Künstliche Intelligenz ist längst keine Technologie mehr, die ausschließlich IT-Unternehmen vorbehalten ist. Mitarbeiter nutzen bereits KI-Tools zum Verfassen von E-Mails, zum Übersetzen von Dokumenten, zur Analyse von Informationen, für Marketing, Personalbeschaffung, zur Bildgenerierung, zur Programmierung oder zur Automatisierung sich wiederholender Tätigkeiten.
Das rechtliche Problem besteht nicht darin, dass ein Unternehmen künstliche Intelligenz einsetzt. Das Problem entsteht, wenn niemand im Unternehmen genau weiß, welche Tools verwendet werden, welche Daten in diese eingegeben werden, welche Entscheidungen auf der Grundlage der generierten Ergebnisse getroffen werden und wer die Verantwortung trägt, wenn etwas schiefgeht.
Daraus ergibt sich die Notwendigkeit einer internen Richtlinie zur Nutzung künstlicher Intelligenz – AI-Richtlinie.
Eine AI-Richtlinie, die mit der Verordnung (EU) 2024/1689 über künstliche Intelligenz – EU AI Act – vereinbar ist, hat die Aufgabe, klare Regeln für die Geschäftsleitung, Mitarbeiter und Partner hinsichtlich der Nutzung, Beschaffung, Genehmigung und gegebenenfalls der Entwicklung von KI-Systemen innerhalb der Organisation festzulegen.
Die Verordnung schreibt konkrete Verpflichtungen hinsichtlich der Nutzung bestimmter Systeme, der KI-Kompetenz, der Transparenz, der Systeme mit hohem Risiko sowie verbotener Praktiken vor. Eine interne Richtlinie stellt in der Praxis eines der wirksamsten Instrumente dar, mit denen das Unternehmen diese Verpflichtungen in Regeln umsetzen kann, die von den Mitarbeitern tatsächlich befolgt werden.
Das KI-Gesetz basiert auf einer grundlegenden Logik: Je größer das Risiko, das der Einsatz von KI für Personen darstellt, desto strenger sind die rechtlichen Verpflichtungen. Die Verordnung legt verbotene KI-Praktiken fest, regelt Systeme mit hohem Risiko und schreibt für bestimmte Systeme besondere Transparenzpflichten vor. Bei Anwendungen mit geringem oder minimalem Risiko ist der Compliance-Aufwand deutlich geringer.
Daher sollte eine seriöse KI-Richtlinie nicht einfach nur besagen: „Mitarbeiter dürfen KI nutzen“. Sie sollte vielmehr die weitaus wichtigere Frage beantworten:
Was sollte eine KI-Richtlinie enthalten?
Für ein mittleres oder großes Unternehmen sollte die Richtlinie mindestens zehn wesentliche Bereiche abdecken:
1. Zweck und Geltungsbereich
Der erste Schritt besteht darin, festzulegen, für welche Personen und Tools die Richtlinie gilt. Dabei sollten nicht nur die offiziell vom Unternehmen erworbenen Systeme berücksichtigt werden, sondern auch KI-Tools, auf die Mitarbeiter individuell im beruflichen Kontext zugreifen: generative Anwendungen, Chatbots, Browser-Erweiterungen, SaaS-Plattformen, Analysetools, Rekrutierungssysteme oder andere Anwendungen, die KI-Funktionen integrieren.
Eines der häufigsten Probleme ist die sogenannte „Shadow-KI“: Die Unternehmensleitung geht davon aus, dass im Unternehmen zwei genehmigte Tools genutzt werden, während die Mitarbeiter privat zehn weitere Anwendungen nutzen, in die sie auch berufliche Informationen eingeben.
Die Richtlinie muss daher eine klare Regel festlegen: Welche Tools dürfen ohne Genehmigung genutzt werden und welche Tools müssen vor der Nutzung geprüft werden?
