Welche Nutzungen brauchen Freigabe Welche Nachweise erwartet die Organisation

Fachkräfte können dokumentieren, was sie in einem freigegebenen Rahmen nutzen. Datenschutz kann prüfen, welche Datenarten und Verarbeitungen betroffen sind. IT kann technische und vertragliche Toolinformationen beisteuern. Qualitätsmanagement kann Vorlagen, Versionsstaende, Schulungsnachweise und Reviews strukturieren. Die Gesamtverantwortung für ein funktionierendes System bleibt jedoch bei der Organisation.

Eine schlanke Dokumentation ist deshalb ein Steuerungsinstrument. Sie zeigt, dass KI nicht nebenbei in die Praxis rutscht, sondern fachlich, organisatorisch und datenschutzbezogen geführt wird. Dokumentation schafft organisatorische Kontinuitaet und macht Entscheidungen auch nach Personalwechseln oder bei späteren Prüfungen nachvollziehbar.

Für Geschäftsführungen ist dieser Punkt besonders wichtig: Sie müssen nicht jeden einzelnen KI-Arbeitsschritt kennen, aber sie brauchen ein belastbares Bild darüber, welche KI-Anwendungen in der Organisation erlaubt sind, welche Risiken geprüft wurden, welche Verantwortlichkeiten gelten und wo Nachweise liegen. Ohne diese Übersicht wird KI-Governance schnell personenabhaengig und schwer steuerbar.

Drei Stufen statt Einheitsformular

Der grte Fehler bei KI-Dokumentation ist ein Einheitsformular für alles. Dann wird entweder viel zu viel dokumentiert oder das System wird ignoriert. Besser ist eine einfache Stufung nach Risiko und Organisationsrelevanz.

• Stufe 1 - allgemeine Nutzung: KI wird für allgemeine Ideen, Formulierungen, Gliederungen oder nicht sensible Vorbereitungen genutzt. Hier reichen oft Teamregeln, Schulungsnachweise und eine kurze Übersicht erlaubter Beispiele.
• Stufe 2 - prüfpflichtige Nutzung: KI wird regelmäßig, in Prozessen, für interne Kommunikation, mit vertraulichen Kontexten oder als Teil eines Pilotprojekts genutzt. Hier braucht es Toolsteckbrief, Freigabe, verantwortliche Rollen und Review.
• Stufe 3 - sensible oder folgenreiche Nutzung: KI berührt personenbezogene Daten, Sozialdaten, Falldokumentation, Schutzfragen, Personalvorgänge, Entscheidungsunterstützung oder externe Aussagen mit hoher Tragweite. Hier sind Datenschutz, Rechtsfragen, Fachverantwortung, menschliche Aufsicht und gegebenenfalls weitergehende Prüfungen besonders streng zu klären.

Diese Stufung verhindert, dass ein harmloser Strukturierungsvorschlag denselben Aufwand auslöst wie ein Tooltest mit Besprechungstranskripten oder Falldaten. Gleichzeitig macht sie klar, wann ein Stopp und eine Prüfung nötig sind. Eine Datenschutz-Folgenabschätzung ist dabei kein Automatismus bei jeder KI-Nutzung. Sie kann aber Ergebnis einer konkreten Datenschutzprüfung sein, wenn Art, Umfang, Kontext oder Zweck der Verarbeitung ein voraussichtlich hohes Risiko für Rechte und Freiheiten betroffener Personen erkennen lassen.

Welche Mindestfelder sinnvoll sind

Für prüfpflichtige KI-Nutzung reicht oft eine knappe Vorlage. Wichtig ist nicht die Laenge, sondern die Verwendbarkeit. Die Dokumentation sollte die späteren Kernfragen beantworten können.

