Jede Verarbeitung startet mit einer eindeutig dokumentierten Rechtsgrundlage nach Art. 6 DSGVO. Das Unternehmen ordnet jedem Datenfeld die passende Legitimation (z. B. Einwilligung, Vertrag, berechtigtes Interesse) zu und führt, falls erforderlich, vorab eine Datenschutz-Folgenabschätzung durch. Für jedes KI-System existiert ein Fahrplan von der Inbetriebnahme bis zur Außerbetriebsetzung.