2. Allgemeine Grundsätze: KI soll dem Menschen helfen, nicht die Verantwortung abnehmen
Der Einsatz von KI überträgt die Verantwortung nicht automatisch vom Mitarbeiter oder vom Unternehmen auf den Technologieanbieter. Wenn ein KI-System einen fehlerhaften Vertrag, eine falsche Information oder eine fehlerhafte Analyse erzeugt, reicht das Argument „Das hat die KI gesagt“ nicht aus.
Daher sollte eine KI-Richtlinie mindestens drei Grundsätze vorschreiben.
Der erste ist die menschliche Überprüfung. Bei Ergebnissen, die erhebliche rechtliche, finanzielle oder berufliche Auswirkungen haben können, muss eine Person vorhanden sein, die die Informationen überprüft und validiert.
Der zweite ist die Verantwortung des Nutzers. Ein KI-Ergebnis muss als Arbeitsinstrument behandelt werden, nicht als garantierte Wahrheit.
Der dritte Grundsatz ist die Verhältnismäßigkeit. Je stärker das System eine Person oder eine wichtige Entscheidung beeinflusst, desto strenger müssen die rechtlichen und menschlichen Kontrollen sein.
3. Einstufung von KI-Anwendungen nach Risikograd
Die KI-Richtlinie sollte die Logik des KI-Gesetzes übernehmen und die Anwendungen intern nach Risikograd einstufen.
A. Verbotene KI-Praktiken
Es gibt Situationen, in denen die Antwort des Unternehmens nicht „wir benötigen eine Genehmigung“ lauten darf, sondern schlicht „wir dürfen das System nicht für diesen Zweck nutzen“. Artikel 5 des KI-Gesetzes verbietet unter den in der Verordnung festgelegten Bedingungen bestimmte Praktiken wie bestimmte Formen der Manipulation, die Ausnutzung der Verletzlichkeit von Personen, bestimmte Systeme der sozialen Bewertung oder den Einsatz von Emotionserkennung am Arbeitsplatz, mit den streng festgelegten Ausnahmen für medizinische oder Sicherheitszwecke.
Diese Verbote gelten bereits. Die interne Richtlinie muss sie jedoch in eine für den Mitarbeiter leicht verständliche Regel umsetzen: Wenn die Nutzung unter eine vom KI-Gesetz verbotene Kategorie fällt, darf sie intern nicht genehmigt werden.
B. KI-Systeme mit hohem Risiko
Hier muss vor der Anschaffung und Implementierung ein besonders strenger Prüfprozess stattfinden.
In diese Kategorie können gemäß dem AI Act KI-Systeme fallen, die in sensiblen Bereichen eingesetzt werden, darunter bestimmte Systeme zur Personalbeschaffung, zur Personalauswahl, zur Verwaltung von Arbeitsverhältnissen, zur Aufgabenverteilung oder zur Überwachung und Leistungsbewertung von Mitarbeitern.
Aus diesem Grund muss das Unternehmen vor dem Erwerb eines KI-Systems verantwortungsbewusst handeln.
Nehmen wir an, ein Unternehmen kauft eine HR-Anwendung, die die automatische Auswertung von Lebensläufen, die Ermittlung des „besten Bewerbers“, Leistungsbewertungen für Mitarbeiter, Vorhersagen zur Wahrscheinlichkeit des Ausscheidens eines Mitarbeiters sowie Empfehlungen zur Beförderung oder Aufgabenverteilung verspricht.
Aus geschäftlicher Sicht mag das Tool äußerst attraktiv erscheinen. Doch vor Vertragsunterzeichnung muss rechtlich geprüft werden, was das System tatsächlich tut. Führt es Profiling durch? Bewertet es Personen? Trifft es Entscheidungen über Mitarbeiter oder beeinflusst es diese? Auf der Grundlage welcher Daten? Gibt es eine tatsächliche menschliche Einwirkung?
Andernfalls läuft das Unternehmen Gefahr, ein System zu kaufen und erst später festzustellen, dass bestimmte Funktionen, für die es bezahlt hat, in der gewünschten Form nicht ohne zusätzliche Verpflichtungen genutzt werden können oder für diesen Zweck gar nicht genutzt werden können.
