Robin, Consultant für GenAI bei Pexon Consulting | 10 Min. Lesezeit | 14.09.2026
TL;DR: ki dsgvo checkliste ohne Siegel
Eine KI-Plattform DSGVO Checkliste 2026 prüft Klasse, Unterauftrag und Auskunft, nicht die EU-Flagge im Footer. Hochrisiko-Pflichten der KI-Verordnung nach Anhang III gelten ab 02. Dezember 2027 (Verordnung (EU) 2024/1689). DSGVO gilt vorher. Pexon Consulting (80 Mitarbeitende, Deutschland, Microsoft Partner, ISO 27001) ersetzt keine Rechtsberatung und stellt kein Siegel aus.
| Punkt | Seat mit EU-Hosting | Offene Plane |
|---|---|---|
| Klasse | oft ein Hinweistext | schriftlich vor dem Call |
| Unterauftrag | AVV des Seats | Ihre Lage, namentlich |
| Auskunft | Admin im Konto | ein Export über Apps |
| AI Act | Kalender des Anbieters | Ihre Einstufung |
Das Problem: das Badge ist grün, die Klasse ist leer
Die kurze Antwort: konform steht auf der Produktseite. Im Tenant fehlt, was ins Modell darf.
Datenschutz bekommt einen Seat mit EU-Region. Der AVV ist unterschrieben. Drei Fachbereiche hängen trotzdem Dateien in denselben Chat. Es gibt kein Verzeichnis, das App und Modell trennt. Auskunft würde fünf Exports brauchen. Das Badge bleibt grün.
Seat-Produkte in der SERP verkaufen genau das: ZentraleKI, Omnifact, Better KI, DeutschlandGPT, sensified, Stand 14.09.2026. Das ist Chat mit Vertrag. Es ist keine Checkliste für eine Plane.
Eine AWS-Seite zu Gesundheitsdaten ist ein anderes Thema. Sie belegt diese Liste nicht. Wer Klinik-KI als ersten Scope nimmt, ist hier falsch.
Unsere klare Empfehlung: die Liste an der Plane entlanghaken, nicht am Footer.
Kalender 2026: DSGVO zuerst, Hochrisiko danach
Die kurze Antwort: der 02.08.2026 ändert die Staffel. Er löscht keine Klasse von 2025.
Die KI-Verordnung (EU) 2024/1689 staffelt Pflichten. Hochrisiko-Systeme nach Anhang III tragen ab 02. Dezember 2027 die härtere Lage. DSGVO, AVV und Auskunft gelten vorher. Wer die Checkliste auf „wir warten auf den AI Act“ schiebt, wartet auf das falsche Datum.
Pexon stuft Ihr System nicht als Hochrisiko ein. Das bleibt bei Ihnen und Ihrem Beistand. Wir bauen den Rand, der die Einstufung später tragen kann: Klasse, Log, Unterauftrag namentlich.
Schatten-Prompts, die die Liste umgehen, stehen auf der Schatten-KI-Seite.
Checkliste: acht Punkte vor dem ersten Fachprozess
Die kurze Antwort: ein roter Punkt stoppt den Rollout. Ein gelber Punkt braucht ein Datum.
- Verzeichnis. Welche App spricht welches Modell. Ohne Zeile keine Auskunft.
- Klasse schriftlich. Personenbezogen, Geschäftsgeheimnis, öffentlich. Drei Eimer reichen oft.
- Unterauftrag namentlich. Modellanbieter, Hoster, Betrieb. „Die Cloud“ ist kein Name.
- Transfer. Welche Region, welche Klausel. EU-Hosting ohne Transfer-Lage ist unvollständig, sobald ein Fallback nach US kippt.
- Auskunftsfähiges Log. App, Team, Modell, Zeitraum. Fünf Chat-Exports sind keine Auskunft.
- Löschen. Was der Seat löscht, was das Gateway löscht, was das Modell nicht mehr sieht. Drei Antworten, nicht eine.
- Office-Schnitt. Copilot bleibt Word. Fachakten gehören nicht in denselben Prompt.
- Owner. Wer die Klasse ändert. Ohne Owner bleibt die Liste eine Folie.
Betrieb der App-Schicht, nicht das Siegel, sitzt auf der Betriebsseite.
Was die Liste nicht leistet
Die kurze Antwort: keine Rechtsberatung, kein Klinik-Scope, kein Listenpreis.
Wir stellen kein Siegel aus. ISO 27001 von Pexon ist unser System, nicht Ihres. Der Check nennt Lücken. Der Beistand bewertet sie.
Personalakten gehören nicht in den ersten Scope. Das ist kein Moralpunkt. Es ist der Scope, an dem die Liste am häufigsten scheitert, weil niemand Löschen und Auskunft wirklich tragen kann.
Tracing allein macht die Liste nicht grün. Ein Self-Hosted-Langfuse auf Azure hilft dem Monitoring. Es ersetzt Klasse und AVV nicht. Wer den Observability-Pfad sucht, liest Langfuse self-hosted und DSGVO.
Das ist Geldverschwendung, wenn Sie nur das Badge tauschen und denselben Prompt behalten.
Ein Auskunftsfall, der die ki dsgvo checkliste testet
Die kurze Antwort: die Liste ist erst wahr, wenn jemand eine Auskunft in einer Frist will.
Eine betroffene Person fragt, welche ihrer Daten ein Modell gesehen hat. Drei Wochen Chat, zwei Apps, ein Fallback, der einmal nach US gekippt ist. Der Seat liefert einen Export der Konversation. Die zweite App liefert nichts. Der Fallback steht in keiner Zeile des Verzeichnisses.
