KI-Governance für den Mittelstand
Klare Regeln für KI.
Für alle im Unternehmen.
OTRIX zeigt Ihren Mitarbeitenden, welche KI sie wofür nutzen dürfen. Neue KI-Vorhaben durchlaufen eine regelbasierte Vorbewertung nach der KI-Verordnung (EU AI Act), Risikobewertung, Prüfung und Freigabe, mit klaren Zuständigkeiten und dokumentierten Entscheidungen.
Regelwerk nach EU AI ActAktueller Rechtsstand inklusive Digital Omnibus on AI, Verordnung (EU) 2026/1744
Der Mensch entscheidetOTRIX bereitet vor, Befugte entscheiden mit Begründung
Datenschutz nach DSGVOBetrieb mit Vertrag zur Auftragsverarbeitung, Datenschutz als eigene Prüfrolle in jedem KI-Vorhaben
Eigene UmgebungJe Unternehmen, standardmäßig als Cloud-Dienst, auf Anfrage On-Premise
Datenstandort DeutschlandBetrieb und Datensicherung in Rechenzentren in Deutschland
Geprüftes HostingCloud-Infrastruktur mit Testat nach BSI C5, Rechenzentren nach ISO/IEC 27001 zertifiziert
Aus der Praxis für die PraxisZertifizierte Expertise als ISO/IEC 42001 Auditor und KI-Compliance-Beauftragter (TÜV Rheinland Akademie)
Entwickelt in DeutschlandVon bepro solutions in Schmallenberg, Nordrhein-Westfalen
Warum jetzt
KI ist längst im Einsatz.
Die Pflichten auch.
In vielen Unternehmen wird KI täglich genutzt, oft schneller, als Regeln, Zuständigkeiten und Nachweise mitwachsen.
KI wird genutzt, oft bevor Regeln bestehen.
Textassistenten, Übersetzer, KI in Office-Software: Vieles ist im Alltag angekommen, private Konten inklusive. Selten weiß jemand genau, welche Werkzeuge im Einsatz sind, welche Daten hineingehen und welche Regeln gelten.
Die KI-Verordnung gilt schrittweise.
Seit Februar 2025 gelten die Verbote und Maßnahmen zur KI-Kompetenz, seit August 2026 die Transparenzpflichten. Pflichten für Hochrisiko-KI folgen ab Dezember 2027 (Anhang III) und ab August 2028 (Anhang I).
Prüfungen und Entscheidungen binden Zeit.
Fachbereich, IT, Datenschutz und Geschäftsführung stimmen sich per E-Mail und Tabelle ab. Das bindet Personal, und wer was warum entschieden hat, ist später kaum nachvollziehbar.
Was gilt wann?
02.02.2025
Verbotene Praktiken und Maßnahmen zur KI-Kompetenz
02.08.2026
Transparenzpflichten, z. B. Hinweis auf KI im Kundenkontakt
02.12.2026
Neue Verbote zu intimen oder sexuellen Darstellungen realer Personen
02.12.2027
Pflichten für Hochrisiko-KI nach Anhang III, z. B. Personal, Bildung, Kredit
02.08.2028
Pflichten für Hochrisiko-KI in Produkten nach Anhang I
Stand: Oktober 2026. KI-Verordnung (EU) 2024/1689, zuletzt geändert durch die Verordnung (EU) 2026/1744 (Digital Omnibus on AI). Orientierung, keine Rechtsberatung.
Ein System, zwei Blickwinkel
Antworten für alle.
Überblick für die Geschäftsführung.
Mitarbeitende bekommen Orientierung im Alltag. KI-Governance und Geschäftsführung behalten Anwendungen, Risiken, Zuständigkeiten und Entscheidungen im Blick.
Für alle Mitarbeitenden
Der KI-Kompass
„Welche KI darf ich wofür nutzen?“
- Suche „Darf ich …?“ mit klarer Antwort
- Status je Tool und Daten-Ampel
- Grundregeln, KI-Richtlinie und Ansprechperson
- Nutzung oder Bedenken melden, ohne Nachteile
Für KI-Governance und Geschäftsführung
Der Steuerungsbereich
„Wo stehen wir beim KI-Einsatz, und wo müssen wir handeln?“
- KI-Inventar mit KI-Landkarte und Verantwortlichen
- Anträge mit regelbasierter Vorbewertung
- Vorgeschlagene Risiken, Prüfung und Freigabe mit Auflagen
- Steuerungsübersicht, KI-Richtlinie und Managementbewertung
Was die KI-Governance freigibt, sieht jede Person im KI-Kompass. Anträge und Meldungen landen als Aufgabe bei den Zuständigen.
