KI-Compliance und Datenschutz-Compliance sind zwei verwandte, aber rechtlich eigenständige Anforderungsbereiche. Datenschutz-Compliance bezieht sich auf den Schutz personenbezogener Daten nach der DSGVO und dem BDSG, während KI-Compliance die sichere, transparente und risikobasierte Entwicklung und den Betrieb von KI-Systemen nach dem EU AI Act regelt. Der entscheidende Unterschied: Datenschutz schützt Menschen vor ungewollter Datenverarbeitung, KI-Compliance schützt sie vor den Risiken automatisierter Entscheidungen und undurchsichtiger KI-Systeme. Beide Bereiche überschneiden sich jedoch erheblich, sobald ein KI-System personenbezogene Daten verarbeitet. Dieser Artikel beantwortet die wichtigsten Fragen, die Unternehmen dazu in der Praxis haben.

Welche Gesetze und Normen regeln KI-Compliance konkret?

KI-Compliance im Unternehmenskontext wird in erster Linie durch den EU AI Act geregelt, der seit 2024 in Kraft ist und stufenweise bis 2026 vollständig angewendet wird. Ergänzend greifen weitere Rechtsrahmen: das allgemeine Vertragsrecht, Grundrechte, Datenschutzrecht, Haftungsrecht, Urheberrecht sowie Arbeits- und Mitbestimmungsrecht. Unternehmen müssen also nicht nur ein einzelnes Gesetz, sondern ein ganzes Geflecht aus Regelwerken im Blick behalten.

Der EU AI Act verfolgt einen risikobasierten Ansatz. KI-Systeme werden in Risikostufen eingeteilt: verbotene Praktiken, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Je nach Einstufung gelten unterschiedliche Pflichten für Anbieter und Betreiber, etwa Transparenzpflichten, Anforderungen an menschliche Aufsicht, Aufzeichnungspflichten und in bestimmten Fällen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

Ergänzend zur gesetzlichen Regulierung bietet die ISO 42001 einen international anerkannten Managementrahmen für KI-Governance. Diese Norm beschreibt, wie Organisationen ein KI-Managementsystem aufbauen, dokumentieren und kontinuierlich verbessern können. Sie ist keine gesetzliche Pflicht, hilft aber dabei, Compliance-Anforderungen strukturiert zu erfüllen und gegenüber Behörden sowie Geschäftspartnern nachzuweisen. Wer sich mit der KIMS-Zertifizierung nach ISO 42001 befasst, schafft eine solide Grundlage für den gesamten KI-Compliance-Prozess.

Was regelt die DSGVO, was der EU AI Act nicht abdeckt?

Die DSGVO schützt das Recht auf informationelle Selbstbestimmung: Jede Person soll selbst bestimmen können, wer ihre personenbezogenen Daten verarbeitet und zu welchem Zweck. Der EU AI Act hingegen schützt vor den spezifischen Risiken, die durch KI-Systeme entstehen, unabhängig davon, ob dabei personenbezogene Daten im Spiel sind. Die DSGVO greift immer dann, wenn personenbezogene Daten verarbeitet werden. Der EU AI Act greift, wenn ein KI-System eingesetzt wird.

Konkret regelt die DSGVO unter anderem:

• Die Rechtsgrundlagen für jede Datenverarbeitung, auch durch KI-Systeme (Art. 6 DSGVO)
• Sechs Grundsätze der Verarbeitung: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit (Art. 5 DSGVO)
• Betroffenenrechte wie Auskunft, Berichtigung, Löschung, Widerspruch und das Recht auf Erläuterung automatisierter Entscheidungen (Art. 15 bis 22 DSGVO)
• Informationspflichten gegenüber betroffenen Personen bei der Datenerhebung

Der EU AI Act ergänzt dies um systemische Anforderungen: Wie muss ein KI-System technisch beschaffen sein? Welche Dokumentation ist erforderlich? Wann ist eine menschliche Aufsicht zwingend? Diese Fragen beantwortet die DSGVO nicht, weil sie technologieneutral formuliert ist.

Wo überschneiden sich KI-Compliance und Datenschutz-Compliance?

KI-Compliance und Datenschutz-Compliance überschneiden sich immer dann, wenn ein KI-System personenbezogene Daten verarbeitet. Das ist in der Unternehmenspraxis der Regelfall: Ob Recruiting-Algorithmen, Kundenanalysen, Chatbots oder Monitoring-Tools am Arbeitsplatz, nahezu jedes produktiv eingesetzte KI-System berührt personenbezogene Daten und unterliegt damit beiden Regelwerken gleichzeitig.

Besonders deutlich zeigt sich die Überschneidung bei folgenden Punkten:

• Datenschutz-Folgenabschätzung (DSFA): Der EU AI Act verpflichtet Betreiber von Hochrisiko-KI-Systemen ausdrücklich zur Durchführung einer DSFA nach Art. 35 DSGVO, sofern personenbezogene Daten verarbeitet werden.
• Automatisierte Entscheidungen: Art. 22 DSGVO schränkt vollständig automatisierte Entscheidungen mit erheblicher Wirkung ein. Der EU AI Act greift bei denselben Systemen mit eigenen Transparenz- und Erläuterungspflichten.
• Zweckbindung und KI-Training: Wenn Unternehmen vorhandene Nutzerdaten für das Training eigener KI-Modelle verwenden möchten, muss geprüft werden, ob dies mit dem ursprünglichen Erhebungszweck vereinbar ist. Das Beispiel der Meta-AI-Debatte zeigt, wie heikel dieser Punkt in der Praxis ist.
• Transparenzpflichten: Sowohl DSGVO als auch EU AI Act verlangen, dass betroffene Personen informiert werden, wenn KI-Systeme sie betreffen.

