Zum Inhalt springen
Erstgespräch vereinbaren

KI im Sozialwesen: was ins QM-Handbuch gehört

Welche Festlegungen eine Verfahrensanweisung zum KI-Einsatz braucht und wo die eigentliche Grenze verläuft: im Sozialdatenschutz und in der Schweigepflicht.

  • Christian Monat
  • ca. 12 Min. Lesezeit
  • Rechtsstand 18.09.2026
Ein Kursteilnehmer verfolgt an einem Laptop eine Videositzung, in der eine Kursleiterin am Flipchart etwas erklärt, und macht sich dazu Notizen in ein Heft.

Ein Sprachmodell kann in einer Einrichtung schon an Verlaufsberichten und Dienstplänen mitschreiben, ohne dass eine Leitung das entschieden hat. Seit dem 2. Februar 2025 muss jede Einrichtung, die Künstliche Intelligenz im Betrieb nutzt, ihr Personal beim Aufbau von KI-Kompetenz unterstützen und seit dem 2. August 2026 können die zuständigen Behörden das auch durchsetzen. Offen bleibt in der Praxis trotzdem, über welchen Dienst ein Text lief, was im Eingabefeld stand und wer die Ausgabe freigegeben hat.

Das Wichtigste in Kürze

  • Seit dem 2. Februar 2025 muss jede Einrichtung, die Künstliche Intelligenz im Betrieb nutzt, ihr Personal beim Aufbau von KI-Kompetenz unterstützen. Seit dem 2. August 2026 können die zuständigen Behörden das auch durchsetzen.
  • Die schärfere Grenze setzt nicht die Technik-Regel für Künstliche Intelligenz, sondern der Schutz von Gesundheits- und Sozialdaten und die Schweigepflicht der Fachkräfte.
  • Eine schriftliche Verfahrens­anweisung muss festlegen, welche Daten in welches System dürfen, wer eine Ausgabe vor der Nutzung freigibt und wie die Kompetenz der Beschäftigten nachgewiesen wird.
  • Bevor die Regelung gilt, muss die Mitarbeiter­vertretung beteiligt werden. Das gilt besonders, sobald die Einrichtung betriebliche Zugänge bereitstellt.

Was in einer Verfahrens­anweisung stehen muss, steht bei den sieben Schritten. Welche Daten wohin dürfen, zeigt die Freigabe-Matrix, die die Festlegungen für Ihr Haus auch als Liste zusammenstellt.

Eine Verfahrens­anweisung zum KI-Einsatz ist eine gelenkte Festlegung im Qualitäts­management­system. Sie bestimmt, welche Datenarten in welche Systeme eingegeben werden dürfen, wer eine erzeugte Ausgabe vor ihrer Verwendung prüft und fachlich verantwortet, wie Beschäftigte befähigt werden und wie beides nachgewiesen wird. Sie regelt Datenarten und Verantwortung, nicht Produktnamen.

Für reine Anwender folgt aus der KI-Verordnung vor allem die Pflicht zur KI-Kompetenz nach Artikel 4, unabhängig von der Risikoklasse des eingesetzten Systems.

Wie verbreitet ist der KI-Einsatz in Einrichtungen schon?

Ein Randphänomen ist das nicht mehr. Die Stiftung Zentrum für Qualität in der Pflege hat 1.000 Leitungskräfte ambulanter Dienste befragt: 36 Prozent nutzen KI-gestützte Programme für die schriftliche Kommunikation und rund ein Drittel klärt damit fachliche Fragen (ZQP, 2026).

In der Gesamtwirtschaft zeigt sich ein deutlicher Anstieg: 41 Prozent der Unternehmen ab 20 Beschäftigten setzen KI inzwischen ein, im Vorjahr waren es erst 17 Prozent (Bitkom, 2026).

