Eine KI-Richtlinie ist ein Regelwerk, das festlegt, wie, warum und unter welchen Bedingungen Ihr Unternehmen künstliche Intelligenz einsetzen darf. Gemäß der EU-KI-Richtlinie (Verordnung (EU) 2024/1689) ist sie der praktischste Weg, einer Aufsichtsbehörde nachzuweisen, dass Sie wissen, welche KI-Systeme Sie betreiben, wie diese klassifiziert sind und wer dafür verantwortlich ist. Sie ist zwar kein gesetzlich vorgeschriebenes Dokument, aber ohne sie können Sie die Einhaltung der KI-Richtlinie, der DSGVO oder des niederländischen Arbeitsrechts nicht nachweisen.
Künstliche Intelligenz hat sich von der IT-Abteilung in alltägliche Geschäftsprozesse verlagert. Generative Tools entwerfen Korrespondenz, Recruiting-Software bewertet Kandidaten, Serviceplattformen beantworten Kundenanfragen und Finanzsysteme kennzeichnen Transaktionen. Vieles davon geschieht durch Funktionen, die stillschweigend in bereits lizenzierte Software integriert werden, und durch öffentliche Tools, die Mitarbeiter eigeninitiativ nutzen. Dieser Artikel erläutert, was eine praktikable KI-Richtlinie beinhaltet, welche Verpflichtungen bereits gelten und welche verschoben wurden, und wie man eine solche Richtlinie erstellt, ohne dass sie zu einem Dokument verkommt, das niemand liest.
Was eine KI-Richtlinie ist und warum sie notwendig ist
Eine KI-Richtlinie übersetzt externe rechtliche Vorgaben in konkrete Arbeitsanweisungen, die Mitarbeiter beispielsweise dienstagsmorgens befolgen können. Sie legt fest, welche Systeme in ihren Geltungsbereich fallen, welche Daten eingegeben werden dürfen, wer über die Anschaffung neuer Tools entscheidet, wann eine menschliche Überprüfung der Ergebnisse erforderlich ist und was im Fehlerfall geschieht. Das Management nutzt dasselbe Dokument, um den Überblick zu behalten, da sich die Technologie schneller weiterentwickelt als der Beschaffungszyklus.
Das Risiko, dies unreguliert zu lassen, ist konkret und nicht theoretisch. Mitarbeiter fügen Kundendaten oder Vertragsentwürfe in Chatbots für Endkunden ein. Ein Auswahltool filtert systematisch eine Gruppe von Bewerbern heraus. Ein generierter Text wird als Fakt veröffentlicht und erweist sich später als falsch. Jedes dieser Probleme ist in erster Linie ein rechtliches und in zweiter Linie ein technisches Problem, und in jedem Fall trägt die Organisation, die das System implementiert hat, die Verantwortung, nicht der Anbieter, der es entwickelt hat.
Der rechtliche Rahmen: EU-KI-Gesetz, DSGVO und niederländisches Arbeitsrecht
Drei Regelwerke gelten gleichzeitig, und eine KI-Richtlinie, die nur eines davon berücksichtigt, ist unvollständig. Das KI-Gesetz regelt das System: wie es aufgebaut, dokumentiert, überwacht und erläutert wird. Die Datenschutz-Grundverordnung (DSGVO) regelt die Daten, die durch das System fließen. Das niederländische Arbeitsrecht regelt, was Sie mit Ihren eigenen Mitarbeitern tun dürfen.
Das KI-Gesetz verfolgt einen risikobasierten Ansatz. Einige wenige Praktiken sind gänzlich verboten, darunter Social Scoring und bestimmte manipulative oder ausbeuterische Techniken; mehr dazu erfahren Sie in unserem Artikel über verbotene KI-Praktiken . Eine definierte Gruppe von Anwendungen gilt als risikoreiche KI , insbesondere Personalbeschaffung und -auswahl, Entscheidungen über Beförderung und Kündigung, Bonitätsprüfung und der Zugang zu wichtigen öffentlichen und privaten Dienstleistungen. Für diese Systeme schreibt das Gesetz ein Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber dem Anwender, menschliche Aufsicht sowie ein dem Zweck angemessenes Maß an Genauigkeit und Robustheit vor. Alle anderen Anwendungen unterliegen im Wesentlichen Transparenzpflichten oder gar keinen spezifischen Verpflichtungen des KI-Gesetzes.
