Das zunehmende Einsetzen von KI in Unternehmen bewirkt, dass Compliance nicht mehr eine abstrakte „Sicherheitsrichtlinie“ ist, sondern zu einer konkreten Reihe von Entscheidungen wird: welche Tools zuzulassen sind, welche Daten ihnen anvertraut werden und wie die Einhaltung von DSGVO und AI Act dokumentiert wird. Für Compliance-Abteilungen ist das ein praktisches Transformationsprojekt, nicht nur eine rechtliche Verpflichtung.
Der erste praktische Schritt ist die Erstellung eines vollständigen Verzeichnisses der in der Organisation verwendeten KI-Tools - sowohl offiziell eingeführter Systeme als auch „Shadow KI“, die von Mitarbeitenden informell genutzt wird.
1. Sammeln Sie Informationen zu allen Systemen: CRM mit KI-Funktionen, Recruiting-Plattformen, Chatbots, Content-Generierungs-Tools, KI-Agenten zur Unterstützung von Back-Office-Prozessen.
2. Bestimmen Sie für jedes Tool die Rolle des Unternehmens im Sinne des AI Act: Anbieter, Nutzer (Betreiber), Importeur, Händler oder Hersteller eines Produkts mit KI-Komponente.
3. Klassifizieren Sie vorläufig das Risikoniveau: Hochrisiko-Systeme (z. B. KI im Recruiting, bei Mitarbeiterbewertungen, Kundenscoring), Systeme, die Transparenzpflichten unterliegen (Chatbots, generative Inhalte), sowie Tools mit geringem Risiko.
Eine solche Karte bildet den Ausgangspunkt für weitere Compliance-Maßnahmen: Sie hilft dabei, Bereiche zu identifizieren, in denen sich DSGVO-Risiken (Verarbeitung personenbezogener Daten) und AI Act-Risiken (Systemrisiko, Transparenzpflichten, menschliche Aufsicht) überschneiden.
Die Sicherheit von KI in der Praxis findet auf der Ebene der Daten statt, die Mitarbeitende in Modelle eingeben.
1. Definieren Sie, welche Kategorien personenbezogener Daten in ein bestimmtes Tool eingegeben werden dürfen und welche verboten sind (z. B. besondere Kategorien personenbezogener Daten, Kundendaten außerhalb des EWR, geschäftsgeheimnisgeschützte Informationen).
2. Achten Sie auf den Verarbeitungsort: Aufsichtsbehörden verlangen zunehmend, dass EU-Kundendaten den Europäischen Wirtschaftsraum (EWR) nicht in den Phasen der Extraktion und Transformation verlassen, insbesondere bei Tools, die Dokumente automatisieren und KI einsetzen.
3. Für Lösungen der automatisierten Entscheidungsfindung (ADM) mit erheblichen rechtlichen oder geschäftlichen Auswirkungen stellen Sie Transparenz, Erklärbarkeit von Entscheidungen und Datenrichtigkeit als Mindeststandard der Compliance sicher.
Das Compliance-Team sollte diese Regeln in kurze, klare operative Leitlinien für die Teams übersetzen: was darf in ChatGPT oder KI-Agenten kopiert werden, wie Daten anonymisiert werden und wie KI-generierte Inhalte zu kennzeichnen sind.
AI Act und DSGVO verlangen nicht nur die konforme Nutzung von KI, sondern auch den Nachweis, dass die Organisation geeignete Maßnahmen ergreift.
1. Erstellen Sie ein Verzeichnis der KI-Systeme mit Beschreibung des Einsatzbereichs, der verarbeiteten personenbezogenen Daten, der Risikoklasse und der verantwortlichen Business-Owner.
2. Entwickeln Sie ein Verfahren zur KI-Risikoabschätzung: von der Analyse der Auswirkungen auf die Rechte von Personen über Transparenztests bis hin zu Anforderungen an die menschliche Aufsicht bei Entscheidungen mit hohem Risiko.
3. Überprüfen Sie Verträge mit KI-Anbietern hinsichtlich Haftung für Outputs, Rechte an KI-generierten Inhalten, Datenlokation und Einhaltung von AI Act und DSGVO.
4. Sorgen Sie für regelmäßige Schulungen, die AI Act, DSGVO und praktische Datenhygiene verbinden - ab 2025 verlangt der AI Act ausdrücklich ein angemessenes Wissens- und Kompetenzniveau der KI-Nutzer.
5. Implementieren Sie Verfahren zur Meldung und Dokumentation von KI-bezogenen Vorfällen, insbesondere in Hochrisiko-Systemen.
Ein stringentes AI-Compliance-Programm, das DSGVO und AI Act verbindet, bietet dem Unternehmen zwei zentrale Vorteile: eine deutliche Reduzierung des Risikos von Sanktionen (bis zu 35 Mio. Euro oder 7 % des weltweiten Umsatzes bei Verstößen gegen den AI Act) und die Möglichkeit, den Einsatz von KI in Geschäftsprozessen sicher zu skalieren. Organisationen, die ein Verzeichnis der KI-Systeme, eine Datenrisikokarte und dokumentierte Verfahren zur menschlichen Aufsicht aufbauen, können neue Tools schneller einführen und dabei ein akzeptables Risikoniveau halten - was sich direkt in einem Wettbewerbsvorteil niederschlägt.
- 1. Unterliegt jedes Unternehmen, das KI einsetzt, dem AI Act? Ja - wenn Sie in der EU tätig sind und Tools mit einer KI-Komponente nutzen (z. B. CRM, Chatbot, Recruiting-Plattform), gilt der AI Act, wobei der Umfang der Pflichten von der Risikoklasse des Systems abhängt.
- 2. Wie unterscheidet man ein Hochrisiko-KI-System von einem „normalen“ Tool? Entscheidend ist, ob das KI-System Rechte oder die Situation von Personen in Bereichen wie Beschäftigung, Bildung oder Zugang zu Finanzdienstleistungen beeinflusst; solche Anwendungen werden in der Regel als hochriskant eingestuft und erfordern eine detaillierte Compliance-Prüfung und Dokumentation.
- 3. Reicht eine Richtlinie zur Nutzung von KI aus, um DSGVO und AI Act zu erfüllen? Nein - erforderlich sind auch ein Verzeichnis der Systeme, Risikobewertungsverfahren, menschliche Aufsicht, Lieferantenprüfungen und echte Mitarbeiterschulungen, die rechtliche Anforderungen mit praktischen Datenregeln verbinden.
- 4. Wie sollte man mit „Shadow KI“ in der Organisation umgehen? Zuerst sollte man sie inventarisieren, dann rechtliche und technische Risiken bewerten und entscheiden, welche Tools legalisiert und in Richtlinien aufgenommen werden können und welche wegen mangelnder DSGVO- oder AI Act-Konformität blockiert werden müssen.