Dass viele Häuser KI schon einsetzen, heißt nicht, dass sie das auch geregelt haben. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutz­aufsichts­behörden, hat schon 2024 festgehalten, dass die eigenmächtige und unkontrollierte Nutzung durch Beschäftigte in vielen Unternehmen und Behörden Realität sein dürfte. Dem steht wenig entgegen: Nur 8 Prozent der Unternehmen schulen alle Beschäftigten zu KI, 43 Prozent haben gar kein Angebot (Bitkom, 2025).

Was gilt heute und was wurde tatsächlich verschoben?

Im Sommer hat sich die Rechtslage bewegt. Am 8. Juli 2026 hat die EU mit der Digital-Omnibus-Verordnung, offiziell Verordnung (EU) 2026/1744, die KI-Verordnung geändert. Die Änderung gilt seit dem 27. Juli 2026. Verschoben ist damit aber nicht alles auf 2027: Für Einrichtungen, die KI nutzen, sind nur die Pflichten für Hochrisiko-Systeme verschoben.

Was sich im Juli 2026 geändert hat (Bundesnetzagentur, 2026; VO (EU) 2026/1744; KI-MIG)
RegelungsbereichStand bis 26.07.2026Stand seit 27.07.2026
KI-Kompetenz (Artikel 4)Gilt seit 02.02.2025. Betreiber müssen nach besten Kräften sicherstellen, dass das Personal über ausreichende KI-Kompetenz verfügt.Gilt weiter seit 02.02.2025. Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen. Aus dem Sicherstellen eines Niveaus wird die Unterstützung seiner Entwicklung, eine Bemühenspflicht.
Verbotene Praktiken (Artikel 5)Gilt seit 02.02.2025 ohne Übergangsfrist.Bisherige Verbote unverändert. Neu sind Verbote für KI, die intime Darstellungen ohne Zustimmung oder Missbrauchsdarstellungen von Kindern erzeugt, anwendbar ab 02.12.2026.
Transparenz (Artikel 50)Geltung ab 02.08.2026 vorgesehen.Gilt seit 02.08.2026.
Hochrisiko nach Anhang IIIGeltung ab 02.08.2026.Geltung ab 02.12.2027.
Hochrisiko nach Anhang IGeltung ab 02.08.2027.Geltung ab 02.08.2028.
Aufsicht in DeutschlandZuständige Behörde noch nicht benannt.Bundesnetzagentur nach § 2 Absatz 1 KI-MIG, in Kraft seit 29.07.2026, zugleich zentrale Anlauf- und Beschwerdestelle.

Für Einrichtungen, die KI nur nutzen und damit Betreiber sind, nicht Hersteller, bleiben aus der Tabelle zwei Zeilen, die sofort greifen: Artikel 4 zur KI-Kompetenz und Artikel 5 zu den verbotenen Praktiken. Durchgesetzt werden beide von den nationalen Marktüberwachungsbehörden, den Stellen, die die Einhaltung vor Ort prüfen, und zwar seit dem 2. August 2026 (Europäische Kommission, 2026). Wer 2027 anfangen will, hat damit zwei Pflichten offen, die schon seit anderthalb Jahren gelten.

In Deutschland ist diese Marktüberwachungsbehörde die Bundesnetzagentur, benannt nach § 2 Absatz 1 des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG).

Rein nationale Ordnungswidrigkeiten kann sie nach § 15 Absatz 3 KI-MIG mit bis zu 50.000 Euro ahnden, das ist aber die kleinere Zahl.

Daneben bleiben die Bußgeldrahmen aus der KI-Verordnung selbst unberührt und reichen weiter: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, sonst bis zu 15 Millionen oder 3 Prozent (Artikel 99 KI-Verordnung, 2024).

Praxishinweis

Die verbotene Praktik, die ich für die am leichtesten übersehene halte, heißt in Produktbeschreibungen nicht unbedingt Emotionserkennung. Sie heißt Stimmungsanalyse oder Zufriedenheitsauswertung. Artikel 5 verbietet seit dem 2. Februar 2025 ohne Übergangsfrist, am Arbeitsplatz Emotionen aus biometrischen Daten wie Stimme oder Mimik abzuleiten, außer aus medizinischen Gründen oder Sicherheitsgründen. Verboten ist ebenso das schädliche Ausnutzen von Vulnerabilitäten aufgrund von Alter, Behinderung oder wirtschaftlicher Lage (Bundesnetzagentur, 2026).

