IIO erfüllt ~92% der ISO 42001 Anforderungen by Design. Belege:

1. iio/specs/governance/ISO-42001-COMPLIANCE-MAP.md

• Vollständiges Mapping aller 7 Klauseln + Annex A Controls

1. iio/specs/transformation/evidence/

• 100+ Evidence-Files aus tatsächlichen Operationen

1. iio/specs/governance/hitl-gate-definitions.yaml

• Nachweisliche Human Oversight (A.5.1)

1. iio/specs/governance/TRAINING-CADENCE-POLICY.md

• Kompetenz-Nachweis Programm (Clause 7.2/7.3)

Antwort an Kunden: "IIO erfüllt ~92% von ISO 42001 nachweisbar.

Wir können Audit-Artefakte bereitstellen. Zertifizierung möglich."

iio_artifacts:

• "iio/specs/governance/ISO-42001-COMPLIANCE-MAP.md"
• "iio/specs/transformation/evidence/"

• type: takeaway

id: M1-T1

title: "ISO 42001 auf einen Blick"

points:

• "📊 ISO 42001 = wie eine Organisation AI verantwortungsvoll managt"
• "📚 7 Klauseln — IIO erfüllt ~92% davon by Design"
• "✅ Klausel 7.2/7.3: Kompetenz + Awareness — dieser Kurs ist der Nachweis"
• "🔒 Nicht Pflicht — aber starker Nachweis für Enterprise-Kunden"
• "🤝 ISO 42001 + EU AI Act ergänzen sich — keiner ersetzt den anderen"

# ═══════════════════════════════════════════════════════════════

# MODUL 2: EU AI Act

# ═══════════════════════════════════════════════════════════════

• type: video

id: M2-V1

title: "EU AI Act — Alles was du wissen musst (IBM)"

video_ref: VID-MOT-001

purpose: >

IBM erklärt den EU AI Act in 12 Minuten klar und praxisnah.

Danach wird der Modultext zur Vertiefung viel leichter.

• type: reading

id: M2-R1

title: "EU AI Act"

file: "02-eu-ai-act.md"

duration_min: 60

• type: quiz

id: M2-Q1

title: "Kurzer Check: EU AI Act"

questions:

• q: "Ein Unternehmen setzt AI für automatisierte Bewerbungsauswahl ein. Welche Klasse?"

options:

a: "Minimales Risiko — internes Tool"

b: "Hohes Risiko — Annex III: Beschäftigung"

c: "Verboten — AI darf nicht bei Einstellung eingesetzt werden"

correct: b

hint: "Annex III listet explizit: Einstellung, Beförderung, Kündigung = Hochrisiko."

• q: "Ab wann ist AI Literacy für alle Beteiligten Pflicht (EU AI Act Art. 4)?"

options:

a: "Sofort — seit Inkrafttreten August 2024"

b: "Februar 2025"

c: "August 2026 (vollständige Anwendung)"

correct: c

hint: "Art. 4 AI Literacy gilt seit 2. Februar 2025 — nicht erst ab August 2026. August 2026 ist der Start der behördlichen Aufsicht, nicht der Pflicht."

• q: "IIO als Systemhaus (Intelego) ist im EU AI Act welche Rolle?"

options:

a: "Deployer — setzt AI ein"

b: "Provider — entwickelt und vermarktet AI-Systeme für andere"

c: "Affected Person — von AI-Entscheidungen betroffen"

correct: b

hint: "Intelego entwickelt IIO-basierte Dienste für Tenants = Provider."

• type: case

id: M2-C1

title: "Praxisfall: Der Tenant mit der neuen Idee"

scenario: >

Ein Tenant (Netplans) möchte AI einsetzen um Kreditanträge

von Geschäftskunden automatisch vorzusortieren.

Er fragt dich: 'Können wir das einfach deployen?'

question: "Was ist deine Antwort und was passiert als nächstes?"

answer: |

Nicht einfach deployen. Das ist ein Hochrisiko-System (EU AI Act Annex III: Grundversorgung — Kredit).

