LernHive KI-Compliance

Was dieses Plugin macht

Das KI-Compliance-Modul gibt den für KI-Governance verantwortlichen Personen einen zentralen Ort innerhalb von LernHive, um ihre Pflichten aus EU AI Act und DSGVO als Betreiber (Deployer) von KI-Systemen abzuarbeiten. Es bietet eine organisationsspezifische Compliance-Checkliste, eine geführte Risikobewertung pro Use Case mit eindeutigem Verdikt, eine Registry der konfigurierten KI-Anbieter und eine Live-Statusansicht zu Audit-Log-Aufbewahrung und Manipulationssicherheit. Alles, was das Modul anzeigt, ist eine Arbeitshilfe — keine Rechtsberatung.

Für wen ist es

Lernende interagieren im aktuellen Release nicht mit diesem Plugin. Die Art.-50-Transparenzhinweise, die später für Lernende sichtbar sein werden, sind im Code vorbereitet, werden aber auf Seiten für Lernende noch nicht angezeigt (siehe Grenzen).

Das Modul hat keinen Eintrag in der LernHive-Hauptnavigation. Öffnen Sie es über die KI-Compliance-Kachel der LernHive-KI-Suite (falls installiert) oder direkt unter /local/lernhive_compliance/index.php.

Kernkonzepte

Checklisten-Blöcke A–E

Die operative Checkliste ist in fünf Blöcke gegliedert: Rollenklärung (A), Verbotsprüfung (B), Risikoklassifizierung (C), Hochrisiko-Pflichten (D) und Querschnittspflichten (E). Welche Items angelegt werden, hängt vom konfigurierten Organisationstyp ab — zum Beispiel erscheinen FRIA-Items für Schulen und öffentliche Stellen, Items zur Beschäftigteninformation für Unternehmen.

Use Case

Eine Risikobewertung wird immer für einen konkreten Use Case erfasst: eine Kombination aus einer Plugin-Komponente (zum Beispiel mod_aichat) und einer Strategie-Matrix-Eintrags-ID (zum Beispiel B2). Die Bewertungsseite wird daher üblicherweise über einen Deep Link erreicht, der beides mitführt.

Risiko-Verdikt

Die geführte Bewertung ordnet einen Use Case in eine von fünf Kategorien ein: Verboten, Hochrisiko, Begrenztes Risiko, Minimales Risiko oder Nicht eindeutig. Das Verdikt ist regelbasiert und reproduzierbar — die Antworten werden mit der Bewertung gespeichert, und ein Termin zur Neubewertung wird automatisch 12 Monate im Voraus gesetzt.

Pre-Flight

Eine kurze Art.-5-Prüfung mit drei Fragen (Emotionserkennung, manipulative KI, Social Scoring). Ein „Ja" gewinnt immer: Der Use Case wird als Verboten eingestuft, unabhängig von allen anderen Antworten.

Anbieter-Registry

Eine Zeile pro konfiguriertem KI-Anbieter-Plugin mit Region, Status des Auftragsverarbeitungsvertrags (AVV), CE-Kennzeichnung und dem zuletzt im Audit-Log beobachteten Modell. Wenn ein Anbieter beginnt, mit einem anderen Modell zu antworten, werden betroffene Hochrisiko-Bewertungen mit Neubewertung fällig markiert.

Aufbewahrung und Hash-Kette

Die Aufbewahrung des Audit-Logs wird vom Moodle-Datenschutz-Subsystem (tool_dataprivacy-Purposes) durchgesetzt, nicht von diesem Plugin — das KI-Compliance-Modul zeigt nur den aktuellen Zustand an und warnt, wenn die Aufbewahrung unter die empfohlene Mindestdauer fällt. Unabhängig davon liefert eine HMAC-Hash-Kette über das KI-Audit-Register die Manipulationssicherheit.

Abläufe nach Rolle

Plattform-Administration: mit der KI-Compliance-Übersicht beginnen

1. Öffnen Sie die KI-Compliance-Übersicht (/local/lernhive_compliance/index.php).
2. Jede Säulen-Karte — Checkliste, Risikobewertung, Transparenz-Hinweise — zeigt ihren Zustand (zum Beispiel Verfügbar, Nicht begonnen, Konfiguriert) und einen Zählwert; Öffnen führt zum Werkzeug.
3. Unter Operative Werkzeuge öffnen Sie die KI-Anbieter-Registry und den Audit-Status. Site-Administratoren sehen dort zusätzlich Einstellungen für LernHive KI-Compliance.

