KI-Richtlinien in Unternehmen: Wie Sie Ihr Unternehmen auf den EU-KI-Gesetzentwurf vorbereiten
Künstliche Intelligenz (KI) entwickelt sich rasant und ist längst fester Bestandteil des Geschäftsalltags. Von generativen KI-Tools und Chatbots bis hin zu Systemen für Recruiting, Kundenanalyse und Entscheidungsfindung – immer mehr Unternehmen setzen auf KI-Systeme, oft ohne sich der damit verbundenen rechtlichen und organisatorischen Verpflichtungen vollständig bewusst zu sein.
Mit dem EU-KI-Gesetz ändert sich dies grundlegend. Von Organisationen wird erwartet, dass sie fundierte Entscheidungen über den Einsatz von KI treffen und die damit verbundenen Risiken aktiv managen. Dieser Artikel erklärt, wie Sie eine praxisnahe, umsetzbare und rechtssichere KI-Richtlinie entwickeln, damit Ihre Organisation auf das EU-KI-Gesetz vorbereitet ist und weiterhin bestehende Vorschriften wie die Datenschutz-Grundverordnung (DSGVO) einhält.
Was ist eine KI-Politik und warum ist sie notwendig?
Eine KI-Richtlinie ist ein Regelwerk, das festlegt, wie, warum und unter welchen Bedingungen KI innerhalb der Organisation eingesetzt werden darf. Sie dient als Leitfaden für die Mitarbeitenden und unterstützt das Management dabei, den Überblick und die Kontrolle über die technologische Entwicklung zu behalten.
Künstliche Intelligenz (KI) beschränkt sich nicht mehr auf IT-Abteilungen oder große Technologieunternehmen. Viele KI-Funktionen sind in bestehende Software wie CRM-Systeme, HR-Tools und Marketingplattformen integriert. Auch experimentieren Mitarbeiter häufig eigenständig mit öffentlich zugänglichen KI-Tools. Ohne klare Richtlinien kann dies zu Datenschutzverletzungen, Diskriminierung, mangelnder Transparenz oder fehlerhaften Entscheidungen führen.
Das EU-KI-Gesetz und die DSGVO legen Organisationen klare Verantwortlichkeiten auf. Dazu gehören Pflichten in Bezug auf Risikomanagement, Datennutzung, menschliche Aufsicht und Transparenz. Eine gut konzipierte KI-Richtlinie trägt dazu bei, diese Anforderungen in die tägliche Praxis umzusetzen.
Der rechtliche Rahmen: EU-KI-Gesetz, DSGVO und Beschäftigung Rechtswesen
Der EU-KI-Gesetzentwurf verfolgt einen risikobasierten Ansatz. KI-Systeme werden in verschiedene Kategorien eingeteilt, von minimalem bis hin zu inakzeptablem Risiko. Für risikoreiche KI-Anwendungen, wie beispielsweise Systeme für Personalbeschaffung und -auswahl, Kreditwürdigkeitsprüfung oder andere Entscheidungen mit erheblichen Auswirkungen auf Einzelpersonen, gelten strenge Anforderungen.
Diese Anforderungen umfassen unter anderem Risikomanagement und Dokumentation, die Qualität und Herkunft der Daten, Transparenz hinsichtlich der Funktionsweise und der Grenzen des Systems sowie eine effektive menschliche Aufsicht mit Interventionsmöglichkeiten. Bestimmte KI-Praktiken sind gänzlich verboten, darunter spezifische Formen manipulativer KI und Social Scoring.
Darüber hinaus bleibt die DSGVO uneingeschränkt anwendbar. Wenn KI-Systeme personenbezogene Daten verarbeiten, sind Kernprinzipien wie Datenminimierung, Rechtmäßigkeit, Sicherheit und Beschränkungen automatisierter Entscheidungsfindung besonders relevant. Arbeitsrechtliche und verbraucherschutzrechtliche Bestimmungen können ebenfalls Anwendung finden, beispielsweise bei KI-Anwendungen im Personalwesen oder im Kundenkontakt. Eine KI-Richtlinie verknüpft diese rechtlichen Anforderungen mit dem täglichen Geschäftsbetrieb.
Zweck und Umfang einer starken KI-Politik
Eine wirksame KI-Richtlinie ist kein theoretisches Dokument, sondern ein praktischer Kompass für alle, die mit KI arbeiten. Sie sollte erläutern, warum das Unternehmen KI einsetzt, welche Ziele damit verfolgt werden, welche Risiken bestehen und wie Mitarbeiter KI-Tools verantwortungsvoll nutzen sollen.
