Der Einsatz von künstlicher Intelligenz ist inzwischen ein zentraler Baustein moderner Geschäftsprozesse. Damit steigt jedoch auch die rechtliche und organisatorische Verantwortung. KI Compliance entwickelt sich zu einer unverzichtbaren Managementaufgabe, die den Einsatz intelligenter Systeme auf eine sichere und transparente Basis stellt.
Abgrenzung und Kern von KI Compliance
Während sich klassische IT-Compliance primär auf IT-Sicherheit und Systemverfügbarkeit konzentriert oder die Datenschutz-Compliance den Schutz personenbezogener Daten regelt, geht KI Compliance noch darüber hinaus. Sie verknüpft technische, organisatorische und rechtliche Anforderungen. Im Mittelpunkt stehen die Vermeidung von Diskriminierung durch verzerrte Trainingsdaten, die Transparenz algorithmischer Entscheidungsfindungen sowie die Verhinderung des Abflusses sensibler Unternehmensdaten. Das Ziel ist ein rechtskonformer und nachvollziehbarer Einsatz von KI, der ethisch vertretbar bleibt.
Relevanz für den Unternehmensalltag
Die Relevanz des Themas wächst mit dem Ausmaß, in dem KI-Anwendungen Kernprozesse beeinflussen. Werden Systeme ohne klare Leitplanken genutzt, drohen gravierende Konsequenzen. Fehlerhafte KI-Outputs können zu rechtlichen Haftungsfällen führen, für die Unternehmen voll einstehen müssen. Hinzu kommen drohende Reputationsschäden durch ungewollte Datenlecks oder diskriminierende Automatisierungen, die das Vertrauen von Kunden und Partnern nachhaltig schädigen.
Maßgebliche Gesetze und Standards
Für KI Compliance sind mehrere Regelwerke gleichzeitig maßgeblich. Den Kern bildet der EU AI Act, ergänzt durch die DSGVO, sobald personenbezogene Daten verarbeitet werden. Hinzu kommen das Geschäftsgeheimnisgesetz, das Urheberrecht bei Inputs und Outputs, das Allgemeine Gleichbehandlungsgesetz bei automatisierten Entscheidungen über Personen sowie das Betriebsverfassungsrecht mit der Mitbestimmung des Betriebsrats. Orientierung für den Aufbau eines internen KI-Managementsystems bietet zudem der internationale Standard ISO/IEC 42001.
Betroffene Rollen und Akteure
Die gesetzlichen Vorgaben unterscheiden präzise zwischen zwei zentralen Rollen: Anbieter und Betreiber.
Anbieter von KI-Systemen entwickeln Modelle oder bringen sie in den Verkehr. Sie tragen die Verantwortung für die grundlegende Konformität und die technische Sicherheit.
Betreiber hingegen sind Unternehmen, die KI-Werkzeuge im eigenen Betrieb oder für Kundenanwendungen einsetzen. Sie müssen sicherstellen, dass die Systeme ordnungsgemäß angewendet, überwacht und dokumentiert werden. Diese Pflichten treffen keineswegs nur Großkonzerne. Auch kleine und mittlere Unternehmen tragen als Betreiber die volle Verantwortung für ihre genutzten Werkzeuge.
Risikoklassen nach dem EU AI Act
Der EU AI Act teilt KI-Systeme nach ihrem Gefährdungspotenzial in vier Kategorien ein:
Systeme mit unannehmbarem Risiko sind in der EU verboten. Dazu zählen Social Scoring, unterschwellige Verhaltensmanipulation, Emotionserkennung am Arbeitsplatz sowie die biometrische Kategorisierung von Menschen nach sensiblen Merkmalen wie Herkunft oder Religion.
Hochrisiko-KI umfasst Anwendungen in kritischen Bereichen wie der automatisierten Bewerberauswahl, Kreditwürdigkeitsprüfungen oder dem Einsatz in medizinischen Geräten. Für diese Kategorie gelten strenge Auflagen hinsichtlich Risikomanagement, Datenqualität und Dokumentation.
Systeme mit begrenztem Risiko, wie etwa Kunden-Chatbots oder Werkzeuge zur Erzeugung von Deepfakes, unterliegen vor allem Transparenzpflichten. Nutzer müssen klar erkennen können, dass sie mit einer KI interagieren, und künstlich erzeugte Bilder, Videos oder Tonaufnahmen müssen als solche gekennzeichnet werden.
Anwendungen mit minimalem Risiko umfassen die Mehrheit der alltäglichen KI-Tools, etwa Spam-Filter oder Rechtschreibprüfungen. Sie können ohne zusätzliche regulatorische Auflagen eingesetzt werden.