An diesem Tag fallen die acht Punkte. Verzeichnis fehlt die zweite App. Transfer fehlt der Fallback. Log fehlt die gemeinsame Datei. Löschen trifft nur den Seat. Die Klasse war ein Hinweis in Confluence.
# Mini-Lage. Kein Live-System, nur der Test der Liste.
lage = [
{"app": "wissenschat", "modell": "seat-enterprise", "region": "eu", "log": True},
{"app": "auftrag", "modell": "unbekannt", "region": "unbekannt", "log": False},
]
def auskunft_moeglich(zeilen: list[dict]) -> bool:
return all(z["log"] and z["modell"] != "unbekannt" for z in zeilen)
print(auskunft_moeglich(lage))False. Genau so fällt eine ki dsgvo checkliste durch, auch wenn das Badge grün ist.
Wir bauen den Rand, der die Zeilen trägt. Sie schreiben Klasse und Unterauftrag. Der Beistand bewertet. Pexon stellt kein Siegel aus und ersetzt keine Rechtsberatung. Betrieb 8×5, kein 24-Stunden-Versprechen, kein Listenpreis.
Der Check in 45 Minuten spielt den Auskunftsfall mit Ihren Apps durch. Nicht hypothetisch mit sieben Folien. Mit den Namen, die wirklich im Tenant stehen. Fehlt ein Name, ist der Punkt rot. Rot ist besser als ein grünes Badge.
Drei Sätze, die wir im Termin wiederholen. Erstens: der 02.08.2026 ist Staffel, kein Startschuss für Klasse. Zweitens: ein Seat-AVV ist nicht Ihre App-Lage. Drittens: Copilot in Office bleibt, Fachakten nicht im selben Prompt. Wer diese drei Sätze nicht unterschreibt, braucht die acht Punkte nicht. Wer sie unterschreibt, bekommt eine Reihenfolge, keinen Stempel.
Pexon sitzt in Deutschland, 80 Mitarbeitende, Microsoft Partner, ISO 27001. Das ist unser System. Es färbt Ihre Liste nicht grün. Die offene Plattform ist die Fläche, auf der Verzeichnis, Gateway und Betrieb zusammenkommen. Open-Source-KI auf eigener oder deutscher Infrastruktur bleibt der nächste harte Schritt, wenn die acht Punkte den Seat nicht mehr tragen. Beide Wege sind live, keiner braucht ein Hosting-Badge als Beweis.
Häufig gestellte Fragen
Was kostet die Umsetzung einer KI-Plattform DSGVO Checkliste?
Die Liste selbst ist Arbeit im Workshop. Die Plane ist Scope plus Verbrauch. Es gibt keinen Listenpreis und keine 28.000-Euro-Zahl auf dieser Seite. Einstieg ist der Plattform-Check in 45 Minuten.
KI DSGVO Checkliste vs EU-Hosting: reicht die Region?
Nein. Hosting ist eine Schicht. Klasse, Unterauftrag und Auskunft sitzen daneben. Eine Region ohne Klasse ist Flagge. Eine Klasse ohne Region kann trotzdem Transfer brauchen. Der Check listet beides.
Gilt die Liste erst ab dem 02.08.2026?
Nein. Hochrisiko-Pflichten der Verordnung (EU) 2024/1689 nach Anhang III gelten ab dem 2. Dezember 2027. DSGVO gilt vorher. Wer die acht Punkte auf den August schiebt, hat die Reihenfolge verdreht.
Ersetzt Pexon unseren Datenschutzbeistand?
Nein. Pexon baut Gateway, Klasse und Log. Die rechtliche Bewertung bleibt bei Ihnen. Wir schreiben keinen AVV für den Modellanbieter und stellen kein Siegel aus.
Ist das dieselbe Seite wie eine AWS-Gesundheitsberatung?
Nein. Gesundheitsdaten in AWS sind ein anderes Thema. Diese Checkliste gehört unter die offene KI-Plattform. Klinik-KI ist nicht der erste Scope.
Die Liste bleibt spitz. Acht Punkte, ein Auskunftsfall, kein Siegel. Hochrisiko ab 02.12.2027 ändert die Staffel, nicht die Klasse von gestern. Ein Seat mit EU-Flagge bleibt Chat mit Vertrag. Die Plane trägt Verzeichnis, Unterauftrag und Log. Pexon baut den Rand, bewertet ihn rechtlich nicht. 8×5 auf der App-Schicht, kein Listenpreis, kein Klinik-Scope als Einstieg. Nach 45 Minuten sind die roten Punkte benannt. Grün ohne Namen wäre das Badge, das wir nicht verkaufen. Eine neunte Folie über Werte ändert die Auskunft nicht. Der Fall mit zwei Apps und einem unbekannten Fallback reicht als Test. Fällt er durch, ist die Liste rot. Fällt er durch und das Badge bleibt grün, haben Sie das falsche Artefakt gekauft. Genau das trennt die Checkliste vom Seat-Verkauf. Verzeichnis, Klasse, Unterauftrag, Transfer, Log, Löschen, Office-Schnitt, Owner. Acht Namen, eine Frist, kein Footer. Wer die Frist nicht testet, hat die Liste nicht gelesen. Wer sie testet und besteht, braucht immer noch keinen Stempel von uns. Der Beistand bleibt der Beistand. Wir bleiben am Gateway. Die offene Plattform bleibt die Fläche, auf der die acht Punkte den Tenant treffen, nicht die Broschüre und nicht der Footer.
