Fünf Phasen, ein Verfahren: KI-Beratung nach dem Sakızlı-Modell

KI kann in einer Beratung Tempo schaffen: Sie sortiert Material, formuliert Varianten und macht Lücken sichtbar. Das allein ist aber noch keine verantwortbare Beratung. Sobald ein KI-Einsatz Folgen für Menschen, Verträge oder Ressourcen hat, braucht es einen Weg, auf dem aus einer Anfrage nicht einfach eine plausibel klingende Antwort wird, sondern ein nachvollziehbarer Prozess – mit klaren Stationen, klaren Ergebnissen und klaren Zuständigkeiten.

Genau dafür ist das Sakızlı 5-Phasen-Beratungsmodell gebaut. Es knüpft an das bestehende Sakızlı-Modell an, das sich im Detail mit ethischen Fragestellungen und Governance-Prinzipien auseinandersetzt – und erweitert den Fokus gezielt auf vertragliche, rechtliche und regulatorische Fragen im Kontext von KI-Einsätzen. Das Ergebnis ist ein praxisnaher Leitfaden für KI-Berater, der diese Herausforderungen systematisch und interdisziplinär angeht: Ethik und Governance bleiben berücksichtigt, während die rechtlichen Rahmenbedingungen ins Zentrum rücken. Unternehmen minimieren damit nicht nur rechtliche Risiken – sie nutzen auch Chancen in einem KI-Umfeld, das sich dynamisch weiterentwickelt.

Phase 1: Vorbereitung und Anamnese

Die erste Phase legt den Grundstein – und sie beginnt nicht mit Technik, sondern mit Zielklärung: Welche vertraglichen und regulatorischen Ziele soll der KI-Einsatz erreichen? Compliance sicherstellen, Haftung absichern, Datenschutz optimieren – und welche Gesetze und Richtlinien sind dafür überhaupt maßgeblich? In der Praxis heißt das: DSGVO und EU AI Act fast immer, dazu je nach Projekt eIDAS, DSA und DMA, Urheber- und Medienrecht, strafrechtliche Aspekte, Handels- und Vertragsrecht sowie Haftungsfragen von der Produkthaftung bis zur deliktischen Haftung. Auch der Abgleich mit menschenrechtlichen Standards und ethischen Leitlinien gehört hierher – etwa um Diskriminierung oder Eingriffe in die Privatsphäre von vornherein auszuschließen.

Darauf folgt die Anamnese im engeren Sinn: die Informationssammlung. Sie erfasst den technologischen Kontext – eingesetzte KI-Technologien, Algorithmen, Datenquellen und Schnittstellen –, prüft bestehende Verträge, Lizenz- und Kooperationsvereinbarungen und zieht externe Gutachten, regulatorische Leitfäden und branchenspezifische Standards wie ISO-Normen heran. Am Ende der Phase stehen definierte Rahmenbedingungen: ein Projektplan mit Meilensteinen und Budget, eine Stakeholder-Karte mit internen Akteuren (Rechtsabteilung, Compliance, IT-Sicherheit) und externen Experten (spezialisierte Anwälte, Datenschutzberater) – und ein Maßnahmenkatalog mit Notfallplänen für den Fall, dass die Analyse kritische rechtliche Lücken aufdeckt. Alles wird transparent dokumentiert, mit Querverweisen auf konkrete Artikel der DSGVO oder Abschnitte des EU AI Act.

Phase 2: Analyse und Problemdefinition

Jetzt wird der Status quo systematisch untersucht. Die Bedarfsanalyse deckt Lücken in bestehenden vertraglichen Regelungen und rechtliche Unsicherheiten auf: Sind die Datenverarbeitungsprozesse DSGVO-konform? Werden urheber- und medienrechtliche Bestimmungen berücksichtigt? Wo bestehen strafrechtliche Risiken bei missbräuchlicher Nutzung, wo unklare Haftungsregelungen bei KI-basierten Entscheidungen? Eine Annahme bleibt dabei als Annahme sichtbar; eine Beobachtung wird nicht zur Tatsache, nur weil sie oft wiederholt wurde.

Das zentrale Werkzeug ist die SWOT-Analyse: Stärken wie vorhandene Compliance-Mechanismen, Schwächen wie unklare Zuständigkeiten bei Datenschutzverstößen, Chancen wie Wettbewerbsvorteile durch proaktive Anpassung an kommende Regulierung, Risiken wie Bußgelder bei Verstößen gegen DSGVO oder EU AI Act. Anschließend wird priorisiert: Eine Dringlichkeitsmatrix bewertet jede Fragestellung nach Auswirkung und Eintrittswahrscheinlichkeit, sodass kritische Bereiche – Datenschutzverstöße, Haftungsfragen – zuerst adressiert werden. Das Ergebnis ist ein Analysebericht, der als Grundlage für Phase 3 dient, plus ein Monitoring-Mechanismus, der Änderungen der Rechtslage frühzeitig erkennt.

Phase 3: Beratung und Lösungsentwicklung

Erst jetzt ist der Moment für Vorschläge – und sie werden konkret. Kern der Phase ist die maßgeschneiderte Vertragsgestaltung: präzise Haftungsklauseln, die Produkthaftung und deliktische Haftung abdecken und Verantwortlichkeiten klar definieren; Datenschutz- und Compliance-Klauseln zu Datenverarbeitung, Betroffenenrechten und Meldepflichten nach DSGVO, eIDAS und EU AI Act; Regelungen zum Schutz von Urheberrechten und Betriebsgeheimnissen, damit weder Inhalte noch internes Wissen ungewollt offengelegt werden. Ergänzt wird das durch ein Risikomanagement-Framework mit Notfall- und Eskalationsplänen für unerwartete rechtliche Herausforderungen.

Methodisch stützt sich die Phase auf bewährte Praktiken: standardisierte Checklisten, die alle relevanten Rechtsgebiete abdecken, interaktive Workshops und Fallstudien, in denen Lösungen an konkreten Szenarien geprüft werden, und Benchmarking gegen branchenübliche Standards. Entscheidend ist die interdisziplinäre Zusammenarbeit – Juristen, Datenschutzbeauftragte, IT-Sicherheitsexperten und Management arbeiten in regelmäßigen Koordinationsrunden an einem gemeinsamen Zielbild, inklusive KPIs, die den Fortschritt messbar machen. Kein Fachbereich entscheidet allein; genau das macht die Lösungen tragfähig.

Phase 4: Umsetzung und Dokumentation

Eine Empfehlung wird nicht dadurch sicher, dass sie ausführlich ist – sondern dadurch, dass klar ist, wer welchen Schritt verantwortet. Der Maßnahmenplan gliedert die Umsetzung in Arbeitspakete – von der Vertragsrevision bis zur Einführung neuer Compliance-Prozesse –, weist jedem Paket Verantwortliche, Deadlines und Ressourcen zu und hinterlegt Eskalationspläne für Verzögerungen oder Compliance-Verstöße. Budget und Personal werden explizit geplant, damit auch externe Prüfungen wie Gutachten zur DSGVO-Konformität abgedeckt sind.

Parallel läuft die Dokumentation: ein zentrales Projekt-Dashboard, Protokolle aller Entscheidungen, und jede Vertragsanpassung mit Bezug auf die konkrete Rechtsgrundlage festgehalten – als Nachweis für zukünftige Audits und gegenüber Regulierungsbehörden. Die Kommunikationsstrategie schließt die Phase ab: intern über Schulungen, Leitfäden und FAQ-Dokumente, die Mitarbeitende mit den neuen Regelungen vertraut machen; extern über transparente Berichte, die das Vertrauen von Partnern und Behörden stärken.