KI-Compliance-Wissen

Die meisten Unternehmen setzen künstliche Intelligenz längst ein – nur selten dort, wo sie es vermuten. Nicht das große Projekt ist der Regelfall, sondern das Werkzeug, das eine Abteilung auf eigene Faust einsetzt. Dieses KI-Compliance-Wissen beginnt deshalb nicht bei der Technik, sondern bei der Frage, welche Rolle Sie rechtlich einnehmen.

Anbieter oder Betreiber? Die Frage vor allen anderen

Die KI-Verordnung knüpft ihre Pflichten an Rollen. Wer ein System entwickelt und unter eigenem Namen bereitstellt, ist Anbieter. Wer ein fremdes System im eigenen Betrieb einsetzt, ist Betreiber. Die allermeisten Unternehmen sind Betreiber – und diese Rolle ist deutlich leichter zu tragen.

Aber sie ist nicht fest. Wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen anbietet, rutscht in die Anbieterrolle und damit in einen erheblich größeren Pflichtenkreis. Wer das nicht weiß, wird davon überrascht.

Die einschlägigen Vorschriften stehen einzeln bereit; der Volltext der KI-Verordnung enthält alle Artikel nach Kapiteln geordnet.

Anbieter oder Betreiber? Die Frage vor allen anderen
ArtikelWorum es geht
Art. 4KI-Kompetenz – gilt für alle, unabhängig vom Risiko des Systems
Art. 5verbotene Praktiken, etwa Emotionserkennung am Arbeitsplatz
Art. 6wann ein System als Hochrisiko-System gilt
Art. 26die Pflichten der Betreiber
Art. 50Transparenz: Menschen müssen wissen, dass sie mit KI zu tun haben
Art. 99Sanktionen
Art. 113Geltungsbeginn – die Pflichten treten gestaffelt in Kraft

Ein Überblick über das Regelwerk als Ganzes steht unter KI-Verordnung umsetzen.

Die Pflicht, die alle trifft

Art. 4 verlangt von Anbietern und Betreibern, für ein ausreichendes Maß an KI-Kompetenz bei den Personen zu sorgen, die mit den Systemen umgehen. Diese Pflicht hängt nicht am Risiko des Systems. Wer irgendein KI-Werkzeug einsetzt, ist erfasst.

Das ist die Vorschrift, die derzeit am häufigsten übersehen wird – vermutlich, weil sie so kurz ist. Sie lässt sich mit einer strukturierten Grundschulung erfüllen: KI-Kompetenz nach Art. 4. Für die Bewertung eigener Systeme gibt es zusätzlich das KI-Audit als E-Learning.

Schatten-KI: das eigentliche Problem

Bevor Pflichten erfüllt werden können, muss bekannt sein, was überhaupt läuft. In fast jeder Bestandsaufnahme tauchen Werkzeuge auf, von denen die Leitung nichts wusste – Übersetzungsdienste, Textassistenten, Bildgeneratoren, Auswertungswerkzeuge in Fachanwendungen.

Der Reflex, alles zu verbieten, führt nicht weiter: Die Nutzung wandert dann auf private Konten, und damit verlässt sie endgültig den Zugriff des Unternehmens. Der tragfähigere Weg besteht aus drei Schritten – erfassen, bewerten, regeln.

Für die Erfassung und Bewertung ist die KI-Risikoanalyse der Einstieg. Welche Werkzeuge sich fachlich und rechtlich eignen, klärt die Tool-Auswahl. Der Rahmen, in dem beides verbindlich wird, entsteht mit der KI-Strategie.

Wo KI-Compliance-Wissen auf den Datenschutz trifft

Beide Regelwerke gelten nebeneinander. Die KI-Verordnung regelt das Produkt und seinen Einsatz, die DSGVO die Verarbeitung personenbezogener Daten darin. Ein System kann nach der einen Verordnung zulässig und nach der anderen unzulässig sein.

Praktisch heißt das: Der Einsatz braucht eine Rechtsgrundlage, er gehört ins Verarbeitungsverzeichnis, und bei entsprechendem Risiko ist vorab eine Datenschutz-Folgenabschätzung durchzuführen. Wo das System von einem Anbieter betrieben wird, kommt ein Auftragsverarbeitungsvertrag hinzu.

Trifft eine KI Entscheidungen über Personen, ist zusätzlich Art. 22 DSGVO zu beachten – automatisierte Entscheidungen im Einzelfall sind nur unter engen Voraussetzungen zulässig.

Wer das übernimmt

Die Verordnung verlangt keinen KI-Beauftragten. Sie verlangt aber Ergebnisse, die ohne eine zuständige Person selten entstehen. Aufgaben und Zuschnitt der Rolle stehen unter KI-Beauftragter; das Angebot mit 147 € im Monat unter KI-Beauftragter Angebot.

Geführt werden Systeme, Rollen, Risiken und Nachweise in der KI-Governance-Software.

Beiträge zur KI-Compliance

Wissen in den anderen Bereichen

Kontakt

Sie wissen nicht, welche KI-Werkzeuge in Ihrem Unternehmen im Einsatz sind? Das ist der übliche Ausgangspunkt – und in einer Bestandsaufnahme schnell geklärt.