EU AI Act & DSGVO: KI rechtssicher im Unternehmen nutzen
Der EU AI Act ist ein rechtlicher Rahmen, der KI-Systeme in der EU nach Risikostufen klassifiziert und unterschiedliche Compliance-Anforderungen festlegt. Zusammen mit der DSGVO müssen Unternehmen diese Regelungen befolgen, um KI-Anwendungen rechtssicher einzusetzen und Bußgelder zu vermeiden. In diesem Ratgeber zeigen wir Ihnen, wie Sie KI im Mittelstand konform umsetzen.
Der EU AI Act: Was Unternehmen wissen müssen
Der EU AI Act ist seit April 2024 teilweise in Kraft und wird schrittweise vollständig umgesetzt. Das Gesetz definiert vier Risikokategorien für KI-Systeme:
- Verbotene Systeme: KI-Anwendungen, die Menschen schaden oder diskriminieren (z. B. Social Scoring, Emotions-Tracking in Schulen)
- Hochrisiko-Systeme: KI bei Personalbeschaffung, Kreditvergabe, Gesundheit oder kritischer Infrastruktur – erfordern umfassende Dokumentation und Audits
- Mittleres Risiko: Chatbots und automatisierte Systeme, die Transparenzpflichten erfüllen müssen
- Niedriges Risiko: KI mit minimalem Risiko – geringere Anforderungen
Für den Mittelstand ist entscheidend: Bereits viele aktuell eingesetzte KI-Tools (Personalbeschaffungs-Software, Chatbots, Predictive Analytics) fallen unter „Hochrisiko” oder „Mittleres Risiko” und erfordern sofort Maßnahmen.
DSGVO und EU AI Act: Das Zusammenspiel
Die DSGVO reguliert Datenschutz; der EU AI Act reguliert KI-Systeme selbst. Beide Gesetze müssen parallel eingehalten werden:
- Datenschutz: Welche Daten darf ich sammeln und verarbeiten? (DSGVO)
- KI-Governance: Wie muss das System dokumentiert, getestet und kontrolliert werden? (EU AI Act)
Beispiel: Sie setzen ein KI-Recruiting-Tool ein. DSGVO verlangt, dass Bewerberdaten sicher gespeichert und nur für den Zweck der Einstellung genutzt werden. Der EU AI Act verlangt zusätzlich Dokumentation, dass das System nicht diskriminierend wirkt und dass Bewerber informiert werden, dass ein KI-System sie bewertet.
Praktische Compliance-Schritte für Mittelständler
Um KI rechtssicher einzusetzen, sollten Sie folgende Maßnahmen umsetzen:
1. KI-Audit durchführen
Inventarisieren Sie alle KI-Systeme und -Tools in Ihrem Unternehmen. Klassifizieren Sie diese nach Risiko. Tools wie ChatGPT, Predictive Analytics oder automatisierte Screening-Systeme sind oft Hochrisiko-Systeme und benötigen Dokumentation.
2. Risikobeurteilung und Dokumentation
Für Hochrisiko-Systeme ist eine schriftliche Risikobeurteilung erforderlich. Dokumentieren Sie:
- Trainingsdaten und deren Quellen
- Potential für Diskriminierung oder Verzerrung
- Testverfahren und Validierungsergebnisse
- Überwachungs- und Kontrollmechanismen
- Verantwortlichkeiten (KI-Governance)
3. Datenqualität und -schutz sichern
Die Qualität der Trainingsdaten entscheidet über die Zuverlässigkeit und Fairness der KI. Prüfen Sie, ob die Daten:
- Repräsentativ und unverzerrt sind
- Nach DSGVO rechtmäßig erhoben wurden
- Keine sensiblen Daten enthalten (oder diese speziell geschützt sind)
4. Transparenz und Benutzer-Information
Informieren Sie Betroffene (Kunden, Mitarbeiter, Bewerber), wenn eine KI-Entscheidung Sie beeinflusst – etwa bei automatisierter Bewertung oder Scoring. Dies ist DSGVO-Pflicht.
5. Regelmäßige Überwachung und Audits
KI-Systeme „driften” – ihre Leistung kann mit neuen Daten sinken. Planen Sie periodische Überprüfungen und regelmäßige technische Audits ein.