Genau aus diesem Grund sollte die rechtliche Prüfung vor dem Kauf und nicht erst nach der Implementierung durchgeführt werden. Die vollständige Anwendung der Vorschriften für Hochrisikosysteme gemäß Anhang III des AI-Gesetzes ist nach dem aktuellen Gesetzgebungskalender bis zum 2. Dezember 2027 aufgeschoben. Diese Verschiebung hebt jedoch weder die Verpflichtungen auf, die sich bereits aus der DSGVO, dem Arbeitsrecht oder anderen geltenden Vorschriften ergeben, noch rechtfertigt sie den Erwerb von Systemen ohne vorherige Prüfung.
C. Systeme, die Transparenzpflichten unterliegen
Eine weitere relevante Kategorie sind Systeme, für die der AI Act spezifische Transparenzpflichten festlegt. Artikel 50, der ab dem 2. August 2026 gilt, sieht je nach Art des Systems und der Eigenschaft des Unternehmens als Anbieter oder Nutzer Vorschriften vor, die die Information von Personen betreffen, die direkt mit einem KI-System interagieren, sowie die Kennzeichnung bestimmter künstlich generierter Inhalte, Systeme zur Emotionserkennung oder biometrischen Kategorisierung und Deepfake-Inhalte.
Das bedeutet nicht, dass jede E-Mail, bei deren Verfassen ein KI-Tool zum Einsatz kam, automatisch mit dem Vermerk „von KI generiert“ versehen werden muss. Die interne Richtlinie muss festlegen, in welchen Fällen tatsächlich eine gesetzliche Transparenzpflicht besteht und in welchen Fällen das Unternehmen als eigene Regel einen höheren Transparenzstandard anstrebt.
D. Anwendungen mit geringem oder minimalem Risiko
Spamfilter, intelligente Suchfunktionen, bestimmte Rechtschreibprüfprogramme oder andere Tools mit geringen Auswirkungen können einer einfacheren internen Regelung unterliegen. Das Ziel einer KI-Richtlinie ist es nicht, für jede automatisierte Funktion Bürokratie zu schaffen. Die Kontrolle muss in einem angemessenen Verhältnis zum Risiko stehen.
4. Was darf ein Mitarbeiter in ein KI-Tool eingeben und was nicht?
Dies ist wahrscheinlich die Regel, die die Mitarbeiter am besten verstehen müssen. Ein Mitarbeiter kann ein KI-Tool öffnen und innerhalb weniger Sekunden Folgendes hochladen: einen Vertrag, einen Lebenslauf, eine Kundendatenbank, einen Finanzbericht, eine vertrauliche E-Mail oder ein internes Dokument.
Aus Sicht des Unternehmens lautet die Frage nicht nur „Hilft uns die KI, schneller zu arbeiten?“, sondern: „Was passiert mit den Informationen, nachdem wir sie eingegeben haben?“
Die Richtlinie muss ganz klar festlegen, dass nicht genehmigte KI-Tools nicht zur Eingabe von Informationen wie folgenden verwendet werden dürfen: personenbezogene Daten von Mitarbeitern oder Kunden, Sozialversicherungsnummern, Finanz- oder Bankdaten, Geschäftsgeheimnisse, Verträge und vertrauliche Korrespondenz, Geschäftsstrategien oder andere Informationen, für die das Unternehmen zur Vertraulichkeit verpflichtet ist.
Nicht jede Verwendung personenbezogener Daten in einem KI-System ist automatisch verboten. Sie muss jedoch im Hinblick auf die DSGVO geprüft werden, und es muss eine rechtliche Rechtfertigung, Transparenz, Sicherheit sowie gegebenenfalls eine Bewertung des Anbieters und des Risikos vorliegen. Die KI-Richtlinie und die DSGVO-Richtlinie müssen daher zusammenwirken und dürfen nicht als zwei voneinander unabhängige Dokumente betrachtet werden.