Die DSGVO gilt uneingeschränkt überall dort, wo personenbezogene Daten verarbeitet werden. Die wichtigsten Grundsätze für KI-Projekte sind Zweckbindung und Datenminimierung, die Notwendigkeit einer Rechtsgrundlage sowohl für das Training als auch für die Nutzung sowie Artikel 22, der Entscheidungen einschränkt, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Folgen haben oder eine Person in ähnlicher Weise erheblich beeinträchtigen. Wenn ein System voraussichtlich ein hohes Risiko für Einzelpersonen birgt, schreibt Artikel 35 eine Datenschutz-Folgenabschätzung vor der Implementierung vor. Unser Artikel zur Nutzung von KI in Ihrem niederländischen Unternehmen erläutert diese Verpflichtungen detaillierter.
Die niederländische Ebene wird am häufigsten übersehen. Gemäß Artikel 27 des Wet op de ondernemingsraden (Betriebsratsgesetz) hat der Betriebsrat ein Zustimmungsrecht für alle Regelungen zur Verarbeitung und zum Schutz personenbezogener Daten von Beschäftigten sowie für alle Regelungen über Einrichtungen, die zur Beobachtung oder Überwachung der Anwesenheit, des Verhaltens oder der Leistung von Beschäftigten bestimmt oder geeignet sind. Eine KI-Richtlinie, die Überwachung, Produktivitätsanalysen oder die automatisierte Beurteilung von Beschäftigten regelt, fällt in der Regel unter diese Bestimmung. Eine ohne die erforderliche Zustimmung getroffene Entscheidung kann vom Betriebsrat für ungültig erklärt werden, wodurch die Konsultation zu einer Frage der Reihenfolge und nicht nur zu einer Formalität wird.
Welche Fristen des AI Act gelten jetzt und welche haben sich verschoben?
Das KI-Gesetz trat am 1. August 2024 in Kraft und wird stufenweise angewendet. Die Verbote risikobehafteter Praktiken und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025. Die Pflichten für Anbieter allgemeiner KI-Modelle sowie die Bestimmungen zu Governance und Sanktionen gelten seit dem 2. August 2025. Der allgemeine Anwendungszeitpunkt war der 2. August 2026, und ab diesem Datum gelten die Transparenzpflichten gemäß Artikel 50: Nutzer müssen darüber informiert werden, wenn sie mit einem KI-System interagieren, und KI-generierte oder -manipulierte Inhalte müssen als solche gekennzeichnet werden.
Ein Pflichtenblock wurde verschoben. Die Verordnung (EU) 2026/1744, der KI-Teil des digitalen Omnibus der Europäischen Kommission, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Sie verschiebt die Anwendung der Hochrisikoregelung für die in Anhang III aufgeführten eigenständigen Systeme (Beschäftigung, Bildung, Kreditwesen und wesentliche Dienstleistungen) auf den 2. Dezember 2027. Für KI, die als Sicherheitskomponente in Produkten fungiert, die bereits unter das Harmonisierungsrecht der Union fallen (Anhang I), gilt der 2. August 2028 als Stichtag. Dieselbe Verordnung lockert die Pflicht zur KI-Kompetenz. Anbieter und Anwender müssen nun Maßnahmen ergreifen, um ein ausreichendes Maß an KI-Kompetenz zu fördern, anstatt es zu garantieren.
Die praktische Auslegung ist eindeutig: Die Verbote, die allgemeinen KI-Regeln und die Transparenzpflichten sind bereits heute durchsetzbar, die umfangreichen Compliance-Vorgaben für Hochrisikosysteme treten jedoch erst Ende 2027 in Kraft. Dies ist eine Vorbereitungsphase, keine Aufschubfrist. Organisationen, die sich jetzt für ein System zur Personalbeschaffung oder Bonitätsprüfung entscheiden, werden dieses auch im Dezember 2027 noch nutzen, und der heute unterzeichnete Lieferantenvertrag entscheidet darüber, ob die Dokumentations-, Protokollierungs- und Überwachungsfunktionen bis dahin vorhanden sind.
