AI compliance from idea to exit

KI-Compliance von der Idee bis zum Ausstieg

Use the stage that matches your next decision. A funding round is a planning milestone. Duties can start earlier, including when the first real record enters a pilot.

Beginnen Sie bei Ihrer nächsten Entscheidung. Finanzierungsrunden helfen bei der Planung. Pflichten können früher einsetzen, etwa beim ersten echten Datensatz im Pilotbetrieb.

Englisch bleibt sichtbar. Wählen Sie eine zweite Lesesprache.

Which records need extra care?

Welche Daten brauchen besonderen Schutz?

A photograph and a face template used to identify someone are different. Record the Article 6 basis and, for special-category processing, the Article 9 condition. Consider health inferences, children, dependence on a carer, an unsafe address and client secrets separately. Restrict input and access, offer a human alternative and complete a required DPIA before using live records.

Unterscheiden Sie ein Foto von einem Gesichtsprofil zur eindeutigen Identifizierung. Dokumentieren Sie die Rechtsgrundlage nach Artikel 6 und bei besonderen Kategorien die Voraussetzung nach Artikel 9. Prüfen Sie gesundheitliche Rückschlüsse, Kinder, Abhängigkeit von Pflegepersonen, Schutzadressen und Geschäftsgeheimnisse getrennt. Begrenzen Sie Eingaben und Zugriffe, bieten Sie einen menschlichen Kontakt an und führen Sie eine erforderliche Folgenabschätzung vor der Nutzung von Echtdaten durch.

12 detailed data decisions (EN) · ICO-SPECIAL · EU-GDPR

If a breach happens

Bei einer Datenschutzverletzung

Stop the disclosure, preserve restricted evidence and record awareness time. A processor tells the controller without undue delay. A controller notifies the competent authority without undue delay and, where feasible, within 72 hours of awareness unless risk to people’s rights and freedoms is unlikely. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Record every personal data breach and the reasons for each decision.

Dämmen Sie den Vorfall ein, sichern Sie Beweise und halten Sie den Zeitpunkt des Bekanntwerdens fest. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich. Dieser meldet unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsicht, es sei denn, ein Risiko für die Rechte und Freiheiten ist voraussichtlich ausgeschlossen. Bei voraussichtlich hohem Risiko sind Betroffene vorbehaltlich Artikel 34 unverzüglich zu benachrichtigen. Dokumentieren Sie jede Verletzung und die Entscheidungsgründe.

Full incident playbook and messages (EN) · ICO-REPORT · EDPB-DOORS

01 · Pre-seed · Define the use

Vorgründung · Zweck bestimmen

A useful idea can hide an unacceptable use. The founder names the decision, affected people and forbidden uses. Hold a live trial until a possible prohibition has been resolved.

Auch eine gute Idee kann einen unvertretbaren Einsatz verbergen. Die Gründungsperson benennt Entscheidung, Betroffene und ausgeschlossene Nutzungen. Reale Tests warten, bis ein mögliches Verbot geklärt ist.

Nachweis oder Antwort

One-page use case and manual alternative

Einsatzbeschreibung und manuelle Alternative

Quellenhinweise / practical checks

Walk through a single item from input to output. Which person can be affected, what could they lose, and who can change the outcome?

Verfolgen Sie einen Vorgang von der Eingabe bis zur Ausgabe. Wen kann er betreffen, was könnte die Person verlieren und wer kann das Ergebnis ändern?

EU AI Act: do we build or market the system under our name, deploy it for work, or change its purpose? Check territorial scope, including where an output is used. Keep the reason for each role.

EU-KI-Verordnung: Entwickeln oder vermarkten wir das System unter eigenem Namen, setzen wir es beruflich ein oder ändern wir seine Zweckbestimmung? Prüfen Sie auch, wo die Ausgabe verwendet wird. Begründen Sie jede Rollenzuordnung.

Screen prohibited practices before testing with people. For example, workplace emotion inference has a narrow medical or safety exception. Escalate any possible prohibition before further use.