• Zweck: Wofür soll KI genutzt werden
• Tool: Welches KI-System oder welche Funktion wird eingesetzt
• Datenarten: Werden personenbezogene, vertrauliche, fachliche oder nur allgemeine Informationen verarbeitet
• Ergebnisnutzung: Wird das Ergebnis intern vorbereitet, extern verwendet oder fachlich entscheidungsnah genutzt
• Prüfung: Wer prüft Richtigkeit, fachliche Passung, Datenschutzgrenzen und mögliche Verzerrungen
• Freigabe: Wer hat den Einsatz erlaubt und mit welchen Grenzen
• Review: Wann wird die Nutzung üüberprüft oder beendet

Für einfache Nutzungen kann eine Organisation diese Punkte in Teamregeln oder einer Toolübersicht zusammenfassen. Für riskantere Nutzungen sollten sie pro Anwendungsfall dokumentiert werden.

Datenschutz: Nicht mehr Daten sammeln als nötig

KI-Dokumentation soll Datenschutz stärken, nicht neue Datenschutzprobleme schaffen. Deshalb sollten Organisationen nicht unnötig Promptinhalte, Falldetails oder personenbezogene Angaben in separaten Listen sammeln. Oft reicht es, die Datenkategorie zu dokumentieren: keine personenbezogenen Daten, interne vertrauliche Informationen, Sozialdaten, Gesundheitsdaten, Personalinformationen oder andere besonders sensible Inhalte.

Besondere Aufmerksamkeit verdienen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten über die sexuelle Orientierung oder das Sexualleben, politische Meinungen, religioese Überzeugungen oder Gewerkschaftszugehoerigkeit. In sozialen Organisationen können solche Informationen schnell in Beratung, Dokumentation, Hilfeplanung, Pflege, Eingliederungshilfe oder Personalprozessen auftauchen. Wenn solche Daten berührt werden könnten, braucht es eine klare rechtliche, fachliche und datenschutzbezogene Prüfung, bevor KI überhaupt eingesetzt oder ein Nachweis darüber angelegt wird.

Wenn ein Anwendungsfall personenbezogene Daten beruehren könnte, ist besondere Vorsicht nötig. Dann stellt sich nicht nur die Frage, ob das KI-Tool genutzt werden darf, sondern auch, ob die Dokumentation selbst neue Kopien sensibler Informationen erzeugt. Datenschutz durch Technikgestaltung, Datensparsamkeit, Zugriffsbeschraenkung und Löschregeln sollten auch für KI-Nachweise gelten.

Praktisch bedeutet das: Nicht jeden Prompt archivieren. Stattdessen Zweck, Tool, Datenkategorie, Freigabe, Prüfung und Grenzen so dokumentieren, dass die Organisation handlungsfaehig bleibt, ohne sensible Inhalte zu vervielfaeltigen.

KI-Dokumentation im Qualitätsmanagement

Qualitätsmanagement ist der natuerliche Ort für eine schlanke KI-Dokumentation. Viele soziale Organisationen haben bereits Verfahren für Prozessbeschreibungen, Freigaben, Schulungsnachweise, Verfahrensanweisungen, Abweichungen und Reviews. KI-Dokumentation muss diese Strukturen nicht ersetzen, sondern kann daran anschliessen.

QM kann zum Beispiel eine zentrale Übersicht freigegebener KI-Tools führen, Versionen von KI-Nutzungsregeln sichern, Schulungen dokumentieren, Pilotprojekte auswerten und wiederkehrende Fragen aus Teams in Verbesserungsmassnahmen übersetzen.

So wird Dokumentation nicht zur Kontrollliste neben dem Alltag, sondern Teil der Qualitätsentwicklung: Was funktioniert Wo sind Regeln unklar Welche Risiken tauchen wiederholt auf Welche Nutzung kann freigegeben werden, welche nicht

Praxisbeispiele

Beratungsstelle: allgemeine Texte und Klientenschutz

Eine Beratungsstelle nutzt KI, um allgemeine Informationsmaterialien sprachlich einfacher zu formulieren. Die Dokumentation bleibt schlank: Das Tool ist freigegeben, die Nutzung ist auf allgemeine Texte ohne Personenbezug begrenzt, Ergebnisse werden fachlich geprüft und die Teamregel verbietet die Eingabe von Beratungsinhalten, Namen, biografischen Details oder Gesundheitsdaten.

Hier muss nicht jeder einzelne Textentwurf protokolliert werden. Entscheidend ist, dass der erlaubte Rahmen dokumentiert, geschult und regelmäßig üüberprüft wird.