5. Profiling und automatisierte Entscheidungen: ein Bereich, in dem das Risiko rapide zunimmt
Besondere Aufmerksamkeit muss Systemen gewidmet werden, die sich nicht auf die Generierung eines Textes beschränken, sondern eine Person analysieren.
Beispielsweise kann ein System das Verhalten, die Produktivität, den beruflichen Werdegang oder andere Merkmale analysieren und eine Punktzahl vergeben. Sobald diese Punktzahl Einfluss auf die Personalauswahl, Beförderungen, Bonuszahlungen, die Zuweisung von Aufgaben oder andere wichtige Entscheidungen nimmt, entstehen zusätzliche rechtliche Risiken. Artikel 22 der DSGVO regelt bereits Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen, einschließlich der Profilerstellung, wenn diese rechtliche Auswirkungen auf die betroffene Person haben oder sie in ähnlicher Weise in erheblichem Maße beeinträchtigen. Daher sollte eine KI-Richtlinie ausdrücklich vorsehen, dass kein KI-System, das Profiling oder die Bewertung von Personen durchführt, ohne eine vorherige rechtliche Prüfung erworben und eingesetzt wird.
6. Überprüfung des Anbieters: „ist DSGVO-konform“ reicht nicht aus
Große Technologieunternehmen verfügen über eigene Vertragsbedingungen, Sicherheitsstandards und Compliance-Verfahren. Doch die Nutzung eines von einem globalen Unternehmen bereitgestellten Produkts überträgt nicht automatisch die gesamte Haftung des Kunden auf den Anbieter. Im Gegenteil: Technologieverträge grenzen die Verantwortlichkeiten in der Regel sehr sorgfältig ab.
Der Anbieter haftet für bestimmte Komponenten der Dienstleistung und für seine eigenen Verpflichtungen, während dem Kundenunternehmen Verantwortlichkeiten hinsichtlich der Art und Weise der Produktnutzung, der eingegebenen Daten, der Zugriffsrechte, der Konfiguration von Sicherheitsmaßnahmen, der Rechtsgrundlage für die Verarbeitung usw. obliegen können.
Aus diesem Grund sollten vor der Beauftragung eines KI-Systems zumindest die Bedingungen in Bezug auf Datenschutz, Sicherheit, Unterauftragnehmer, Datenübermittlungen, die Verwendung von Daten zur Modellentwicklung, geistiges Eigentum, Vorfälle und vertragliche Haftung geprüft werden.
7. KI-Kompetenz: Schulungen sind nicht mehr nur eine Empfehlung
Eines der wichtigsten Elemente des KI-Gesetzes ist die KI-Kompetenz – AI Literacy.
Artikel 4 gilt ab dem 2. Februar 2025 und verpflichtet Anbieter und gewerbliche Nutzer von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeiter und anderer Personen zu ergreifen, die die Systeme in ihrem Auftrag betreiben oder nutzen. Der Umfang und die Form der Maßnahmen müssen auf die Kenntnisse der Personen, ihre Erfahrung, den Kontext, in dem KI eingesetzt wird, sowie auf die Personen, auf die die Systeme angewendet werden, abgestimmt sein.
Das bedeutet, dass das bloße Versenden einer 20-seitigen Richtlinie per E-Mail das Problem nicht löst. Die Mitarbeiter müssen in der Praxis verstehen: was sie in eine KI eingeben dürfen, was nicht, warum eine KI Fehler machen kann, wann das Ergebnis überprüft werden muss, wann eine Genehmigung eingeholt werden muss und wann die Nutzung des Systems die Rechte einer Person beeinträchtigen kann.
8. Urheberrecht und KI-generierte Inhalte
Die Tatsache, dass ein Tool ein Bild oder einen Text generiert hat, bedeutet nicht automatisch, dass das Unternehmen davon ausgehen kann, alle Rechte an dem Material zu besitzen oder dass das Ergebnis nicht die Rechte Dritter beeinträchtigt. Der urheberrechtliche Schutz kann unter anderem vom Ausmaß des menschlichen kreativen Beitrags abhängen, und die Bedingungen des Anbieters müssen separat geprüft werden.
