Unternehmen müssen nicht auf KI verzichten, sollten sie aber so einführen, dass sie gleichzeitig die Anforderungen der DSGVO und des AI Act erfüllen. Die DSGVO schützt personenbezogene Daten, während der AI Act die KI-Systeme selbst reguliert - daher ist jede Nutzung eines Chats, Assistenten oder analytischen Modells unter beiden Regelwerken zu prüfen.
In der Praxis besteht das größte Risiko nicht im Modell selbst, sondern im fehlenden Überblick darüber, wohin Mitarbeitende Daten einfügen. Der erste Schritt sollte daher die Inventarisierung aller in der Firma genutzten KI-Tools sein, einschließlich privater Konten und Testintegrationen.
Es ist sinnvoll, die Anwendungen sofort in zwei Ebenen zu trennen: normale, wie das Erstellen von Texten oder Dokumentenanalyse, und sensible, beispielsweise Rekrutierung, Mitarbeiterbewertung oder Entscheidungen gegenüber Kunden. Letztere erfordern besondere Aufmerksamkeit, da sie in die vom AI Act genannten Hochrisikobereiche fallen können.
Wenn personenbezogene Daten in ein Tool gelangen, muss das Unternehmen eine Rechtsgrundlage für die Verarbeitung haben und die Datenminimierung sicherstellen, entsprechend der DSGVO. Praktisch bedeutet das, keine vollständigen Kundendatenbanken, Identifikationsnummern oder Mitarbeiterdaten an öffentliche Tools zu übermitteln, sofern kein klarer Bedarf besteht.
Für geschäftliche Lösungen sind auch Verträge mit Anbietern entscheidend. Quellen betonen, dass es sinnvoll ist, Firmenkonten oder APIs zu nutzen und Datenverarbeitungsvereinbarungen zu akzeptieren, wenn der Anbieter Daten im Auftrag des Unternehmens verarbeitet. Das ist besonders wichtig, wenn KI den Kundenservice, Vertrieb oder HR unterstützt.
Der AI Act legt Pflichten unabhängig davon fest, ob das System personenbezogene Daten verarbeitet. Zu den praktischen Anforderungen gehören unter anderem Klassifizierung der Nutzung, Dokumentation, Transparenz gegenüber Nutzern sowie menschliche Aufsicht über das System.
Für Unternehmen bedeutet das den Bedarf an einfachen Verfahren: Richtlinien zu erlaubten Tools, Anonymisierungsregeln, Benennung einer verantwortlichen Person und Anweisungen zur Meldung von Zwischenfällen. Wenn eine Organisation Chatbots einsetzt oder synthetische Inhalte erzeugt, ist zudem eine Nutzerinformation oder Kennzeichnung des Materials erforderlich, wenn dies der Anwendungsfall verlangt.
Der größte geschäftliche Vorteil ist die Verringerung rechtlicher und operativer Risiken, bevor ein KI-Projekt in Produktion geht. Gut vorbereitete Compliance verkürzt die Zeit zur Freigabe neuer Tools, ordnet die Zusammenarbeit mit Anbietern und erleichtert interne Audits.
1. Unterliegt jedes Unternehmen, das KI einsetzt, der DSGVO? Ja, wenn personenbezogene Daten von Kunden, Mitarbeitenden oder Auftragnehmern im Prozess vorkommen.
2. Können öffentlich zugängliche Chatbots genutzt werden? Ja, aber es sollten keine sensiblen Daten oder personenbezogenen Daten eingetragen werden, ohne Rechtsgrundlage und vertragliche Kontrolle.
3. Betrifft der AI Act nur große Unternehmen? Nein, Pflichten hängen vom Anwendungsfall und dem Risiko ab, nicht von der Größe der Organisation.
4. Womit sollte man die Einführung von AI-Compliance beginnen? Mit der Inventarisierung der Tools, der Klassifizierung der Anwendungen und der Prüfung, wohin personenbezogene Daten gelangen.