EU AI Act & DSGVO: KI rechtssicher im Unternehmen nutzen
Der EU AI Act regelt die Verwendung von Künstlicher Intelligenz in der Europäischen Union erstmals verbindlich und wird ab 2025 schrittweise verpflichtend. Unternehmen im Mittelstand müssen verstehen, dass KI-Systeme künftig nach ihrem Risikopotenzial klassifiziert werden und entsprechende Compliance-Anforderungen erfüllen müssen. Parallel zur DSGVO entstehen damit neue Anforderungen an Datenschutz, Transparenz und Nachvollziehbarkeit von automatisierten Entscheidungen.
Der EU AI Act im Überblick: Was Geschäftsführer wissen müssen
Der EU AI Act ist ein Regelwerk, das die Risiken von KI-Systemen in vier Kategorien einteilt:
- Verbotene Systeme: KI-Anwendungen mit unannehmbarem Risiko (z. B. Social Scoring, Manipulation von Verhalten)
- Hochrisiko-Systeme: KI in Bereichen wie Einstellung, Kreditvergabe, Überwachung – erfordern Konformitätsprüfungen, Dokumentation und Tests
- Systeme mit speziellen Transparenzanforderungen: Chatbots, generative KI – Nutzer müssen wissen, dass sie mit KI interagieren
- Systeme mit minimalem Risiko: Viele Standard-Anwendungen ohne hohe regulatorische Anforderungen
Für den Mittelstand bedeutet dies: Sie müssen vor KI-Einführung klären, in welche Kategorie Ihre geplante Lösung fällt. Ein Chatbot zur Kundenkommunikation unterliegt anderen Regeln als ein KI-System zur automatisierten Bewerbungsauswahl.
DSGVO und EU AI Act: Wie beide Regelwerke zusammenhängen
Die DSGVO schützt personenbezogene Daten; der EU AI Act reguliert die Funktionsweise und das Verhalten von KI-Systemen. Sie ergänzen sich:
- Datenverarbeitung (DSGVO): Wer darf welche Daten für KI nutzen? Betroffene müssen informiert sein, haben Auskunfts- und Widerspruchsrechte.
- KI-Entscheidungen (EU AI Act): Wie funktioniert das System? Ist es nachvollziehbar, diskriminierungsfrei, sicher?
Praktisches Beispiel: Sie setzen ein KI-System zur Personalauswahl ein. Nach DSGVO müssen Sie dokumentieren, welche Bewerberdaten Sie speichern und verarbeiten – und den Kandidaten mitteilen, dass eine automatisierte Entscheidung stattfindet. Nach EU AI Act müssen Sie zusätzlich nachweisen, dass das System nicht diskriminiert, und Sie benötigen ein explizites Konformitätszertifikat, da Personalauswahl ein Hochrisiko-Use-Case ist.
Hochrisiko-KI-Systeme: Compliance-Anforderungen für den Mittelstand
Besondere Aufmerksamkeit ist geboten, wenn Sie KI in diesen Bereichen einsetzen:
- Mitarbeiterverwaltung und Einstellung
- Kreditvergabe und Bonitätsprüfung
- Automatisierte Entscheidungen mit erheblicher Auswirkung auf Betroffene
- Biometrische Systeme und Echtzeit-Gesichtserkennung
Für diese Systeme verlangt der EU AI Act:
- Risikobewertung: Vor Einsatz eine schriftliche Analyse durchführen und dokumentieren
- Qualitätssicherung: Trainings- und Testdaten müssen repräsentativ sein, regelmäßige Kontrollen auf Bias durchführen
- Transparenz: Betroffene müssen über automatisierte Entscheidungen aufgeklärt werden
- Menschliche Übersicht: Kritische Entscheidungen darf die KI nicht vollautomatisiert treffen
- Dokumentation: Alle Tests, Anpassungen und Entscheidungen müssen nachweisbar sein
Generative KI wie ChatGPT im Unternehmen: Was ist erlaubt?