9. Was riskiert ein Unternehmen, das den AI Act missachtet?
Die Höhe der Sanktionen macht sehr deutlich, dass der AI Act nicht als bloße Empfehlung für bewährte Praktiken behandelt werden darf.
Bei Verstößen gegen die in Artikel 5 vorgesehenen Verbote kann die Geldbuße bis zu 35 Millionen Euro oder, im Falle eines Unternehmens, bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen, wobei das in der Verordnung festgelegte Kriterium zur Anwendung kommt.
Bei Verstößen gegen bestimmte andere Verpflichtungen für KI-Betreiber können die Sanktionen bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes betragen. Das KI-Gesetz sieht auch Sanktionen für die Bereitstellung falscher, unvollständiger oder irreführender Informationen gegenüber den Behörden vor. Die Verordnung verlangt, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sind, wobei auch die Situation von KMU berücksichtigt wird.
Wenn der Einsatz von KI zudem einen Verstoß gegen die DSGVO darstellt, kann das Unternehmen gleichzeitig auch unter die Sanktionsregelung zum Datenschutz fallen.
Das Risiko besteht jedoch nicht nur in einer Geldbuße. Ein unkontrollierter Einsatz von KI kann auch Folgendes bedeuten: Verlust der Vertraulichkeit, Offenlegung von Geschäftsgeheimnissen, Rechtsstreitigkeiten mit Mitarbeitern, Probleme im Bereich des geistigen Eigentums, Verträge mit ungeeigneten Lieferanten, die Unmöglichkeit, eine bereits erworbene Funktion zu nutzen, oder Reputationsschäden.
10. Besonderheiten für Unternehmen in Rumänien
Für Unternehmen in Rumänien muss die KI-Richtlinie mit mindestens drei Rechtsbereichen in Einklang stehen.
Der erste ist das KI-Gesetz, einschließlich der Verpflichtung zur KI-Kompetenz, verbotener Praktiken und gegebenenfalls der Transparenz sowie der Regelung für Systeme mit hohem Risiko.
Der zweite Bereich ist die DSGVO und das rumänische Datenschutzrecht. Wenn KI Daten von Mitarbeitern, Kunden oder anderen Personen verarbeitet, entbindet der Einsatz dieser Technologie nicht von den bereits bestehenden Verpflichtungen hinsichtlich der Rechtsgrundlage für die Verarbeitung, der Information, der Datenminimierung, der Sicherheit oder der Durchführung einer Datenschutz-Folgenabschätzung (DPIA), sofern die gesetzlichen Voraussetzungen erfüllt sind.
Der dritte Punkt ist das Arbeitsrecht. Der Einsatz von Systemen, die Mitarbeiter überwachen, profilieren oder bewerten, kann je nach System und geltendem Rechtsrahmen die Unterrichtung und in bestimmten Fällen die Anhörung der Mitarbeiter oder ihrer Vertreter erfordern.
Mit anderen Worten: Die KI-Richtlinie darf nicht isoliert verfasst werden, sondern muss in die internen Vorschriften, die DSGVO-Richtlinie, die Sicherheitsrichtlinie und die bereits im Unternehmen bestehenden HR-Verfahren integriert werden.
Vor der nächsten Anschaffung lautet die richtige Frage nicht nur:
„Was kann diese KI für unser Unternehmen leisten?“, sondern „Können wir sie rechtmäßig so einsetzen, wie wir es beabsichtigen?“
Eine rechtliche Bewertung der vorhandenen KI-Tools, gefolgt von einem Verzeichnis der genutzten Systeme, einem Genehmigungsverfahren und einer auf die Geschäftstätigkeit des Unternehmens zugeschnittenen KI-Richtlinie, kann verhindern, dass das Unternehmen das rechtliche Risiko erst nach einer Anschaffung, nach einem Vorfall oder nach dem Eingreifen einer Behörde entdeckt.
Für weitere Informationen stehen wir Ihnen gerne zur Verfügung. Kontaktieren Sie uns unter der Telefonnummer 0720291919 oder per E-Mail unter [email protected].