Geltungsbereich und Inhalt: Was die Police abdecken muss
Definieren Sie den Geltungsbereich, bevor Sie auch nur eine einzige Regel formulieren, denn eine KI-Richtlinie, die niemand auf seine eigene Situation anwenden kann, ist schlimmer als gar keine. Die Richtlinie sollte die betroffenen Abteilungen benennen, typischerweise Personalwesen, Marketing, Kundenservice, Finanzen, Betrieb, Recht sowie Forschung und Entwicklung, und die Systemkategorien auflisten: gekaufte KI-Software, in bestehende Plattformen integrierte KI-Funktionen, intern entwickelte Modelle, generative Assistenten, Chatbots, Bewertungs- und Ranking-Tools sowie Empfehlungssysteme.
Zwei Grenzfragen bedürfen einer klaren Antwort. Erstens: Dürfen Mitarbeitende öffentliche KI-Tools privat für die Arbeit nutzen und unter welchen Bedingungen? Zweitens: Was geschieht mit KI-Funktionen, die in bereits genutzter Software auftauchen, ohne dass eine Kaufentscheidung getroffen wurde und oft ohne Benachrichtigung? Beides sind Wege, auf denen KI unbemerkt in ein Unternehmen gelangt, und beide werden entweder durch Richtlinien geregelt oder sind völlig unreguliert.
Beginnen Sie mit Definitionen, die dem allgemeinen Begriff eines KI-Systems im KI-Gesetz entsprechen, aber in einer für Mitarbeiter verständlichen Sprache verfasst sind und durch Beispiele aus der eigenen Abteilung untermauert werden. Jemand aus der Personalabteilung sollte ohne Rücksprache mit der Rechtsabteilung beurteilen können, ob das vorliegende Tool unter die Richtlinien fällt.
Unterteilen Sie die Nutzung anschließend in drei Kategorien. Verbotene Nutzung umfasst die im KI-Gesetz untersagten Praktiken sowie alle Anwendungen, gegen die sich die Organisation aus eigenen Gründen entschieden hat. Bedingte Nutzung umfasst alle zulässigen Nutzungen unter Einhaltung bestimmter Schutzmaßnahmen: einer dokumentierten Risikoklassifizierung, einer Datenschutz-Folgenabschätzung (sofern nach DSGVO erforderlich), der Genehmigung durch eine benannte Person sowie vereinbarter technischer und organisatorischer Maßnahmen. Zulässige Nutzung umfasst Anwendungen mit geringem Risiko, die lediglich den allgemeinen Regeln zu Vertraulichkeit und Überprüfung unterliegen. Die Kategorien sind nur dann praktikabel, wenn die Richtlinie auch festlegt, wer eine Anwendung von einer Kategorie in eine andere verschiebt und auf welcher Grundlage dies geschieht.
Governance ist der entscheidende Faktor für die Umsetzung der übrigen Maßnahmen. Die letztendliche Verantwortung für die Einhaltung der KI-Vorgaben sollte – üblicherweise auf Vorstandsebene – festgelegt werden. Ebenso sollten die Rollen definiert werden, die neue Anwendungen auswählen und genehmigen, das Systeminventar verwalten und Vorfälle bearbeiten. Auch das Lieferantenmanagement gehört dazu. Bei Systemen mit hohem Risiko sollte der Vertrag den Anbieter verpflichten, technische Dokumentation, Gebrauchsanweisungen, Protokollierungsfunktionen und alle Informationen bereitzustellen, die der Anwender für seine eigene Bewertung benötigt. Zudem sollte die Verantwortung für Änderungen, die den vorgesehenen Zweck des Systems verändern, klar geregelt sein.