Wo liegt die schärfere Grenze für den KI-Einsatz?

Wer nur auf die KI-Verordnung schaut, prüft am eigentlichen Problem vorbei: Die Grenze verläuft im Bereichsrecht, den Fachgesetzen zu Datenschutz, Sozialrecht und Schweigepflicht, die für Ihr Arbeitsfeld ohnehin schon gelten. Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten dürfen nach Artikel 9 Absatz 1 DSGVO grundsätzlich nicht verarbeitet werden. Die Ausnahme nach Absatz 2 muss dabei für alle drei Schritte vorliegen: für die Eingabe, für die Verarbeitung und für die Ausgabe, nicht nur für einen davon.

Beim KI-Einsatz wird zudem vielfach eine Datenschutz-Folgenabschätzung nötig, eine vorab dokumentierte Prüfung der Risiken für die betroffenen Personen (Artikel 35 DSGVO, DSK 2024).

Im Sozialrecht kommt eine eigene Schicht hinzu. Für Stellen, die dem Sozialgeheimnis nach § 35 SGB I unterliegen (der Pflicht, Sozialdaten geheim zu halten), begrenzt § 80 SGB X die Auslagerung an externe Anbieter. Die Aufsicht muss vorher informiert werden, die Verarbeitung darf nur im Inland, in der EU oder in einem Staat mit Angemessenheitsbeschluss stattfinden und für nicht-öffentliche Auftragsverarbeiter kommt nach Absatz 3 eine zusätzliche Hürde hinzu.

Dann ist da die strafbewehrte Schweigepflicht. § 203 StGB erfasst in Absatz 1 Nummer 6 staatlich anerkannte Sozialarbeiter und Sozialpädagogen, in Nummer 4 die Ehe-, Familien-, Erziehungs-, Jugend- und Suchtberatung. Mitwirkende Personen, etwa ein KI-Anbieter, dürfen nach Absatz 3 einbezogen werden, soweit das erforderlich ist, Absatz 4 stellt sie dabei selbst unter Strafe.

Beispiel

Angenommen, eine Sozialarbeiterin lässt sich von einem Sprachmodell helfen, einen Bericht über ein Beratungsgespräch zu formulieren, und tippt dafür Namen und Gesprächsinhalt ein. Damit ist die anvertraute Information schon mit der Eingabe an einen Dritten weitergegeben, unabhängig davon, was später aus der Ausgabe wird.

Ein Auftrags­verarbeitungsvertrag, wie ihn die DSGVO verlangt, deckt deshalb nur die datenschutzrechtliche Seite ab. Das Strafrecht deckt er nicht.

Was offen ist. Ob ein freier Träger der Pflege oder der Eingliederungs­hilfe unter § 80 SGB X fällt oder ob für ihn allein DSGVO, Landesrecht und Vertrag gelten, hängt von Rechtsform und Leistungsbereich ab. Falsch ist die Entwarnung, das gelte nur für Behörden, ebenso wie die Behauptung, Sozialdaten dürften nie in eine Cloud. Diese Prüfung gehört ins Haus, vor die erste Freigabe.

Was muss die Verfahrens­anweisung festlegen?

Daraus folgt, was die Verfahrens­anweisung regeln muss: eine Antwort auf drei Fragen. Welche Daten sind erlaubt, wer gibt eine KI-Ausgabe frei und wer steht für den Inhalt gerade?