Träger: KI-Protokolltool im Pilotprojekt

Ein Träger moechte ein KI-Protokolltool für interne Besprechungen testen. Diese Nutzung ist prüfpflichtig, weil Audio, Transkripte, interne Einschätzungen oder personenbezogene Inhalte betroffen sein können. Dokumentiert werden Zweck, Tool, Datenarten, Teilnehmendeninformation, Löschregeln, Zugriff, fachliche Prüfung, Pilotdauer, Freigabe und Auswertung.

Der Aufwand ist hoeher als bei einer allgemeinen Formulierungshilfe, aber klar begrenzt. Nach dem Pilot entscheidet die Organisation, ob das Tool freigegeben, eingeschränkt oder verworfen wird.

Brauchen soziale Organisationen ein KI-Register

Viele soziale Organisationen brauchen kein umfangreiches technisches KI-Register wie in einem Konzern. Sinnvoll ist aber fast immer ein schlankes KI-Verzeichnis: Welche KI-Anwendungen sind freigegeben Für welche Zwecke Welche Datenkategorien dürfen verarbeitet werden Wer ist fachlich verantwortlich Welche Nutzungsgrenzen, Prüfpflichten und Reviewtermine gelten

Ein solches KI-Register ist kein Selbstzweck. Es hilft Geschäftsführung, Leitung und Qualitätsmanagement, den Überblick zu behalten. Besonders bei Personalwechseln, neuen Tools, Rückfragen aus Teams, Datenschutzprüfungen, Beschwerden oder späteren Audits wird sichtbar, warum eine KI-Anwendung eingeführt wurde, welche Prüfung erfolgt ist und welche Grenzen gesetzt wurden.

Das KI-Verzeichnis kann Bestandteil bestehender Qualitätsmanagement- und Dokumentationssysteme sein und muss nicht als separates System aufgebaut werden.

Für den Einstieg reicht oft eine einfache Tabelle mit Tool, Zweck, Team, Datenkategorie, Freigabestatus, verantwortlicher Rolle und Reviewdatum. Wichtig ist, dass das Verzeichnis gepflegt wird und nicht zur Ablage vergessener Einzelentscheidungen wird.

Checkliste: KI-Dokumentation schlank aufsetzen

• Ist klar, welche KI-Nutzungen gar nicht, gesammelt oder einzeln dokumentiert werden?
• Gibt es eine Liste freigegebener Tools und ausgeschlossener Tools?
• Sind erlaubte, prüfpflichtige und ausgeschlossene Anwendungsfälle beschrieben?
• Werden Datenarten dokumentiert, ohne unnötig sensible Inhalte zu kopieren
• Ist geregelt, wer KI-Ergebnisse fachlich prüft?
• Gibt es eine einfache Vorlage für prüfpflichtige Anwendungsfälle?
• Sind Datenschutz, IT, QM und Leitung passend beteiligt?
• Ist geklärt, wann Mitarbeitendenvertretung oder Betriebsrat einzubeziehen sind?
• Werden Schulung oder Unterweisung zur KI-Nutzung dokumentiert
• Gibt es Reviewtermine für Pilotprojekte, Toolsteckbriefe, Toolfreigaben und Teamregeln?
• Ist der Zugriff auf KI-Dokumentation angemessen beschraenkt?
• Gibt es Lösch- oder Aktualisierungsregeln für veraltete Nachweise?

Weiterführende Fachimpulse

KI-Dokumentation gehört eng zu KI-Tool-Freigabeprozessen, weil Freigaben ohne Nachweis schnell unklar werden. Wenn Fehler, Beschwerden oder Datenschutzrisiken auftreten, zeigt KI-Fehler, Datenpannen und Beschwerden, welche Mindestangaben in ein Incident-Protokoll gehören. Wie KI im Qualitätsmanagement für Checklisten, Prozesse und Reviews genutzt werden kann, vertieft KI im Qualitätsmanagement. Für den Teamalltag passt KI-Nutzungsregeln für den Alltag. Datenschutzfragen lassen sich mit Datenschutzprüfung für KI-Tools und KI und Datenschutz: Welche Daten dürfen nicht in KI-Tools vertiefen.