Korrekte Sequenz:

1. Risikoklassifizierung dokumentieren (Annex III bestätigen)
2. AI Impact Assessment (AIA) durchführen
3. Art. 9-15 Pflichten implementieren bevor Deployment:

• Risikomanagementsystem
• Datenqualitäts-Check
• Technische Dokumentation
• Logging
• Human Oversight Mechanismus

1. HITL-Gate für dieses Deployment anlegen
2. Erst nach Gate-Approval deployen

iio_artifacts:

• "iio/specs/governance/EU-AI-ACT-COMPLIANCE-MAP.md"
• "iio/specs/governance/AI-BIAS-FAIRNESS-FRAMEWORK.md"
• "iio/specs/governance/hitl-gate-definitions.yaml"

• type: takeaway

id: M2-T1

title: "EU AI Act auf einen Blick"

points:

• "⚠️ 4 Risikoklassen: Verboten → Hoch → Begrenzt → Minimal"
• "📚 Art. 4 AI Literacy: Pflicht seit 2. Februar 2025 — Durchsetzung ab August 2026"
• "🏢 Beschäftigung, Kredit, Bildung, Strafverfolgung = immer Hochrisiko"
• "🔍 Hochrisiko braucht: Risikomanagement + Logging + Human Oversight"
• "🚫 Verboten ab Feb 2025: Social Scoring, Emotion Recognition am Arbeitsplatz"

# ═══════════════════════════════════════════════════════════════

# MODUL 3: GDPR & PII

# ═══════════════════════════════════════════════════════════════

• type: video

id: M3-V1

title: "GDPR in 7 Minuten erklärt"

video_ref: VID-GOV-001

purpose: >

Fireship erklärt GDPR klar und zugänglich.

Ideal vor dem Modultext — senkt die Einstiegshürde erheblich.

• type: reading

id: M3-R1

title: "GDPR & PII-Handling in IIO"

file: "03-gdpr-pii.md"

duration_min: 50

• type: quiz

id: M3-Q1

title: "Kurzer Check: GDPR & PII"

questions:

• q: "Ein Agent soll eine Analyse erstellen. Dafür wäre Kundendaten nützlich. Was tust du?"

options:

a: "Kundendaten in den Prompt einbetten — der Agent braucht den Kontext"

b: "Prüfen ob PII wirklich notwendig ist. Wenn nein: ohne PII arbeiten."

c: "Kundendaten anonymisieren und dann verwenden"

correct: b

hint: "Datensparsamkeit: Zuerst prüfen ob PII überhaupt nötig ist. Meistens nicht."

• q: "Gate-Approval-Records müssen wie lange aufbewahrt werden?"

options:

a: "1 Jahr"

b: "3 Jahre"

c: "7 Jahre"

correct: c

hint: "7 Jahre: Handelsrechtliche Aufbewahrungspflicht (HGB §257). Nicht 1 oder 3."

• type: takeaway

id: M3-T1

title: "GDPR & PII auf einen Blick"

points:

• "🔐 PII Klassen 1-4: von direkt identifizierend bis anonymisiert"
• "⚖️ 6 GDPR-Grundsätze: Rechtmäßigkeit, Zweckbindung, Sparsamkeit, Richtigkeit, Speicherbegrenzung, Sicherheit"
• "❌ Agenten dürfen keine PII in Prompts einbetten ohne Notwendigkeit"
• "⏱ Gate-Records: 7 Jahre (HGB). Session-Evidence: 3 Jahre."
• "🚨 PII-Breach: Sofort stoppen + Workspace Owner informieren (1h) + ggf. Behörde (72h)"

# ═══════════════════════════════════════════════════════════════

# MODUL 4: AI Bias & Fairness

# ═══════════════════════════════════════════════════════════════

• type: reading

id: M4-R1

title: "AI Bias & Fairness"

file: "04-bias-fairness.md"

duration_min: 50

• type: quiz

id: M4-Q1

title: "Kurzer Check: Bias & Fairness"

questions:

• q: "Ein Agent empfiehlt immer denselben Lösungstyp. Welcher Bias?"

options:

a: "Datenbias"

b: "Bestätigungsbias"

c: "Auswahlbias"

correct: b

hint: "Bestätigungsbias = Agent verstärkt bekannte Muster ohne Alternativen zu prüfen."

• q: "Was tust du wenn du vermutest dass Tenant A schnellere Gate-Approvals bekommt als Tenant B?"

options:

a: "Nichts — das variiert natürlich"

b: "Als Bias-Concern in drift-report.yaml dokumentieren + Risk Owner informieren"

c: "Gate-Prozess für Tenant A verlangsamen"

correct: b

hint: "Immer dokumentieren + Risk Owner. Nicht selbst 'korrigieren' ohne Analyse."

• type: case

id: M4-C1

title: "Praxisfall: Der parteiische Algorithmus"

scenario: >

Ein Tenant nutzt ein AI-System zur Dokumenten-Klassifizierung.