Datenarten statt Werkzeuge

Naheliegend ist, einzelne Produkte zu regeln: dieses Werkzeug erlaubt, jenes nicht. Ich halte das für den falschen Ansatz, solche Sätze altern innerhalb eines Quartals, weil laufend neue Werkzeuge dazukommen. Tragfähiger ist die umgekehrte Achse: Welche Datenkategorien dürfen überhaupt in ein KI-System gelangen und welche Freigabe braucht es dafür. Die einzelnen Werkzeuge gehören deshalb nicht in den Text der Anweisung, sondern in eine datierte Positivliste als mitgeltendes Dokument, das sich austauschen lässt, ohne die Anweisung neu freizugeben.

Eine Freigabe, die tatsächlich stattfindet

Wo eine KI-Ausgabe in eine Entscheidung mit Rechtswirkung für eine Person einfließt, etwa in eine Einstufung oder eine Leistungsempfehlung, greift Artikel 22 DSGVO. Er verlangt eine echte menschliche Prüfung vor der Entscheidung. Die Datenschutzkonferenz ist dazu deutlich geworden: Unzureichende Personalressourcen, Zeitdruck und fehlende Transparenz dürfen nicht dazu führen, dass Ergebnisse ungeprüft übernommen werden.

„Eine lediglich formelle Beteiligung eines Menschen im Entscheidungsprozess ist nicht ausreichend.“

Datenschutzkonferenz, Orientierungshilfe Künstliche Intelligenz und Datenschutz, Ziffer 1.6 (2024)

Beispiel

Angenommen, eine KI-gestützte Auswertung schlägt vor, eine Teilhabeleistung zu reduzieren, weil die erfassten Daten das nahelegen. Eine Fachkraft muss diesen Vorschlag inhaltlich prüfen und begründen können, warum sie ihm folgt oder nicht, bevor daraus eine Entscheidung wird.

Wer in die Anweisung schreibt, die Pflege­dienst­leitung gebe frei, ohne dafür Zeit vorzusehen, hat die Pflicht dokumentiert und nicht erfüllt. Die Festlegung braucht deshalb beides zugleich: die Rolle, die prüft, und den zeitlichen Rahmen, der ihr dafür bleibt.

Verantwortung für den Inhalt

KI-erzeugte Dokumentation wird in der Prüfung behandelt wie jede andere, eine Sonderrolle hat sie nicht. Die Qualitätsprüfungs-Richtlinien für ambulante Dienste gelten seit dem 1. Juli 2026 und richten die Prüfung stärker auf die Ergebnisqualität aus, also darauf, ob die Versorgung tatsächlich passt, nicht nur, ob ein Eintrag vorliegt (Medizinischer Dienst Bund, 2025). Ein glatter Eintrag, der die Situation nicht abbildet, ist dort wertlos. Die Anweisung braucht deshalb einen eigenen Satz zur inhaltlichen Verantwortung: wer den Text liest, bevor er in die Akte geht, und wer dafür einsteht, dass er stimmt.

Wie weisen Sie Kompetenz nach und wer muss zustimmen?

Zu zwei weiteren Punkten muss die Anweisung etwas sagen: zum Nachweis der Kompetenz und zur Beteiligung der Mitarbeiter­vertretung, bevor eine Regelung gilt.

Schulung als Vorgang, nicht als Termin

Das Bundesministerium für Digitales und Staatsmodernisierung und die Bundesakademie für öffentliche Verwaltung haben gemeinsam ein Raster für Schulungskonzepte nach Artikel 4 veröffentlicht. Es nennt acht Bausteine, darunter die Einführungsschulung vor dem ersten Einsatz, eine regelmäßige Auffrischung und eine Nachschulung bei Systemwechseln und Rechtsänderungen (BMDS und BAköV, 2025). Das Papier richtet sich zwar an die Bundesverwaltung und ist älter als der Omnibus, der selbst ein solcher Anlass war. Die Systematik dahinter lässt sich trotzdem auf soziale Einrichtungen übertragen.