Der Weg eines KI-Vorhabens
Vom „Darf ich?“ bis zur nächsten Überprüfung.
Antrag, Vorbewertung nach der KI-Verordnung, Risikobewertung, Prüfung und Entscheidung in einem durchgehenden Ablauf. Zuständigkeiten, Begründungen und Folgeaufgaben bleiben dokumentiert.
- 1BeantragenAus dem KI-Kompass heraus, geführt in wenigen SchrittenMitarbeitende, Fachbereich
- 2VorbewertenAcht Prüfschritte der KI-Verordnung, mit Fundstelleregelbasiert, bestätigt durch Prüfer
- 3Risiken bewertenVorgeschlagene Risiken aus den Angaben, 5 × 5-MatrixRisikoeigner
- 4PrüfenIT-Sicherheit, Datenschutz und Compliance, mit RückfragenPrüfrollen
- 5EntscheidenFreigeben, mit Auflagen freigeben oder ablehnenKI-Governance oder Management
- 6NachhaltenMaßnahmen, Fristen und nächste ÜberprüfungVerantwortliche
Einblick in OTRIX
So sieht Governance aus, die im Alltag funktioniert.
Sechs Ansichten aus OTRIX, vom KI-Kompass für alle bis zur Steuerungsübersicht für die Geschäftsführung. Die Zahlen zeigen, wo was passiert.
KI-Kompass
Antworten statt Rundmails.
Der KI-Kompass ist die Startseite für alle im Unternehmen. Jedes Tool hat eine Karte: ob es erlaubt ist, mit welchen Daten, wie man es nutzt und wen man fragen kann.
- Status in Klartext: erlaubt, mit Einschränkungen, noch nicht freigegeben oder nicht erlaubt
- Daten-Ampel: welche Daten mit diesem Tool erlaubt sind
- Nutzungsregeln und Zugang, kurz und verständlich
- Ansprechperson und „Beobachten“ bei Änderungen
Vorbewertung
Einordnung nach der KI-Verordnung, mit Fundstelle.
Jeder Antrag wird regelbasiert vorbewertet: acht Prüfschritte nach einem versionierten Regelwerk, zur Bestätigung gebündelt in sechs Themen. Hier ein Fall aus dem Personalbereich.
- Empfehlung des Regelwerks je Thema, hier „Hochrisiko nach Anhang III“
- Jeder Hinweis mit Regel und Fundstelle, z. B. Anhang III Nr. 4
- Rückfragen statt Annahmen, wo Angaben fehlen
- Ein Mensch bestätigt die Einordnung oder weicht begründet ab
Prüfung & Freigabe
Wer entscheiden darf, steht im Fall.
Im Prüffall stehen Einordnung und höchstes Risiko ganz oben. OTRIX leitet daraus ab, wer entscheidet. Hier ist es das Management, weil ein hohes Risiko offen ist.
- Einordnung nach der KI-Verordnung und höchstes Risiko im Kopf jedes Falls
- Die Befugnis folgt festen Regeln, nicht dem Einzelfall
- Freigeben, mit Auflagen freigeben oder ablehnen, jeweils mit Begründung
- Bei Hochrisiko-KI legt OTRIX die Pflichten als Betreiber als Checkliste an
- Prüfer legt Ihre Organisation zentral fest, nicht der Antragsteller
Risiken & Maßnahmen
Vom Risikohinweis zur erledigten Maßnahme.
OTRIX schlägt aus den Angaben im Antrag Risiken vor und begründet jeden Vorschlag. Sie übernehmen oder verwerfen ihn. Bewertet und behandelt werden die betrieblichen Risiken in Anlehnung an ISO 31000, getrennt von der rechtlichen Einstufung.
- Vorgeschlagenes Risiko mit dem nächsten Schritt
- Warum erkannt: Regel und auslösende Angaben
- Übernehmen oder mit Begründung verwerfen
- Feste Stationen von „zu prüfen“ bis „Überwachung“
- 5 × 5-Matrix: Risikostufe = Eintrittswahrscheinlichkeit × Auswirkung, je 1 bis 5
- Restrisiken akzeptiert nur, wer dazu befugt ist
KI-Landkarte
Wo im Unternehmen welche KI arbeitet.
Die KI-Landkarte zeigt auf einen Blick, welche Abteilungen welche KI-Systeme für welche Anwendungsfälle nutzen und wo noch Angaben fehlen.
