Was ist der Unterschied zwischen KI-Compliance und Datenschutz-Compliance?

KI-Compliance und Datenschutz-Compliance sind zwei verwandte, aber rechtlich eigenständige Anforderungsbereiche. Datenschutz-Compliance bezeichnet den Schutz personenbezogener Daten gemäß DSGVO und BDSG, während KI-Compliance die sichere, transparente und risikobasierte Entwicklung und den Betrieb von KI-Systemen nach dem EU AI Act regelt. Der entscheidende Unterschied: Der Datenschutz schützt Menschen vor unerwünschter Datenverarbeitung, KI-Compliance schützt sie vor den Risiken automatisierter Entscheidungen und intransparenter KI-Systeme. Beide Bereiche überschneiden sich jedoch erheblich, sobald ein KI-System personenbezogene Daten verarbeitet. Dieser Artikel beantwortet die wichtigsten Fragen, die Unternehmen dazu in der Praxis haben.

Welche Gesetze und Standards regeln KI-Compliance konkret?

KI-Compliance im Unternehmenskontext wird in erster Linie durch den EU AI Act geregelt, der seit 2024 in Kraft ist und bis 2026 stufenweise vollständig angewendet wird. Darüber hinaus gelten weitere rechtliche Rahmenbedingungen: allgemeines Vertragsrecht, Grundrechte, Datenschutzrecht, Haftungsrecht, Urheberrecht sowie Arbeits- und Mitbestimmungsrecht. Unternehmen müssen daher nicht nur ein einzelnes Gesetz im Blick behalten, sondern ein ganzes Geflecht an Regelungen.

Der EU AI Act folgt einem risikobasierten Ansatz. KI-Systeme werden in Risikostufen eingeteilt: verbotene Praktiken, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Je nach Einstufung gelten für Anbieter und Betreiber unterschiedliche Pflichten, etwa Transparenzanforderungen, Anforderungen an die menschliche Aufsicht, Aufzeichnungspflichten und in bestimmten Fällen eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO.

Neben der gesetzlichen Regulierung bietet ISO 42001 einen international anerkannten Managementrahmen für KI-Governance. Dieser Standard beschreibt, wie Organisationen ein KI-Managementsystem aufbauen, dokumentieren und kontinuierlich verbessern können. Er ist keine gesetzliche Pflicht, hilft aber dabei, Compliance-Anforderungen strukturiert zu erfüllen und dies gegenüber Behörden und Geschäftspartnern nachzuweisen. Wer sich mit der KIMS-Zertifizierung nach ISO 42001 auseinandersetzt, schafft eine solide Grundlage für den gesamten KI-Compliance-Prozess.

Was regelt die DSGVO, das der EU AI Act nicht abdeckt?

Die DSGVO schützt das Recht auf informationelle Selbstbestimmung: Jede Person soll selbst entscheiden können, wer ihre personenbezogenen Daten zu welchem Zweck verarbeitet. Der EU AI Act hingegen schützt vor den spezifischen Risiken, die von KI-Systemen ausgehen, unabhängig davon, ob personenbezogene Daten betroffen sind. Die DSGVO gilt immer dann, wenn personenbezogene Daten verarbeitet werden. Der EU AI Act gilt immer dann, wenn ein KI-System eingesetzt wird.

Konkret regelt die DSGVO unter anderem:

• Die Rechtsgrundlagen für jede Datenverarbeitung, einschließlich durch KI-Systeme (Art. 6 DSGVO)
• Sechs Grundsätze der Verarbeitung: Rechtmäßigkeit, Zweckbindung, Datensparsamkeit, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit (Art. 5 DSGVO)
• Betroffenenrechte wie Auskunft, Berichtigung, Löschung, Widerspruch und das Recht auf Erläuterung automatisierter Entscheidungen (Art. 15 bis 22 DSGVO)
• Informationspflichten gegenüber betroffenen Personen zum Zeitpunkt der Datenerhebung

Der EU AI Act ergänzt dies um systemische Anforderungen: Welche technischen Eigenschaften muss ein KI-System aufweisen? Welche Dokumentation ist erforderlich? Wann ist menschliche Aufsicht verpflichtend? Diese Fragen beantwortet die DSGVO nicht, da sie technologieneutral formuliert ist.

