Ein Unternehmen will Lebensläufe mit KI sichten.
So wird regiert – Schritt für Schritt.
Alba Logística erhält Hunderte von Bewerbungen pro Stellenangebot und sucht einen Assistenten, der diese durchsieht und eine Auswahlliste erstellt. Die Entscheidung trifft weiterhin ein Mensch. Es scheint harmlos, doch der EU-KI-Gesetzentwurf stuft dies als hohes Risiko ein: Anhang III umfasst die Auswahl von Personen. Mit Unterstützung von Merlín Digital Partners bei der Gestaltung des Auswahlverfahrens zeigt dieser Leitfaden den gesamten Ablauf in V-PROOF, von der Anmeldung bis zum Bericht für den Vorstand, anhand der tatsächlichen Bildschirmansichten der Plattform.
In Zusammenarbeit mit Merlín Digital Partners, dem Partner von V-PROOF im Bereich Personalbeschaffung.
Die Tour wurde am 23. September 2026 in einer Umgebung der Plattform durchgeführt. Das Unternehmen, die Personen und die Daten sind fiktiv. Keiner der Screenshots stammt von einem Kunden.
Anmelden
Der Assistent wird mit einem Verantwortlichen und einem Zweck in das Inventar aufgenommen.
Jedes KI-System, das das Unternehmen entwickelt, erwirbt oder nutzt, wird unter Angabe der Referenz, des Typs, des Geschäftsbereichs und einer verantwortlichen Person erfasst. Der vorgesehene Verwendungszweck ist nicht nur ein weiteres Feld: Es handelt sich um einen rechtlichen Begriff des EU-KI-Gesetzes (Art. 3.12), von dem die Verpflichtungen abhängen.
Der Assistent ist an das von ihm verwendete Modell und die von ihm verarbeiteten Daten gebunden, einschließlich der Rechtsgrundlage und der Aufbewahrungsfrist.
Sortieren
Elf Fragen. Das Risikoniveau des EU-KI-Gesetzes wird während der Beantwortung berechnet.
Verbotene Praxis, Geltungsbereich von Anhang III, rechtliche Auswirkungen, personenbezogene Daten, Autonomiegrad, externer Dienstleister. Mit jeder Antwort aktualisiert das Panel das Niveau, die Punktzahl, die Begründungen und die damit verbundenen Verpflichtungen.
Ergebnis: Hoch, 88 von 100. Anwendung von Anhang III, Entscheidungen mit erheblichen Auswirkungen, personenbezogene Daten, externer Dienstleister.
- 1HohesNiveau, 88 von 100, berechnet nach festen Regeln auf der Grundlage der Antworten
- 2Gründe – Anhang III (Beschäftigung), wesentliche Auswirkungen, personenbezogene Daten und Mustervorlage eines Dritten
- 3Verpflichtungen: Die einschlägigen Bestimmungen des EU-KI-Gesetzes und der DSGVO sowie NIST und ISO 42001
- 4Nächster Schritt: Die Einstufung, bei der das Niveau festgelegt wird
Risiken bewerten
Wahrscheinlichkeit pro Treffer. Niemand kann die Punktzahl von Hand notieren.
Jedes Risiko wird vor und nach den Maßnahmen bewertet: inhärentes und verbleibendes Risiko. Die Voreingenommenheit gegenüber Bewerbungen von Frauen oder älteren Menschen beginnt bei 20 (kritisch) und sinkt auf 10 (hoch), wobei zwei Maßnahmen zur Risikominderung vorgesehen sind: eine manuelle Überprüfung jeder Ablehnung und ein vierteljährlicher Voreingenommenheitstest mit anonymisierten Bewerbungen.
Die Plattform berechnet die Ergebnisse auf der Grundlage von Wahrscheinlichkeit und Auswirkung. So kann niemand ein Risiko beschönigen.
Kontrollen
Was verlangt der jeweilige Rahmen und wo steht das System gerade – Schritt für Schritt.
Die Bibliothek umfasst 76 Kontrollmaßnahmen: EU-KI-Gesetz, NIST AI RMF, ISO/IEC 42001, DSGVO und interne Grundsätze. Die Matrix zeigt die auf der Ebene „Hoch“ anwendbaren Maßnahmen, gruppiert nach Rahmenwerk, und jede Statusänderung wird im Prüfprotokoll festgehalten.
Vier Richtlinien der Organisation werden mithilfe von Sicherheitsvorkehrungen der Plattform selbst umgesetzt: Chat-Filter, Compliance-Prüfung, obligatorisches Siegel und manuelle Überprüfung.
Abwechselnd unterschreiben
Zwei Personen prüfen der Reihe nach, und jede hält schriftlich fest, was sie überprüft hat.