- Die Lage in einem Satz: Anwendungsfälle, Abteilungen, offene Punkte
- Kennzeichen für KI-Systeme, die selbst handeln, z. B. KI-Agenten
- Lücken: KI-Systeme im Register ohne Anwendungsfall
Steuerung
Überblick für die Geschäftsführung.
Die Steuerungsübersicht zeigt, was Aufmerksamkeit braucht. Die Sicht „Management“ zeigt offene Entscheidungen und die Risikolage. Im Bereich Führung liegen KI-Richtlinie, Managementbewertung und Nachweismappe.
- Nur Ausnahmen: überfällig, ohne Prüfer, wartet auf Management
- Der Stand aller Prüfungen auf einer Linie
- Nächste Fristen und Zuständigkeit
- Sicht Management: Entscheidungen, Hochrisiko-KI und hohe Risiken
Ansichten aus OTRIX mit fiktiven Beispieldaten.
Warum OTRIX
Governance, die im Alltag gelebt wird und nicht im Aktenschrank liegt.
Sechs Grundsätze, die OTRIX von einer Checkliste oder Tabelle unterscheiden.
Für alle, nicht nur für Compliance
Der KI-Kompass bringt Regeln dorthin, wo KI genutzt wird: zu jeder Person im Unternehmen.
Nachvollziehbar statt Blackbox
Die Vorbewertung folgt einem versionierten Regelwerk mit mehr als 60 Regeln. Jede Empfehlung nennt Regel und Fundstelle.
Aktueller Rechtsstand
Das Regelwerk berücksichtigt die Änderungen durch die Verordnung (EU) 2026/1744 (Digital Omnibus on AI).
Klare Befugnisse
Antragstellende wählen ihre Prüfer nicht selbst. Bei Hochrisiko-KI und hohen Risiken entscheidet das Management.
Recht und Risiko getrennt
Die Einstufung nach der KI-Verordnung und das betriebliche Risiko werden getrennt bewertet, so wie es fachlich richtig ist.
Datensparsam
Erfasst wird, was für Prüfung, Entscheidung und Nachweis nötig ist. Die Bestätigung der KI-Richtlinie ist abschaltbar.
Für wen
Jede Rolle sieht, was als Nächstes zu tun ist.
Ein gemeinsamer Stand für alle Beteiligten. Jede Rolle sieht, was sie braucht, und nur das, wofür sie berechtigt ist.
Mitarbeitende
Sehen, was erlaubt ist. Einsatz beantragen. Nutzung oder Bedenken melden, ohne Nachteile.
Fachbereiche
KI-Vorhaben einbringen und Rückfragen beantworten. KI-Ansprechpersonen helfen in der Abteilung.
Head of AI
Treibt den KI-Einsatz voran, sieht alle Vorhaben und pflegt die Inhalte im KI-Kompass.
KI-Governance
Oft KI-Beauftragte oder KI-Office: Register pflegen, Prüfungen steuern, Tools freigeben.
Compliance und Risiko
Einordnung nach der KI-Verordnung bestätigen, Risiken bewerten und behandeln.
Datenschutz und IT-Sicherheit
Prüfbeitrag im Fall leisten, Rückfragen stellen, Risiken einschätzen.
Geschäftsführung
Bei Hochrisiko-KI und hohen Risiken entscheiden, KI-Richtlinie freigeben, Bilanz ziehen.
Revision und Audit
Anträge, Entscheidungen und Änderungen nachvollziehen, ohne in Abläufe einzugreifen.
Pilotprogramm 2027
OTRIX im eigenen Unternehmen erproben.
Im Januar und Februar 2027 setzen ausgewählte mittelständische Unternehmen OTRIX mit eigenen Tools und Anwendungsfällen ein. Wir richten Ihre Umgebung ein, begleiten den Start und werten den Nutzen gemeinsam mit Ihnen aus.
ab November 2026
Bewerben
kurze Unternehmensbeschreibung, Ansprechpartner und derzeitiger KI-Einsatz
Anfang Dezember 2026
Kennenlernen
Gespräch über Ziele, Beteiligte und erste Anwendungsfälle.
Dezember 2026
Einrichten
Wir richten Ihre eigene OTRIX-Umgebung ein und hinterlegen die grundlegenden Einstellungen.
Januar bis Februar 2027
Erproben
KI-Anwendungen erfassen, die KI-Richtlinie erstellen und freigeben, erste Vorhaben im Alltag prüfen.