Prüfen Sie verbotene Praktiken, bevor Sie mit Menschen testen. Für die KI-gestützte Ableitung von Emotionen am Arbeitsplatz gibt es etwa eine enge medizinische oder sicherheitsbezogene Ausnahme. Klären Sie mögliche Verbote vor jeder weiteren Verwendung.

EU-SCOPE · EU-PROHIB

02 · Formation and seed funding

Gründung und Startfinanzierung

The company may not control code, data or designs made before incorporation. Trace each contribution and secure suitable rights before promising ownership to investors.

Code, Daten oder Entwürfe aus der Vorgründungszeit stehen der Firma möglicherweise nicht zu. Beiträge und Rechte klären, bevor Investoren Eigentum zugesichert wird.

Nachweis oder Antwort

Contributor and rights schedule with signed evidence

Beitrags- und Rechteverzeichnis mit unterzeichneten Belegen

Quellenhinweise / practical checks

Working alone? Wear several hats and record which one you used. Get a qualified second view for unfamiliar or serious decisions. With 2–10 people, separate the maker from the checker. With 11–50, name leads and deputies. These are suggested working arrangements.

Wer allein arbeitet, übernimmt mehrere Rollen und hält die jeweilige Rolle fest. Holen Sie bei unbekannten oder folgenreichen Entscheidungen qualifizierten zweiten Rat ein. Trennen Sie bei 2–10 Personen Erstellung und Prüfung. Benennen Sie bei 11–50 Personen Zuständige und Vertretungen. Dies sind Vorschläge für die Arbeitsorganisation.

Compare doing nothing, a manual process and an AI-assisted process. Estimate time saved after checking, cost of errors, supplier fees and exit costs.

Vergleichen Sie den Verzicht auf die Änderung, einen manuellen Ablauf und einen KI-gestützten Ablauf. Schätzen Sie die Zeitersparnis nach Prüfung, Fehlerkosten, Anbieterentgelte und Ausstiegskosten.

UK-IP · UK-NSI

03 · Source data and suppliers

Daten und Anbieter auswählen

Permission to view material may not cover training, retrieval or customer resale. Match each use to a right and check vendor reuse, subcontractors, costs and exit before uploading real records.

Leserechte decken Training, Abruf oder Weiterverkauf nicht zwingend ab. Vor dem Hochladen echter Daten Nutzungsrechte, Wiederverwendung, Unterauftragnehmer, Kosten und Ausstieg prüfen.

Nachweis oder Antwort

Permission matrix and signed supplier decision

Rechtematrix und unterzeichnete Anbieterentscheidung

Quellenhinweise / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Verfolgen Sie ein Datum durch Erhebung, Prompts, Abruf, Modell, Ausgabe, Protokolle, Support und Löschung. Dokumentieren Sie Quelle, betroffene Menschen, Land, Empfänger, Speicherdauer, Sicherungskopien und die Person, die die Löschung testen kann.

Supplier check: identify processors and subprocessors, training or reuse terms, support access, contract, incidents, return or deletion, change notice and exit. Save the dated terms and unresolved questions.

Anbieterprüfung: Erfassen Sie Auftragsverarbeiter und Unterauftragsverarbeiter, Bedingungen für Training oder Wiederverwendung, Supportzugriff, Vertrag, Vorfälle, Rückgabe oder Löschung, Änderungsmitteilungen und Ausstieg. Sichern Sie datierte Bedingungen und offene Fragen.

Locate each restricted transfer. Record the applicable adequacy decision or safeguard, assessment and extra protections. Check EU SCCs and UK IDTA or Addendum separately. Revisit overseas support and onward transfers.

Ermitteln Sie jede regulierte internationale Übermittlung. Dokumentieren Sie den einschlägigen Angemessenheitsbeschluss oder die Garantien, die Bewertung und zusätzliche Schutzmaßnahmen. Prüfen Sie EU-Standardvertragsklauseln und britisches IDTA bzw. Addendum getrennt. Berücksichtigen Sie Support aus dem Ausland und Weiterübermittlungen.