Konkrete Pflichten für Anwender und Entwickler
Aus den gesetzlichen Vorgaben ergeben sich klare Pflichten für die Unternehmenspraxis, die sich je nach Rolle unterscheiden. Anbieter von Hochrisiko-Systemen müssen eine lückenlose technische Dokumentation über eingesetzte Daten und Funktionsweisen führen, eine hohe Qualität der Trainingsdaten zur Vermeidung von Verzerrungen gewährleisten und ihre Systeme so gestalten, dass eine effektive menschliche Aufsicht möglich bleibt. Betreiber müssen die Systeme gemäß den Anweisungen des Anbieters einsetzen, die menschliche Aufsicht im Betrieb organisieren, automatisch erzeugte Protokolle aufbewahren und betroffene Beschäftigte über den Einsatz informieren. In bestimmten Bereichen kommt eine Grundrechte-Folgenabschätzung hinzu. Für alle Unternehmen gelten zudem die Pflicht zur Förderung von KI-Kompetenz, geeignete Maßnahmen zur IT-Sicherheit sowie die Kennzeichnung KI-generierter Inhalte.
Praktische Umsetzung im Unternehmen
Die Einbettung von KI Compliance in die Organisation erfordert klare Strukturen. Am Anfang steht die systematische Erfassung aller genutzten Werkzeuge in einem KI-Inventar, gefolgt von einer fundierten Risikobewertung. Auf dieser Basis werden interne Governance-Strukturen und Zuständigkeiten geschaffen, um Prüfprozesse fest im Betrieb zu verankern. Regelmäßige Schulungen stellen sicher, dass Mitarbeitende Risiken wie Schatten-KI oder Fehlinformationen erkennen und vermeiden.
Zeitplan und Übergangsregelungen
Die Umsetzung des EU AI Act erfolgt in mehreren Stufen:
Seit dem Inkrafttreten im August 2024 laufen die Fristen. Das Verbot unzulässiger KI-Praktiken sowie die Vorgaben zur KI-Kompetenz gemäß Artikel 4 gelten seit Februar 2025. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck greifen seit August 2025. Seit August 2026 gelten die Transparenzpflichten sowie die Vorschriften zu Aufsicht und Sanktionen. Für Hochrisiko-Systeme wurden die Übergangsfristen durch den Digital Omnibus verlängert: Eigenständige Hochrisiko-Anwendungen etwa im Personalwesen oder bei der Kreditvergabe müssen die Anforderungen ab Dezember 2027 erfüllen, KI als Sicherheitsbauteil in regulierten Produkten ab August 2028.
Konsequenzen bei Verstößen
Verstöße gegen den EU AI Act ziehen empfindliche Sanktionen nach sich. Der Einsatz verbotener KI-Praktiken kann mit Bußgeldern von bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Für Verstöße gegen die übrigen Pflichten drohen bis zu 15 Millionen Euro oder 3 Prozent, für falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Dazu kommen weitere Folgen. Die Marktüberwachungsbehörden können die Nutzung eines Systems einschränken oder untersagen. Wer vertrauliche Informationen ungeschützt in öffentliche KI-Tools eingibt, riskiert den Rechtsschutz für die eigenen Geschäftsgeheimnisse, weil die gesetzlich geforderten angemessenen Geheimhaltungsmaßnahmen fehlen. Und bei grober Fahrlässigkeit haftet unter Umständen die Geschäftsführung persönlich.
Handlungsempfehlungen für den Einstieg
Um KI Compliance im Unternehmen pragmatisch umzusetzen, empfiehlt sich ein strukturiertes Vorgehen:
- KI-Richtlinie erstellen: Eine verständliche Richtlinie definiert, welche Tools und Datenklassen erlaubt sind.
- Bestandsaufnahme durchführen: Eine offene Erhebung deckt verdeckt genutzte Schatten-KI auf und überführt sie in ein zentrales Use-Case-Register.
- Anbieterverträge prüfen: Bestehende Verträge auf Datenschutz und Nutzungsrechte kontrollieren, um die ungewollte Weitergabe von Firmendaten zu verhindern.
- Lücken frühzeitig schließen: Interne Checklisten schaffen einen Überblick, externe Beratung springt bei komplexen Fragen ein. So werden rechtliche Schwachstellen sichtbar und das Unternehmen bleibt auditfähig.
Die praktische Umsetzung von KI-Compliance erfordert eine klare Governance und die strukturierte Verankerung in bestehenden Betriebsprozessen. Liquam unterstützt Unternehmen dabei, individuelle Richtlinien zu entwickeln, Risiken zu bewerten und regulatorische Vorgaben praxisnah in den Unternehmensalltag zu integrieren.
Wie eine solche Umsetzung in der Praxis aussehen kann, zeigt unser Projektbeispiel zur KI-Compliance.