Wo überschneiden sich KI-Compliance und Datenschutz-Compliance?

KI-Compliance und Datenschutz-Compliance überschneiden sich immer dann, wenn ein KI-System personenbezogene Daten verarbeitet. Im betrieblichen Alltag ist das die Regel: Ob Recruiting-Algorithmen, Kundenanalysen, Chatbots oder Tools zur Arbeitsplatzüberwachung – fast jedes im Produktiveinsatz befindliche KI-System berührt personenbezogene Daten und unterliegt damit gleichzeitig beiden Regulierungsrahmen.

Die Überschneidung zeigt sich besonders deutlich in folgenden Bereichen:

• Datenschutz-Folgenabschätzung (DSFA): Der EU AI Act schreibt Betreibern von Hochrisiko-KI-Systemen ausdrücklich vor, eine DSFA gemäß Art. 35 DSGVO durchzuführen, sofern personenbezogene Daten verarbeitet werden.
• Automatisierte Entscheidungen: Art. 22 DSGVO schränkt vollständig automatisierte Entscheidungen mit erheblichen Auswirkungen ein. Der EU AI Act gilt für dieselben Systeme mit eigenen Transparenz- und Erklärungspflichten.
• Zweckbindung und KI-Training: Wenn Unternehmen vorhandene Nutzerdaten zum Training eigener KI-Modelle verwenden möchten, muss geprüft werden, ob dies mit dem ursprünglichen Erhebungszweck vereinbar ist. Das Beispiel der Meta-AI-Debatte zeigt, wie sensibel dieser Punkt in der Praxis ist.
• Transparenzpflichten: Sowohl die DSGVO als auch der EU AI Act verlangen, dass betroffene Personen informiert werden, wenn KI-Systeme sie betreffen.

Wer im Unternehmen ist für welchen Compliance-Bereich zuständig?

Für die Datenschutz-Compliance trägt der Datenschutzbeauftragte (DSB) die operative Verantwortung, während die Geschäftsführung als Verantwortlicher im Sinne der DSGVO haftet. Bei der KI-Compliance ist die Rollenverteilung weniger standardisiert: Der EU AI Act unterscheidet zwischen Anbietern und Betreibern von KI-Systemen, wobei Betreiber die Unternehmen sind, die KI-Systeme im eigenen Betrieb einsetzen.

In der Praxis empfiehlt es sich, eine dedizierte Funktion als AI Compliance Officer einzurichten. Diese Rolle überwacht die Einhaltung des EU AI Acts, koordiniert die Risikoeinstufung von KI-Systemen, pflegt die erforderliche Dokumentation und stellt die Zusammenarbeit mit Behörden sicher. Idealerweise arbeitet der AI Compliance Officer eng mit dem DSB zusammen, da beide Bereiche in der Praxis eng miteinander verknüpft sind.

Darüber hinaus verpflichtet der EU AI Act alle Betreiber – unabhängig vom Risikoniveau des eingesetzten Systems – dazu, KI-Kompetenz im Unternehmen sicherzustellen (Art. 4 EU AI Act). Das bedeutet: Mitarbeitende mit KI-Schulungen auszustatten ist keine optionale Maßnahme, sondern eine gesetzliche Anforderung.

Welche Strafen drohen bei Verstößen gegen KI- oder Datenschutz-Compliance?

Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. Der EU AI Act sieht abgestufte Sanktionen vor: Verstöße gegen das Verbot bestimmter KI-Praktiken können mit bis zu 35 Millionen Euro oder 7 Prozent des gesamten weltweiten Jahresumsatzes geahndet werden.

