Risikobasierter Ansatz der KI-Verordnung
Die KI-VO verfolgt einen risikobasierten Ansatz. KI-Systeme werden je nach möglichem Gefährdungspotenzial in verschiedene Kategorien eingeteilt. Je höher das Risiko einer Anwendung, desto strengere Anforderungen gelten.
Unvertretbares Risiko
Bestimmte KI-Anwendungen gelten als unzulässig und sind seit 2. Februar 2025 verboten. Dazu zählen insbesondere:
- Social Scoring (Bewertung von Personen anhand ihres Sozialverhaltens)
- manipulative Verhaltensbeeinflussung
- bestimmte Formen biometrischer Überwachung
Hochrisiko-KI
Als Hochrisiko-Systeme gelten KI-Anwendungen, die erhebliche Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte haben können. Beispiele sind Systeme im Bereich:
- Personalmanagement und Recruiting
- Kreditwürdigkeitsprüfung
- Medizin oder kritische Infrastruktur
- Verkehr oder Bildung
Für solche Systeme gelten umfangreiche Anforderungen, etwa Risikomanagement, technische Dokumentation, Transparenz sowie menschliche Aufsicht über KI-Entscheidungen.
KI mit begrenztem Risiko
Bei KI-Systemen, die mit Personen interagieren – etwa Chatbots – gelten vor allem Transparenzpflichten. Nutzer müssen darüber informiert werden, dass sie mit einem KI-System kommunizieren.
KI mit minimalem Risiko
Viele alltägliche Anwendungen, etwa Spam-Filter, fallen in diese Kategorie. Für sie gelten grundsätzlich keine zusätzlichen Anforderungen der KI-VO.
Welche Unternehmen sind betroffen?
Die KI-VO betrifft grundsätzlich alle Unternehmen, die KI-Systeme
- entwickeln oder unter eigenem Namen vertreiben (Anbieter)
- im eigenen Unternehmen einsetzen (Betreiber)
- aus Drittstaaten importieren (Importeure)
- oder vertreiben (Händler)
Welche Pflichten bestehen, hängt sowohl von der Rolle des Unternehmens als auch von der Risikokategorie des eingesetzten KI-Systems ab.
Pflicht zur KI-Kompetenz im Unternehmen
Eine zentrale Vorgabe der KI-VO ist Art. 4 KI-VO. Danach müssen Anbieter und Betreiber sicherstellen, dass Mitarbeitende, die mit KI arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen.
Dazu gehören insbesondere:
- ein grundlegendes Verständnis der Funktionsweise von KI
- das Erkennen typischer Risiken (z. B. fehlerhafte Ergebnisse oder Bias)
- die kritische Bewertung von KI-generierten Inhalten
- ein Bewusstsein für rechtliche und ethische Fragestellungen
Diese Pflicht gilt unabhängig von der Risikoklasse eines KI-Systems.
Umsetzung der KI-VO im Unternehmen
Unternehmen sollten sich frühzeitig mit den neuen Anforderungen befassen. Sinnvolle erste Schritte sind insbesondere:
- Bestandsaufnahme der eingesetzten KI-Systeme
- Analyse der jeweiligen Risiken und Einsatzbereiche
- Schulung von Mitarbeitenden im Umgang mit KI
- Dokumentation der eingesetzten Systeme (z. B. in einem KI-Register)
- Einführung einer internen KI-Richtlinie sowie klarer Zuständigkeiten
Fazit
Die KI-Verordnung stellt neue Anforderungen an den Einsatz von Künstlicher Intelligenz in Unternehmen. Neben technischen Fragen stehen dabei vor allem Organisation, Governance und rechtliche Compliance im Mittelpunkt.
Unternehmen sollten sich frühzeitig mit den Vorgaben der KI-VO befassen und entsprechende Strukturen schaffen, um rechtliche Risiken zu minimieren und KI verantwortungsvoll einzusetzen.
Hinweis
Die neuen gesetzlichen Vorgaben zur Künstlichen Intelligenz werfen für viele Unternehmen praktische Fragen auf. Im Rahmen unseres Mandantenmeetings zur KI-Verordnung und aktuellen rechtlichen Entwicklungen im Bereich KI werden wir die wichtigsten Aspekte näher erläutern.
Thomas Sedlmayr