Fünf Phasen, ein Verfahren: KI-Beratung nach dem Sakızlı-Modell

KI kann in einer Beratung Tempo schaffen: Sie sortiert Material, formuliert Varianten und macht Lücken sichtbar. Das allein ist aber noch keine verantwortbare Beratung. Sobald ein KI-Einsatz Folgen für Menschen, Verträge oder Ressourcen hat, braucht es einen Weg, auf dem aus einer Anfrage nicht einfach eine plausibel klingende Antwort wird, sondern ein nachvollziehbarer Prozess – mit klaren Stationen, klaren Ergebnissen und klaren Zuständigkeiten.

Genau dafür ist das Sakızlı 5-Phasen-Beratungsmodell gebaut. Es knüpft an das bestehende Sakızlı-Modell an, das sich im Detail mit ethischen Fragestellungen und Governance-Prinzipien auseinandersetzt – und erweitert den Fokus gezielt auf vertragliche, rechtliche und regulatorische Fragen im Kontext von KI-Einsätzen. Das Ergebnis ist ein praxisnaher Leitfaden für KI-Berater, der diese Herausforderungen systematisch und interdisziplinär angeht: Ethik und Governance bleiben berücksichtigt, während die rechtlichen Rahmenbedingungen ins Zentrum rücken. Unternehmen minimieren damit nicht nur rechtliche Risiken – sie nutzen auch Chancen in einem KI-Umfeld, das sich dynamisch weiterentwickelt.

Phase 1: Vorbereitung und Anamnese

Die erste Phase legt den Grundstein – und sie beginnt nicht mit Technik, sondern mit Zielklärung: Welche vertraglichen und regulatorischen Ziele soll der KI-Einsatz erreichen? Compliance sicherstellen, Haftung absichern, Datenschutz optimieren – und welche Gesetze und Richtlinien sind dafür überhaupt maßgeblich? In der Praxis heißt das: DSGVO und EU AI Act fast immer, dazu je nach Projekt eIDAS, DSA und DMA, Urheber- und Medienrecht, strafrechtliche Aspekte, Handels- und Vertragsrecht sowie Haftungsfragen von der Produkthaftung bis zur deliktischen Haftung. Auch der Abgleich mit menschenrechtlichen Standards und ethischen Leitlinien gehört hierher – etwa um Diskriminierung oder Eingriffe in die Privatsphäre von vornherein auszuschließen.

Darauf folgt die Anamnese im engeren Sinn: die Informationssammlung. Sie erfasst den technologischen Kontext – eingesetzte KI-Technologien, Algorithmen, Datenquellen und Schnittstellen –, prüft bestehende Verträge, Lizenz- und Kooperationsvereinbarungen und zieht externe Gutachten, regulatorische Leitfäden und branchenspezifische Standards wie ISO-Normen heran. Am Ende der Phase stehen definierte Rahmenbedingungen: ein Projektplan mit Meilensteinen und Budget, eine Stakeholder-Karte mit internen Akteuren (Rechtsabteilung, Compliance, IT-Sicherheit) und externen Experten (spezialisierte Anwälte, Datenschutzberater) – und ein Maßnahmenkatalog mit Notfallplänen für den Fall, dass die Analyse kritische rechtliche Lücken aufdeckt. Alles wird transparent dokumentiert, mit Querverweisen auf konkrete Artikel der DSGVO oder Abschnitte des EU AI Act.

Phase 2: Analyse und Problemdefinition

Jetzt wird der Status quo systematisch untersucht. Die Bedarfsanalyse deckt Lücken in bestehenden vertraglichen Regelungen und rechtliche Unsicherheiten auf: Sind die Datenverarbeitungsprozesse DSGVO-konform? Werden urheber- und medienrechtliche Bestimmungen berücksichtigt? Wo bestehen strafrechtliche Risiken bei missbräuchlicher Nutzung, wo unklare Haftungsregelungen bei KI-basierten Entscheidungen? Eine Annahme bleibt dabei als Annahme sichtbar; eine Beobachtung wird nicht zur Tatsache, nur weil sie oft wiederholt wurde.

Das zentrale Werkzeug ist die SWOT-Analyse: Stärken wie vorhandene Compliance-Mechanismen, Schwächen wie unklare Zuständigkeiten bei Datenschutzverstößen, Chancen wie Wettbewerbsvorteile durch proaktive Anpassung an kommende Regulierung, Risiken wie Bußgelder bei Verstößen gegen DSGVO oder EU AI Act. Anschließend wird priorisiert: Eine Dringlichkeitsmatrix bewertet jede Fragestellung nach Auswirkung und Eintrittswahrscheinlichkeit, sodass kritische Bereiche – Datenschutzverstöße, Haftungsfragen – zuerst adressiert werden. Das Ergebnis ist ein Analysebericht, der als Grundlage für Phase 3 dient, plus ein Monitoring-Mechanismus, der Änderungen der Rechtslage frühzeitig erkennt.

Phase 3: Beratung und Lösungsentwicklung

Erst jetzt ist der Moment für Vorschläge – und sie werden konkret. Kern der Phase ist die maßgeschneiderte Vertragsgestaltung: präzise Haftungsklauseln, die Produkthaftung und deliktische Haftung abdecken und Verantwortlichkeiten klar definieren; Datenschutz- und Compliance-Klauseln zu Datenverarbeitung, Betroffenenrechten und Meldepflichten nach DSGVO, eIDAS und EU AI Act; Regelungen zum Schutz von Urheberrechten und Betriebsgeheimnissen, damit weder Inhalte noch internes Wissen ungewollt offengelegt werden. Ergänzt wird das durch ein Risikomanagement-Framework mit Notfall- und Eskalationsplänen für unerwartete rechtliche Herausforderungen.

Methodisch stützt sich die Phase auf bewährte Praktiken: standardisierte Checklisten, die alle relevanten Rechtsgebiete abdecken, interaktive Workshops und Fallstudien, in denen Lösungen an konkreten Szenarien geprüft werden, und Benchmarking gegen branchenübliche Standards. Entscheidend ist die interdisziplinäre Zusammenarbeit – Juristen, Datenschutzbeauftragte, IT-Sicherheitsexperten und Management arbeiten in regelmäßigen Koordinationsrunden an einem gemeinsamen Zielbild, inklusive KPIs, die den Fortschritt messbar machen. Kein Fachbereich entscheidet allein; genau das macht die Lösungen tragfähig.

Phase 4: Umsetzung und Dokumentation

Eine Empfehlung wird nicht dadurch sicher, dass sie ausführlich ist – sondern dadurch, dass klar ist, wer welchen Schritt verantwortet. Der Maßnahmenplan gliedert die Umsetzung in Arbeitspakete – von der Vertragsrevision bis zur Einführung neuer Compliance-Prozesse –, weist jedem Paket Verantwortliche, Deadlines und Ressourcen zu und hinterlegt Eskalationspläne für Verzögerungen oder Compliance-Verstöße. Budget und Personal werden explizit geplant, damit auch externe Prüfungen wie Gutachten zur DSGVO-Konformität abgedeckt sind.

Parallel läuft die Dokumentation: ein zentrales Projekt-Dashboard, Protokolle aller Entscheidungen, und jede Vertragsanpassung mit Bezug auf die konkrete Rechtsgrundlage festgehalten – als Nachweis für zukünftige Audits und gegenüber Regulierungsbehörden. Die Kommunikationsstrategie schließt die Phase ab: intern über Schulungen, Leitfäden und FAQ-Dokumente, die Mitarbeitende mit den neuen Regelungen vertraut machen; extern über transparente Berichte, die das Vertrauen von Partnern und Behörden stärken.

Phase 5: Evaluation und Nachbereitung

Mit der Übergabe endet die Beratung nicht. Regelmäßige Evaluationszyklen – vierteljährlich oder halbjährlich – prüfen, ob die neuen Vertragsregelungen und Compliance-Maßnahmen wirken. Gemessen wird an definierten KPIs: Anzahl der Datenschutzvorfälle, Aktualisierungsrate der Vertragsklauseln, Ergebnisse interner und externer Audits. Feedback von Rechtsabteilung, Compliance, IT-Sicherheit und externen Gutachtern fließt in detaillierte Evaluationsberichte, die revisionssicher archiviert werden.

Der zweite Baustein ist die dynamische Aktualisierung: Ändert sich die Rechtslage – ein Update zum EU AI Act, neue Anforderungen aus DSA oder DMA –, wird das Modell sofort angepasst; Verträge und interne Richtlinien werden auf Basis der Evaluationsergebnisse überarbeitet, Lessons Learned dokumentiert. Langfristig sichern ein kontinuierliches Monitoring-System mit Dashboard und regelmäßige Follow-up-Termine, dass Compliance kein Projektzustand bleibt, sondern Betriebszustand wird. Diese Phase macht die Beratung nicht perfekt – sie macht sie korrigierbar.