ICO-CONTRACT · EU-TRANSFER · ICO-TRANSFER · EDPB-MODEL

04 · Build and prototype

Entwicklung und Prototyp

A model can leak another customer’s records or turn a document instruction into an action. Use synthetic test cases, separate tenants, limit permissions and test a manual override before connecting live systems.

Ein Modell kann fremde Kundendaten offenlegen oder eine Anweisung im Dokument ausführen. Mit synthetischen Fällen testen, Mandanten trennen, Rechte beschränken und menschlichen Eingriff vor Anschluss an Echtdaten erproben.

Nachweis oder Antwort

Versioned test results, access map and rollback test

Versionierte Tests, Zugriffskarte und Rücksetztest

Quellenhinweise / practical checks

Engineering and data: freeze model, prompt, dataset and settings. Test typical, unusual and misleading inputs against an agreed baseline. Keep reproducible results and known limits.

Technik und Daten: Modell, Prompt, Datensatz und Einstellungen versioniert fixieren. Typische, ungewöhnliche und irreführende Eingaben gegen einen vereinbarten Vergleichsmaßstab testen. Reproduzierbare Ergebnisse und bekannte Grenzen festhalten.

Predeclare the test: purpose, dataset origin, expected answers, baseline, sample size, thresholds, critical failures, reviewer and retest date. Include language, disability and real operating conditions where relevant.

Legen Sie vorab Zweck, Herkunft der Testdaten, erwartete Antworten, Vergleichsmaßstab, Stichprobengröße, Schwellen, kritische Fehler, prüfende Person und Wiederholungstermin fest. Sprache, Behinderung und reale Einsatzbedingungen gegebenenfalls einbeziehen.

Security drill: send a harmless hostile instruction in a fictional attachment. Test a blocked export, denied permission, wrong recipient and unavailable supplier. Record what happened at each boundary.

Sicherheitsübung: Eine harmlose simulierte Angriffsinstruktion in einem fiktiven Anhang übermitteln. Gesperrten Export, verweigerten Zugriff, falschen Empfänger und ausgefallenen Anbieter testen. Festhalten, was an jedem Übergang geschah.

NCSC · EU-GDPR

05 · Pilot with real users

Pilot mit echten Nutzern

A free or closed pilot can still harm a person. Screen before real data, set limits and enable meaningful review. Hold high-risk processing if a required impact assessment or prior consultation is incomplete.

Auch ein kostenloser geschlossener Pilot kann schaden. Vor Echtdaten Risiken prüfen, Grenzen setzen und wirksame menschliche Überprüfung ermöglichen. Bei fehlender erforderlicher Folgenabschätzung oder Vorabkonsultation risikoreiche Verarbeitung zurückstellen.

Nachweis oder Antwort

Pilot protocol, DPIA decision and stop criteria

Pilotplan, DSFA-Entscheidung und Abbruchkriterien

Quellenhinweise / practical checks

A DPIA examines how processing personal data could harm people and how to reduce that harm. The controller must do it before likely high-risk processing begins, including a pilot using real personal data.

Eine DSFA untersucht mögliche Schäden der Verarbeitung personenbezogener Daten und Wege, sie zu mindern. Der Verantwortliche muss sie vor Beginn einer Verarbeitung vornehmen, die voraussichtlich ein hohes Risiko birgt. Das gilt auch für einen Pilotversuch mit echten personenbezogenen Daten.

Seek the data protection officer’s advice where designated. Where appropriate seek affected people’s views. Record objections, accessibility needs, decisions and reasons for any justified departure.

Holen Sie bei benanntem Datenschutzbeauftragten dessen Rat ein. Befragen Sie gegebenenfalls Betroffene. Dokumentieren Sie Einwände, Zugangsbedürfnisse, Entscheidungen und die Gründe für begründete Abweichungen.

Decide whether high risk remains despite practical measures. If so, consult the competent authority before starting the processing under Article 36. Record correspondence and response. A founder’s signature cannot replace consultation.

