Worum geht's?
Nutzen Sie KI-Technologien in Ihrem Unternehmen oder bieten eigene KI-Systeme an, unterliegen Sie den Vorgaben der KI-Verordnung: Sie müssen Kennzeichnungspflichten für KI-generierte Inhalte beachten, Mitarbeitenden KI-Kompetenzen vermitteln und Dokumentations- und Aufsichtspflichten bei Hochrisiko-Systemen erfüllen. Hinzu kommen die Vorschriften der DSGVO, sobald Sie mit KI-Tools personenbezogene Daten verarbeiten. Um nicht den Überblick zu verlieren, hilft ein interner Regelkatalog. Wir zeigen Ihnen Schritt für Schritt, wie Sie diese KI-Compliance aufbauen.
1. Was ist KI-Compliance?
Unter KI-Compliance (auch AI-Compliance) werden alle Maßnahmen, internen Prozesse und Vorschriften verstanden, die Sie als Unternehmen einführen (müssen), um KI-Systeme rechtskonform, ethisch korrekt und transparent zu betreiben. Sie können sich das als eine Art Regelkatalog vorstellen, der sich aus internen und externen Faktoren zusammensetzt:
- Intern: Einführung von Richtlinien und Prozessen, wie z. B. einer KI-Richtlinie und regelmäßigen Schulungen beim Einsatz von KI.
- Extern: Einhaltung von Gesetzen wie EU-KI-Verordnung, DSGVO und weiteren Vorschriften bei der Nutzung von KI-Systemen.
Die Maßnahmen haben zum Ziel, dass Sie verantwortungsvoll und nachvollziehbar mit KI im Unternehmen umgehen, ohne Risiko von Rechtsverstößen, Bußgeldern oder Vertrauensverlust.
Nutzen Sie KI-Tools wie Chatbots, Text- und Bildgeneratoren, Analysetools oder KI im Personalbereich, müssen Sie die geltenden gesetzlichen Vorgaben einhalten, die Risiken im Umgang kennen, diese bestmöglich minimieren und klare interne Regeln festlegen.
2. Warum ist KI-Compliance wichtig?
Der Einsatz von KI bringt für Unternehmen, Selbstständige und Vereine nicht nur große Chancen, sondern auch ethische und wirtschaftliche Risiken mit sich. Daher müssen sowohl KI-Anbieter als auch nutzende Unternehmen bestimmte Pflichten erfüllen, die u. a. von der EU-KI-Verordnung (AI-Act) vorgegeben werden. Die Pflichten für Anbieter sind dabei deutlich umfangreicher als die für Betreiber.
Die KI-Verordnung legt erstmals gesetzliche Anforderungen für den Einsatz von KI fest und stuft KI-Systeme nach ihrem Risiko ein. Unterschieden werden verbotene Systeme (z. B. Social Scoring), Systeme mit einem hohen Risiko und strengen Anforderungen (z. B. KI in der Auswahl von Bewerbern) und Systeme mit einem geringen/vertretbaren Risiko (z. B. Sprachassistenten wie ChatGPT). Es geht also vor allem um Aspekte wie Klassifizierung und Sicherheit von KI-Systemen. Themen wie Urheberrecht und KI sind kein Bestandteil der KI-VO.
Die wichtigsten Pflichten und Fristen der EU-KI-Verordnung
Die Pflichten der KI-VO treten stufenweise nach Risikoklasse und Kategorie in Kraft:
- Februar 2025: Verbot bestimmter KI-Praktiken, faktische KI-Schulungspflicht
- August 2025: KI-Governance-Regeln für Anbieter großer KI-Basismodelle (z. B. ChatGPT, Claude, Gemini), Start der behördlichen Aufsicht
- August 2026: KI-Kennzeichnungspflicht für (bestimmte) KI-generierte Inhalte, Informationspflicht für Chatbots im Kundenservice
- ab Dezember 2027 und August 2028: Pflichten für Hochrisiko-KI-Systeme
Compliance-Maßnahmen helfen Ihrem Unternehmen dabei, die Vorgaben umzusetzen. Ohne Regelkatalog und informierte Mitarbeiter riskieren Sie KI-Haftungsrisiken, Imageschäden und Bußgelder, die es in sich haben: Bei Compliance-Verstößen können Bußgelder von bis zu 35 Mio. Euro bzw. 7 % des Jahresumsatzes (bei verbotenen Praktiken) und bis zu 15 Mio. Euro bzw. 3 % (bei Hochrisiko-Verstößen) die Folge sein.
