KI-Compliance und AI Act – Anforderungen für Unternehmen

Der europäische AI Act unterscheidet nach der jeweiligen Rolle eines Unternehmens und dem Risiko des eingesetzten KI-Systems. Unternehmen können insbesondere als Anbieter oder Betreiber eines KI-Systems betroffen sein. Je nach Einsatzbereich können Transparenz-, Dokumentations-, Organisations- oder Schulungspflichten bestehen.

Bereits anwendbar sind insbesondere die Verbote bestimmter KI-Praktiken und die Verpflichtung, Maßnahmen zur Förderung der KI-Kompetenz der mit KI befassten Mitarbeiter zu treffen. Hinzu kommen Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte. Für Hochrisiko-KI-Systeme gelten weitergehende Anforderungen.

Unsere Anwälte für Legal Compliance prüfen, welche Rolle Ihr Unternehmen nach dem AI Act einnimmt und welche konkreten Anforderungen für die eingesetzten KI-Systeme gelten.

Der AI Act folgt einem risikobasierten Ansatz. Viele gewöhnliche KI-Anwendungen unterliegen keinen besonderen Hochrisiko-Anforderungen. Bestimmte Anwendungen sind dagegen vollständig verboten oder werden als besonders risikoreich eingestuft.

Besondere Aufmerksamkeit ist beispielsweise beim Einsatz von KI im Personalbereich erforderlich. Bestimmte Systeme zur Auswahl, Bewertung oder Überwachung von Beschäftigten können als Hochrisiko-KI eingestuft werden. Bestimmte Formen der Emotionserkennung am Arbeitsplatz sind grundsätzlich verboten.

Unternehmen sollten deshalb zunächst erfassen, welche KI-Systeme zu welchem Zweck eingesetzt werden, und anschließend für jeden Anwendungsfall eine rechtliche Risikobewertung durchführen.

Unsere Anwälte für Legal Compliance unterstützen bei der Klassifizierung von KI-Anwendungen und der Prüfung zulässiger Einsatzmöglichkeiten. Weitere Informationen zu arbeitsrechtlichen Fragestellungen finden Sie in unserem Bereich Human Resources.

KI-Anwendungen wie generative KI, Übersetzungsprogramme, Analysewerkzeuge oder automatisierte Assistenzsysteme werden zunehmend unmittelbar von Mitarbeitern eingesetzt. Unternehmen sollten daher klare Regeln festlegen, welche Anwendungen zugelassen sind und welche Daten oder Informationen in KI-Systeme eingegeben werden dürfen.

Nach dem AI Act müssen Unternehmen außerdem Maßnahmen treffen, um eine ausreichende KI-Kompetenz der Personen sicherzustellen, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sind insbesondere die jeweilige Tätigkeit, das eingesetzte System und der konkrete Nutzungskontext zu berücksichtigen.

Zu einer praxisgerechten Umsetzung gehören insbesondere Schulungen, interne Leitlinien, klare Verantwortlichkeiten und eine Sensibilisierung für rechtliche Risiken.

Unsere Anwälte unterstützen Unternehmen bei der Entwicklung geeigneter Schulungs- und Compliance-Maßnahmen für den betrieblichen Einsatz von KI.

Eine unternehmensinterne KI-Richtlinie sollte festlegen, wer welche KI-Anwendungen zu welchen Zwecken einsetzen darf. Sie sollte an die tatsächlichen Arbeitsabläufe des Unternehmens angepasst werden und nicht lediglich allgemeine Verbote enthalten.

Typische Regelungsbereiche sind:

• zugelassene und nicht zugelassene KI-Systeme,
• Umgang mit Geschäftsgeheimnissen und vertraulichen Informationen,
• Verarbeitung personenbezogener Daten,
• Kontrolle und Überprüfung KI-generierter Ergebnisse,
• Kennzeichnungspflichten,
• Nutzung von KI-generierten Texten, Bildern und sonstigen Inhalten,
• Verantwortlichkeiten und Freigabeprozesse sowie
• Dokumentation und Meldung von Risiken oder Vorfällen.

Eine solche Richtlinie sollte in das bestehende Compliance-System integriert und regelmäßig an technische und regulatorische Entwicklungen angepasst werden.

Unsere Anwälte für Legal Compliance entwickeln gemeinsam mit Unternehmen praxisgerechte KI-Richtlinien und Governance-Strukturen.

Ein wirksames KI-Compliance-System beginnt mit einer Bestandsaufnahme der im Unternehmen eingesetzten KI-Anwendungen. Darauf aufbauend sollten die rechtliche Rolle des Unternehmens, die jeweiligen Risiken und die einschlägigen gesetzlichen Anforderungen bestimmt werden.

In der Praxis empfehlen sich insbesondere:

• ein internes Verzeichnis der eingesetzten KI-Systeme,
• eine Risiko- und Rollenklassifizierung,
• klare Zuständigkeiten für KI-Governance,
• eine unternehmensinterne KI-Richtlinie,
• die Prüfung neuer KI-Anwendungen vor ihrer Einführung,
• Schulungsmaßnahmen für Mitarbeiter,
• datenschutz- und informationssicherheitsrechtliche Prüfungen,
• vertragliche Anforderungen an KI-Anbieter,
• Dokumentations- und Kontrollprozesse sowie
• eine regelmäßige Aktualisierung des Systems.

Gerade bei international tätigen Unternehmensgruppen sollten diese Prozesse konzernweit koordiniert und zugleich an die jeweils geltenden rechtlichen Anforderungen angepasst werden.

Unsere Anwälte für Legal Compliance unterstützen bei der Entwicklung und Implementierung eines auf Ihr Unternehmen zugeschnittenen KI-Compliance-Systems.

Der AI Act ersetzt die DSGVO nicht. Werden personenbezogene Daten mithilfe eines KI-Systems verarbeitet, müssen die datenschutzrechtlichen Anforderungen zusätzlich eingehalten werden. Je nach Anwendung können insbesondere Rechtsgrundlage, Transparenz, Datenminimierung, Auftragsverarbeitung, internationale Datenübermittlungen und gegebenenfalls eine Datenschutz-Folgenabschätzung relevant sein.

Auch Geschäftsgeheimnisse und sonstige vertrauliche Unternehmensinformationen müssen geschützt werden. Vor allem bei externen generativen KI-Diensten sollte geprüft werden, welche Daten verarbeitet, gespeichert oder zur Weiterentwicklung des jeweiligen Systems genutzt werden.

Unsere Anwälte unterstützen bei der Abstimmung von KI-Compliance und Datenschutz sowie bei der rechtlichen Prüfung eingesetzter KI-Dienstleister.