Häufige Fragen

Wann muss KI-Nutzung dokumentiert werden?

KI-Nutzung sollte dokumentiert werden, wenn sie dienstlich relevant ist, personenbezogene oder vertrauliche Daten beruehren kann, fachliche Entscheidungen vorbereitet, in externe Kommunikation einfliesst oder für Toolfreigabe, Datenschutz, QM oder Nachvollziehbarkeit wichtig ist.

Was sollte bei KI-Nutzung festgehalten werden?

Festgehalten werden sollten mindestens Zweck, Tool, Datenkategorie, Ergebnisnutzung, fachliche Prüfung, verantwortliche Person, Datum und gegebenenfalls Freigabe oder Rückfrage. Für einfache allgemeine Nutzung reicht oft eine schlanke Sammeldokumentation.

Wie bleibt KI-Dokumentation schlank?

KI-Dokumentation bleibt schlank, wenn Organisationen nach Risikostufen arbeiten: einfache Nutzungen werden kurz gesammelt, prüfpflichtige Nutzungen erhalten einen klaren Steckbrief, und kritische Anwendungen brauchen Freigabe, Datenschutzprüfung und Review.

Muss jede Prompt-Nutzung einzeln protokolliert werden?

Nein, in der Regel muss nicht jede harmlose Prompt-Nutzung einzeln protokolliert werden. Entscheidend ist, ob die Nutzung fachlich, datenschutzrechtlich oder organisatorisch relevant ist. Organisationen sollten dafür klare Schwellen festlegen.

Wer ist für die KI-Dokumentation verantwortlich?

Die Gesamtverantwortung liegt bei Leitung oder Organisation. Praktisch können Fachkräfte Nutzungshinweise erfassen, QM kann Vorlagen und Reviews strukturieren, Datenschutz kann Prüffragen beisteuern und IT kann Toolinformationen pflegen.

Welche Rolle spielt Qualitätsmanagement bei KI-Dokumentation?

Qualitätsmanagement kann KI-Dokumentation in bestehende Prozesse integrieren: Verfahrensanweisungen, Freigaben, Schulungsnachweise, Reviewtermine, Abweichungen und Verbesserungsmassnahmen. So wird KI nachvollziehbar, ohne ein Parallel-System aufzubauen.

Brauchen kleine soziale Einrichtungen ein KI-Register?

Kleine Einrichtungen brauchen nicht zwingend ein umfangreiches Register. Oft reicht eine einfache Übersicht über freigegebene Tools, erlaubte Anwendungsfälle, ausgeschlossene Daten, verantwortliche Personen und Reviewtermine.

Sollte jede Einrichtung ein Verzeichnis ihrer KI-Anwendungen führen?

Ja, zumindest eine schlanke Übersicht ist sinnvoll. Ein Verzeichnis der KI-Anwendungen hilft, freigegebene Tools, Zwecke, Datenkategorien, Verantwortliche, Nutzungsgrenzen und Reviewtermine auch bei Personalwechseln oder späteren Prüfungen nachvollziehbar zu halten.

Was ist bei KI-Dokumentation und Datenschutz wichtig?

Wichtig ist, keine neuen unnötigen Datensammlungen zu erzeugen. KI-Dokumentation sollte dokumentieren, was für Nachvollziehbarkeit nötig ist, aber keine sensiblen Falldaten, Promptinhalte oder personenbezogenen Details ohne klare Erforderlichkeit vervielfaeltigen.

Quellen

1. Europaeische Union / EUR-Lex: Verordnung (EU) 2024/1689 über künstliche Intelligenz, insbesondere Art. 3 Nr. 56, Art. 4 zur KI-Kompetenz sowie Anforderungen an Transparenz, menschliche Aufsicht und Risikomanagement im Gesamtgefuege der KI-Verordnung.
   Verordnung (EU) 2024/1689 öffnen
   Relevanz: Rahmen für KI-Kompetenz, Betreiberverantwortung und kontextbezogene Maßnahmen beim KI-Einsatz.