3. Wer muss eine KI-Compliance-Struktur aufbauen?
Grundsätzlich sollten alle Unternehmen, die KI-Tools im Geschäftsbetrieb einsetzen, eine entsprechende Compliance-Struktur aufbauen, unabhängig von ihrer Branche und Größe. Wie umfangreich die Struktur letztlich sein sollte, hängt entscheidend vom konkreten KI-Einsatz ab. Setzen Sie KI für Büroaufgaben ein, benötigen Sie weniger umfangreiche Prozesse, als wenn Sie KI-Tools entwickeln und anbieten.
Warum die KI-Verordnung im Zweifel immer greift:
Viele Unternehmen glauben, dass sie von den Pflichten der KI-VO befreit sind, weil sie KI-Tools nicht selbst entwickeln. Doch auch wer bestehende KI-Modelle wesentlich verändert, unter eigenem Namen anbietet oder als White-Label-Lösung in eigene Produkte integriert, gilt als Anbieter im Sinne der KI-VO.
Oft wird davon ausgegangen, es würden intern nur KI-Systeme mit geringem Risiko eingesetzt, jedoch keine Hochrisiko-Systeme. KI-Compliance wird aber auch schon in diesen Fällen relevant:
- Ein Online-Versandhändler entwickelt einen eigenen KI-Chatbot und setzt die KI im Kundenservice ein, um Reklamationen oder Bestellungen zu bearbeiten (er ist KI-Anbieter).
- Ein Unternehmen nutzt KI im HR-Bereich, um Bewerbungen per KI-Tool vorzusortieren (es nutzt Hochrisiko-KI).
- Ein Callcenter setzt ein KI-Tool im Telefonat mit Kunden ein, um die Emotionen der Kunden zu analysieren (es gelten spezifische Transparenzpflichten).
- Die PR-Abteilung eines Unternehmens veröffentlicht KI-Texte von öffentlichem Interesse, ohne diese redaktionell zu kontrollieren (Texte müssen als KI-generiert gekennzeichnet werden).
Egal, ob es um Hochrisiko-KI, Anbieter-Pflichten oder die Kennzeichnung bestimmter KI-Inhalte geht: Compliance-Maßnahmen helfen dabei, klare Regeln für den Einsatz der verschiedenen KI-Systeme festzuhalten.
Sie sind sich unsicher, ob Sie und Ihre Mitarbeitenden KI rechtssicher einsetzen? Machen Sie den KI-Check:
4. So bauen Sie KI-Compliance in 5 Schritten auf
Wenn Sie wissen, wo KI in Ihrem Unternehmen genutzt wird, welche potenziellen Risiken von den einzelnen Anwendungen ausgehen und welche Regeln es braucht, um diese einzudämmen, lassen sich Haftungsrisiken deutlich reduzieren. Der Aufbau einer umfassenden KI-Compliance beruht dabei auf mehreren Schritten:
- 1. Risikoanalyse: Erfassen Sie alle eingesetzten KI-Systeme und ihre Risiken.
- 2. KI-Richtlinie: Halten Sie interne Vorgaben für den Umgang mit KI-Tools fest.
- 3. Mitarbeiterschulung: Stellen Sie sicher, dass Ihre Mitarbeiter im Umgang mit den verwendeten KI-Systemen ausreichend geschult sind.
- 4. Dokumentation und Governance: Dokumentieren Sie die eingesetzten Tools, legen Sie Zuständigkeiten fest und sorgen Sie insbesondere bei kritischen Anwendungen für menschliche Aufsicht und Kontrolle (Human Oversight, Human in the Loop).
- 5. Monitoring und Audits: Überprüfen Sie die ergriffenen Maßnahmen regelmäßig und bessern Sie bei Bedarf nach.
1. Risikoanalyse: KI-Anwendungen und deren Risiken identifizieren
Im ersten Schritt sollten Sie festhalten, wo Sie KI in Ihrem Unternehmen einsetzen und welche Risiken davon ausgehen könnten. Das gilt zum einen natürlich für eigene Entwicklungen, zum anderen aber auch für die Nutzung externer Tools.