Häufige Fehler – und wie Sie sie vermeiden
Ein häufiger Fehler im Mittelstand: KI-Tools werden eingeführt, ohne die Compliance-Anforderungen zu prüfen. Dann entstehen später hohe Kosten für Nachbesserungen oder Bußgelder. Vermeiden Sie:
- Fehlende Dokumentation: „Das KI-Tool funktioniert, also ist es legal” – das reicht nicht. Dokumentation ist Pflicht.
- Keine Bias-Tests: KI kann unbewusst diskriminieren (z. B. bei Geschlecht oder Alter). Tests sind erforderlich.
- Ignorieren von Betroffenenrechten: Menschen haben ein Recht auf Erklärbarkeit und Widerspruch gegen KI-Entscheidungen (DSGVO, Art. 22).
- Keine Data Governance: Wer ist verantwortlich für KI-Systeme? Wer überwacht sie? Klare Rollen sind notwendig.
Praktisches Beispiel: KI-gestützte Kundensegmentierung
Ein E-Commerce-Unternehmen nutzt ein KI-System, um Kunden zu segmentieren und personalisierte Preise anzubieten. Compliance-Anforderungen:
- DSGVO: Kundendaten rechtmäßig erhoben, Einwilligung vorhanden, Daten sicher gespeichert
- EU AI Act: Das System ist Mittel-Risiko. Dokumentation erforderlich. Kunden müssen über die automatisierte Entscheidung informiert werden.
- Bias-Check: Sicherstellen, dass Preise nicht diskriminierend (z. B. nach Herkunft) unterschiedlich festgesetzt werden
- Kontrollmechanismus: Möglichkeit für Kunden, das System anzufechten oder manuelle Überprüfung zu verlangen
Häufige Fragen
Gilt der EU AI Act auch für kleine und mittlere Unternehmen?
Ja. Der EU AI Act gilt für alle Unternehmen in der EU, unabhängig von der Größe. Allerdings sind die Anforderungen abhängig von der Risikostufe des Systems. Niedriges Risiko erfordert weniger Aufwand als Hochrisiko.
Welche Strafen drohen bei Nicht-Compliance?
Wie die DSGVO sieht auch der EU AI Act Bußgelder vor – bis zu 6 % des globalen Jahresumsatzes oder 30 Millionen Euro für Hochrisiko-Verstöße. Für kleinere Verstöße sind gestaffelte Bußgelder vorgesehen.
Muss ich externe Auditor:innen hinzuziehen?
Für Hochrisiko-Systeme kann eine externe Überprüfung sinnvoll sein, ist aber nicht immer Pflicht. Viele Mittelständler starten mit interner Dokumentation und Risikobeurteilung. Eine fachliche Begleitung ist jedoch empfehlenswert, um Fehler auszuschließen.
Was ist mit generativer KI wie ChatGPT?
Generative Modelle fallen unter Mittel-Risiko. Sie müssen Transparenz wahren – insbesondere kennzeichnen, wenn Inhalte von KI stammen. Datenschutz-Anforderungen gelten auch hier: Unternehmensgeheimnis und personenbezogene Daten sollten nicht in ChatGPT eingegeben werden.
Wo finde ich Unterstützung bei der Umsetzung?
Fachanwälte für IT-Recht, Datenschutzbeauftragte und spezialisierte KI-Beratungen helfen bei der Compliance. Zudem bieten Branchenverbände und EU-Institutionen kostenlose Leitfäden an.
Fazit und nächste Schritte
Die Kombination von DSGVO und EU AI Act schafft einen soliden rechtlichen Rahmen für verantwortungsvolle KI-Nutzung. Für Mittelständler heißt das: Handeln Sie proaktiv. Ein KI-Audit, klare Dokumentation und regelmäßige Überprüfungen schützen Ihr Unternehmen vor Rechtsrisiken und bauen Vertrauen bei Kunden und Mitarbeitern auf. KI ist kein Risiko, wenn Sie es rechtssicher umsetzen.
Sie möchten Ihre KI-Systeme auf Compliance überprüfen? Buchen Sie ein kostenloses Erstgespräch mit unserem Team. Wir zeigen Ihnen, wo Ihr Unternehmen heute steht und welche nächsten Schritte sinnvoll sind. Mehr über unsere Services erfahren Sie auf KI-Implementierung.at.