Entscheiden Sie, ob trotz wirksamer Maßnahmen ein hohes Risiko bleibt. Konsultieren Sie dann gemäß Artikel 36 vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde. Dokumentieren Sie Schriftwechsel und Antwort. Die Unterschrift der Gründerin oder des Gründers ersetzt diese Konsultation nicht.

Check human oversight: can the reviewer see the evidence, disagree, correct the result and stop the next action in time? Save one override trace. A second click alone proves little.

Menschliche Aufsicht prüfen: Kann die prüfende Person Belege sehen, widersprechen, das Ergebnis berichtigen und die nächste Aktion rechtzeitig stoppen? Einen tatsächlichen Eingriff dokumentieren. Ein zweiter Klick allein besagt wenig.

ICO-DPIA · EU-GDPR · UK-GDPR

06 · Pre-launch · Decide whether to ship

Vor dem Start · Freigabe entscheiden

A polished demo can outrun the evidence. Test the exact public claim, check applicable disclosures and sector approvals, and name the person who can withhold release.

Eine überzeugende Demo kann mehr versprechen als belegt. Konkrete Werbeaussagen testen, Informationspflichten und erforderliche Branchenfreigaben prüfen und eine Person mit Vetorecht benennen.

Nachweis oder Antwort

Claims-to-evidence table and dated release decision

Aussagen-Nachweis-Tabelle und datierte Freigabe

Quellenhinweise / practical checks

Check Article 50 by actor and output. Telling people they interact with AI, machine-readable marking and disclosing a deepfake are different duties with exceptions. Record which applies and the release-date evidence.

Prüfen Sie Artikel 50 nach Rolle und Art der Ausgabe. Menschen über die Interaktion mit KI zu informieren, Ausgaben maschinenlesbar zu kennzeichnen und Deepfakes offenzulegen sind unterschiedliche Pflichten mit Ausnahmen. Dokumentieren Sie die einschlägige Pflicht und die Nachweise zum Freigabetermin.

Marketing, design and sales: substantiate claims, clear assets and check required disclosures. Save approved wording and versions. Escalate promises of exclusivity, ownership or guaranteed accuracy.

Marketing, Gestaltung und Vertrieb: Aussagen belegen, Nutzungsrechte klären und Pflichtangaben prüfen. Genehmigte Formulierungen und Versionen aufbewahren. Zusagen zu Exklusivität, Eigentum oder garantierter Genauigkeit zur Prüfung weiterleiten.

Release options: approve within stated limits, approve with controls already in force, hold pending evidence, or stop. Name unresolved issues, lawful scope, approver, effective date, expiry and rollback owner.

Freigabeoptionen: innerhalb genannter Grenzen genehmigen, mit bereits wirksamen Maßnahmen genehmigen, bis zum Nachweis zurückstellen oder stoppen. Offene Punkte, rechtlich zulässigen Umfang, genehmigende Person, Beginn, Ablauf und Rücksetzverantwortung benennen.

UK-ADS · EU-MARK · EU-AIA

07 · Launch and operate

Start und Betrieb

Complaints and changes in performance can reveal harm missed in testing. Give users a human route, test it, monitor errors by type and contain incidents promptly.

Beschwerden und Leistungsänderungen können übersehene Schäden zeigen. Menschlichen Kontakt anbieten und testen, Fehler nach Art beobachten und Vorfälle rasch eindämmen.

Nachweis oder Antwort

Monitoring log, incident owner and response record

Überwachungsprotokoll, zuständige Person und Vorfallsbericht

Quellenhinweise / practical checks

After release: name an owner for errors, complaints, overrides, drift, security and costs. Specify sample, frequency, stop threshold and who can disable the workflow. Log changes and reapprove material ones.

Nach Freigabe: Zuständigkeit für Fehler, Beschwerden, Eingriffe, schleichende Veränderungen, Sicherheit und Kosten benennen. Stichprobe, Häufigkeit, Stoppschwelle und Abschaltbefugnis festlegen. Änderungen protokollieren und wesentliche Änderungen erneut freigeben.