Daten, Datenschutz, Sicherheit und Transparenz
Da ein KI-System nur so rechtmäßig ist wie die Daten, mit denen es arbeitet, sollte die Richtlinie festlegen, welche Daten in welches System eingegeben werden dürfen und welche nicht. Vertrauliche Geschäftsinformationen, Kundendateien, besondere Kategorien personenbezogener Daten und alle Daten, die der beruflichen Schweigepflicht unterliegen, gehören grundsätzlich nicht in ein öffentliches Tool. Legen Sie fest, wo Anonymisierung oder Pseudonymisierung erforderlich ist, wie lange Eingabe- und Ausgabedaten gespeichert werden und wie Trainingsdaten von Produktionsdaten getrennt aufbewahrt werden. Wenn personenbezogene Daten betroffen sind, sollten die Bewertung nach der DSGVO und die Klassifizierung nach dem KI-Gesetz am besten in einem einzigen Verfahren durchgeführt werden; sie stellen unterschiedliche Fragen zum selben System.
Die Sicherheit erfolgt nach den üblichen Regeln. Zugriffsrechte werden rollenbasiert vergeben, die Nutzung wird protokolliert, und KI-Vorfälle werden in das bestehende Verfahren für Vorfälle und Datenschutzverletzungen eingebunden, anstatt in einem separaten, in Vergessenheit geratenen Verfahren behandelt zu werden. Eine Verletzung des Schutzes personenbezogener Daten muss der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) unverzüglich und, soweit möglich, innerhalb von 72 Stunden nach Kenntniserlangung gemeldet werden.
Transparenz ist nunmehr eine operative Pflicht und nicht mehr nur ein guter Vorsatz. Seit dem 2. August 2026 schreibt Artikel 50 des KI-Gesetzes vor, dass Personen informiert werden müssen, wenn sie mit einem KI-System interagieren, es sei denn, dies ergibt sich aus den Umständen ohnehin. Synthetische Audio-, Bild-, Video- und Textinhalte müssen maschinenlesbar gekennzeichnet werden. Systeme zur Emotionserkennung und biometrischen Kategorisierung unterliegen einer eigenen Benachrichtigungspflicht. Dies lässt sich in konkrete Anweisungen übersetzen: Was sagt der Chatbot in seiner Begrüßungsnachricht? Wie werden KI-gestützte Inhalte gekennzeichnet? Und was wird Bewerbern über die Rolle der KI im Auswahlverfahren mitgeteilt?
Menschliche Aufsicht, Voreingenommenheit und KI-Kompetenz
Bei jedem System, das Auswirkungen auf Personen hat, muss die Richtlinie festlegen, wann eine menschliche Entscheidung getroffen wird und welche Möglichkeiten diese Person hat. Eine sinnvolle Kontrolle bedeutet, dass der Prüfer die Grenzen des Systems versteht, dessen Ergebnisse interpretieren kann und die Befugnis sowie die Zeit hat, diese zu ignorieren. Ein Unterschriftenfeld in einem Arbeitsablauf stellt keine Kontrolle dar. Gemäß Artikel 22 DSGVO darf eine Entscheidung, die rechtliche Folgen hat oder eine Person in ähnlicher Weise erheblich beeinträchtigt, nicht ausschließlich auf einer automatisierten Verarbeitung beruhen, außer in bestimmten Fällen. Auch dann behält die betroffene Person das Recht, eine menschliche Intervention zu verlangen, ihren Standpunkt darzulegen und die Entscheidung anzufechten.
Die Überprüfung auf Voreingenommenheit sollte als wiederkehrende Verpflichtung mit einem benannten Verantwortlichen in die Unternehmensrichtlinien aufgenommen werden. Systeme, die bei der Personalbeschaffung, Leistungsbeurteilung, Einarbeitung und Kreditentscheidungen eingesetzt werden, sollten regelmäßig auf unterschiedliche Ergebnisse und Fehlerraten zwischen verschiedenen Gruppen geprüft und die Ergebnisse dokumentiert werden. Diese Dokumentation ist in zweierlei Hinsicht wichtig: Sie dient als Grundlage für die Unterlagen gemäß dem Antidiskriminierungsgesetz und liefert dem Arbeitgeber die notwendigen Beweise, falls ein abgelehnter Bewerber Diskriminierung nach dem Gleichbehandlungsgesetz geltend macht, da eine unerklärte Ungleichbehandlung die Beweislast auf den Arbeitgeber verlagern kann.
Das KI-Gesetz verpflichtet Anbieter und Anwender, Maßnahmen zu ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei den Mitarbeitern zu fördern, die mit diesen Systemen arbeiten. Dabei sind deren technisches Wissen, Erfahrung und der jeweilige Nutzungskontext zu berücksichtigen. Es geht um Verständnis, nicht um Expertise. Mitarbeiter sollten ein KI-System erkennen, seine Zuverlässigkeit und seine Grenzen einschätzen und wissen, wann sie Probleme eskalieren müssen.
In der Praxis bedeutet dies ein Basismodul für alle Mitarbeitenden und vertiefende Schulungen für die risikobehafteten Rollen: Personalabteilung, IT- und Datenteams, Einkauf, Compliance und Management. Dokumentieren Sie, wer wann geschult wurde. Wiederholen Sie die Schulung, wenn ein wichtiges neues System eingeführt oder der rechtliche Rahmen geändert wird, was in diesem Bereich häufig vorkommt.
Wer überwacht das KI-Gesetz in den Niederlanden?
Die Aufsicht wird durch bestehende Regulierungsbehörden und nicht durch eine einzelne neue Behörde organisiert. Die Regierung veröffentlichte am 20. April 2026 den Entwurf des „Uitvoeringswet AI-verordening“ (Gesetz zur Umsetzung der KI-Regulierung) zur öffentlichen Konsultation. Die Konsultationsfrist läuft bis zum 1. Juni 2026. Laut Entwurf übernimmt die „Rijksinspectie Digitale Infrastructuur“ (Niederländische Behörde für digitale Infrastruktur) eine koordinierende Rolle, die „Autoriteit Persoonsgegevens“ fungiert als Aufsichtsbehörde, sofern keine Branchenaufsichtsbehörde benannt ist, und die bestehenden Branchenaufsichtsbehörden behalten ihre Zuständigkeitsbereiche. Das Gesetz ist noch nicht verabschiedet, und sein Inkrafttreten wird per königlichem Dekret festgelegt; bis dahin ist die Verteilung der nationalen Durchsetzungsbefugnisse noch nicht endgültig. Die Höchststrafen ergeben sich jedoch aus dem KI-Gesetz selbst, wobei die höchste Stufe von bis zu sieben Prozent des weltweiten Jahresumsatzes für verbotene Praktiken vorgesehen ist.
Von der ersten Bestandsaufnahme bis hin zu einer funktionierenden KI-Strategie
Eine Richtlinie, die vor der Bestandsaufnahme erstellt wird, verbietet oft Dinge, die niemand tut, und erlaubt Dinge, die niemand überprüft hat. Beginnen Sie damit, herauszufinden, was tatsächlich genutzt wird, einschließlich KI-Funktionen in bestehender Software und der von Mitarbeitern selbst eingeführten Tools. Eine kurze, vertrauliche Umfrage führt in der Regel zu mehr Ergebnissen als eine formelle Anfrage an die Abteilungsleiter.
Klassifizieren Sie anschließend jede Anwendung: verboten, hohes Risiko gemäß Anhang III, Transparenzpflichten unterliegend oder geringes Risiko. Bewerten Sie dann das rechtliche und organisatorische Risiko der relevanten Anwendungen. Kombinieren Sie dabei die Klassifizierung nach dem KI-Gesetz mit der Analyse gemäß DSGVO und, falls Mitarbeiter betroffen sind, mit arbeitsrechtlichen und betriebswirtschaftlichen Fragen. Erst dann erstellen Sie die Richtlinie und stimmen Sie diese mit den bestehenden Rahmenbedingungen für Datenschutz, Informationssicherheit, Beschaffung und Personalwesen ab, anstatt ein separates Regelwerk zu verfassen.
Die Umsetzung ist oft der Knackpunkt bei Richtlinien. Die Regeln müssen dort greifen, wo Entscheidungen getroffen werden: in Beschaffungsvorlagen und Lieferantenverträgen, im Einführungsprozess neuer Software, im Einstellungsverfahren, im Störungsmanagement und im Schulungskalender. Legen Sie außerdem einen Überprüfungszyklus fest. Führen Sie mindestens jährlich eine Überprüfung durch, und zwar immer dann, wenn ein bedeutendes neues System eingeführt wird, sich der Rechtsrahmen ändert oder ein Vorfall eingetreten ist.
Drei Dinge sollten Sie vor Quartalsende erledigen: Prüfen Sie, ob Ihre Anwendungen gegen die verbotenen Praktiken verstoßen, da diese Regeln seit Februar 2025 gelten. Stellen Sie sicher, dass Ihre kundenorientierten und inhaltserstellenden Systeme die Transparenzpflichten gemäß Artikel 50 erfüllen, die am 2. August 2026 in Kraft getreten sind. Und prüfen Sie, ob Systeme, die in die Hochrisikokategorie von Anhang III fallen, vertraglich die Anforderungen von Dezember 2027 erfüllen können, da eine Neuverhandlung im Jahr 2027 deutlich teurer sein wird als eine Vereinbarung jetzt.
Law & More Wir beraten Organisationen bei der Klassifizierung von KI-Systemen, bei der Erstellung und Umsetzung von KI-Richtlinien, bei Lieferanten- und Lizenzverträgen für KI-Anwendungen sowie bei den damit verbundenen datenschutz- und arbeitsrechtlichen Fragen. IT-Anwälte Gerne analysieren wir Ihre aktuelle Situation und zeigen Ihnen auf, wo Verbesserungspotenzial besteht. Bitte kontaktieren Sie uns, um Ihre Lage zu besprechen.
FAQ
Ist eine KI-Richtlinie gemäß dem EU-KI-Gesetz obligatorisch?
Das EU-KI-Gesetz schreibt Organisationen nicht ausdrücklich ein Dokument mit dem Titel „KI-Richtlinie“ vor. In der Praxis ist eine KI-Richtlinie jedoch unerlässlich, um die Einhaltung der durch das KI-Gesetz und die DSGVO auferlegten Verpflichtungen nachzuweisen, wie beispielsweise Risikomanagement, menschliche Aufsicht, Transparenz und KI-Kompetenz.
Welche Organisationen unterliegen dem EU-KI-Gesetz?
Der EU-KI-Gesetzentwurf gilt für nahezu alle Organisationen, die KI-Systeme innerhalb der Europäischen Union entwickeln, in Verkehr bringen oder nutzen. Dies umfasst nicht nur Technologieunternehmen, sondern auch Arbeitgeber, Dienstleister und Organisationen, die KI in den Bereichen Personalwesen, Marketing, Kundeninteraktion, Finanzen oder Entscheidungsfindung einsetzen.
Gilt der EU-KI-Gesetzentwurf auch, wenn wir ausschließlich handelsübliche Standardsoftware verwenden?
Ja. Auch wenn KI-Funktionen in Software von Drittanbietern eingebettet sind, bleibt die Organisation, die das System nutzt, für dessen Verwendung verantwortlich. Die Nutzung eines Anbieters entbindet den Nutzer nicht von seinen Pflichten gemäß EU-KI-Gesetz und DSGVO.
Worin besteht der Unterschied zwischen KI-Systemen mit niedrigem, begrenztem und hohem Risiko?
Der EU-KI-Gesetzentwurf klassifiziert KI-Systeme nach dem Risiko, das sie für die Grundrechte und Interessen von Einzelpersonen darstellen. Zu den risikoreichen KI-Systemen zählen Systeme, die für Personalbeschaffung und -auswahl, Mitarbeiterbeurteilung, Bonitätsprüfungen oder den Zugang zu grundlegenden Dienstleistungen eingesetzt werden. Für diese Systeme gelten deutlich strengere Anforderungen.
Müssen alle KI-Anwendungen im Voraus bewertet werden?
In der Praxis ja. Organisationen sollten KI-Anwendungen vor der Implementierung erfassen, bewerten und nach Risiko einstufen. Bei risikoreicher KI ist eine gründliche Bewertung erforderlich, häufig in Kombination mit einer Datenschutz-Folgenabschätzung gemäß DSGVO.
In welchem Verhältnis steht eine KI-Richtlinie zur DSGVO?