Gleichzeitig ist die Pflicht begrenzt. Die EU-Kommission stellt in ihren FAQ klar: kein vorgeschriebenes Kompetenzniveau, keine Zertifizierungspflicht, keine Pflicht, das Wissen zu messen (Europäische Kommission, 2026). Nachweisbar sein müssen nur die Maßnahmen selbst. Ohne Aufzeichnung gibt es im Zweifel keine Bemühung, deshalb halte ich ein einfaches Schulungsverzeichnis für den sinnvollsten Aufwand: wenig Arbeit, aber im Ernstfall der Beleg.

Mitarbeiter­vertretung vor Inkraftsetzung

Für das Mitbestimmungsrecht des Betriebsrats nach § 87 Absatz 1 Nummer 6 BetrVG genügt schon, dass eine technische Einrichtung zur Verhaltens- oder Leistungskontrolle objektiv geeignet ist, tatsächlich genutzt werden muss sie dafür nicht.

Das Arbeitsgericht Hamburg hat ein Mitbestimmungsrecht trotzdem verneint, solange Beschäftigte ein Werkzeug nur über den Browser aufrufen und der Arbeitgeber dabei keine Nutzungsdaten sieht (16.01.2024, 24 BVGa 1/24). Stellt die Einrichtung dagegen betriebliche Zugänge bereit, über die sie Nutzungsdaten einsehen kann, trägt diese Begründung nicht mehr.

Beispiel

Angenommen, eine Pflege­dienst­leitung führt für die Dokumentation ein KI-gestütztes Diktierwerkzeug mit betrieblichem Zugang ein, ohne die Mitarbeiter­vertretung vorher zu informieren. Sobald sich damit auswerten ließe, wer wie oft und wie schnell dokumentiert, ist die Einführung mitbestimmungspflichtig, selbst wenn das nie jemand tatsächlich auswertet.

Das Landesarbeitsgericht Hessen hat zudem entschieden, dass Datenschutzrecht selbst nicht der erzwingbaren Mitbestimmung unterliegt (05.12.2024, 5 TaBV 4/24). Eine Entscheidung des Bundesarbeitsgerichts, die das grundsätzlich klärt, fehlt bislang. Bei kirchlichen Trägern greifen anstelle des BetrVG die eigenen Mitarbeiter­vertretungsordnungen, MAVO oder MVG-EKD, veröffentlichte Rechtsprechung dazu gibt es kaum.

Das Dokument lenken

Die Verfahrens­anweisung gehört zuletzt in die Lenkung dokumentierter Information nach Kapitel 7.5 der ISO 9001, in die Auditplanung nach 9.2 und in die Management­bewertung nach 9.3. Die am 16. September 2026 veröffentlichte ISO 9001:2026 enthält kein eigenes Kapitel zu Künstlicher Intelligenz (DIN Media, 2026). Und eine Zertifizierung nach ISO/IEC 42001, einer eigenen Norm für KI-Management­systeme, begründet keine Vermutung, dass die KI-Verordnung eingehalten wird.

Freigabe-Matrix für Ihre Datenarten

Die Frage, an der sich die Verfahrens­anweisung entscheidet, lässt sich auf einen Punkt bringen: Welche Daten dürfen in welches System und was muss dafür vorher festgelegt sein. Die folgende Matrix ordnet das für fünf Datenarten und drei Verarbeitungswege. Ein Feld zeigt Einschätzung und Festlegungen für eine Kombination. Darunter stellen Sie die Datenarten und Wege Ihres Hauses zusammen und das Werkzeug fasst die Festlegungen ohne Doppelungen zu einer Liste für die Verfahrens­anweisung zusammen, zum Kopieren oder Drucken.