Mitte bis Ende Februar 2027
Auswerten
Gemeinsam auswerten, welchen Nutzen OTRIX in Ihrem Alltag hat.
Häufige Fragen
Kurz beantwortet.
Die wichtigsten Antworten für Ihre erste Einordnung. Alles Weitere besprechen wir gern persönlich.
Ist OTRIX selbst ein KI-Assistent?
Nein. OTRIX organisiert den Einsatz von KI in Ihrem Unternehmen. Es ersetzt nicht die Tools, die Ihre Teams nutzen, sondern verbindet sie mit Regeln, Zuständigkeiten, Prüfungen und Entscheidungen.
Was bringt OTRIX gegenüber einer Excel-Liste?
Eine Liste zeigt, was es gibt. OTRIX regelt, was passiert: wer beantragt, wer prüft, wer entscheidet, welche Auflagen gelten und wann die nächste Überprüfung fällig ist. Ihre Mitarbeitenden sehen das Ergebnis im KI-Kompass.
Nutzt OTRIX für die Vorbewertung künstliche Intelligenz?
Nein. Die Vorbewertung arbeitet mit einem festen, versionierten Regelwerk. Jede Empfehlung nennt die ausgelöste Regel und die Fundstelle in der KI-Verordnung. Auch die vorgeschlagenen Risiken entstehen aus festen Regeln. Bestätigt oder korrigiert wird beides von einem Menschen.
Entscheidet OTRIX automatisch über Freigaben?
Nein. Freigaben entscheiden die dafür zuständigen Personen. Wer prüft und wer entscheidet, legen Sie einmal zentral fest. Bei Hochrisiko-KI und hohen Risiken entscheidet das Management.
Müssen wir schon alle KI-Anwendungen erfasst haben?
Nein. Sie beginnen mit dem, was Sie kennen. Im KI-Inventar erfassen Sie KI-Systeme und Anwendungsfälle mit Verantwortlichen, neue Vorhaben kommen über Anträge hinzu, und Mitarbeitende melden im KI-Kompass Tools, die sie bereits nutzen. Die KI-Landkarte zeigt, wo noch Angaben fehlen.
Hilft OTRIX bei der ISO/IEC 42001?
OTRIX bringt Bausteine mit, die auch ein KI-Managementsystem nach ISO/IEC 42001 braucht, etwa eine von der Geschäftsführung freigegebene KI-Richtlinie, das Melden von Bedenken und eine regelmäßige Managementbewertung. Ein vollständiges Managementsystem für eine Zertifizierung ist für 2027 geplant. OTRIX macht Sie nicht automatisch zertifizierungsfähig.
Was gilt für Datenschutz und Betriebsrat?
OTRIX speichert, was für Prüfung, Entscheidung und Nachweis nötig ist: Anträge, Meldungen und Bestätigungen sowie technische Protokolle für Sicherheit und Nachvollziehbarkeit. Auswertungen über Verhalten oder Leistung einzelner Mitarbeitender sind nicht vorgesehen, und die Bestätigung der KI-Richtlinie ist abschaltbar. Für Gespräche mit dem Betriebsrat erhalten Sie eine Übersicht, welche Daten OTRIX über Mitarbeitende speichert. Setzen Sie Hochrisiko-KI am Arbeitsplatz ein, enthält die Checkliste der Betreiberpflichten auch die Information der Beschäftigten und ihrer Vertretung (Art. 26 Abs. 7 KI-Verordnung).
Was kostet die Teilnahme am Pilotprogramm?
Umfang und Konditionen besprechen wir im persönlichen Gespräch, bevor der Pilot beginnt. So wissen Sie vorab genau, worauf Sie sich einlassen.
Pilotprogramm 2027
Gestalten Sie OTRIX als Pilotkunde mit.
Januar bis Februar 2027 · eigene OTRIX-Umgebung · persönliche Begleitung durch bepro. Wir freuen uns auf Ihre Bewerbung.
Geförderte Entwicklung
Gefördert von der Europäischen Union und dem Land Nordrhein-Westfalen.
Die Entwicklung von OTRIX wird im Rahmen des Go-to-Market-Gutscheins aus dem EFRE/JTF-Programm Nordrhein-Westfalen von der Europäischen Union und dem Land Nordrhein-Westfalen kofinanziert. Gefördert wird das Vorhaben „AI Trust Center“, eine Plattform für KI-Compliance und Governance, die gemeinsam mit Pilotunternehmen erprobt wird.