2. Bundesnetzagentur: KI-Kompetenz nach Artikel 4 KI-Verordnung, Orientierung zu Kontextbezug, Dokumentierbarkeit und Aufbau von KI-Kompetenz.
   Hinweise der Bundesnetzagentur öffnen
   Relevanz: Betont, dass KI-Kompetenz kontextbezogen und für betroffene Personen nachvollziehbar aufgebaut werden sollte.

3. Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, 06.05.2024.
   PDF der DSK-Orientierungshilfe öffnen
   Relevanz: Orientierung zu Zweckfestlegung, Datenschutzgrundsaetzen, internen Regelungen, Sensibilisierung und Prüfung von KI-Anwendungen.

4. Gesetze im Internet: Datenschutz-Grundverordnung, insbesondere Art. 5, Art. 9, Art. 25, Art. 32 und Art. 35 zu Grundsätzen, besonderen Kategorien personenbezogener Daten, Datenschutz durch Technikgestaltung, Sicherheit der Verarbeitung und Datenschutz-Folgenabschaetzung.
   DSGVO öffnen
   Relevanz: Grundlegender Rechtsrahmen für Verarbeitung personenbezogener Daten, besondere Kategorien personenbezogener Daten und mögliche Prüfpflichten bei KI-Nutzung und KI-Dokumentation.

5. Gesetze im Internet: Betriebsverfassungsgesetz, insbesondere § 87 Abs. 1 Nr. 6 zu technischen Einrichtungen, die Verhalten oder Leistung überwachen können.
   BetrVG § 87 öffnen
   Relevanz: Hinweis auf mögliche Beteiligungs- und Mitbestimmungsfragen bei KI-Systemen im Arbeitskontext.

6. ISO: ISO/IEC 42001:2023, Information technology - Artificial intelligence - Management system.
   ISO/IEC 42001:2023 öffnen
   Relevanz: Internationaler Managementsystem-Standard für KI-Governance, dokumentierte Informationen, Verantwortlichkeiten, Risikosteuerung und kontinuierliche Verbesserung.

7. Europaeische Kommission / Artikel-29-Datenschutzgruppe: Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (wp251rev.01), vom Europaeischen Datenschutzausschuss übernommen.
   Leitlinien zu automatisierten Entscheidungen und Profiling öffnen
   Relevanz: Orientierung zu automatisierten Entscheidungen, Profiling, Transparenz, menschlicher Einordnung und Betroffenenrechten.

8. KI-Leitplanken.de: Fachimpulse zu KI-Toolfreigabe, KI-Nutzungsregeln, Datenschutzprüfung und KI-Leitlinien.
   KI-Tool-Freigabeprozesse öffnen
   Relevanz: Interne fachliche Anschlussstellen für die spätere Verknuepfung nach Freigabe.

Transparenzhinweis

Dieser Fachimpuls wurde fachlich von Simon Kern verantwortet und redaktionell für KI-Leitplanken.de ausgearbeitet. KI wurde unterstützend für Strukturierung, Formulierungsvarianten, SEO-/GEO-Aufbereitung und technische HTML-Ausarbeitung eingesetzt. Die fachliche Prüfung, Auswahl der Quellen und inhaltliche Verantwortung liegen bei Simon Kern.

Hinweis zu Rechts-, Datenschutz- und Compliance-Fragen

Dieser Fachimpuls stellt keine Rechtsberatung, keine verbindliche Datenschutzberatung und keine Einzelfallbewertung dar. Er dient ausschließlich der fachlichen Orientierung. Je nach Organisation, Datenlage, eingesetztem Tool, Beteiligungsstruktur, Mitbestimmung, Vertragsgestaltung, Dokumentationssystem und konkretem Anwendungsfall kann eine individuelle rechtliche, datenschutzrechtliche, arbeitsrechtliche oder organisatorische Prüfung erforderlich sein. Bei rechtlichen, datenschutzrechtlichen, arbeitsrechtlichen, aufsichtsrechtlichen oder Compliance-relevanten Fragestellungen sollten Datenschutzbeauftragrte, Rechtsberatung, Mitarbeitendenvertretung oder andere zuständige Stellen einbezogen werden.