Freigabe-Matrix
Fünf Datenarten, drei Verarbeitungswege. Wählen Sie ein Feld, um Einschätzung und Festlegungen zu sehen.
Ohne PersonenbezugFachfrage oder Entwurf ohne Fallbezug
BeschäftigtendatenDienstplan, Arbeitszeiten, Beurteilung, Bewerbung
Klientendaten, einfachStammdaten, Adressen, Terminorganisation ohne Diagnose
Sozial- und GesundheitsdatenDiagnosen, Hilfeplanung, Pflegedokumentation, Teilhabebedarfe
Anvertraute GeheimnisseBeratungsinhalte unter Schweigepflicht
Ja ohne zusätzliche Freigabe vertretbar, solange kein Personenbezug entsteht Bedingt nur mit dokumentierter Festlegung, keine allgemeine Erlaubnis Nein unzulässig

Die Matrix ordnet Regelfälle. Den Einzelfall prüft sie nicht.
Festlegungen für Ihr Haus zusammenstellen
Wählen Sie die Datenarten, die in Ihrem Haus mit KI verarbeitet werden sollen, und die Wege, die genutzt werden. Die Liste fasst Einstufung und Festlegungen ohne Doppelungen zusammen.
Datenarten in Ihrem Haus
Genutzte Verarbeitungswege

Noch keine Auswahl.

Sieben Schritte für die nächsten Wochen

Die Schritte setzen kein neues Management­system voraus, sie schließen eine Lücke im vorhandenen.

  1. Erheben, was tatsächlich läuft

    Fragen Sie in den Teams sanktionsfrei ab, welche Werkzeuge wofür genutzt werden. Wer vor dieser Erhebung schreibt, verbietet Praktiken, die weiterlaufen.

  2. Festlegen, welche Datenarten erlaubt sind

    Beschreiben Sie die Kategorien, die Ihr Haus verarbeitet, und entscheiden Sie je Kategorie. Die Werkzeuge kommen in eine datierte Positivliste, nicht in den Text der Anweisung.

  3. Ausschließen, was die KI-Verordnung verbietet

    Schließen Sie Emotionserkennung bei Beschäftigten ausdrücklich aus, auch wenn sie in der Software Stimmungsanalyse heißt. Prüfen Sie dabei Funktionen, die Ihre Telefonie- oder Dokumentationssoftware bereits mitbringt.

  4. Hinterlegen, wer freigibt und mit wie viel Zeit

    Benennen Sie die Rolle, die eine Ausgabe vor der Verwendung prüft, und den Zeitrahmen dafür. Ohne den zweiten Teil ist die Festlegung nicht belastbar.

  5. Aufbauen und dokumentieren, was an Kompetenz nötig ist

    Planen Sie Einführungsschulung, regelmäßige Auffrischung und Nachschulung bei Systemwechseln und Rechtsänderungen. Legen Sie ein schlichtes Verzeichnis an: Datum, Inhalt, Teilnehmende.

  6. Beteiligen, bevor die Regelung gilt

    Holen Sie Betriebsrat oder Mitarbeiter­vertretung an den Tisch, bevor die Regelung gilt, besonders wenn Zugänge gestellt oder Nutzungen protokolliert werden.

  7. Lenken, was Sie festgelegt haben

    Geben Sie der Anweisung Eigentümer, Freigabedatum und Wiedervorlage. Nehmen Sie sie in Auditplanung und Management­bewertung auf, sonst ist sie nach dem nächsten Modellwechsel Altpapier.

Häufige Fragen

Dürfen Mitarbeitende ChatGPT mit Klientendaten nutzen?

Über einen privaten oder kostenlosen Zugang nicht. Dort fehlt der Auftrags­verarbeitungsvertrag nach Artikel 28 DSGVO, bei Gesundheitsdaten zusätzlich die Ausnahme nach Artikel 9 Absatz 2 DSGVO, bei Beratungsinhalten kommt § 203 StGB hinzu. Bei einem betrieblichen Zugang mit Vertrag hängt die Antwort von der Datenart ab: Ohne Personenbezug ist die Nutzung vertretbar.

Muss ich alle Mitarbeitenden zu KI schulen?

Artikel 4 verlangt seit dem 27. Juli 2026 Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen: Das ist eine Bemühenspflicht. Ein vorgeschriebenes Niveau, eine Zertifizierung oder eine Wissensmessung gibt es nicht (Europäische Kommission, 2026). Nachweisen müssen Sie, was Sie getan haben.