Wer im Unternehmen ist für welche Compliance verantwortlich?

Für Datenschutz-Compliance trägt der Datenschutzbeauftragte (DSB) die operative Verantwortung, während die Geschäftsführung als Verantwortliche im Sinne der DSGVO haftet. Für KI-Compliance ist die Rollenverteilung weniger standardisiert: Der EU AI Act unterscheidet zwischen Anbietern und Betreibern von KI-Systemen, wobei Betreiber die Unternehmen sind, die KI-Systeme im eigenen Betrieb einsetzen.

In der Praxis empfiehlt sich die Einrichtung einer eigenen Funktion als KI-Compliance-Beauftragter. Diese Rolle überwacht die Einhaltung des EU AI Act, koordiniert die Risikoklassifizierung von KI-Systemen, pflegt die erforderliche Dokumentation und stellt die Zusammenarbeit mit Behörden sicher. Idealerweise arbeitet der KI-Compliance-Beauftragte eng mit dem DSB zusammen, da beide Bereiche in der Praxis stark verzahnt sind.

Darüber hinaus verpflichtet der EU AI Act alle Betreiber, unabhängig von der Risikostufe des eingesetzten Systems, zur Sicherstellung von KI-Kompetenz im Unternehmen (Art. 4 EU AI Act). Das bedeutet: Mitarbeiter KI weiterbilden ist keine optionale Maßnahme, sondern eine gesetzliche Anforderung.

Welche Sanktionen drohen bei Verstößen gegen KI- oder Datenschutz-Compliance?

Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist. Der EU AI Act sieht gestaffelte Sanktionen vor: Verstöße gegen das Verbot bestimmter KI-Praktiken können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Neben Bußgeldern drohen weitere Konsequenzen:

• Anordnung zur Außerbetriebnahme eines KI-Systems durch Aufsichtsbehörden
• Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
• Zivilrechtliche Haftungsansprüche betroffener Personen
• Meldepflichten bei schwerwiegenden Vorfällen gegenüber nationalen Behörden

Besonders kritisch: Unternehmen, die Hochrisiko-KI-Systeme betreiben, unterliegen einer sechsmonatigen Aufbewahrungspflicht für automatisierte Protokolle. Wer diese Dokumentation nicht führt, riskiert zusätzliche Sanktionen bei Behördenprüfungen.

Wie bereiten sich Unternehmen gleichzeitig auf beide Compliance-Anforderungen vor?

Der effektivste Ansatz ist eine integrierte Compliance-Strategie, die DSGVO und EU AI Act gemeinsam adressiert, statt beide Bereiche isoliert zu behandeln. Da die Überschneidungen erheblich sind, lassen sich viele Maßnahmen doppelt nutzen: Eine Datenschutz-Folgenabschätzung erfüllt sowohl DSGVO- als auch EU-AI-Act-Anforderungen, und ein Verzeichnis der eingesetzten KI-Systeme unterstützt sowohl die Risikoklassifizierung nach EU AI Act als auch die Dokumentationspflichten nach DSGVO.

Konkrete Schritte für Unternehmen:

1. KI-Systeme inventarisieren: Alle eingesetzten KI-Tools erfassen und nach EU-AI-Act-Risikostufen klassifizieren.
2. Datenschutz-Folgenabschätzungen durchführen: Für alle KI-Systeme, die personenbezogene Daten verarbeiten und ein erhöhtes Risiko darstellen.
3. Zuständigkeiten klären: DSB und KI-Compliance-Beauftragten benennen und Schnittstellen definieren.
4. Mitarbeiter schulen: KI-Kompetenz aufbauen, um Art. 4 EU AI Act zu erfüllen und gleichzeitig datenschutzkonforme KI-Nutzung sicherzustellen.
5. Dokumentation aufbauen: Technische Unterlagen, Protokolle und Risikoanalysen systematisch pflegen.
6. ISO 42001 als Rahmen nutzen: Das KI-Managementsystem nach ISO 42001 strukturiert alle Governance-Anforderungen und erleichtert den Nachweis gegenüber Behörden.

So unterstützt mITSM Unternehmen bei KI-Compliance und Datenschutz-Compliance

Wir bei mITSM bieten praxisnahe Schulungen und Zertifizierungen, die Fach- und Führungskräfte gezielt auf die Anforderungen des EU AI Act und der DSGVO vorbereiten. Unsere zertifizierten Trainer kennen die rechtlichen Anforderungen aus der täglichen Praxis und vermitteln sie verständlich und anwendungsorientiert.

Unser Angebot im Bereich KI-Compliance umfasst:

• Schulungen zum KI-Compliance Beauftragter mit Personenzertifizierungen über ICO-Cert als anerkannten Zertifizierungspartner für KI-Themen
• Trainings zum KI-Manager, die rechtliche, technische und organisatorische Aspekte verbinden
• Vorbereitung auf die KIMS-Zertifizierung nach ISO 42001 für den Aufbau eines KI-Managementsystems
• Schulungen als Präsenztraining, Online-Live-Kurs oder Inhouse-Training beim Kunden vor Ort

Ob Sie als Einzelperson Ihre Karrierechancen durch eine anerkannte Zertifizierung verbessern oder als Unternehmen Ihre Teams auf die neuen gesetzlichen Anforderungen vorbereiten möchten: Wir begleiten Sie auf diesem Weg. Entdecken Sie unser Schulungsangebot und finden Sie die passende Weiterbildung für Ihre Situation.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.