KI im Unternehmen rechtssicher einsetzen – Ein Leitfaden

AI-Act

Die Europäische Union hat mit der KI-Verordnung (AI Act) erstmals einen einheitlichen Rechtsrahmen geschaffen. Seit 2025 greifen die Regelungen schrittweise und betreffen nahezu alle Unternehmen, die KI einsetzen oder anbieten.

Ziel der Verordnung ist es, den Einsatz von KI-Systemen sicher, transparent und vertrauenswürdig zu gestalten.

Je nach Rolle eines Unternehmens unterscheiden sich die Pflichten:

Anbieter ist, wer ein KI-System unter eigenem Namen in den Verkehr bringt. Als Anbieter hat man unter anderem die Pflicht, die Konformität mit den Anforderungen des AI Acts sicherzustellen, Risikobewertungen und Konformitätsprüfungen durchzuführen, technische Dokumentationen und Transparenzanforderungen bereitzustellen und die KI-Kompetenz von Beschäftigten sicherzustellen.

Betreiber ist, wer KI-Systeme im eigenen Unternehmen nutzt oder in seine Prozesse integriert. Als Betreiber hat man die KI-Kompetenz der Beschäftigten sicherzustellen und Deep Fakes (täuschend echte, KI-generierte Medieninhalte) oder Texte mit öffentlichem Interesse zu kennzeichnen.

Importeur ist, wer ein KI-System aus einem Drittland in die EU einführt und in den Verkehr bringt. Als Importeur muss man unter anderem die Konformität des Anbieters überprüfen.

Händler ist, wer Produkte mit integrierten KI-Systemen an Endnutzer oder weiterverarbeitende Unternehmen vertreibt. Als Händler hat man Informationen über die Eigenschaften und die sichere Nutzung des Produkts bereitzustellen.

Der AI Act ordnet KI-Systeme in verschiedene Risikogruppen ein, je höher das Risiko, umso strenger sind die Anforderungen:

KI-Systeme, die mit den Grundrechten der EU unvereinbar sind, stellen ein unvertretbares Risiko dar und sind seit Februar 2025 verboten. Darunter fällt beispielsweise KI zur Emotionserkennung am Arbeitsplatz.

Hochrisiko-Systeme sind solche, welche ein bedeutendes Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen. Darunter können unter anderem KI-Systeme in kritischer Infrastruktur wie Medizin, Verkehr oder im Bankwesen fallen. Beispielsweise eine KI zur Analyse von MRT-Bildern oder zur Kreditanalyse. Solche KI-Systeme unterliegen im Hinblick auf Risikobewertung, Transparenz, Robustheit und menschlicher Aufsicht strengen Anforderungen.

Ein begrenztes Risiko stellen KI-Systeme dar, die mit Personen interagieren und nur ein geringes Risiko bergen, beispielsweise Chatbots. Hierbei sind Transparenzpflichten zu beachten, der Nutzer muss darüber informiert werden, dass er mit einem KI-System interagiert.

KI-Systeme, die keine wesentlichen Risiken für Nutzer bedeuten, werden als minimales Risiko eingestuft, wie eine KI-gestützte Rechtsschreibüberprüfung. Hierfür gibt es keine zusätzlichen Pflichten.

Neben dem AI Act sind weitere Rechtsbereiche zu beachten:

Arbeitsrecht

KI bietet für Arbeitgeber zahlreiche Einsatzmöglichkeiten, beispielsweise im Personalbereich. Hierbei muss jedoch darauf geachtet werden, dass der Einsatz von KI-Systemen mit dem Allgemeinen Gleichbehandlungsgesetz vereinbar ist und keine Diskriminierung stattfindet. Zudem dürfen Personen nach Artikel 22 DSGVO nicht ausschließlich KI-basierten Entscheidungen unterworfen werden, das bedeutet, dass beispielsweise in einem Recruiting-Prozess nicht alleine durch ein KI-System entschieden werden darf, wer eine Zu- oder Absage erhält.

Darüber hinaus können Mitbestimmungsrechte des Betriebsrats gelten, etwa wenn ein KI-System geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen.

Urheberrecht

Bei der Eingabe in ein KI-System sollte man beachten, dass die Benutzung fremder Inhalte ohne Zustimmung eine Rechtsverletzung darstellen kann.

KI-generierte Inhalte selbst stellen keine persönliche geistige Schöpfung dar, daher können sie nicht urheberrechtlich geschützt werden. Dennoch können sie Rechte Dritter verletzten, etwa wenn ein erzeugter Text oder ein Bild einem bestehenden Werk stark ähnelt.

Datenschutz

Auch beim Einsatz von KI gelten die Anforderungen der Datenschutz-Grundverordnung (DSGVO). Unternehmen müssen insbesondere darauf achten, welche personenbezogenen Daten in KI-Systeme eingespeist werden, ob eine rechtmäßige Grundlage für die Verarbeitung besteht und ob Daten in Drittländer übertragen werden.

Gerade bei extern gehosteten KI-Systemen ist zudem zu prüfen, ob zusätzliche Vereinbarungen erforderlich sind.

Haftung

Ein besonders wichtiger Punkt ist die Frage der Haftung für fehlerhafte oder rechtswidrige KI-Ergebnisse.

Die Rechtsprechung tendiert dazu, denjenigen in die Verantwortung zu nehmen, der das KI-System einsetzt. Das bedeutet: Auch wenn Inhalte von einer KI erzeugt werden, bleibt die rechtliche Verantwortung in der Regel beim Unternehmen selbst.

Was Unternehmen jetzt konkret tun können

Um rechtssicher mit KI zu arbeiten, empfiehlt sich ein strukturiertes Vorgehen:

1. Überblick schaffen: Welche KI-Systeme werden im Unternehmen eingesetzt?

2. Risikobewertung durchführen: In welche Kategorie fallen diese Systeme?

3. Verantwortlichkeiten klären: Wer übernimmt welche Rolle im Sinne der Verordnung?

4. Dokumentation und Prozesse aufbauen: insbesondere bei Hochrisiko-Systemen

5. Mitarbeiter schulen und sensibilisieren: Aufbau von KI-Kompetenz ist verpflichtend

6. Interne Richtlinien erstellen: klare Regeln für den Einsatz von KI