Brauchen wir einen KI-Beauftragten?

Nein, eine bestimmte Governance-Struktur schreibt die KI-Verordnung nicht vor. Bestehende Funktionen können die Aufgabe mit übernehmen, etwa IT, Informations­sicherheit oder Fortbildungsplanung (BMDS und BAköV, 2025). Eine zusätzliche Stelle ist eine Organisationsentscheidung, keine Rechtspflicht.

Gilt die KI-Verordnung für uns, wenn wir nur ein fertiges Tool nutzen?

Ja, wer ein KI-System unter eigener Verantwortung betrieblich einsetzt, ist Betreiber. Artikel 4 und Artikel 5 gelten seit dem 2. Februar 2025. Verschoben wurden nur die Pflichten für Hochrisiko-Systeme, nach Anhang III auf den 2. Dezember 2027 (Bundesnetzagentur, 2026).

Muss die Mitarbeiter­vertretung zustimmen, bevor wir KI erlauben?

Sobald das Haus betriebliche Zugänge stellt und die Nutzung protokolliert werden kann, spricht viel für ein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG. Das Arbeitsgericht Hamburg hat es 2024 für den Browseraufruf ohne Arbeitgeberzugriff verneint, eine Entscheidung des Bundesarbeitsgerichts fehlt.

Reicht ein Auftrags­verarbeitungsvertrag, wenn wir der Schweigepflicht unterliegen?

Nein, der Vertrag deckt die datenschutzrechtliche Seite ab. § 203 Absatz 3 StGB verlangt zusätzlich, dass die Einbindung der mitwirkenden Person erforderlich ist, und nach Absatz 4 muss sie zur Geheimhaltung verpflichtet werden. Bei Sozialdaten kommt § 80 SGB X hinzu.

Zum Weiterlesen

Quellen

  1. Bundesnetzagentur (2026): Zeitplan zur KI-Verordnung und Verbotene Praktiken.
  2. Verordnung (EU) 2024/1689 (KI-Verordnung, 2024), geändert durch Verordnung (EU) 2026/1744 vom 08.07.2026, in Kraft seit 27.07.2026.
  3. Bundesamt für Justiz (2026): KI-MIG vom 22.07.2026, BGBl. 2026 I Nr. 223, sowie § 80 SGB X und § 203 StGB.
  4. Europäische Kommission (2026): AI literacy, questions and answers, Fassung vom 27.07.2026.
  5. Datenschutzkonferenz (2024): Orientierungshilfe Künstliche Intelligenz und Datenschutz, Ziffern 1.6, 2.2, 2.3 und 3.2.
  6. BMDS und BAköV (2025): Kompetenzaufbau gemäß Art. 4 AI Act.
  7. ZQP (2026): Künstliche Intelligenz in der Pflege.
  8. Bitkom e. V.: Digitalisierung der Wirtschaft (2026), Durchbruch bei Künstlicher Intelligenz (2025) und KI und Mitbestimmung (2026).
  9. Medizinischer Dienst Bund (2025): Qualitätsprüfungs-Richtlinien für ambulante Dienste.
  10. DIN Media (2026): Revision der ISO 9001.

Christian Monat

Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen. Mehr über mich

Eine Seite Festlegung statt zehn Seiten Absicherung

Als externer Qualitätsmanagementbeauftragter verankere ich Ihre KI-Regelung dort im QM-System, wo sie gelenkt, auditiert und bewertet wird. Die Beratung zum KI-Einsatz selbst, von der Governance bis zur Schulung nach Artikel 4, biete ich über meine zweite Marke KI-Praxiswerk an.

Erstgespräch vereinbaren
Drei Menschen sitzen an einem Holztisch in einem hellen Raum mit Pflanzen, ein Mann erklärt etwas, eine Frau und ein weiterer Mann hören zu.