Die Übersicht meldet Konfigurationsstand und Zählwerte, keine Rechtskonformität.

Plattform-Administration: die KI-Compliance-Checkliste abarbeiten

1. Öffnen Sie Checkliste aus der Übersicht (Seitentitel KI-Compliance-Checkliste).
2. Beim allerersten Besuch wird die Checkliste für Ihren Organisationstyp initialisiert — ein Hinweis meldet Checkliste initialisiert — {n} neue Items angelegt.
3. Nutzen Sie die Block-Filter-Pillen oben (Alle Blöcke oder ein einzelner Block wie D — Hochrisiko-Pflichten), um die Liste einzugrenzen.
4. Prüfen Sie die Tabelle mit den Spalten Block, Item, Status, Fällig am, Zuständig und Nachweis. Der Bericht bietet zusätzlich Filter auf Block, Status, zuständige Person und Fälligkeitsdatum und kann heruntergeladen werden.
5. Klicken Sie bei einem Item auf Status bearbeiten. Der Dialog Checklisten-Item aktualisieren öffnet sich.
6. Setzen Sie den Status auf Offen, In Arbeit, Erledigt oder Nicht anwendbar, ergänzen Sie optional einen Nachweis (Link, Dateiverweis oder kurze Notiz) und speichern Sie. Die Zeile wird aktualisiert, und Sie werden als zuständige Person eingetragen, falls das Item noch keine hatte.

Plattform-Administration: eine geführte Risikobewertung durchführen

1. Öffnen Sie die Bewertung für einen konkreten Use Case — normalerweise über einen Deep Link (zum Beispiel aus dem Strategy Helper) oder manuell: /local/lernhive_compliance/risk.php?component=mod_aichat&usecaseid=B2. Die Seite Geführte Risikobewertung öffnet sich; die Unterzeile nennt Use Case und Komponente.
2. Lesen Sie den Disclaimer — die Bewertung ist eine Prüfhilfe, keine Rechtsberatung.
3. Beantworten Sie Abschnitt 1 — Art.-5-Pre-Flight (verbotene Praktiken): drei Ja/Nein-Fragen zu Emotionserkennung, manipulativen Techniken und Social Scoring.
4. Beantworten Sie Abschnitt 2 — Risikobewertungs-Fragebogen: Ja/Nein-Fragen zu Lernendenbewertung, summativer Wirkung, Zugangsentscheidungen, Minderjährigen, personenbezogenen und besonders geschützten Daten, Anbieter-Standort, menschlicher Aufsicht und CE-Kennzeichnung.
5. Klicken Sie auf Bewertung speichern.
6. Prüfen Sie das Ergebnis: ein Verdikt-Badge (Verboten, Hochrisiko, Begrenztes Risiko, Minimales Risiko oder Nicht eindeutig), die Begründung und — wo einschlägig — zusätzliche Pflichten unter Zusätzlich erkannte Pflichten: (zum Beispiel eine DSFA-Pflicht oder ein Flag für Nicht-EU-Übermittlung).
7. Klicken Sie bei Hochrisiko-Ergebnissen auf Hochrisiko-Folgepflichten in der Checkliste öffnen (Block D), um direkt zu den nun fälligen Checklisten-Items zu springen.
8. Archivieren Sie das Ergebnis mit PDF herunterladen oder Markdown herunterladen: ein versioniertes Dokument mit Datum, bewertender Person und Verdikt.

Plattform-Administration: die Details zur KI-Transparenz prüfen

1. Öffnen Sie Transparenz-Hinweise aus der Übersicht (Seitentitel Details zur KI-Transparenz). Ohne Kurs zeigt die Seite die plattformweite Übersicht; mit ?courseid=<ID> listet sie die aktiven KI-Funktionen eines Kurses.
2. Prüfen Sie die Spalten KI-Funktion, Anbieter, Modell, Risikoklasse und Verantwortliche Kontaktperson. Anbieter und Modell stammen aus der zuletzt beobachteten KI-Aktion der Funktion; Funktionen ohne verlässliche Zuordnung (etwa KI-Fragetypen in einem Test) zeigen Unbekannt.
3. Zurück zur KI-Compliance-Übersicht führt zur Übersicht zurück.