Das EU-KI-Gesetz und die DSGVO ergänzen sich. Während sich das KI-Gesetz auf Governance, Risikomanagement und die Funktionsweise von KI-Systemen konzentriert, regelt die DSGVO die Verarbeitung personenbezogener Daten. Eine wirksame KI-Richtlinie integriert beide Rahmenbedingungen und gewährleistet die durchgängige Einhaltung der Vorschriften.
Ist eine Datenschutz-Folgenabschätzung bei der Verwendung von KI immer erforderlich?
Nicht immer, aber häufig. Verarbeitet ein KI-System personenbezogene Daten und birgt dies voraussichtlich ein hohes Risiko für Einzelpersonen, ist eine Datenschutz-Folgenabschätzung (DSFA) gemäß DSGVO obligatorisch. Im Falle von risikoreicher KI nach dem EU-KI-Gesetz ist eine DSFA in der Praxis oft unumgänglich.
Können KI-Systeme autonome Entscheidungen über Mitarbeiter oder Kunden treffen?
Nur unter strengen Auflagen. Die DSGVO schränkt vollautomatisierte Entscheidungsfindung ein, und das EU-KI-Gesetz schreibt eine sinnvolle menschliche Aufsicht für risikoreiche KI-Systeme vor. In vielen Fällen muss ein Mensch in der Lage sein, KI-gestützte Entscheidungen zu überprüfen oder außer Kraft zu setzen.
Kann eine KI-Richtlinie die Nutzung öffentlicher KI-Tools durch Mitarbeiter einschränken?
Ja. Eine der Hauptaufgaben einer KI-Richtlinie besteht darin, festzulegen, ob und unter welchen Bedingungen Mitarbeiter öffentliche KI-Tools nutzen dürfen. Dies umfasst typischerweise Regeln für die Eingabe vertraulicher Informationen, personenbezogener Daten oder sensibler Geschäftsinformationen.
Wer ist für die Einhaltung der KI-Richtlinie verantwortlich?
Die KI-Richtlinie sollte die Verantwortlichkeiten für die Einhaltung der KI-Richtlinien klar regeln. Die letztendliche Verantwortung liegt in der Regel bei der Geschäftsleitung oder dem Aufsichtsrat, wobei den Abteilungen Recht, Compliance, IT und Personal wichtige Rollen zukommen. Ohne klare Governance ist eine effektive Überwachung unwahrscheinlich.
Welche Risiken bestehen, wenn eine Organisation keine KI-Richtlinie hat?
Das Fehlen einer KI-Richtlinie erhöht das Risiko der Nichteinhaltung des EU-KI-Gesetzes und der DSGVO. Dies kann zu erheblichen Bußgeldern, behördlichen Maßnahmen, Reputationsschäden und potenziellen zivilrechtlichen Haftungsansprüchen führen. Zudem erschwert es den Aufsichtsbehörden den Nachweis einer verantwortungsvollen KI-Governance.
Wie oft sollte eine KI-Richtlinie überprüft werden?
Eine KI-Richtlinie sollte nicht als statisches Dokument betrachtet werden. Regelmäßige Überprüfungen sind notwendig, insbesondere bei der Einführung neuer KI-Systeme, Änderungen von Gesetzen oder regulatorischen Vorgaben oder dem Auftreten von Vorfällen. Eine jährliche Überprüfung gilt oft als Minimum.
Sind KI-Kenntnisse für alle Mitarbeiter erforderlich?
Der EU-KI-Gesetzentwurf verpflichtet Organisationen, Maßnahmen zur Förderung von KI-Kompetenzen zu ergreifen. Dies bedeutet nicht, dass jeder Mitarbeiter ein technischer Experte werden muss, aber er sollte verstehen, was KI ist, wie sie in der Organisation eingesetzt wird und welche Risiken damit verbunden sind.
Wann ist es ratsam, Rechtsberatung in Anspruch zu nehmen?
Rechtliche Beratung ist besonders ratsam beim Einsatz risikoreicher KI-Systeme, bei Unsicherheiten hinsichtlich der Rechtmäßigkeit bestimmter Anwendungen oder bei Fragen zu Durchsetzung, Prüfungen oder Haftung. Eine frühzeitige rechtliche Prüfung kann spätere, kostspielige Korrekturmaßnahmen verhindern.