Die Festlegung des Geltungsbereichs ist entscheidend. Die Richtlinie sollte festlegen, für welche Abteilungen sie gilt, beispielsweise Personalwesen, Marketing, Kundenservice, Finanzen, operative Bereiche sowie Forschung und Entwicklung. Sie sollte außerdem klären, welche Systemtypen unter die Richtlinie fallen, darunter gekaufte KI-Software, interne Modelle, generative KI-Tools, Chatbots, Bewertungsinstrumente und Empfehlungssysteme. Schließlich sollte sie regeln, ob und unter welchen Bedingungen individuelle Experimente mit öffentlichen KI-Tools zulässig sind.
Schlüsselkomponenten einer KI-Politik
Eine KI-Richtlinie sollte mit klaren Definitionen beginnen, die sich am weiten KI-Begriff des EU-KI-Gesetzes orientieren, aber in einer für Mitarbeitende verständlichen Sprache verfasst sind. Mitarbeitende sollten erkennen können, wann sie ein KI-System nutzen, das unter die Richtlinie fällt. Praxisbeispiele aus verschiedenen Bereichen wie Personalwesen, Kundeninteraktion und internen Prozessen veranschaulichen dies.
Die Richtlinie sollte zwischen zulässiger, bedingter und verbotener KI-Nutzung unterscheiden. Verbotene Nutzung umfasst KI-Praktiken, die gemäß EU-KI-Gesetzgebung als inakzeptables Risiko eingestuft werden. Für Anwendungsfälle mit geringem Risiko kann die Richtlinie Bedingungen wie Transparenzpflichten oder vorherige Genehmigung vorsehen. Zulässige Nutzung kann an Schutzmaßnahmen wie Risikobewertung, Datenschutz-Folgenabschätzung und zusätzliche technische und organisatorische Vorkehrungen geknüpft sein.
Governance ist ein weiteres Kernelement. Die Richtlinie sollte klar definieren, wer letztendlich für die Einhaltung der KI-Vorschriften verantwortlich ist, wer zur Auswahl oder Implementierung neuer KI-Anwendungen befugt ist und wer die Einhaltung sowie den Umgang mit Sicherheitsvorfällen überwacht. Auch die Auswahl von Anbietern und das Lieferantenmanagement sind wichtig. Organisationen sollten prüfen, ob Anbieter die Anforderungen des EU-KI-Gesetzes erfüllen können und sicherstellen, dass diese Verpflichtungen vertraglich angemessen abgebildet sind.
Daten, Datenschutz, Sicherheit und Transparenz
Da KI auf Daten basiert, sollte die Richtlinie festlegen, welche Daten durch KI-Systeme verarbeitet werden dürfen und welche nicht. Sie sollte Datenminimierung, gegebenenfalls Anonymisierung oder Pseudonymisierung, Aufbewahrungsfristen und die Trennung von Trainings- und Produktionsdaten regeln. Bei Hochrisikosystemen ist häufig eine kombinierte Bewertung erforderlich, die sowohl das EU-KI-Gesetz als auch die DSGVO berücksichtigt.
KI-Systeme und die von ihnen verwendeten Daten müssen angemessen geschützt werden. Die Richtlinie sollte beschreiben, wie Zugriffsrechte organisiert sind, wie die Nutzung protokolliert und überwacht wird und wie mit Vorfällen und Datenschutzverletzungen umgegangen wird.
Das EU-KI-Gesetz fordert Transparenz bei der Interaktion von Personen mit KI-Systemen oder bei der Erstellung von Inhalten durch KI. Die Richtlinie kann daher vorschreiben, dass Mitarbeiter, Kunden und andere Interessengruppen bei jeder Nutzung von KI über deren wichtigste Eigenschaften und Grenzen informiert werden.
Menschliche Aufsicht, Voreingenommenheit und Entscheidungsqualität
Für KI-Systeme mit erheblichen Auswirkungen auf Einzelpersonen ist menschliche Aufsicht unerlässlich. Die Richtlinie sollte festlegen, wann menschliche Aufsicht oder Entscheidungsfindung zwingend erforderlich ist und wie diese Aufsicht in der Praxis umgesetzt wird. Es empfiehlt sich außerdem, KI-Systeme regelmäßig auf Verzerrungen, Fehlerraten und unbeabsichtigte Folgen zu testen, insbesondere in Bereichen wie Personalwesen und Kundenintegration.
