KI im Unternehmen: Vom einzelnen Tool zu klaren Regeln
Wer KI einsetzen möchte, sollte Anwendungsfall, Daten, Verträge und Verantwortung gemeinsam betrachten.
Den Einsatz konkret beschreiben
Eine Textassistenz für interne Entwürfe, ein Chatbot für Kunden und ein System zur Bewertung von Bewerbungen werfen unterschiedliche Rechtsfragen auf. Beginnen Sie deshalb mit einer Übersicht: Welche Systeme werden verwendet, von wem, mit welchen Eingaben und für welche Entscheidungen? Erfassen Sie auch Werkzeuge, die einzelne Teams bereits eigenständig nutzen.
Der AI Act verfolgt einen risikobezogenen Ansatz. Welche Anforderungen einschlägig sind, hängt unter anderem vom Verwendungszweck und der Rolle Ihres Unternehmens ab. Der bloße Produktname beantwortet diese Fragen nicht. Für bestimmte Anwendungen sind besondere Pflichten oder Verbote zu prüfen. Auch die jeweils geltenden Übergangsregelungen müssen zur konkreten Einordnung passen.
Datenflüsse und Anbieterbedingungen verstehen
Prüfen Sie vor der Freigabe, welche Informationen an den Anbieter übermittelt werden. Enthalten Eingaben personenbezogene Daten, muss deren Verarbeitung datenschutzrechtlich eingeordnet werden. Dazu gehören insbesondere Zweck und Rechtsgrundlage, Datenminimierung, Sicherheit sowie gegebenenfalls eine Auftragsverarbeitung und Übermittlungen in Drittländer. Ob eine Datenschutz-Folgenabschätzung erforderlich ist, hängt vom konkreten Risiko ab.
Daneben sind die Anbieterbedingungen praktisch wichtig: Wie werden Eingaben gespeichert, wer kann darauf zugreifen und werden sie für Trainingszwecke verwendet? Welche vertraglichen Zusagen gibt es? Halten Sie die tatsächlich vereinbarte Produktversion und deren Einstellungen fest. Ein allgemeiner Werbehinweis des Anbieters ersetzt die Prüfung dieser Unterlagen und Abläufe nicht.
Verantwortung im Arbeitsalltag festlegen
Eine brauchbare interne Regelung erklärt, welche Anwendungen freigegeben sind, welche Informationen eingegeben werden dürfen und wer Ergebnisse kontrolliert. Definieren Sie anhand Ihrer Arbeitsabläufe, wann ein Entwurf geprüft werden muss und wer eine Veröffentlichung oder Entscheidung verantwortet. Für Mitarbeiter sollten diese Regeln erreichbar und mit verständlichen Beispielen erklärt sein.
Bei interaktiven oder generativen Anwendungen sind gegebenenfalls Transparenzpflichten zu berücksichtigen. Das betrifft etwa bestimmte direkte Interaktionen mit KI sowie bestimmte künstlich erzeugte oder veränderte Inhalte. Welche Kennzeichnung erforderlich ist, richtet sich nach System, Rolle und Anwendungsfall. Die interne Planung sollte außerdem einen Ansprechpartner für Fehler, Beschwerden und Änderungen des eingesetzten Tools vorsehen.
Die rechtliche Prüfung an einem Pilotprojekt ausrichten
Für den Einstieg eignet sich ein klar abgegrenzter Anwendungsfall. Beschreiben Sie den vorgesehenen Nutzen, die Datenkategorien, den Anbieter und die beteiligten Abteilungen. Legen Sie Vertragsunterlagen und technische Informationen bereit. So kann die Beratung konkrete Lücken benennen, statt nur einen allgemeinen Katalog gesetzlicher Themen zu liefern.
Ein passender anwaltlicher Auftrag kann die Einordnung nach dem AI Act, die Prüfung von Datenschutz und Verträgen sowie eine umsetzbare Nutzungsrichtlinie umfassen. Das Ergebnis sollte Verantwortlichkeiten und nächste Schritte festhalten. Wenn sich Zweck, Daten oder Anbieter ändern, braucht auch die ursprüngliche Bewertung eine erneute Betrachtung.
Quellen & weiterführende Informationen
- Europäische Kommission – AI Act und Anwendungsbereiche ↗
- Datenschutz-Grundverordnung – insbesondere Art. 5, 6, 28, 32, 35 und 44 ff. ↗
- Europäische Kommission – Transparenzpflichten für KI-Systeme ↗
Dieser Beitrag gibt eine allgemeine Orientierung. Welche Möglichkeiten bestehen, hängt von Ihrem konkreten Sachverhalt ab.