Neben Bußgeldern können weitere Konsequenzen entstehen:

• Anordnung zur Außerbetriebnahme eines KI-Systems durch Aufsichtsbehörden
• Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
• Zivilrechtliche Haftungsansprüche betroffener Personen
• Meldepflichten bei schwerwiegenden Vorfällen gegenüber nationalen Behörden

Besonders kritisch: Unternehmen, die Hochrisiko-KI-Systeme betreiben, unterliegen einer sechsmonatigen Aufbewahrungspflicht für automatisierte Protokolle. Wer diese Dokumentation vernachlässigt, riskiert bei behördlichen Kontrollen zusätzliche Sanktionen.

Wie können sich Unternehmen gleichzeitig auf beide Compliance-Anforderungen vorbereiten?

Der wirksamste Ansatz ist eine integrierte Compliance-Strategie, die DSGVO und EU AI Act gemeinsam adressiert, anstatt beide Bereiche isoliert zu behandeln. Da die Überschneidungen erheblich sind, können viele Maßnahmen einem doppelten Zweck dienen: Eine Datenschutz-Folgenabschätzung erfüllt sowohl DSGVO- als auch EU-AI-Act-Anforderungen, und ein Register der eingesetzten KI-Systeme unterstützt sowohl die Risikoeinstufung nach dem EU AI Act als auch die Dokumentationspflichten gemäß DSGVO.

Konkrete Schritte für Unternehmen:

1. KI-Systeme inventarisieren: Alle eingesetzten KI-Tools erfassen und nach den Risikostufen des EU AI Acts klassifizieren.
2. Datenschutz-Folgenabschätzungen durchführen: Für alle KI-Systeme, die personenbezogene Daten verarbeiten und ein erhöhtes Risiko aufweisen.
3. Zuständigkeiten klären: Einen DSB und einen AI Compliance Officer benennen und Schnittstellen zwischen beiden definieren.
4. Mitarbeitende schulen: KI-Kompetenz aufbauen, um Art. 4 EU AI Act zu erfüllen und gleichzeitig einen DSGVO-konformen Einsatz von KI sicherzustellen.
5. Dokumentation aufbauen: Technische Dokumentation, Protokolle und Risikoanalysen systematisch pflegen.
6. ISO 42001 als Rahmenwerk nutzen: Das KI-Managementsystem nach ISO 42001 strukturiert alle Governance-Anforderungen und erleichtert den Nachweis der Compliance gegenüber Behörden.

Wie mITSM Unternehmen bei KI-Compliance und Datenschutz-Compliance unterstützt

Wir bei mITSM bieten praxisnahe Schulungen und Zertifizierungen an, die Fach- und Führungskräfte gezielt auf die Anforderungen des EU AI Acts und der DSGVO vorbereiten. Unsere zertifizierten Trainer kennen die rechtlichen Anforderungen aus der täglichen Praxis und vermitteln sie klar und anwendungsorientiert.

Unser Angebot im Bereich KI-Compliance umfasst:

• Schulungen für die Rolle des AI Compliance Officers mit persönlichen Zertifizierungen durch ICO-Cert als anerkannten Zertifizierungspartner für KI-Themen
• Schulungen für die Rolle des AI Managers, die rechtliche, technische und organisatorische Aspekte verbinden
• Vorbereitung auf die KIMS-Zertifizierung nach ISO 42001 zum Aufbau eines KI-Managementsystems
• Schulungen als Präsenztraining, Online-Live-Kurs oder Inhouse-Training bei dir vor Ort

Ob du als Einzelperson deine Karrierechancen durch eine anerkannte Zertifizierung verbessern möchtest oder als Unternehmen deine Teams auf die neuen gesetzlichen Anforderungen vorbereiten willst: Wir begleiten dich auf diesem Weg. Entdecke unser Schulungsangebot und finde die passende Weiterbildungsoption für deine Situation.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.