Generative KI-Modelle (ChatGPT, Claude, Gemini) unterliegen nach dem EU AI Act speziellen Transparenzanforderungen. Das bedeutet:
- Offenlegungspflicht: Nutzer müssen wissen, dass sie mit KI kommunizieren
- Sicherheit gegen Missbrauch: Systeme müssen vor Jailbreaking und Manipulation geschützt sein
- Datenschutz: Eingaben dürfen nicht zum Trainieren neuer Modelle verwendet werden (DSGVO)
- Transparenz-Dokumentation: Sie müssen dokumentieren, welche Trainings- und Testdaten die KI hatte
Praktisch für Mittelständler: Wenn Sie ChatGPT für interne Dokumentation oder Kundenservice nutzen, müssen Sie Datenschutzerklärungen aktualisieren und sicherstellen, dass keine sensiblen Kundendaten in die KI eingegeben werden. Mit OpenAI Business oder ähnlichen Lösungen mit Daten-Opt-out können Sie das sicherer gestalten.
Praktische Schritte: Wie Sie KI rechtssicher implementieren
1. Bestandsaufnahme durchführen: Wo setzen Sie bereits KI ein? Was sind die nächsten geplanten Projekte? Welche Daten sind betroffen?
2. Risikoklassifizierung: Bewerten Sie mit Ihrer IT und Rechtsberatung, welche Kategorie Ihre KI-Systeme erfüllen.
3. Datenschutz-Impact-Assessment (DPIA): Speziell für Hochrisiko-Systeme ist eine DPIA nach DSGVO sinnvoll – dies schafft auch Klarheit für den EU AI Act.
4. Governance und Dokumentation: Etablieren Sie ein internes Verfahren: Wer genehmigt neue KI-Systeme? Wer trägt Verantwortung? Wie werden Tests dokumentiert?
5. Schulung des Teams: Ihre Mitarbeiter, insbesondere im HR, Einkauf und Management, müssen verstehen, wie die KI funktioniert und welche Entscheidungen sie treffen darf.
6. Regelmäßige Audits: KI-Systeme müssen überwacht werden – insbesondere auf Bias und Fehler. Ein jährliches Audit ist empfohlen.
Häufige Fragen
Wann tritt der EU AI Act in Kraft?
Der EU AI Act tritt stufenweise in Kraft: Verbotene KI-Praktiken sind bereits ab Dezember 2024 untersagt. Hochrisiko-Anforderungen gelten ab 2025/2026 je nach Kategorie. Ab 2027 müssen auch kleinere Unternehmen in Hochrisiko-Bereichen konform sein.
Muss ich meine gesamte KI-Nutzung neu bewerten?
Ja, eine Bestandsaufnahme ist sinnvoll. Allerdings: Systeme mit minimalem Risiko (z. B. einfache Prognosen) haben keine hohen Anforderungen. Hochrisiko-Systeme (Personalauswahl, Kreditvergabe) benötigen Investition in Compliance.
Ist die Nutzung von ChatGPT verboten?
Nein. Die Nutzung ist erlaubt, aber Sie müssen dokumentieren, dass Sie wissen, dass es sich um KI handelt, und Datenschutz einhalten. Mit Business-Versionen und Datenschutz-Add-ons ist es rechtssicher möglich.
Was passiert, wenn ich nicht konform bin?
Geldbußgelder zwischen 10–40 Millionen Euro oder bis 6 % des globalen Jahresumsatzes sind möglich. Daher ist Compliance kein optionales Thema, sondern ein Geschäftsrisiko.
Brauche ich einen externen Berater für EU AI Act Compliance?
Für Hochrisiko-Systeme oder größere KI-Projekte ist externe Unterstützung empfohlen. Ein Berater hilft, Risiken richtig zu klassifizieren, Tests zu dokumentieren und Rechtskonformität zu sichern – und spart langfristig Kosten durch fehlerfreie Implementierung.
Der EU AI Act ist kein Hindernis für KI-Innovation im Mittelstand – er ist eine Orientierung. Mit klaren Prozessen, guter Dokumentation und dem richtigen Verständnis für Risiken können Sie KI rechtssicher und wertschöpfend einsetzen. Die beste Zeit, damit zu beginnen, ist jetzt: Bewerten Sie Ihre aktuellen Systeme, klären Sie Hochrisiko-Use-Cases und bauen Sie eine nachhaltige KI-Governance auf. Wenn Sie Unterstützung benötigen, um KI-Compliance in Ihrem Unternehmen zu verankern, laden wir Sie zu einem kostenlosen Erstgespräch ein. Erfahren Sie mehr über rechtssichere KI-Implementierung auf KI-Implementierung.at.