Eine Mitarbeiterin bemerkt: Das System lehnt Dokumente aus

bestimmten Regionen häufiger als 'unvollständig' ab,

obwohl die Dokumente dieselbe Qualität haben.

question: "Was ist das — und was muss jetzt passieren?"

answer: |

Das ist möglicherweise Datenbias (historische Bias in Trainingsdaten)

oder Algorithmusbias. Muss sofort untersucht werden.

Schritte:

1. Sofort dokumentieren in drift-report.yaml (type: bias-concern, severity: high)
2. Risk Owner einbeziehen
3. AI Impact Assessment (AIA) für dieses System auslösen
4. Deployment stoppen bis Ursache geklärt (F-5 Non-Discrimination verletzt)
5. Fallweise Entscheidungen manuell prüfen bis System korrigiert ist

Warum sofort stoppen?

F-5 Non-Discrimination ist ein Fairness-Kriterium — Verletzung ist nicht

'irgendwann beheben', sondern sofort eskalationspflichtig.

iio_artifacts:

• "iio/specs/governance/AI-BIAS-FAIRNESS-FRAMEWORK.md"
• "iio/specs/agents/drift-report.yaml"

• type: takeaway

id: M4-T1

title: "AI Bias & Fairness auf einen Blick"

points:

• "🎯 3 Bias-Kategorien: Datenbias, Algorithmusbias, Interaktionsbias"
• "⚖️ 6 Fairness-Kriterien (F-1 bis F-6): Prozedural, Transparenz, Accountability, Proportionalität, Non-Diskriminierung, Anfechtbarkeit"
• "📋 AI Impact Assessment (AIA) vor jedem neuen AI-Deployment"
• "🚨 F-5 Non-Discrimination verletzt → sofort eskalieren, nicht 'irgendwann'"
• "📊 Tenant-Outcome-Verteilung quartalsweise prüfen (BF-003 Metrik)"

• type: case

id: M4-C2

title: "Praxisfall: Der verdächtige Chatbot"

scenario: >

Ein Tenant setzt einen Chatbot ein der Kundensupportanfragen beantwortet.

Eine Kundenberaterin bemerkt: Der Bot antwortet auf Fragen von Frauen

mit anderen Empfehlungen als auf identische Fragen von Männern —

erkennbar an Namen und Anredeformen im Chat-Verlauf.

question: "Was ist das — EU AI Act relevant? Und was muss jetzt passieren?"

answer: |

Das ist Algorithmusbias (Rahmungsbias / historischer Bias in Trainingsdaten).

Möglicherweise auch ein Verstoß gegen Art. 5 EU AI Act (Diskriminierung).

Korrekte Sequenz:

1. Chatbot sofort offline nehmen (F-5 Non-Discrimination verletzt)
2. Vorfall dokumentieren: drift-report.yaml + incident-log.yaml
3. Risk Owner + Workspace Owner informieren
4. AI Impact Assessment für diesen Chatbot auslösen
5. Root Cause Analyse: Trainingsdaten? Prompt-Engineering? Modell?
6. Vor Reaktivierung: Bias-Test mit strukturierten Testfällen
7. EU AI Act: Falls Hochrisiko (Kundendienst-Entscheidungen) → Compliance-Check

Warum sofort offline?

Aktive Diskriminierung ist nicht 'irgendwann beheben' —

jede weitere Nutzung vertieft den Schaden und die Haftung.

wrong_approaches:

• approach: "Nichts tun und beobachten ob es wirklich systematisch ist"

why_wrong: "Aktive Diskriminierung muss sofort gestoppt werden. Beobachten = weiterer Schaden."

• approach: "Nur intern dokumentieren und extern nichts sagen"

why_wrong: "Je nach Schwere: GDPR Art. 34 und EU AI Act können Meldepflichten auslösen."

• type: reflection

id: M4-RF1

title: "Abschluss-Reflexion: Dein AI-Governance-Commitment"

question: "Was wirst du nach diesem Kurs in deiner täglichen Arbeit konkret anders machen?"

prompt: "Ein klares Commitment — auch kleine Schritte zählen."

examples:

• "Ich werde vor jedem neuen AI-Einsatz die Risikoklasse prüfen"
• "Ich werde Bias-Bedenken sofort dokumentieren statt sie im Kopf zu behalten"
• "Ich werde Gate-Approvals erst nach Prüfung der Kriterien erteilen"

course_completion:

message: >

Alle 4 Module abgeschlossen. 🎓

Dieses Assessment wird jährlich erneuert (EU AI Act Art. 4).

Jetzt das Assessment (25 Fragen, Mindest 80%) starten.

next_step: "assessment.html"

cta: "Assessment starten →"