Incident: stop unsafe actions, preserve restricted evidence, assess people affected, activate the manual route and record notification decisions. Test a clean restore and correction before reopening.

Vorfall: unsichere Aktionen stoppen, Beweise zugriffsgeschützt sichern, Folgen für Betroffene beurteilen, manuellen Ersatzablauf aktivieren und Meldeentscheidungen dokumentieren. Vor Wiederaufnahme eine saubere Wiederherstellung und Korrektur testen.

For UK/EU personal-data breaches, controllers notify the regulator unless risk to people’s rights is unlikely. Notify without undue delay and where feasible within 72 hours of awareness. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Processors notify controllers without undue delay.

Bei Verletzungen des Schutzes personenbezogener Daten im Vereinigten Königreich oder in der EU meldet der Verantwortliche der Aufsicht, sofern ein Risiko für die Rechte der Betroffenen nicht unwahrscheinlich ist. Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden. Bei voraussichtlich hohem Risiko Betroffene unverzüglich unterrichten, vorbehaltlich der Ausnahmen in Artikel 34. Auftragsverarbeiter melden dem Verantwortlichen unverzüglich.

Intake: keep a secure reference to the original words. Record first receipt, controller, jurisdiction, each right, owner, safe reply channel and accessibility or representative needs.

Eingang: Einen sicheren Verweis auf den Originalwortlaut behalten. Ersten Eingang, Verantwortlichen, Rechtsraum, jedes geltend gemachte Recht, Zuständigkeit, sicheren Antwortweg und Bedarf an Barrierefreiheit oder Vertretung erfassen.

ICO-BGUIDE · EDPB-BREACH

08 · Scale or change the product

Expansion oder Produktänderung

A new market, model, customer group or automated action can change the risk and legal role. Reassess the changed scope before switching it on.

Ein neuer Markt, ein Modellwechsel, andere Nutzer oder eine automatische Aktion können Risiko und rechtliche Rolle ändern. Umfang vor Aktivierung neu bewerten.

Nachweis oder Antwort

Market and change register with fresh approval

Markt- und Änderungsverzeichnis mit neuer Freigabe

Quellenhinweise / practical checks

Check the intended purpose against Annexes I and III. Recruitment screening is a listed example. Document any claimed Article 6(3) exception and its conditions. Profiling people rules out that exception.

Gleichen Sie die Zweckbestimmung mit den Anhängen I und III ab. Die Bewerberauswahl ist ein aufgeführtes Beispiel. Begründen Sie jede beanspruchte Ausnahme nach Artikel 6 Absatz 3 und prüfen Sie deren Voraussetzungen. Profiling natürlicher Personen schließt diese Ausnahme aus.

The revised dates for Chapter III sections 1–3, except Article 6(5), are 2 December 2027 for Annex III systems and 2 August 2028 for Annex I systems. Other provisions have their own dates.

Für Kapitel III Abschnitte 1–3 mit Ausnahme von Artikel 6 Absatz 5 gelten die neuen Anwendungstermine: 2. Dezember 2027 für Systeme nach Anhang III und 2. August 2028 für Systeme nach Anhang I. Für andere Vorschriften gelten eigene Termine.

UK significant solely automated decisions require an Articles 22A–22D review, including restrictions on special-category data and the recognised legitimate interests basis. In the EU start with Article 22 and its specific exceptions. Test real human power to reconsider.

Bei erheblichen ausschließlich automatisierten Entscheidungen sind im Vereinigten Königreich die Artikel 22A–22D zu prüfen, darunter Einschränkungen für besondere Datenkategorien und für die Rechtsgrundlage der anerkannten berechtigten Interessen. Beginnen Sie in der EU mit Artikel 22 und seinen spezifischen Ausnahmen. Testen Sie, ob Menschen die Entscheidung tatsächlich ändern können.

