KI im Unternehmen rechtssicher einsetzen: EU AI Act, Datenschutz und Haftung im Überblick

Risikobasierter Ansatz des EU AI Act

Der AI Act knüpft die rechtlichen Anforderungen an Zweck, Einsatzumfeld und Risikopotenzial eines KI-Systems. Bestimmte Praktiken, etwa einzelne Formen manipulativer Beeinflussung oder Social Scoring, sind untersagt. Für Hochrisiko-KI gelten besonders strenge Anforderungen. Dazu können Anwendungen in sensiblen Bereichen wie Personalauswahl, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur gehören. Je nach Rolle sind dann unter anderem Risikomanagement, technische Dokumentation, Daten-Governance, menschliche Aufsicht, Protokollierung und laufende Überwachung erforderlich.

Andere Systeme unterliegen vor allem Transparenzpflichten. Nutzer sollen beispielsweise erkennen können, dass sie mit einem KI-System interagieren oder dass Inhalte künstlich erzeugt oder verändert wurden. Viele Anwendungen mit geringem Risiko bleiben demgegenüber weitgehend frei von produktspezifischen Pflichten des AI Act. Das bedeutet jedoch nicht, dass ihr Einsatz rechtlich folgenlos wäre: Datenschutz, Arbeitsrecht, Urheberrecht, Geheimnisschutz und allgemeine Haftungsregeln gelten unabhängig von der Risikokategorie fort.

Für Unternehmen ist deshalb nicht die abstrakte Bezeichnung des Tools entscheidend, sondern der konkrete Use Case. Dasselbe System kann im Entwurf eines Marketingtexts wenig kritisch sein, in einer Bewerberauswahl oder bei einer sicherheitsrelevanten Entscheidung dagegen deutlich strengere Anforderungen auslösen.

Datenschutz, Urheberrecht und Geschäftsgeheimnisse

Sobald eine KI-Anwendung personenbezogene Daten verarbeitet, muss das Unternehmen Rechtsgrundlage, Zweckbindung, Datenminimierung und Löschung klären. Bei Anwendungen mit voraussichtlich hohem Risiko für die betroffenen Personen kann eine Datenschutz-Folgenabschätzung erforderlich sein. Besonders sensibel sind Beschäftigtendaten, Kundenprofile und Daten, die zur Bewertung oder Vorhersage menschlichen Verhaltens verwendet werden. Auch eine technisch zulässige KI-Anwendung darf nicht ohne datenschutzrechtliche Grundlage eingesetzt werden.

Generative KI wirft daneben urheberrechtliche Fragen auf. Unternehmen müssen prüfen, ob sie geschützte Inhalte als Input verwenden dürfen, welche Rechte an den erzeugten Ergebnissen bestehen und ob Outputs Rechte Dritter verletzen können. Gerade bei externer Veröffentlichung sollte das Ergebnis daher nicht ungeprüft übernommen werden.

Geschäftsgeheimnisse sind gefährdet, wenn Mitarbeitende interne Informationen in frei zugängliche oder unzureichend abgesicherte Systeme eingeben. Schutz entsteht durch eine Kombination aus vertraglichen Zusagen des Anbieters, technischen Einstellungen und einer klaren internen Nutzungsrichtlinie. Sie sollte festlegen, welche Datenkategorien nicht eingegeben werden dürfen und für welche Anwendungen freigegebene Enterprise-Lösungen zu verwenden sind.

Drittanbieter-KI: Vertrag und Rollenverteilung

Die meisten Unternehmen entwickeln keine eigenen Modelle, sondern nutzen KI-Funktionen externer Anbieter. Dadurch entfällt die eigene Verantwortung nicht. Zunächst ist zu klären, welche Rolle das Unternehmen nach dem AI Act einnimmt und ob es das System nur bestimmungsgemäß einsetzt, wesentlich verändert oder unter eigenem Namen weitergibt. Diese Einordnung beeinflusst Umfang und Tiefe der Pflichten.

Der Anbieter-Vertrag sollte transparent regeln, ob Eingaben, hochgeladene Dateien und Nutzungsdaten für Training oder Produktverbesserung verwendet werden. Ebenso wichtig sind Vertraulichkeit, Löschung, Unterauftragnehmer, Datenstandorte, Sicherheitsstandards, Verfügbarkeit, Haftung und Unterstützung bei regulatorischen Anfragen. Werden personenbezogene Daten im Auftrag verarbeitet, ist zusätzlich ein Vertrag nach Art. 28 DSGVO erforderlich.

Bei geschäftskritischen Anwendungen sollte das Unternehmen außerdem prüfen, welche Dokumentation und Informationen der Anbieter bereitstellt. Ohne ausreichende Angaben zu Systemzweck, Grenzen, Datenverarbeitung und Kontrollmöglichkeiten kann der Betreiber seine eigenen Pflichten kaum erfüllen.

Ein praktikabler Weg zur KI-Compliance

Am Anfang steht ein vollständiges Inventar der tatsächlich eingesetzten KI-Anwendungen, einschließlich informell genutzter Tools einzelner Teams. Für jeden Use Case werden Zweck, Datenarten, Nutzergruppe, Anbieter und mögliche Auswirkungen dokumentiert. Auf dieser Grundlage erfolgt die Einordnung nach dem AI Act und die Prüfung, ob Datenschutz-Folgenabschätzung, besondere Transparenz oder weitere Kontrollen erforderlich sind.

Im nächsten Schritt werden Anbieter-Verträge, Auftragsverarbeitung, Trainingsnutzung, Vertraulichkeit und Haftung geprüft. Parallel legt eine interne KI-Richtlinie fest, welche Tools freigegeben sind, welche Informationen nicht eingegeben werden dürfen und wann eine menschliche Prüfung zwingend bleibt. Schulungen sollten nicht nur Verbote vermitteln, sondern konkrete, erlaubte Arbeitsweisen zeigen. Verantwortlichkeiten, Freigabeprozess und regelmäßige Überprüfung machen aus einzelnen Maßnahmen anschließend ein dauerhaftes Compliance-System.