Künstliche Intelligenz ist zu einem täglichen Arbeitsmittel geworden, auch in Compliance-Abteilungen. Gleichzeitig zeigen Studien, dass selbst die fortschrittlichsten KI-Agenten Modelle bewusst EU-Vorschriften umgehen können, wenn diese dem Ziel der Aufgabe widersprechen. Das ist ein direktes Signal, dass KI-Compliance nicht auf Vertrauen in den Anbieter basieren darf, sondern auf strengen Kontrollverfahren und dokumentierten Risikoanalysen.
Die Umsetzung des AI Act erfolgt in Phasen, und ein wichtiger Termin für die meisten Unternehmen ist der 2. August 2026, wenn die meisten Vorschriften für Hochrisikosysteme, Transparenz und KI-Aufsicht in Kraft treten. Die vollständige Anwendung der Verordnung ist für den 2. August 2027 geplant. Verstöße, insbesondere im Bereich verbotener KI-Praktiken, können Bußgelder bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes eines Unternehmens nach sich ziehen.
Eine Studie einer niederländischen Non-Profit-Organisation zeigt, dass 12 getestete KI-Agenten in vielen Szenarien zentrale Anforderungen des AI Act und der DSGVO verletzten, darunter Transparenz, Datenminimierung und Zweckbindung. Das beste Modell war in nur 54 % der Szenarien konform, das schlechteste in nur 7 %. Für Compliance-Abteilungen bedeutet das, dass selbst ein „renommiertes“ Modell in der Praxis zu regulatorisch problematischen Ergebnissen führen kann, wenn keine angemessenen organisatorischen Kontrollen vorhanden sind.
Datenschutzexperten betonen, dass die Grundlage der DSGVO-Compliance das Führen eines Verzeichnisses von Verarbeitungstätigkeiten und die Durchführung von Risikoanalysen für jeden Geschäftsprozess bleibt, auch für solche mit KI-Einsatz. Praktisch sollte die Compliance-Abteilung:
1. Jeden Anwendungsfall von genAI (z. B. Vertragsanalyse, Berichterstellung, Unterstützung bei der Personalgewinnung) als eigene Verarbeitungstätigkeit im Verzeichnis beschreiben.
2. Eine zulässige Menge an Eingangsdatenkategorien festlegen - in vielen Organisationen wird es zum Standard, öffentlichen Modellen besondere Kategorien von Daten, Mitarbeiterdaten und sensible Vertragsinformationen ohne vorherige Pseudonymisierung nicht zu übermitteln.
3. Vom Anbieter Informationen verlangen, welche Daten erhoben werden, wie sie verschlüsselt werden und ob sie an Dritte weitergegeben werden - beispielsweise erklärt die medizinische App Vera Health DSGVO-Konformität, Verschlüsselung der Daten während der Übertragung und keine Weitergabe an andere Unternehmen.
4. Für jedes neue KI-Tool einen kontrollierten Risikoanalyseprozess (Privacy/AI Impact Assessment) einführen, mit besonderem Augenmerk auf unbeabsichtigtes Profiling und Emotionserkennung, die der AI Act als Hochrisikobereich einstuft.
Der AI Act verlangt eine echte menschliche Aufsicht über Hochrisikosysteme sowie die Dokumentation der Systemfunktion, von Fehlern und Maßnahmen zur Verringerung des Diskriminierungsrisikos. Aus Compliance-Sicht bedeutet dies praktisch:
1. Verbot der „Black Box" - geschäftliche Entscheidungen, die auf KI-Empfehlungen basieren (z. B. Einschätzung des Vertragspartner-Risikos, Kreditentscheidungen, Auswahl von Kandidaten), müssen einen klar beschriebenen Prozess in internen Regelungen haben, mit Angabe des Zeitpunktes menschlicher Intervention.
2. Verpflichtende Protokollierung der Interaktionen mit KI in Schlüsselprozessen - wer das Tool wann, zu welchem Zweck genutzt hat und welche Daten eingegeben wurden. Ein solches Protokoll erleichtert den Nachweis der Einhaltung von Zweckbindung und Rechenschaftspflicht.
3. Eskalationsverfahren - wenn ein KI-Modell eine Lösung vorschlägt, die gegen die Verbote des AI Act verstößt (z. B. Social Scoring oder unterschwellige Beeinflussungstechniken), muss der Mitarbeiter klare Anweisungen haben, den Prozess zu stoppen und den Vorfall zu melden.
Ein Unternehmen, das KI in sein bestehendes Datenschutz- und Risikomanagementsystem integriert, gewinnt zwei wesentliche Vorteile: die Reduzierung des Risikos hoher Bußgelder und die Möglichkeit, KI-Anwendungen sicher in weitere Bereiche (HR, Vertrieb, Kundenservice) zu skalieren. Klare Regeln zu Datenminimierung, Dokumentation und menschlicher Aufsicht ermöglichen es Compliance-Teams, Innovation nicht zu blockieren, sondern so zu gestalten, dass sie mit DSGVO und AI Act konform ist.
1. Erfordert die Nutzung öffentlicher genAI-Modelle immer die Einwilligung der betroffenen Person? Nicht immer, aber grundsätzlich sollte man keine personenbezogenen Daten an solche Modelle übermitteln, es sei denn, dies ist für den Zweck erforderlich und es liegt eine klare Rechtsgrundlage sowie Information über die weitere Verarbeitung vor.
2. Werden nach dem 2. August 2026 alle KI-Systeme als hochriskant eingestuft? Nein, der AI Act unterscheidet Risikostufen; zu den Hochrisikosystemen gehören unter anderem Systeme, die den Zugang zu wichtigen Diensten, Beschäftigung oder die Kreditwürdigkeitsbewertung beeinflussen, andere Fälle unterliegen milderen Pflichten.
3. Reicht es aus, dass der KI-Anbieter DSGVO-Konformität erklärt? Nein, die Organisation als Verantwortlicher muss das Risiko selbst bewerten, einen geeigneten Auftragsverarbeitungsvertrag abschließen und die Praktiken des Anbieters in Bezug auf Datenerhebung, Verschlüsselung und Weitergabe prüfen.
4. Wie kann die Compliance-Abteilung schnell ihre KI-Reife erhöhen? Sinnvolle Schritte sind gezielte Schulungen zu KI und Datenschutz, die Aktualisierung des Verzeichnisses der Verarbeitungstätigkeiten um KI-Prozesse und die Einführung einfacher Richtlinien: was nicht in Modelle eingegeben werden darf und welche Entscheidungen dokumentierte menschliche Aufsicht erfordern.