Die Bewertung löst einen Antrag aus. Die einzelnen Schritte werden festgelegt: Zunächst der Verantwortliche für die KI-Governance, dann die Datenschutzbeauftragte. Jede Unterschrift erfordert eine Bestätigung, die wörtlich protokolliert wird, und unterliegt bestimmten Bedingungen: In diesem Fall muss die FRIA vor der Inbetriebnahme ausgefüllt werden.
Nur die Person, deren E-Mail-Adresse in diesem Schritt angegeben ist, kann die Entscheidung treffen. Wenn eine andere Person dies versucht, lehnt die Plattform den Vorgang ab.
- 1Nomineller Schritt: Die Entscheidung trifft ausschließlich die Person, deren E-Mail-Adresse in diesem Schritt angegeben ist.
- 2Entscheidung: Diejenige dieses Schritts, in der festgelegten Reihenfolge
- 3ObligatorischeBestätigung für die Genehmigung: Was wurde überprüft und wörtlich festgehalten?
- 4Voraussetzung: Die FRIA (Art. 27) muss vor Produktionsbeginn ausgefüllt werden
Die Beweismittel versiegeln
Der Bias-Bericht wird mit seinem kryptografischen Fingerabdruck eingereicht und mit überprüfbaren Nachweisen verknüpft.
Ein Nachweis ist ein Dokument, das etwas belegt: ein Prüfbericht, ein Sicherheitsnachweis, ein Protokoll. Beim Hochladen berechnet die Plattform dessen kryptografischen Fingerabdruck, der mit dem übereinstimmt, der bei einer externen Berechnung ermittelt wird: Es handelt sich um den der Datei selbst, nicht um den einer Kopie.
Mit einem V-Seal® wird dieser Fingerabdruck als überprüfbarer kryptografischer Nachweis gespeichert. Ein Prüfer stellt später fest, dass das Dokument unverändert geblieben ist, ohne auf die Plattform oder den Inhalt zugreifen zu müssen. Die Versiegelung wird protokolliert und vor ihrem Abschluss ausdrücklich bestätigt.
- 1Verbindung: Der Nachweis wird mit Ihrem V-Seal® verknüpft
- 2Fingerabdruck Der kryptografische Fingerabdruck der Datei, der außerhalb der Plattform berechnet wird
- 3Status: Versiegelt oder nur mit Stempelabdruck, versiegelt wird noch
- 4Siegeln – Den Fingerabdruck als überprüfbaren Nachweis mit V-Seal® registrieren
Informieren
Für den Wirtschaftsprüfer das vollständige Formular. Für den Vorstand eine Seite.
Vier Berichte: die Systemübersicht, die Modellübersicht, der Konformitätsbericht nach Rahmenwerk und die Zusammenfassung für die Geschäftsleitung mit den Kennzahlen, den größten Risiken, den ausstehenden Genehmigungen und den offenen Vorfällen.
Hinter all dem steht das Audit-Protokoll: jede Aktion mit Angaben dazu, wer sie wann durchgeführt hat sowie was davor und danach geschah. Niemand kann diese Zeilen bearbeiten oder löschen, nicht einmal ein Administrator.
Was weiß die Assistentenplattform jetzt?
AI-0100 registriert, mit Verantwortlichem, Verwendungszweck, zugehörigem Modell und Systemdatenblatt.
Lebensläufe von Bewerbern: personenbezogene Daten, Rechtsgrundlage DSGVO 6.1.b, Aufbewahrungsfrist von 12 Monaten.
Hoch gemäß EU-KI-Gesetz, Anhang III, Beschäftigung. Festgelegt durch die Erstbewertung: 88 von 100.
Zwei offene Probleme mit Abhilfemaßnahmen: Verzerrung, Restwert 10, und Datenschutz, Restwert 6.
Zwölf im EU-KI-Gesetz vorgesehene Kontrollmaßnahmen wurden bewertet, einschließlich ihres Status und der sie stützenden Belege.
Zwei Unterschriften mit wortgetreuer Beglaubigung und einer Bedingung: FRIA vor der Produktion.
Bias-Bericht mit SHA-256-Hash, versiegelt mit V-Seal® und durch einen Dritten überprüfbar.
Jeder der vorangegangenen Schritte ist im Prüfprotokoll vermerkt, mit Angaben zu „vorher“ und „nachher“, ohne Löschpfad.
Was eine Person auch heute noch tut.
Wir möchten Ihnen das lieber schon jetzt mitteilen, bevor Sie es in der Demo entdecken. Die Plattform erfasst, prüft und versiegelt; sie ersetzt jedoch nicht das Urteilsvermögen des Entscheidungsträgers.
Welche KI-Systeme hat Ihr Unternehmen noch nicht registriert?
Diagnose unter Einbeziehung der Geschäftsleitung: Bestandsaufnahme, Einstufung gemäß dem EU-KI-Gesetz, Evidenzlücken und Plan zur Schließung dieser Lücken in Ihren tatsächlichen Prozessen.