Erstellen Sie eine Übersicht aller KI-Systeme samt der Datenart, die diese erheben (personenbezogene Daten oder nicht-personenbezogene) sowie mögliche Risiken (z. B. Datenschutzverletzungen, fehlerhafte Ergebnisse).
2. KI-Richtlinie: Interne Regelwerke erstellen
Auf Basis der Risikoanalyse können Sie im nächsten Schritt Vorgaben für den Umgang mit den Tools festlegen. Eine interne KI-Richtlinie sorgt dafür, dass Ihre Mitarbeitenden wissen, wie sie KI-Systeme korrekt einsetzen und Risiken vermeiden.
Regeln Sie in der KI-Richtlinie:
- die allgemeine Nutzung von KI im Unternehmen.
- den Umgang mit spezifischen KI-Tools.
- an wen sich Ihre Mitarbeiter bei Fragen wenden können.
- welche Daten in die Tools eingegeben werden dürfen.
- welche Daten tabu sind (z. B. Betriebsgeheimnisse).
- wie KI-generierte Ergebnisse verwendet werden dürfen.
Für eRecht24 PREMIUM Mitglieder haben wir einen Generator entwickelt, mit dem Sie eine KI-Richtlinie für Ihre Mitarbeiter erstellen können, die auf Ihr Unternehmen angepasst ist.
3. KI-Schulung: Kompetenzen von Mitarbeitenden erhöhen
Neben internen Richtlinien ist es wichtig, dass Sie Ihre Mitarbeitenden regelmäßig für die rechtlichen Pflichten und KI-Ethik-Standards sensibilisieren. Denn: KI-Compliance funktioniert nur, wenn jeder im Unternehmen auf dem gleichen Stand ist.
Art. 4 KI-VO sieht daher bereits seit Februar 2025 Maßnahmen zur Förderung der KI-Kompetenz (AI Literacy) vor, abgestimmt auf das Wissen und die Erfahrung der Beschäftigten. KI-Schulungen stärken das Bewusstsein für Risiken, wie z. B. die Preisgabe von Betriebsgeheimnissen. Sinnvoll ist eine verpflichtende Basisschulung für alle, die mit KI-Tools arbeiten, plus vertiefende KI-Compliance-Schulungen für Teams mit Hochrisiko-Systemen, etwa in der Personalauswahl.
Als Arbeitgeber sollten Sie außerdem deutlich machen, dass jeder einzelne Mitarbeiter zur Risikovermeidung beitragen kann, indem z. B. keine sensiblen Daten eingegeben werden und KI-Ergebnisse vor der Nutzung auf Urheber- und Persönlichkeitsrechte überprüft werden. Schaffen Sie als Arbeitgeber unbedingt geeignete organisatorische Rahmenbedingungen, Zuständigkeiten und Kontrollprozesse.
WICHTIG
Hat Ihr Unternehmen einen Betriebsrat, sollte dieser frühzeitig in die Entscheidungs- und Compliance-Prozesse einbezogen werden. Je nachdem, wofür KI-Tools eingesetzt werden sollen, verfügt er über ein Mitbestimmungsrecht. Das ist z. B. der Fall, wenn Sie KI im HR-Bereich einsetzen möchten, um das Verhalten oder die Leistung Ihrer Mitarbeitenden zu überwachen.
4. Dokumentation und Governance: Nachweise schaffen
KI-Kompetenzen und den verantwortungsvollen Umgang mit KI sollten Sie nachweisen können. Dokumentieren Sie in einem KI-Register, welche Tools Sie einsetzen (samt Zweck und Risikoklasse) und führen Sie Nachweise über die durchgeführten Schulungen. Für die Dokumentation bietet sich die internationale ISO-Norm 42001 als anerkannte Norm für KI-Managementsysteme an.
Sinnvoll kann zudem die Benennung eines KI-Compliance-Beauftragten bzw. Compliance Officer sein. Er fungiert für Mitarbeiter und externe Stellen als Anlaufstelle für KI-bezogene Fragestellungen, Schulungen und Audits, sensibilisiert die Beschäftigten für den rechtssicheren KI-Einsatz und ist dafür verantwortlich, dass bei allen KI-Projekten die gesetzlichen Vorgaben eingehalten werden.