Trainer/in: den Pre-Flight zu verbotenen Praktiken durchführen

1. Öffnen Sie den Pre-Flight für den Use Case, den Sie pilotieren möchten: /local/lernhive_compliance/risk.php?component=<component>&usecaseid=<id>&preflight=1. Dieser Modus steht Trainer/innen mit Bearbeitungsrecht auch ohne volle KI-Compliance-Verwaltungsrechte zur Verfügung.
2. Beantworten Sie die drei Art.-5-Fragen und klicken Sie auf Bewertung speichern.
3. Wenn nichts Verbotenes erkannt wird, bestätigt die Seite: „Der Pre-Flight hat keine verbotene Praxis gemäß Art. 5 erkannt." — mit dem Hinweis, mit der vollständigen Risikobewertung fortzufahren. In diesem beratenden Modus wird kein Risiko-Datensatz gespeichert.
4. Wird eine Frage mit Ja beantwortet, erklärt eine Verboten-Karte, warum der Use Case nicht betrieben werden darf.

Plattform-Administration: die KI-Anbieter-Registry pflegen

1. Öffnen Sie KI-Anbieter-Registry unter Operative Werkzeuge der Übersicht. Die Registry aktualisiert sich beim Öffnen höchstens einmal pro Stunde gegen die installierten KI-Anbieter-Plugins.
2. Prüfen Sie die Tabelle mit den Spalten Anbieter, Region, AV-Vertrag, CE / GPAI, Letztes Modell und Aktionen. Gelbe Pillen markieren Lücken (AV-Vertrag fehlt, CE nicht bestätigt); ein Schätzwert-Badge kennzeichnet eine Region, die automatisch abgeleitet und nie von einem Menschen bestätigt wurde.
3. Klicken Sie auf Synchronisation jetzt starten, um eine Aktualisierung zu erzwingen, zum Beispiel direkt nach der Installation eines neuen Anbieter-Plugins.
4. Klicken Sie bei einem Anbieter auf Bearbeiten und pflegen Sie Verarbeitungsregion, Auftragsverarbeitungsvertrag, AV-Vertrag unterzeichnet am, CE-Kennzeichnung / GPAI-Registrierung und Notizen. Speichern Sie über die Standard-Formularschaltflächen.
5. Wenn das Panel Neubewertung fällig erscheint, hat ein Anbieter Audit-Verkehr mit einem Modell erzeugt, das von der Registry abweicht. Klicken Sie auf Zur Neubewertung markieren, um die betroffenen Hochrisiko-Bewertungen zu kennzeichnen.

Plattform-Administration: Audit-Aufbewahrung und Manipulationssicherheit prüfen

1. Öffnen Sie Audit-Status unter Operative Werkzeuge der Übersicht.
2. Prüfen Sie die Karte Aufbewahrung (über Moodle-Datenschutz). Sie zeigt einen der Zustände: OK, Unter empfohlener Mindestdauer, Kein Zweck zugewiesen oder tool_dataprivacy nicht verfügbar — zusammen mit den konfigurierten Tagen im Vergleich zur empfohlenen Mindestdauer und dem Namen des aktiven Zwecks.
3. Wenn noch kein Zweck zugewiesen ist, klicken Sie auf Datenschutz-Zweck jetzt einrichten. Damit wird ein vorkonfigurierter tool_dataprivacy-Zweck angelegt („KI-Audit-Protokollierung", 180 Tage), den Sie über den Standard-Datenschutz-Adminbereich weiterpflegen können — der Link Datenschutz-Adminbereich öffnen führt Sie dorthin.
4. Prüfen Sie die Karte HMAC-Hash-Kette (Manipulationssicherheit). Kette intakt ist der erwartete Zustand; Kette gebrochen nennt den ersten nicht-stimmigen Audit-Eintrag und verdient eine sofortige Untersuchung. Ein täglicher geplanter Task verifiziert die Kette und sendet bei einem Bruch eine Warnung.

Site-Administrator (eLeDia): das KI-Compliance-Modul konfigurieren

1. Öffnen Sie die KI-Compliance-Übersicht und wählen Sie unter Operative Werkzeuge den Link Einstellungen für LernHive KI-Compliance. Link und Seite stehen nur Website-Administrator/innen zur Verfügung (moodle/site:config).
2. Setzen Sie unter Organisationsprofil den Organisationstyp (Schule, Hochschule, Unternehmen / Weiterbildung, Öffentliche Stelle (außerhalb Schule / Hochschule) oder Nicht festgelegt). Er bestimmt, welche Checklisten-Items angelegt werden.
3. Passen Sie unter KI-Audit-Aufbewahrung (über Moodle-Datenschutz) die Empfohlene Mindest-Aufbewahrungsdauer (Tage) an, falls die Richtlinie Ihrer Organisation vom 180-Tage-Default abweicht. Dieser Wert steuert nur die Warnschwelle auf der Audit-Status-Seite.
4. Schalten Sie unter Transparenzhinweise (Art. 50) die Optionen KI-Hinweis pro Aktivität anzeigen, KI-Hinweis im Kurs-Header anzeigen und Plattformweiten KI-Hinweis anzeigen ein oder aus.
5. Klicken Sie auf Einstellungen speichern.