Schulung und KI-Kompetenz
Das EU-KI-Gesetz verpflichtet Organisationen zur Förderung von KI-Kompetenzen. Eine KI-Strategie sollte daher ein Schulungskonzept mit einem Basisniveau für alle Mitarbeitenden und weiterführenden Schulungen für spezifische Funktionen wie Personalwesen, IT, Datenteams und Management umfassen. Regelmäßige Aktualisierungen sind notwendig, um mit den technologischen und rechtlichen Entwicklungen Schritt zu halten.
Von der ersten Bestandsaufnahme bis hin zu einer ausgereiften KI-Strategie
Eine praktikable KI-Richtlinie wird typischerweise in Phasen entwickelt. Zunächst ermittelt das Unternehmen, welche KI-Anwendungen im Einsatz sind, einschließlich in bestehender Software integrierter KI-Funktionen und von Mitarbeitern genutzter Tools. Anschließend werden diese Anwendungen nach Risiko klassifiziert. Darauf folgt eine rechtliche und organisatorische Risikoanalyse. Im Anschluss wird die KI-Richtlinie entworfen und mit den bestehenden Datenschutz-, Informationssicherheits- und HR-Rahmenbedingungen abgestimmt. Die Richtlinie wird dann in Prozessen, Verträgen und Systemen implementiert. Schulungen, Kommunikation, Monitoring und regelmäßige Aktualisierungen gewährleisten schließlich die langfristige Wirksamkeit der Richtlinie.
Fazit
Der EU-KI-Gesetzentwurf stellt klar, dass unstrukturierte oder willkürliche KI-Experimente nicht mehr tragfähig sind. Organisationen, die frühzeitig in eine gut durchdachte KI-Strategie investieren, reduzieren ihr rechtliches Risiko und schaffen Vertrauen bei Mitarbeitern, Kunden und Aufsichtsbehörden.
Möchten Sie wissen, ob Ihre Organisation für den EU-KI-Gesetzentwurf gerüstet ist, oder benötigen Sie Unterstützung bei der Erstellung oder Umsetzung einer KI-Richtlinie? Kontaktieren Sie uns. Law & More. Wir helfen Ihnen gerne weiter.
FAQ
Ist eine KI-Richtlinie gemäß dem EU-KI-Gesetz obligatorisch?
Das EU-KI-Gesetz schreibt Organisationen nicht ausdrücklich ein Dokument mit dem Titel „KI-Richtlinie“ vor. In der Praxis ist eine KI-Richtlinie jedoch unerlässlich, um die Einhaltung der durch das KI-Gesetz und die DSGVO auferlegten Verpflichtungen nachzuweisen, wie beispielsweise Risikomanagement, menschliche Aufsicht, Transparenz und KI-Kompetenz.
Welche Organisationen unterliegen dem EU-KI-Gesetz?
Der EU-KI-Gesetzentwurf gilt für nahezu alle Organisationen, die KI-Systeme innerhalb der Europäischen Union entwickeln, in Verkehr bringen oder nutzen. Dies umfasst nicht nur Technologieunternehmen, sondern auch Arbeitgeber, Dienstleister und Organisationen, die KI in den Bereichen Personalwesen, Marketing, Kundeninteraktion, Finanzen oder Entscheidungsfindung einsetzen.
Gilt der EU-KI-Gesetzentwurf auch, wenn wir ausschließlich handelsübliche Standardsoftware verwenden?
Ja. Auch wenn KI-Funktionen in Software von Drittanbietern eingebettet sind, bleibt die Organisation, die das System nutzt, für dessen Verwendung verantwortlich. Die Nutzung eines Anbieters entbindet den Nutzer nicht von seinen Pflichten gemäß EU-KI-Gesetz und DSGVO.
Worin besteht der Unterschied zwischen KI-Systemen mit niedrigem, begrenztem und hohem Risiko?
Der EU-KI-Gesetzentwurf klassifiziert KI-Systeme nach dem Risiko, das sie für die Grundrechte und Interessen von Einzelpersonen darstellen. Zu den risikoreichen KI-Systemen zählen Systeme, die für Personalbeschaffung und -auswahl, Mitarbeiterbeurteilung, Bonitätsprüfungen oder den Zugang zu grundlegenden Dienstleistungen eingesetzt werden. Für diese Systeme gelten deutlich strengere Anforderungen.
Müssen alle KI-Anwendungen im Voraus bewertet werden?
In der Praxis ja. Organisationen sollten KI-Anwendungen vor der Implementierung erfassen, bewerten und nach Risiko einstufen. Bei risikoreicher KI ist eine gründliche Bewertung erforderlich, häufig in Kombination mit einer Datenschutz-Folgenabschätzung gemäß DSGVO.