EU-ROLE · EU-HIGH · UK-RIGHTS · EU-AIA

09 · Fundraise again, sell or merge

Weitere Finanzierung, Verkauf oder Fusion

A buyer may acquire fewer rights than the pitch suggests. Separate deal-room disclosure, change of control and asset transfer. Resolve material consents and any required clearance before completion.

Der Käufer erhält womöglich weniger Rechte als angekündigt. Offenlegung im Datenraum, Kontrollwechsel und Übertragung einzelner Vermögenswerte getrennt prüfen. Erforderliche Zustimmungen und Freigaben vor Vollzug einholen.

Nachweis oder Antwort

Diligence index, exceptions, consents and closing conditions

Prüfindex, Ausnahmen, Zustimmungen und Vollzugsbedingungen

Quellenhinweise / practical checks

List the accountable organisation for each purpose. Who chooses why and how personal data are used? Who acts on instructions? Map each supplier’s own uses separately.

Nennen Sie für jeden Zweck die verantwortliche Organisation. Wer entscheidet, warum und wie personenbezogene Daten verwendet werden? Wer handelt auf Weisung? Erfassen Sie eigene Verwendungszwecke jedes Anbieters gesondert.

For each risk write cause → event → harm to a person. Record likelihood, impact, affected group and evidence before controls. Name the control, tester, due date and risk remaining afterwards.

Beschreiben Sie für jedes Risiko Ursache → Ereignis → Schaden für eine Person. Erfassen Sie vor den Maßnahmen Wahrscheinlichkeit, Auswirkung, betroffene Gruppe und Belege. Nennen Sie Maßnahme, prüfende Person, Frist und verbleibendes Risiko.

Your decision record: workflow and version, permitted and excluded uses, evidence IDs, decision and reasons, dissent, restrictions, owner, reviewer, review date, signature and time. Keep the previous version.

Entscheidungsprotokoll: Ablauf und Version, erlaubte und ausgeschlossene Nutzungen, Nachweiskennungen, Entscheidung und Gründe, abweichende Ansichten, Einschränkungen, Zuständigkeit, Prüfung, Prüftermin, Unterschrift und Uhrzeit. Vorversion aufbewahren.

ICO-DEAL · UK-IP · UK-NSI

10 · Retire or close the business

Stilllegung oder Geschäftsaufgabe

Data, keys and obligations outlive a website. Assign a custodian, return or erase data as applicable, document lawful holds, revoke access and test that restored backups do not reactivate deleted records.

Daten, Schlüssel und Pflichten überdauern die Website. Zuständige Person benennen, Daten nach Lage zurückgeben oder löschen, rechtliche Aufbewahrung dokumentieren, Zugriffe entziehen und Wiederherstellung ohne Reaktivierung gelöschter Daten testen.

Nachweis oder Antwort

Decommissioning record, supplier evidence and remaining contact

Stilllegungsprotokoll, Anbieternachweise und Kontaktstelle

Quellenhinweise / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Other rights: examine correction, erasure, restriction, portability, objection and human review separately. Record applicable conditions, exceptions, recipients to notify, and any lawful retention or dispute hold.

Andere Rechte: Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und menschliche Überprüfung einzeln prüfen. Voraussetzungen, Ausnahmen, zu benachrichtigende Empfänger sowie rechtlich begründete Aufbewahrung oder Beweissicherung bei Streit dokumentieren.

Private filing: store completed forms, evidence and signatures with restricted access. Keep the public folder blank. Back up a versioned copy, keep an independently protected copy and test a restore. Set a retention period for each record.

Interne Ablage: Ausgefüllte Formulare, Belege und Unterschriften zugriffsgeschützt aufbewahren. Öffentliche Formulare leer halten. Versionierte Sicherung und eine unabhängig geschützte Kopie anlegen. Wiederherstellung testen. Aufbewahrungsdauer je Eintrag festlegen.

ICO-ERASE · ICO-CONTRACT

Read the full UK and EU founder’s guide (EN)

Bearbeitbares Arbeitsbuch · Full English handbook (Word)

Toto-Rex can make mistakes. Everything here is general information, not legal advice: check the primary source, and take advice from a qualified professional before you act.