Relevante Einstellungen

Hinweis: Die drei Transparenz-Schalter steuern die Hinweis-Rendering-API, aber im aktuellen Release zeigt noch keine Seite für Lernende diese Hinweise an (siehe Grenzen).

Grenzen

• Keine Rechtsberatung. Checklisten-Items, Fragen und Verdikte sind Arbeitshilfen; die Gesetzestexte und die Umstände Ihrer Organisation haben immer Vorrang.
• Kein Eintrag in der Hauptnavigation. Das Modul wird über die Kachel der KI-Suite oder seine URL erreicht.
• Transparenzhinweise sind für Lernende noch nicht sichtbar. Renderer, Einstellungen und die Transparenz-Detailseite existieren, aber noch keine Aktivität, kein Kurs-Header und kein Site-Footer zeigt die Hinweise an (geplant).
• Keine Listenansicht gespeicherter Risikobewertungen. Eine Bewertung wird über ihren Use-Case-Deep-Link erreicht; das Ergebnis wird gespeichert, aber es gibt noch keine durchsuchbare Verlaufsseite.
• Nicht im aktuellen Release: FRIA- und DSFA-Vorlagen, der Workflow für schwerwiegende Vorfälle (Art. 73), das KI-Kompetenz-Kurspaket, das Dashboard für menschliche Aufsicht, das Behörden-Mapping und der Self-Service-Workflow für Betroffenenrechte. Alle sind für spätere Releases geplant.
• Das Plugin löscht niemals selbst Audit-Daten. Die Aufbewahrung wird ausschließlich vom Moodle-Datenschutz-Subsystem durchgesetzt.

Fehlerbehebung

Die Checkliste ist leer oder zeigt Items, die nicht zu unserer Organisation passen. → Prüfen Sie den Organisationstyp unter Einstellungen für LernHive KI-Compliance. → Öffnen Sie nach der Korrektur die Seite KI-Compliance-Checkliste erneut — fehlende Items für den neuen Typ werden bei diesem Besuch ergänzt; bestehende Items und ihre Status bleiben erhalten.

Beim Öffnen der Risikobewertungsseite erscheint ein „missing parameter"-Fehler. → Die Seite benötigt einen Use Case: Sowohl component als auch usecaseid müssen in der URL stehen. Folgen Sie dem Deep Link aus dem aufrufenden Plugin oder ergänzen Sie die Parameter manuell.

Ein/e Trainer/in kann die vollständige Risikobewertung nicht öffnen. → Die vollständige Bewertung erfordert KI-Compliance-Verwaltungsrechte (Plattform-Administration). Trainer/innen können nur den beratenden Pre-Flight-Modus nutzen (preflight=1).

Die Anbieter-Registry meldet „Es wurden bisher keine KI-Anbieter erkannt." → Installieren oder aktivieren Sie mindestens ein aiprovider_*-Plugin und klicken Sie dann auf Synchronisation jetzt starten.

Die Audit-Status-Seite zeigt „tool_dataprivacy nicht verfügbar". → Installieren oder aktivieren Sie das Moodle-Datenschutz-Subsystem (tool_dataprivacy); kehren Sie dann zurück und nutzen Sie Datenschutz-Zweck jetzt einrichten.

Die Hash-Ketten-Karte zeigt „Kette gebrochen". → Notieren Sie die auf der Karte angezeigte erste nicht-stimmige Action-ID. → Gleichen Sie sie zuerst mit dem Lösch-Log von tool_dataprivacy ab — eine legitime Aufbewahrungslöschung außerhalb des regulären Workflows kann die Kette brechen —, bevor Sie den Bruch als Manipulation behandeln.

Screenshots

Die folgenden Screenshots zeigen die LernHive-Demo-Oberfläche mit englischer Oberfläche und vor der Neuordnung der Hauptnavigation; die Compliance-Seiten selbst sind unverändert: