Praxiswissen

KI-Funktionen in SaaS: Wer verarbeitet eigentlich die Daten?

Ein SaaS-Anbieter ergänzt KI – und damit können neue Datenflüsse, Unterauftragsverarbeiter und Abhängigkeiten entstehen. Ein belastbarer Anbietercheck prüft deshalb das Feature als Delta zum bereits freigegebenen Dienst.

Schulungsnachweise aufbewahren: Warum eine Frist für alles nicht funktioniert

Für Schulungsnachweise gibt es keine universelle Aufbewahrungsfrist. Je nach Pflicht gelten feste Jahre, Gültigkeits- oder Vertragsdauern – oder eine begründete betriebliche Regel.

Deutschland-Hosting im Anbietercheck: Welche Zusagen belastbar sind

Ein deutscher Serverstandort kann eine sinnvolle Vorgabe sein. Belastbar wird die Zusage erst, wenn Scope, Zugriffe, Unterauftragsverarbeiter und Sicherheitsnachweise getrennt geprüft werden.

Pflichttraining überfällig: Warum Reminder allein kein Compliance-Prozess sind

Ein Pflichttraining wird nicht dadurch steuerbar, dass das System immer mehr Erinnerungen verschickt. Vor der Frist geht es um Aufmerksamkeit; nach der Frist um Ursachen, Ausnahmen, Verantwortlichkeit und eine definierte Eskalation.

Mandantenfähigkeit im LMS: Wann Gruppen nicht mehr reichen

Mandantenfähigkeit ist kein eindeutiges Architekturmerkmal. Für eine LMS-Auswahl muss zuerst feststehen, welche Daten, Rechte und Prozesse zwischen Organisationen getrennt bleiben sollen – erst dann lässt sich entscheiden, ob Gruppen, logische Tenants oder eine dedizierte Umgebung passen.

SOPs digital verwalten: Warum Ablage allein noch keine Dokumentenlenkung ist

Eine SOP ist nicht schon deshalb gelenkt, weil sie als PDF oder Word-Datei zentral abgelegt ist. Verlässlich wird sie erst durch einen kontrollierten Lebenszyklus: klare Verantwortung, Prüfung und Freigabe, eindeutigen Gültigkeitsstatus, geregelte Änderungen und nachvollziehbare Ablösung beziehungsweise Archivierung.

Shadow AI im Unternehmen: Warum ein Verbot allein nicht reicht

Shadow AI ist selten nur ein Regelverstoß. Sie zeigt, dass Beschäftigte reale Arbeitsprobleme mit KI lösen, bevor Governance und freigegebene Werkzeuge nachziehen. Ein pauschales Verbot kann Grenzen setzen – steuern kann es die Nutzung allein nicht.

Wiki, DMS oder Wissensmanagementsystem: Was löst welches Problem?

Wiki, DMS und Wissensmanagementsysteme teilen heute viele Funktionen. Die bessere Auswahl beginnt deshalb nicht mit der Featureliste, sondern mit der Frage, welches Arbeitsobjekt, welche Governance und welcher Lebenszyklus beherrscht werden müssen.

KI-Agenten handeln. Aber wessen Rechte benutzen sie?

Sobald KI-Agenten selbst Tools nutzen und Systeme verändern, reicht ein gültiger Login nicht mehr als Erklärung. Unternehmen müssen unterscheiden können, wer Autorität delegiert hat, welcher Agent handelte und wofür die Rechte galten.

Pflichtschulungen jährlich wiederholen: Was wirklich vorgeschrieben ist

„Jährlich wiederholen“ ist ein verbreiteter Standard für Pflichttraining. Rechtlich ist das aber keine Universalregel: Je nach Pflicht gelten Jahresfristen, Halbjahresfristen oder anlass- und kontextbezogene Trigger.

NIS2-Schulung: Was für Geschäftsleitung und Belegschaft gilt

NIS2 macht Schulung zur Führungs- und Organisationsaufgabe. § 38 BSIG verpflichtet die Geschäftsleitung persönlich, während § 30 Schulung und Awareness in das Cyberrisikomanagement einordnet.

ISO 27001 bei Softwareanbietern: Was das Zertifikat aussagt und was nicht

ISO/IEC 27001 ist ein belastbarer Nachweis für systematisches Informationssicherheitsmanagement. Ob das Zertifikat für den eingekauften Softwaredienst wirklich trägt, entscheidet aber sein Geltungsbereich.