Die europäische KI-Verordnung (AI Act) schafft den weltweit ersten umfassenden Rechtsrahmen für KI. Deutsche Unternehmen setzen generative KI in Marketing und Kundenservice ein, müssen aber Urheber- und Datenschutzrecht beachten.

Risikoklassen nach der KI-Verordnung

Die Verordnung unterscheidet vier Kategorien: unannehmbares Risiko (verbotene Systeme wie Social Scoring und Manipulation), hohes Risiko (automatische Bewerberauswahl, Kreditwürdigkeitsprüfung; erfordern Konformitätsbewertung, Risikomanagement und Kontrolle der Datenqualität), begrenztes Risiko (Support-Chatbots; Kennzeichnung, dass man mit einer KI spricht) und minimales Risiko (Text- und Codegenerierung).

Öffentliche KI-Dienste und die DSGVO

Personenbezogene Daten von Kunden, Partnern oder Beschäftigten (Namen, Telefonnummern, Gesundheitsdaten, Verträge) in kostenlose Verbraucherversionen von ChatGPT, Claude und ähnlichen Diensten einzugeben, geschieht meist ohne Rechtsgrundlage und Auftragsverarbeitungsvertrag und riskiert damit einen Verstoß gegen die DSGVO. Für die Arbeit eignen sich Enterprise-Versionen oder API-Zugänge mit Vertrag, nach dem die Daten nicht zum Training genutzt werden.

Kennzeichnung synthetischer Inhalte

Die Verordnung verlangt die Kennzeichnung KI-generierter Bilder, Audio- und Videoinhalte (Deepfakes oder realistische Darstellungen von Menschen). Unternehmen müssen offenlegen, dass Inhalte künstlich erzeugt sind, wenn sie über die Echtheit von Leistungen täuschen könnten.

Eine interne KI-Richtlinie

Jedes Unternehmen sollte eine interne Richtlinie erarbeiten: erlaubte Dienste, Prüfung generierter Antworten durch Menschen (Human in the Loop), kein automatisches Treffen rechtlich relevanter Entscheidungen und Standards der Informationssicherheit.

Was Sie prüfen sollten

  • Beschäftigten untersagen, personenbezogene und vertrauliche Daten in offene KI-Dienste einzugeben.
  • Nur Unternehmens-APIs oder Enterprise-Konten mit AVV nutzen.
  • Nutzer informieren, wenn auf der Website ein KI-Chatbot antwortet.
  • Eine interne Regel zur Faktenprüfung und zum verantwortungsvollen Einsatz generativer KI beschließen.

Beispielsituation

Eine Agentur nutzt eine geschlossene Unternehmensinstanz eines Sprachmodells mit Datenspeicherung in Deutschland und schult das Team, sodass beim Programmieren keine Kundendaten abfließen.

Der nächste Schritt

KI bringt deutschen Unternehmen echten Nutzen, wenn die KI-Verordnung eingehalten und die Vertraulichkeit der Daten geschützt wird.

Offizielle Informationen zum Thema

Checklisten und Beispiele sind organisatorische Empfehlungen. Die Anforderungen hängen vom Verfahren, von der Stadt und von Ihrer Situation ab; gleichen Sie sie vor dem Handeln mit der zuständigen Stelle ab. Rechts- und Steuerfragen besprechen Sie bitte mit einer dazu befugten Fachperson.

Dieser Artikel wurde mithilfe von KI erstellt. Das Beispiel veranschaulicht die Vorgehensweise und beschreibt keinen Kundenfall.