5. Monitoring und Audits: Compliance-Maßnahmen regelmäßig überprüfen
Damit KI-Compliance Erfolg hat, sollten die Maßnahmen regelmäßig überprüft werden. Eine laufende Kontrolle gibt Ihnen die Möglichkeit, Fehler frühzeitig aufzudecken und nachzubessern. Infrage kommen interne und externe Prüfungen:
- Interne Audits: Verantwortliche im Unternehmen prüfen in festgelegten Abständen (z. B. einmal im Quartal), ob die Richtlinien zur Rechtssicherheit eingehalten werden.
- Externe Audits: Spezialisierte Anbieter überprüfen Ihre Compliance-Maßnahmen unabhängig und unterstützen Sie bei der Erstellung von Best Practices für Ihr Unternehmen.
Konsequentes Monitoring stellt sicher, dass die Compliance-Anforderungen nicht nur auf dem Papier bestehen, sondern dauerhaft im Unternehmen umgesetzt werden.
5. Wer Sie beim Aufbau Ihrer KI-Compliance unterstützen kann
Eine professionelle KI-Compliance hilft Ihnen dabei, Ihr Unternehmen abzusichern und das Risiko von Verstößen gegen gesetzliche Vorgaben zu reduzieren. Allein müssen Sie diese aber nicht aufbauen. Auch ein externer Datenschutzbeauftragter kann als KI-Compliance-Beauftragter für Fragen rund um KI-VO und DSGVO in Ihrem Unternehmen fungieren.
Er unterstützt Geschäftsleitung und Vorstand beispielsweise bei der Prüfung und Optimierung von Datenschutz-Prozessen, beim Compliance Management, der Kommunikation mit Aufsichtsbehörden und bei KI-Compliance-Schulungen von Mitarbeitenden.
Sind Sie auf der Suche nach einem KI-Compliance-Beauftragten, übernimmt das eRecht24 Partnerunternehmen Legaltrust in der Compliance-Beratung folgende Aufgaben für Sie:
- Risikoklassifizierung der eingesetzten KI-Systeme (Einordnung, ob ein System verboten, hochriskant oder risikoarm ist)
- Aufstellung der rechtlichen Pflichten als KI-Betreiber (Sie nutzen KI) oder KI-Anbieter (Sie entwickeln oder vertreiben KI)
- Aufbau eines KI-Managementsystems
Mit eRecht24 und Legaltrust machen Sie Ihr Unternehmen compliant. Mehr zum Thema Compliance-Beratung lesen Sie in unserem Beitrag “Compliance im Unternehmen aufbauen: So hilft eine Compliance-Beratung”.
6. Fazit: KI-Compliance aufbauen und Unternehmen absichern
Künstliche Intelligenz bringt enorme Vorteile, aber auch rechtliche und ethische Fragestellungen mit sich. KI-Compliance sorgt dafür, dass sämtliche KI-Systeme verantwortungsvoll und rechtssicher im Unternehmen eingesetzt werden. Das ist nicht nur, aber ganz besonders wichtig, wenn Sie Hochrisiko-KI-Systeme nutzen oder selbst KI-Anwendungen entwickeln.
Bauen Sie Ihre AI-Compliance Schritt für Schritt auf: Analysieren Sie die Risiken der eingesetzten Tools, setzen Sie eine KI-Richtlinie auf, schulen Sie Ihr Team, dokumentieren Sie Einsatz, Kompetenzen und potenzielle Gefahren und ergreifen Sie entsprechende Schutzmaßnahmen (z. B. keine Eingabe vertraulicher Interna, Verbot bestimmter Tools/Praktiken).
Mit eRecht24 PREMIUM liefern wir Ihnen die passenden Werkzeuge: z. B. einen umfangreichen KI-Guide, einen Generator, um Ihre Mitarbeiter-KI-Richtlinie zu erstellen, unseren Premium-KI-Check und mehrere KI-Webinare, die die einzelnen Schritte vertiefen.
7. FAQ: Häufig gestellte Fragen zur KI-Compliance