In welchem Verhältnis steht eine KI-Richtlinie zur DSGVO?
Das EU-KI-Gesetz und die DSGVO ergänzen sich. Während sich das KI-Gesetz auf Governance, Risikomanagement und die Funktionsweise von KI-Systemen konzentriert, regelt die DSGVO die Verarbeitung personenbezogener Daten. Eine wirksame KI-Richtlinie integriert beide Rahmenbedingungen und gewährleistet die durchgängige Einhaltung der Vorschriften.
Ist eine Datenschutz-Folgenabschätzung bei der Verwendung von KI immer erforderlich?
Nicht immer, aber häufig. Verarbeitet ein KI-System personenbezogene Daten und birgt dies voraussichtlich ein hohes Risiko für Einzelpersonen, ist eine Datenschutz-Folgenabschätzung (DSFA) gemäß DSGVO obligatorisch. Im Falle von risikoreicher KI nach dem EU-KI-Gesetz ist eine DSFA in der Praxis oft unumgänglich.
Können KI-Systeme autonome Entscheidungen über Mitarbeiter oder Kunden treffen?
Nur unter strengen Auflagen. Die DSGVO schränkt vollautomatisierte Entscheidungsfindung ein, und das EU-KI-Gesetz schreibt eine sinnvolle menschliche Aufsicht für risikoreiche KI-Systeme vor. In vielen Fällen muss ein Mensch in der Lage sein, KI-gestützte Entscheidungen zu überprüfen oder außer Kraft zu setzen.
Kann eine KI-Richtlinie die Nutzung öffentlicher KI-Tools durch Mitarbeiter einschränken?
Ja. Eine der Hauptaufgaben einer KI-Richtlinie besteht darin, festzulegen, ob und unter welchen Bedingungen Mitarbeiter öffentliche KI-Tools nutzen dürfen. Dies umfasst typischerweise Regeln für die Eingabe vertraulicher Informationen, personenbezogener Daten oder sensibler Geschäftsinformationen.
Wer ist für die Einhaltung der KI-Richtlinie verantwortlich?
Die KI-Richtlinie sollte die Verantwortlichkeiten für die Einhaltung der KI-Richtlinien klar regeln. Die letztendliche Verantwortung liegt in der Regel bei der Geschäftsleitung oder dem Aufsichtsrat, wobei den Abteilungen Recht, Compliance, IT und Personal wichtige Rollen zukommen. Ohne klare Governance ist eine effektive Überwachung unwahrscheinlich.
Welche Risiken bestehen, wenn eine Organisation keine KI-Richtlinie hat?
Das Fehlen einer KI-Richtlinie erhöht das Risiko der Nichteinhaltung des EU-KI-Gesetzes und der DSGVO. Dies kann zu erheblichen Bußgeldern, behördlichen Maßnahmen, Reputationsschäden und potenziellen zivilrechtlichen Haftungsansprüchen führen. Zudem erschwert es den Aufsichtsbehörden den Nachweis einer verantwortungsvollen KI-Governance.
Wie oft sollte eine KI-Richtlinie überprüft werden?
Eine KI-Richtlinie sollte nicht als statisches Dokument betrachtet werden. Regelmäßige Überprüfungen sind notwendig, insbesondere bei der Einführung neuer KI-Systeme, Änderungen von Gesetzen oder regulatorischen Vorgaben oder dem Auftreten von Vorfällen. Eine jährliche Überprüfung gilt oft als Minimum.
Sind KI-Kenntnisse für alle Mitarbeiter erforderlich?
Der EU-KI-Gesetzentwurf verpflichtet Organisationen, Maßnahmen zur Förderung von KI-Kompetenzen zu ergreifen. Dies bedeutet nicht, dass jeder Mitarbeiter ein technischer Experte werden muss, aber er sollte verstehen, was KI ist, wie sie in der Organisation eingesetzt wird und welche Risiken damit verbunden sind.
Wann ist es ratsam, Rechtsberatung in Anspruch zu nehmen?
Rechtliche Beratung ist besonders ratsam beim Einsatz risikoreicher KI-Systeme, bei Unsicherheiten hinsichtlich der Rechtmäßigkeit bestimmter Anwendungen oder bei Fragen zu Durchsetzung, Prüfungen oder Haftung. Eine frühzeitige rechtliche Prüfung kann spätere, kostspielige Korrekturmaßnahmen verhindern.
