FAQ

Häufige Fragen zur KI-Verordnung

Häufige Fragen zur KI-Verordnung

Was ist eine KI-Richtlinie und warum wird sie im Unternehmen benötigt?

Eine KI-Richtlinie ist eine interne Betriebsanweisung, die festlegt, welche KI-Tools im Unternehmen erlaubt sind, welche Daten eingegeben werden dürfen, wie Ergebnisse zu überprüfen sind und wer für die Freigabe KI-generierter Inhalte verantwortlich ist. Sie schafft Rechtssicherheit für Mitarbeiter und Geschäftsführung.

Wer im Unternehmen muss die Verantwortlichkeit für KI übernehmen?

Die Gesamtverantwortung liegt bei der Geschäftsführung. Operational sollte die Rolle klar zugewiesen werden – beispielsweise durch Einbindung des Datenschutzbeauftragten, der IT-Sicherheit (CISO) oder einer benannten Person für KI-Compliance, welche die Einhaltung der KI-VO und internen Richtlinien überwacht.

Wer haftet, wenn eine KI im Betrieb fehlerhafte Ergebnisse liefert?

Nach der bisherigen Rechtsauslegung verbleibt die Haftung grundsätzlich beim Unternehmen bzw. der ausführenden Person. Da KI-Systeme Werkzeuge darstellen, entbindet ihr Einsatz nicht von der fachlichen Sorgfaltspflicht. Ein unbesehen übernommener KI-Fehler gilt juristisch als eigener Fehler des Betreibers.

Gilt die EU-KI-Verordnung auch für kleine und mittelständische Unternehmen (KMU)?

Ja, die EU-KI-Verordnung unterscheidet primär nach dem Risiko des KI-Systems und der Rolle im Markt, nicht zwingend nach der Unternehmensgröße. Wenn Sie als mittelständischer Betrieb KI-Systeme einsetzen (z. B. zur Datenanalyse, im Marketing oder bei Messgeräten), fallen Sie unter die Betreiberpflichten der Verordnung.

Welche Rolle nimmt mein Unternehmen ein – Anbieter („Provider“) oder Betreiber („Deployer“)?

In den meisten Fällen ist ein mittelständisches Unternehmen Betreiber (Deployer), wenn es ein von einem Dritthersteller entwickeltes KI-System oder Werkzeug einkauft und im Betriebsalltag einsetzt. Zum Anbieter (Provider) werden Sie nur dann, wenn Sie eigene KI-Systeme entwickeln, bestehende Systeme wesentlich verändern oder KI unter eigenem Namen/Markenauftritt vertreiben.

Was unterscheidet ein Standard-KI-System von einem Hochrisiko-KI-System?

Hochrisiko-KI-Systeme betreffen Bereiche, bei denen Fehlentscheidungen hohe Risiken für Sicherheit, Gesundheit oder Grundrechte bergen (z. B. Medizinprodukte, kritische Infrastrukturen, Bewerberauswahl). Für diese gelten strengere Dokumentations-, Überwachungs- und Risikomanagement-Pflichten. Standard-Tools wie generative KI für allgemeine Büroarbeiten unterliegen in erster Linie Transparenz- und Kompetenzanforderungen.

Worauf ist beim Einsatz KI-gestützter Messgeräte zu achten?

Betreiber müssen sicherstellen, dass die Geräte strikt nach den Vorgaben des Herstellers betrieben werden. Wichtig ist die Einhaltung der menschlichen Aufsicht („Human Oversight“): Fachpersonal muss in der Lage sein, KI-Ergebnisse zu bewerten, zu hinterfragen und im Zweifel zu korrigieren.

Was gilt, wenn Messdaten extern durch Dritte oder in einer Cloud ausgewertet werden?

Sobald personenbezogene Daten (z. B. Patientendaten, Mitarbeiterdaten) extern ausgewertet werden, ist ein Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO) mit dem Dienstleister erforderlich. Zudem muss sichergestellt werden, dass auch der externe Dienstleister die Anforderungen der KI-VO und hohe IT-Sicherheitsstandards einhält.

Müssen die vom KI-System erzeugten Daten und Messergebnisse aufbewahrt werden?

Ja, sofern das KI-System Protokolldateien (Logs) generiert, müssen diese im gesetzlich zulässigen Rahmen aufbewahrt werden. Die Protokollierung dient der Nachvollziehbarkeit und Beweissicherung im Falle von Fehlfunktionen oder Audits.

Dürfen Mitarbeiter kostenlose KI-Tools wie ChatGPT Free, Google Gemini u.a. geschäftlich nutzen?

Aus Datenschutz- und Sicherheitsgründen sollte davon dringend abgeraten werden. Bei Gratis-Accounts behalten sich Anbieter oft das Recht vor, eingegebene Prompts und Dokumente zum Trainieren der KI zu nutzen. Dadurch besteht das Risiko, dass Betriebsgeheimnisse oder personenbezogene Daten unbeabsichtigt an Dritte gelangen.

Wie können generative KI-Tools sicher im Unternehmen eingesetzt werden?

Nutzen Sie Business- oder Enterprise-Tarife (z. B. ChatGPT Team/Enterprise, Copilot für Microsoft 365, Gemini für Workspace). Bei diesen Verträgen garantieren die Anbieter vertraglich, dass die Daten nicht für das Training der KI-Modelle verwendet werden und die Vertraulichkeit gewahrt bleibt.

Reicht ein AV-Vertrag aus, um offene KI-Tools DSGVO-konform zu betreiben?

Ein AV-Vertrag nach Art. 28 DSGVO ist zwingend erforderlich, sobald personenbezogene Daten verarbeitet werden. Zusätzlich müssen organisatorische Maßnahmen greifen (z. B. KI-Richtlinien), die verhindern, dass Mitarbeitende hochsensible Daten ohne Rechtsgrundlage in die Systeme eingeben.

Sind Mitarbeiterschulungen zur KI-Nutzung gesetzlich vorgeschrieben?

Ja. Nach Artikel 4 der EU-KI-Verordnung sind alle Unternehmen (Anbieter wie Betreiber) verpflichtet, sicherzustellen, dass ihr Personal und beauftragte Personen über ein ausreichendes Maß an KI-Kompetenz (AI Literacy) verfügen.

Was muss eine gesetzlich geforderte KI-Schulung beinhalten?

Die Schulung muss verhältnismäßig und rollenspezifisch sein. Wesentliche Inhalte sind:

Verständnis der Funktionsweise und Grenzen der genutzten KI (z. B. Erkennen von Falschinformationen / Halluzinationen).
Datenschutz- und IT-Sicherheitsregeln (welche Daten dürfen eingegeben werden?).
Praktische Anwendung der vorgeschriebenen menschlichen Aufsicht.

Wie muss der Nachweis über die KI-Kompetenz der Mitarbeiter erbracht werden?

Es gibt kein starres staatliches Zertifikat. Der Nachweis kann durch interne/externe Schulungen, Workshops, E-Learning-Kurse und unterzeichnete Teilnahmebestätigungen oder Unterweisungs-Protokolle erbracht werden, die bei Prüfungen vorzulegen sind.