Das Modell im Einsatz: ein Fall aus der Praxis

Wie das konkret aussieht, zeigt ein Anwendungsbeispiel aus der Vollversion des Modells: Alex Meier, selbständiger Influencer, will seine Instagram-Strategie mit einer KI-Lösung auf RunwyML-Basis optimieren – Trendanalysen, Content-Optimierung, bessere Engagement-Raten. Budget: 15.000 Euro, Projektlaufzeit: drei Monate. In Phase 1 werden die Ziele messbar gemacht (Engagement plus 15 Prozent in sechs Monaten, mindestens drei relevante Content-Themen pro Monat) und das Budget aufgeteilt: rund 6.000 Euro für externe Rechts- und Datenschutzberatung, 4.000 Euro für die technische Integration, 2.000 Euro für Schulungen, 3.000 Euro Puffer.

Die Analyse in Phase 2 setzt die Prioritäten: An erster Stelle steht die DSGVO-konforme Verarbeitung personenbezogener Daten – Kommentare, Likes, Follower-Interaktionen. Danach kommen klare Haftungsregelungen für den Fall fehlerhafter KI-Vorhersagen und die Einhaltung der Instagram-Nutzungsbedingungen bei der API-Anbindung. Erweiterte urheberrechtliche Fragen bleiben nachrangig, solange nur öffentlich zugängliche Inhalte genutzt werden. Phase 3 übersetzt das in maßgeschneiderte Vertragsklauseln und Kontrollmechanismen, Phase 4 setzt sie mit klaren Verantwortlichkeiten um, und Phase 5 überwacht per Audit-Zyklus, ob die Lösung auch dann compliant bleibt, wenn Instagram seine Bedingungen oder die EU ihre Regulierung ändert.

Das Beispiel zeigt auch ein Grundprinzip des Modells: Es werden nur die Rechtsfragen einbezogen, die auf das Szenario tatsächlich anwendbar sind. Die Projektidee bestimmt die Tiefe der Ausarbeitung – ein Einzelunternehmer mit 15.000 Euro Budget braucht keinen Konzern-Compliance-Apparat, aber sehr wohl saubere Datenschutz- und Haftungsgrundlagen. Genau diese Verhältnismäßigkeit macht das Modell auch für kleine Projekte tragfähig.

# BERATUNGSROUTE · 5 PHASEN

**1 · Vorbereitung & Anamnese**
Ziele, Verträge, Rechtsrahmen (DSGVO, EU AI Act, eIDAS) erfassen …

**2 · Analyse & Problemdefinition**
Lücken benennen · SWOT · Dringlichkeitsmatrix …

**3 · Beratung & Lösungsentwicklung**
Vertragsklauseln · Risikominderung · Expertennetzwerk …

**4 · Umsetzung & Dokumentation**
Maßnahmenplan · Nachweisführung · Kommunikation …

**5 · Evaluation & Nachbereitung**
Reviews · KPIs · dynamische Aktualisierung …

Das Sakızlı 5-Phasen-Beratungsmodell ersetzt keine juristische Urteilskraft und keine fachliche Verantwortung. Was es leistet, ist etwas Bescheideneres und zugleich Entscheidendes: Es gibt der Beratung einen Ablauf, an dem sichtbar bleibt, was geprüft wurde, was offen ist und wer entscheidet. KI beschleunigt jede einzelne Station – aber die Reihenfolge, die Ergebnisse und die Verantwortung bleiben menschlich. Genau deshalb ist das Modell interdisziplinär gedacht: Recht, Datenschutz, IT-Sicherheit und Management teilen sich ein Verfahren, nicht nur ein Ziel.

Übungsblatt: Einen Fall durch fünf Phasen führen

Wähle einen konkreten KI-Beratungsfall – idealerweise einen echten. Führe ihn einmal komplett durch alle fünf Phasen und notiere pro Phase nur, was die nächste Entscheidung wirklich braucht. Rechne mit 30 bis 45 Minuten.

Anamnese. Notiere das messbare Ziel des KI-Einsatzes und die drei bis fünf Rechtsrahmen, die für diesen Fall tatsächlich greifen (fast immer DSGVO und EU AI Act).

Analyse. Erstelle eine kurze SWOT und benenne die eine Fragestellung mit der höchsten Priorität – gemessen an Auswirkung mal Eintrittswahrscheinlichkeit.

Lösung. Skizziere eine konkrete Vertragsklausel oder Maßnahme, die genau diese Priorität adressiert – Haftung, Datenschutz oder IP.

Umsetzung. Lege für die Maßnahme einen Verantwortlichen, eine Deadline und die Rechtsgrundlage fest, auf die die Dokumentation verweist.

Evaluation. Definiere einen KPI und einen Review-Termin, an dem geprüft wird, ob die Maßnahme auch nach einer Änderung der Rechtslage noch trägt.

Alle Materialien zum Download – die Themenübersicht und das Übungsblatt: