Prompting ist nicht tot: Es ist Teil regulierter KI-Workflows geworden
Warum Unternehmen proprietäre KI-Workflows nicht nur nach Outputqualität, sondern auch nach Dokumentation, Prüfbarkeit und Verantwortlichkeitsstruktur bewerten sollten
Der Aufruhr um „Prompting ist tot“
Der Satz „Prompting ist tot“ wird derzeit häufig verwendet, um den Wandel von einzelnen Chat-Eingaben hin zu automatisierten KI-Workflows zu beschreiben.
Prompting verschwindet nicht aus der KI-Anwendung. Es verlagert sich in Systemanweisungen, Rollenlogiken, Guardrails, Tool-Aufrufe, Evaluationsschritte und Freigabeprozesse. Für Unternehmen ist diese Entwicklung relevant, weil genau diese Elemente bestimmen, wie ein KI-Workflow Daten verarbeitet, Inhalte erzeugt, Risiken begrenzt und menschliche Kontrolle einbindet.
Als akkreditierte Journalistin und akademisch ausgebildete AI Prompterin betrachte ich diese Entwicklung aus zwei Perspektiven: der journalistischen Frage nach Verantwortung und Nachvollziehbarkeit sowie der fachlichen Frage nach Steuerbarkeit und Qualitätssicherung von KI-Systemen.
Daraus ergibt sich eine zentrale Herausforderung: Unternehmen nutzen zunehmend KI-Workflows, deren Ergebnisse sie nach aussen verantworten, während wesentliche Teile der technischen und redaktionellen Steuerung beim Anbieter verbleiben. Dort entsteht eine Dokumentations- und Prüflücke, die im Datenschutz, in der Produkthaftung und im Rahmen des europäischen AI Act relevant werden kann.
Was genau wird als „proprietäres IP“ verkauft?
Die Bezeichnung „proprietäres IP“ suggeriert einen technischen Schutz, deckt aber in Wahrheit die kritischen ethischen und rechtlichen Bausteine einer KI‑Lösung ab.
Der Markt für fertige KI-Workflows
Fertige KI-Automation-Workflows werden häufig als effiziente Alternative zum eigenen Aufbau von KI-Kompetenz angeboten. Sie erstellen Content, strukturieren Informationen, planen Social-Media-Beiträge, bereiten Newsletter vor oder unterstützen interne Prozesse.
Für Unternehmen kann ein solcher Ansatz sinnvoll sein. Er reduziert Implementierungsaufwand und ermöglicht einen schnellen Einstieg in KI-gestützte Arbeitsabläufe.
Gleichzeitig enthalten diese Workflows proprietäre Bestandteile, die für Käufer nur eingeschränkt einsehbar sind. Dazu gehören Systemprompts, Rollen- und Verhaltensanweisungen, Guardrails, Tool-Calling-Mechanismen, Datenflüsse, Logging-Regeln und Freigabestrukturen.
Diese Elemente bestimmen, wie der Workflow arbeitet, welche Grenzen er einhält, welche Inhalte er erzeugt und wann menschliche Prüfung vorgesehen ist.
Proprietär ist nicht automatisch problematisch
Die Einstufung als proprietäres Know-how ist zunächst legitim. Anbieter haben ein berechtigtes Interesse daran, ihre Entwicklungsarbeit, Methodik und interne Architektur zu schützen.
Problematisch wird proprietäre Struktur, wo Compliance-relevante Funktionen nicht ausreichend dokumentiert sind. Das betrifft insbesondere Workflows, die personenbezogene Daten verarbeiten, externe Kommunikation erzeugen, regulierte Themen berühren oder Entscheidungen vorbereiten.
In solchen Fällen reicht es für Unternehmen nicht aus, nur den Output zu bewerten. Sie benötigen Informationen darüber, wie der Workflow Risiken begrenzt, Daten verarbeitet, Fehler protokolliert und menschliche Kontrolle ermöglicht.
Es geht daher nicht um die vollständige Offenlegung jedes einzelnen Prompts. Entscheidend ist, ob ein Unternehmen über ausreichend Dokumentation verfügt, um seine eigenen Prüf-, Nachweis- und Sorgfaltspflichten erfüllen zu können.
Die Risikozone: fehlende Nachweisfähigkeit
Im Zentrum steht weniger die Frage, ob ein KI-Workflow proprietär ist. Entscheidend ist, ob seine Funktionsweise in den relevanten Punkten prüfbar bleibt.
Ein Unternehmen, das KI-generierte Inhalte veröffentlicht oder KI-gestützte Prozesse einsetzt, bleibt in vielen Konstellationen nach aussen verantwortlich. Es muss erklären können, welche Daten verarbeitet wurden, welche Kontrollmechanismen bestanden, welche Risiken geprüft wurden und wie Fehler nachvollzogen werden können.
Fehlen diese Informationen, entsteht eine Nachweislücke.
Diese Lücke kann besonders relevant werden bei:
Datenschutzprüfungen,
Beschwerden betroffener Personen,
falschen oder irreführenden Veröffentlichungen,
regulierten Aussagen im Medizin-, Finanz- oder Rechtsumfeld,
automatisierten Entscheidungen,
internen Audits und
Haftungsfragen nach einem Schaden.
Der zentrale Punkt lautet daher:
Proprietäre KI-Workflows sind nicht per se ein Problem. Problematisch sind sie, wenn Unternehmen für Ergebnisse verantwortlich bleiben, ohne die dafür notwendige Dokumentation und Prüfbarkeit zu erhalten.
Der zurückgezogene Entwurf einer AI Liability Directive macht deutlich, welches Problem der europäische Gesetzgeber bereits erkannt hatte: Bei KI-bedingten Schäden fehlt Betroffenen und Gerichten häufig der Zugang zu den technischen Informationen, die für eine Ursachenklärung notwendig sind.
Der Entwurf sah deshalb Erleichterungen bei der Beweisführung und Möglichkeiten zur Offenlegung relevanter Informationen vor. Auch ohne Inkrafttreten dieser Richtlinie bleibt der praktische Befund bestehen: KI-Workflows müssen so dokumentiert sein, dass Verantwortlichkeiten, Fehlerquellen und Kontrollmassnahmen im Streitfall nachvollzogen werden können.
Warum fehlende Prüfbarkeit für Käufer relevant ist
Für Käufer proprietärer KI-Workflows entsteht das Risiko nicht allein durch die Nutzung externer Systeme. Entscheidend ist, ob die relevanten Steuerungs-, Kontroll- und Dokumentationselemente nachvollziehbar bleiben.
Besonders kritisch wird dies in vier Bereichen:
DSGVO-Rechenschaftspflicht
Unternehmen müssen nachweisen können, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck dies geschieht und welche technischen und organisatorischen Schutzmaßnahmen greifen. Fehlen belastbare Informationen zu Datenflüssen, Speicherorten, Rollenlogik und Schutzmechanismen, kann die Erfüllung dieser Nachweispflichten erschwert werden.
AI Act
Bei KI-Systemen mit erhöhtem oder hohem Risiko können Anforderungen an Risikomanagement, Dokumentation, Protokollierung, Transparenz und menschliche Aufsicht relevant werden. Ein Workflow, dessen Steuerungslogik oder Freigabeprozesse nicht ausreichend dokumentiert sind, kann hier zum Compliance-Risiko werden.
Produkthaftung und Fehlerzuordnung
Software und KI-nahe Systeme rücken durch die neue europäische Produkthaftungslogik stärker in den Fokus. Bei Schäden wird die Frage wichtiger, ob ein Fehler auf den Anbieter, die Integration, den Betrieb, fehlerhafte Daten, unzureichende Kontrolle oder eine falsche Anwendung zurückzuführen ist. Ohne Dokumentation lässt sich diese Zuordnung nur schwer treffen.
Deliktsrechtliche Haftung
Auch ausserhalb spezieller KI-Regulierung können falsche, irreführende oder schädigende Inhalte haftungsrechtlich relevant werden. Das betrifft etwa medizinische Aussagen, Finanzinformationen, Produktversprechen oder rufschädigende Inhalte. Entscheidend ist dann unter anderem, ob das Unternehmen angemessene Prüf- und Kontrollmaßnahmen eingerichtet hatte.
Ein praktisches Beispiel zeigt die Problematik:
Ein Unternehmen nutzt einen KI-Workflow zur automatisierten Erstellung von Newsletter-Texten. Der Workflow formuliert eine unzutreffende Aussage zur Wirksamkeit eines Medikaments oder eine irreführende Finanzinformation. Der Text wird veröffentlicht oder versendet. Nach aussen tritt nicht der Anbieter des Workflows auf, sondern das Unternehmen selbst.
In einem solchen Fall reicht die Frage „Hat die KI den Fehler gemacht?“ nicht aus. Relevanter sind die Anschlussfragen: Welche Daten wurden verwendet? Welche fachlichen Grenzen waren definiert? Gab es eine menschliche Freigabe? Wurden riskante Themen erkannt? Existieren Logs? Wurde der Workflow vor Einsatz getestet? Wer war für Konfiguration, Betrieb und Kontrolle verantwortlich?
Genau hier entscheidet sich, ob ein Unternehmen seine Sorgfaltspflichten belegen kann.
Was verantwortungsvolle Unternehmen bereits tun
Transparenz-Forderungen
Haftungsverteilung
Prompt-Know-How
Dokumentation und Prüfrechte vereinbaren
Unternehmen sollten bereits vor dem Einsatz klären, welche Informationen sie vom Anbieter erhalten. Dazu gehören technische Dokumentation, Beschreibung der Datenflüsse, eingesetzte Modelle, Rollenlogik, Guardrails, Logging-Konzept, Freigabeprozesse und bekannte Grenzen des Systems.
Praxisbeispiel:
Vertragsklauseln zur Bereitstellung auditierbarer Dokumentation, einschliesslich Änderungsprotokollen und Informationen zu wesentlichen Systemanpassungen.
Verantwortlichkeiten vertraglich regeln
Bei KI-Workflows reicht ein allgemeiner Leistungsumfang nicht aus. Es sollte klar geregelt sein, wer für Konfiguration, Datenverarbeitung, Modellanbindung, Qualitätssicherung, Freigabe, Monitoring, Fehlerbehebung und Incident-Kommunikation verantwortlich ist.
Praxisbeispiel:
Separate Regelungen zu SLA, Haftung, Regress, Datenschutzrollen, Supportpflichten und Eskalationsprozessen.
Internes Prompt- und KI-Know-how aufbauen
Unternehmen sollten zentrale KI-Kompetenzen nicht vollständig auslagern. Auch wenn ein Workflow extern entwickelt wird, müssen interne Verantwortliche verstehen, welche Rolle Prompts, Guardrails, Policies, Datenquellen und Freigabeprozesse spielen.
Praxisbeispiel:
Schulungen zu Prompt Design, Policy-Gestaltung, Risikoklassifizierung, Output-Prüfung und dokumentierter Freigabe.
Prompting ist nicht tot: Die Verantwortung wird konkreter
Der Satz „Prompting ist tot“ verdeckt einen wesentlichen Punkt: In modernen KI-Workflows verschwindet Prompting nicht, sondern wird Teil der technischen und organisatorischen Architektur. Systemanweisungen, Rollenlogiken, Guardrails, Tool-Aufrufe und Freigabeprozesse bestimmen mit, wie ein Workflow arbeitet und welche Risiken begrenzt werden.
Für Unternehmen im DACH-Raum bedeutet das: Der Einkauf eines KI-Workflows ist nicht nur eine technische oder wirtschaftliche Entscheidung. Er berührt auch Fragen der Dokumentation, Nachvollziehbarkeit, Datenschutz-Compliance, Produkthaftung und zivilrechtlichen Verantwortung.
Daraus ergeben sich vier praktische Konsequenzen:
Keine KI-Workflows ohne Prüfung
Unternehmen sollten vor dem Einsatz klären, welche Dokumentation, Logs und Prüfmöglichkeiten verfügbar sind.
Vertragliche Verantwortlichkeiten festlegen
Es muss nachvollziehbar geregelt sein, wer welche Pflichten übernimmt: Anbieter, Integrator, Betreiber oder interner Fachbereich.
Eigenes KI-Know-how aufbauen
Prompt Design, Guardrails, Policy-Gestaltung und Output-Kontrolle sind keine externe Aufgabe. Sie gehören zur internen KI-Governance.
Rechtliche Entwicklungen beobachten
Auch nach Rücknahme des Entwurfs einer AI Liability Directive bleibt der Grundgedanke relevant: Bei KI-Systemen gewinnen Nachvollziehbarkeit, Dokumentation und Zugang zu technischen Informationen an Bedeutung.
Wer KI-Workflows einsetzt, sollte daher nicht nur auf Effizienz und Outputqualität achten. Entscheidend ist, ob der Einsatz im Streitfall erklärbar, prüfbar und organisatorisch verantwortbar bleibt.
Prompting ist nicht tot. Es ist zu einem Bestandteil professioneller KI-Governance geworden.
Rechtsquellen (Auswahl)
– Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO)
– Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 über künstliche Intelligenz (Artificial Intelligence Act, „AI Act“)
– Richtlinie (EU) 2024/2853 des Europäischen Parlaments und des Rates vom 13. November 2024 über die Haftung für fehlerhafte Produkte (Produkthaftungsrichtlinie). Die Richtlinie trat am 8. Dezember 2024 in Kraft. Die EU-Mitgliedstaaten haben nun bis zum 9. Dezember 2026 Zeit, die Bestimmungen in nationales Recht umzusetzen. Die neuen Regeln gelten für Produkte, die nach diesem Datum in Verkehr gebracht oder in Betrieb genommen werden.
– Vorschlag für eine Richtlinie über KI-Haftung, COM(2022)496 final, 28.9.2022 (AI Liability Directive, zurückgezogen)
– Nationale Haftungsvorschriften, z.B. Art. 41 OR (CH), § 823 BGB (DE), §§ 1295 ff ABGB (AT)
Hintergrund & Analyse (Auswahl)
– Berichte zur Rücknahme der AI Liability Directive (u.a. IAPP, Euronews, Reuters)
– Oxford Business Law Blog, AI Liability after the AILD withdrawal: why EU law still matters (2025)
– Latham & Watkins, Neue EU-Produkthaftungsrichtlinie tritt in Kraft (2024)
– AKEuropa, AI Liability Directive – Evaluation of the Proposal (2023)
Über die Autorin
Manuela Frenzel arbeitet an der Schnittstelle von Journalismus, AI-Prompting und verantwortbarer lokaler KI. Als akkreditierte Journalistin und akademisch ausgebildete AI Prompterin analysiert sie, wie KI-Systeme Kommunikation, Arbeitsprozesse und Verantwortlichkeiten in Unternehmen verändern. Ihr Fokus liegt auf KI-Einordnung, lokalen KI-Anwendungen, Prompt-Architekturen und praxisnaher KI-Governance.
Hinweis
Dieser Beitrag dient der journalistischen und fachlichen Einordnung. Er ersetzt keine Rechtsberatung. Unternehmen sollten konkrete KI-Workflows, Datenschutzfragen und Haftungsrisiken individuell durch qualifizierte Rechtsberatung, Datenschutzverantwortliche und technische Fachstellen prüfen lassen.