--- name: anwendungsfall-triage-klotzkette title: 'KI-Anwendungsfall beurteilen' description: 'Für digitale Werkzeuge-Anwendungsfall-Triage: routet Rolle, Frist, Unterlagen und Fachschritt; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.' author: Klotzkette author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-governance/skills/anwendungsfall-triage license: Apache-2.0 version: 0.1.1 execution_mode: open jurisdiction: de practice: regulatory language: de sources: - title: Zitierweise path: references/zitierweise.md --- # 1. KI-Anwendungsfall beurteilen Prüfe den konkreten Einsatz nach Funktion, betroffenen Personen, Rolle und Rechtsfolgen. Erstelle die bestellte Freigabeempfehlung, Betriebsregel oder Vertragsfassung aus den vorhandenen Nachweisen. ## 1.1. Vorhandene Beschreibung Lies Zweckbeschreibung, tatsächliche Konfiguration, Anbieterunterlagen, Inventar und bisherige Freigabe. Eine vorhandene `CLAUDE.md` mit Praxisprofil nur ergänzend und im auftragsrelevanten Umfang verwenden. Übernimm bestätigte Angaben; frage gezielt nach fehlender Entscheidungswirkung, Datenart oder menschlicher Kontrolle. Ein ähnlicher Inventareintrag beweist nicht dieselbe Einordnung. Unterschiede bei Zweck, Nutzern, Betroffenen oder Datenzugriff prüfen. Keine vollständige Neubewertung unveränderter Systeme vor einem eng begrenzten Auftrag. ## 1.2. Verbote und Risikopfad Artikel 5 der Verordnung (EU) 2024/1689 tatbestandsbezogen prüfen, insbesondere Manipulation, Ausnutzung von Schutzbedürftigkeit, Social Scoring, biometrische Kategorisierung, Fernidentifizierung und Emotionserkennung. Voraussetzungen, Schwellen und Ausnahmen nach dem geltenden Text untersuchen, nicht aus einem Stichwort automatisch ein absolutes Verbot ableiten. Bei ungeklärtem Verbot keine Betriebsfreigabe empfehlen, unabhängige Entwurfsarbeit aber fortsetzen. Artikel 6 mit dem zutreffenden Anhang-I- oder Anhang-III-Pfad prüfen. Die im Alttext widersprüchlichen Nummern für Beschäftigung, Bildung, Dienstleistungen und Infrastruktur nicht übernehmen; den einschlägigen Eintrag am amtlichen Text bestimmen. Zweckbestimmung und tatsächliche Funktion einer konkreten Kategorie zuordnen, nicht jedes interne System als geringfügig behandeln. Die bestehende Terminregel zur Fassung 2026/1744 bleibt zu beachten und aktuell zu prüfen: Kapitel III Abschnitte 1 bis 3 außer Artikel 6 Absatz 5 gelten für Anhang III ab 2. Dezember 2027, für Anhang I ab 2. August 2028. Artikel 4 neuer Fassung, Artikel 4a, Verbote, Transparenz und Bestandssysteme separat beurteilen. Datenschutz-Folgenabschätzung und ereignisbezogene Vorfallfristen werden dadurch nicht pauschal aufgeschoben. ## 1.3. Datenschutz, Mitbestimmung und Nachweise Bei Artikel 22 DSGVO tatsächliche Automatisierung und rechtliche oder ähnlich erhebliche Wirkung prüfen. Voraussetzungen der Ausnahmen und Schutzmaßnahmen am Normtext untersuchen; eine bloße menschliche Unterschrift oder pauschale Einwilligung ist kein vollständiger Prüfweg. Transparenz nach Artikeln 13 und 14 sowie Datenschutz-Folgenabschätzung nach Artikel 35 getrennt behandeln. Bei Überwachung oder Bewertung von Beschäftigten Paragraf 87 Absatz 1 Nummer 6 BetrVG prüfen. Nachweise menschlicher Aufsicht, insbesondere Befugnis und praktische Eingriffsmöglichkeit, von Schulungsbescheinigungen unterscheiden. Anbieterpflichten nach Artikeln 9 und 10, Aufsicht nach Artikel 14, Rolle nach Artikel 22 sowie Betreiberpflichten und Grundrechte-Folgenabschätzung nach Artikeln 26 und 27 jeweils konkret zuordnen; Artikel 29 nicht pauschal als Betreiberpflicht verwenden. Inventar, Risikoanalyse, Modellkarte, Tests, Audit, Folgenabschätzung und Schulungsnachweise nach ihrem tatsächlichen Aussagewert vergleichen. ISO/IEC 42001, NIST AI RMF 1.0 und OECD AI Principles können methodisch unterstützen, ersetzen aber keine gesetzliche Prüfung. Produkthaftungsrichtlinie 2024/2853 nur bei passender Frage und unter Prüfung des zeitlichen Anwendungsbereichs heranziehen. ## 1.4. Rückfrage zur konkreten Entscheidung Fehlt bei Bewerbungssoftware die Information, ob Bewerbungen automatisch ausgeschlossen werden, gezielt nach Entscheidungsschritt, menschlicher Prüfung und Änderungsmöglichkeit fragen. Nach Antwort Systemzweck, Anhangspfad, Artikel 22 DSGVO und Aufsichtsregel aktualisieren. Danach die bestellte Betriebsanweisung oder Entscheidungsvorlage fertigstellen. Bei fehlendem Test einer Schutzmaßnahme den konkreten Testnachweis anfordern. Nach Eingang Aussagekraft und verbleibende Abweichung prüfen; einen Testbericht nicht mit vollständiger Rechtskonformität gleichsetzen. Neue entscheidende Lücken in kurzen Folgerunden klären, bereits Beantwortetes nicht wiederholen. Belastbare Teile können vorläufig geliefert werden. Offene Tatsachen oder fehlende fachliche Freigabe als konkrete Bedingung benennen, nicht durch einen unbestimmten Status „bedingt“ ersetzen. Eine Anbieterbehauptung und ein interner Test mit echten Personendaten schaffen keine eigene Ausnahme von gesetzlichen Anforderungen. ## 1.5. Quellen und fertiges Ergebnis Aktuelle Normen und tragende Rechtsprechung amtlich prüfen. Entscheidungen nur mit Gericht, Entscheidungsform, Datum, Aktenzeichen und passender Aussage verwenden. Optional ergänzt `references/zitierweise.md` die Zitierweise. Die bisherigen Literaturhinweise auf Wendehorst/Grinzinger zum AI Act, Ehmann/Selmayr zur DSGVO, Müller-Glöge im Erfurter Kommentar und Spindler/Schuster sind nicht durch diesen Ablauf verifiziert. Auflage, Bearbeiter, Norm und Passage nur mit bereitgestellter Quelle oder lizenziertem Zugriff prüfen; keine Randnummer aus Modellwissen zitieren. Liefere die bestellte Bewertung, Regelung oder Vertragsfassung in vollständigen Sätzen unter der Nutzerbenennung. Notwendige Bedingungen mit Maßnahme, Verantwortlichem, Nachweis und Termin ausformulieren; keine doppelte Klassifikationstabelle oder interne Pflichtgliederung ausgeben. Quellenstatus und technische Grenzen in einer getrennten Arbeitsnotiz halten. Formatierte Dokumente möglichst in Times New Roman 11 pt und dezimaler Gliederung, bei Text mit getrenntem Exporthinweis. Keine Meldung, Abschaltung, Datenoffenlegung oder Versendung ohne ausdrückliche Freigabe. Ohne weitere Skills hier weiterarbeiten; fehlenden Zugriff benennen und ohne Export vollständigen Text liefern.